نوشته های Security

وب‌سایت یا برنامه کاربردی وب، دو واژه‌ی یکسان با اختلافی کوچک

Security — Sat, 09 Feb 2019 18:55:01 +0330

وب‌سایت یا برنامه کاربردی وباز زمانی که اینترنت در زندگی روزمره انسان قدم نهاد، همیشه و در همه حال، روند رو به رشدی داشته است. درگذشته نه‌چندان دور، زمانی که صفحات وب وارد عرصه جهانی شدند، پروتکل‌های متفاوتی برای این انتقالات خلق گردیدند. یکی از این پروتکل‌ها، پروتکل انتقال ابرمتن یا HTTP است که اطلاعات را در صفحه جهان‌گستر یا World Wide Web منتشر می‌کند. صفحات وب شامل اطلاعات ثابتی هستند و به‌صورت فایل‌های HTML ذخیره می‌شوند. در این حالت اطلاعات از سمت سرور به سمت کلاینت درحرکت است. این بدین معنی است که وب‌سایت اطلاعات را در اختیار کاربر قرار می‌دهد.در خلال انتقال اطلاعات از سمت سرور به‌سوی کلاینت ارائه‌دهنده سرویس یا همان سرور، هیچ‌گونه اطلاعاتی از کلاینت نداشته و ندارد؛ یعنی کلاینت می‌تواند در هر مکانی قرار داشته باشد و مکان خود را جابه‌جا کند و هیچ‌گونه اختلالی بروی وب‌سایت اولیه نداشته باشد. در مقابل این رفتار، برنامه‌های کاربردی وب یا همان Web Application ها، اطلاعات را برای کاربر یا گروهی از کاربران به‌صورت خاص پیکربندی و یا فرمت دهی کرده و سپس ارسال می‌نماید. در این حالت و رفتار، ارتباط بین سرور و کلاینت دوطرفه خواهد بود و محتوایی که برای کاربر نمایش داده می‌شود، بر اساس اطلاعات واردشده کاربر و یا هویت وی تعیین می‌گردد.?تفاوت وب سایت با برنامه کاربردی وبیک مثال کاربردیبرای درک بیشتر با یک مثال این موضوع را بیان می‌نماییم. زمانی که شما وارد یک سایت می‌شوید، ممکن است که از دستگاه‌های مختلفی وارد آن سایت شوید. زمانی که از گوشی و یا تبلت وارد سایت می‌شوید، صفحه سایت در قالب و اندازه گوشی یا تبلت شما تغییر اندازه داده و وقتی از کامپیوتر یا لب تاب خود وارد همان سایت می‌شوید، قالب و اندازه سایت به‌صورت کامل، تمام صفحه را پوشش می‌دهد. در اصطلاح فنی طراحی سایت به این قابلیت ریسپانسیو یا Responsive گفته می‌شود.قابلیت ریسپانسیو باعث می‌گردد که سرور ابتدا از کاربر بخواهد که اطلاعاتی درباره سیستم خود معرفی نماید و این امر باعث می‌شود که گوشی، تبلت و یا کامپیوتر اطلاعاتی که موردنیاز صفحه‌نمایش است را درخواست نماید. در انتها سرور با آنالیز درخواست‌های کاربر، سایت را در قالب و اندازه موردنظر برای کاربر ارسال می‌کند. این قابلیت همان ارتباط دوطرفه است که به‌اصطلاح به آن برنامه‌های کاربردی وب میگوییم.نتیجه گیریمی‌توان این‌گونه برداشت کرد که تأکید وب‌سایت بر محتوا است ولی برنامه‌های کاربردی وب بر تعامل و عمل تکیه‌دارند. یک وب‌سایت یک مطلب را برای همه به‌صورت یکسان و یک‌شکل نشان می‌دهد ولی برای یک برنامه کاربردی وب با مشتری ارتباط داشته و با توجه به ویژگی‌هایی که براثر ارتباط دوطرفه دارد، اطلاعات را پردازش و سپس مطلب را برای کاربر نمایش می‌دهد.گاهی اوقات متخصصان کامپیوتر و طراحان سایت، مابین کلمات برنامه کاربردی وب یا وب‌سایت تفاوت آن‌چنانی قائل نبوده و در مکان‌های گوناگون از این دو واژه به‌عنوان یک کلمه یکسان استفاده می‌نمایند. درباره دو واژه وب‌سایت و برنامه کاربردی وب، دیدگاه‌ها و نظریه‌های گوناگونی وجود دارد که گاهی اوقات پیچیدگی، نزدیکی و تفاوت‌های بسیار ریز و کوچک بین آن‌ها باعث شده که تشخیص این دو را سخت نماید. به علت اختلافات کوچک و ریزبین این دو اصطلاح نمی‌توان به استفاده اشتباه و نادرست این دو با یکدیگر ایراد گرفت.بنابراین، با توجه به نزدیکی این دو واژه، اصطلاحاتی از قبیل امنیت سایت، امنیت وب‌سایت، امنیت برنامه‌های کاربردی وب و امنیت وب اپلیکیشن ها را با یک عنوان شناخته و در کلیه مراحل تست نفوذ در وب‌سایت و آموزش‌های امنیتی آن را با یک مفهوم در نظر خواهیم گرفت. برچسب ها:برنامه کاربردی وب ? امین کیانی متخصص و کارشناس امنیت صفحات وب با رویکردی پایه‌ای و هدفمند در جهت آموزش‌های مرتبط با امنیت سایت و انجام پروژه‌های تست نفوذ در سایت‌ها و کسب‌وکارهای آنلاین

تست نفوذ بر اساس استانداردهای بین‌المللی، راه‌حلی برای ارزیابی امنیت اطلاعات

Security — Sat, 09 Feb 2019 18:54:19 +0330

تست نفوذ را به‌عنوان یک فرآیند بشناسیمتست نفوذ با رویکردی بر ارزیابی امنیت سازمان‌ها و سیستم‌ها می‌تواند به‌عنوان یک بازرسی سامانمند و قانونی، سطح امنیتی را مشخص نماید. در فرایند تست نفوذ، یک گروه متخصص و کارآمد با استفاده از فن‌ها و شگردها، شروع به شبیه‌سازی حمله به سازمان و سیستم‌ها را انجام می‌دهند و در انتها گزارش کاملی را به سازمان‌ها ارائه داده و نحوه اصلاح ضعف‌های امنیتی شبکه و ساختار سازمان را مورد تجزیه‌وتحلیل قرار می‌دهند. این سلسله‌مراتب باید برای سازمان‌ها و سیستم‌ها به‌صورت فرایندی چرخه‌ای همیشه و در بازه‌های زمانی مختلف انجام گیرد تا امنیت را در سازمان برقرار نماید.باید به این نکته توجه داشته باشیم که تست نفوذ یک فرایند است و نباید آن را به‌عنوان یک فعالیت در نظر بگیریم که پس از پایان آن امنیت برقرارشده باشد و دیگر نیازی به تست نفوذ نباشد. بلکه این، یک تفکر اشتباه درباره تست نفوذ است که بخواهیم آن را به‌عنوان یک فعالیت بنامیم و بعد از اتمام کار دیگر آن را انجام ندهیم. تست نفوذ باید برای سازمان‌ها و سیستم‌های مختلف به‌صورت یک فرایند بازه‌ای انجام پذیرد تا امنیت اطمینان همیشه برقرار باشد.تست نفوذ؛ چرا و به چه دلیل!دلایل گوناگون و متفاوتی برای انجام تست نفوذ وجود دارد که بنا به مسائل فنی، تکنیکی و تجاری دسته‌بندی می‌گردند.اولین دلیل انجام تست نفوذ می‌توان به خطرات و شکاف های امنیتی نام برد که باعث می‌گردد سرمایه‌های (چه ازلحاظ اطلاعاتی و مالی) سازمان‌ها به خطر انداخته شوند.دومین دلیلی که باید از تست نفوذ استفاده کنیم، کاهش هزینه‌های اضافی امنیتی سازمان‌ها است. با مشخص کردن شکاف های امنیتی و نقاط ضعف، سازمان می‌تواند از هزینه‌های اضافی که برای امنیت در سازمان پرداخت می‌کند، جلوگیری به عمل آورد.سومین دلیل اطمینان خاطری است که سازمان‌ها بعد از تست نفوذ به دست می‌آورند. تست نفوذ یک اطمینان خاطر از ارزیابی و بازرسی کامل و مفصل امنیت سازمان‌ها را در اختیار شما قرار می‌دهد.چهارمین دلیل انجام تست نفوذ، دریافت گواهینامه‌ها و استانداردهای قابل‌اعتماد جهت حصول اطمینان از امنیت در سازمان است.?استانداردهای تست نفوذتست نفوذ و اهداف آندر فرآیند نفوذ اهداف گوناگونی وجود دارد که می‌توان آن‌ها را در گروه‌های کاملاً متفاوتی دسته‌بندی نمود. در ادامه با این اهداف آشنا خواهیم شد.۱- امنیت فیزیکیدر تست نفوذ اولین لایه‌ی امنیتی که باید در نظر گرفته شود، لایه فیزیکی است. غالباً در فرایندهای تست نفوذ این لایه نادیده گرفته‌شده یا با توجه کمتری موردبررسی قرار می‌گیرد. ایمن کردن مکان‌های امنیتی سازمان‌ها یا سیستم‌ها ازنظر فیزیکی باعث می‌گردد که افراد غیرمجاز از دسترسی و آسیب رساندن به اطلاعات حساس و حیاتی جلوگیری به عمل آورد؛ بنابراین در اولین لایه از تست نفوذ باید به امنیت فیزیکی توجه خاص و ویژه‌ای داشته باشیم.۲- امنیت در شبکهنفوذ به شبکه، یکی از متداول‌ترین و عمده‌ترین اهداف برای مشتریان تست نفوذ است. در این آزمایش هدف کشف شکاف ها و آسیب‌پذیری‌های امنیتی در زیرساخت‌های شبکه‌ای سازمان‌ها است. این‌گونه از آزمایش‌ها را هم می‌توان از راه دور و هم در داخل سازمان مربوطه انجام داد. در سازمان‌ها بنا به اولویت‌های امنیتی و نیازهای سازمانی می‌توان هر دو نوع تست نفوذ (از راه دور و در داخل سازمان) را انجام داد. در این‌گونه از تست نفوذ می‌توان به انواع آزمایش‌های زیر اشاره نمود.بررسی پیکربندی دیواره آتش و نحوه عملکرد آنفرار از چنگال سیستم‌های IDS&IPSبررسی‌های مربوط به سرویس DNSبررسی سرویس‌های مختلف ازجمله SSH و SQLبررسی پروتکل‌های لایه‌های Application، Transport و Network۳- امنیت در شبکه‌های بیسیمغالباً سازمان‌ها از شبکه‌های بیسیم برای ارتباطات داخل یا بین سازمانی به‌عنوان یک راه‌حل آسان و کم‌هزینه استفاده می‌نمایند. در این سازمان‌ها ممکن است اطلاعات و داده‌های حساس در بستر بیسیم منتقل گردند. ازآنجایی‌که شبکه‌های بیسیم دارای امنیت کمتری نسبت به شبکه‌های کابلی هستند، باید نسبت به این شبکه‌ها تست‌های نفوذی انجام پذیرد تا بتوانیم از صحت و درستی، امنیت پروتکل‌های ارتباطی و ارتباطات این شبکه‌ها، اطمینان حاصل نماییم.۴- مهندسی اجتماعی و تست نفوذپذیریدر این روش کاربران و مدیران و کلیه کسانی که در سازمان مربوطه فعالیت دارند باید مورد ارزیابی امنیتی قرار بگیرند. در این روش با استفاده از حقه‌ها و فریب‌های مختلف کاربران را مورد ارزیابی قرار داده تا میزان سطح آگاهی و دانش آن‌ها در مورد حملات مهندسی اجتماعی ارزیابی گردد. در صورت عدم آگاهی کاربران، این‌گونه از حملات می‌تواند یکی از خطرناک‌ترین حملات در سطح سازمان باشد.۵- تست نفوذ و ارزیابی برنامه‌های کاربردی وباین نمونه از آزمایش‌ها را می‌توان یکی دیگر از حساس‌ترین بخش‌های امنیت و نفوذ دانست، زیرا در این نوع آزمایش باید دقیق‌تر و با جزئیات بیشتری مورد ارزیابی امنیتی قرار بگیرد. با این نوع از تست نفوذ می‌توانیم کلیه‌ی آسیب‌پذیری‌ها و شکاف های امنیتی مبتنی بر وب را کشف نماییم. ازآنجایی‌که این نوع از تست نفوذ دارای گستره و پیچیدگی فراوانی است باید به‌صورت کاملاً عمیق و صحیح مورد بررسی و ارزیابی قرار گیرد.در وب‌سایت شکاف، ما شکافی ژرف و عمیق در دنیای امنیت برنامه‌های کاربردی وب خواهیم داشت و کار خود را با آموزش‌های ویدیویی از پایه‌ی مقدماتی شروع کرده و تا انتهای راه که متخصص شدن امنیت سایت است شما را همراهی خواهیم نمود. با سیر تکاملی آموزشی در وب‌سایت شکاف، شما می‌توانید از متخصصان برجسته امنیت برنامه‌های کاربردی وب شوید و در جایگاه والایی از امنیت سایت قرار داشته باشید.۶- کنترل و تست، سیستم‌های امنیتیبا توجه به افزایش حملات و تهدیدات، باید به‌صورت دوره‌ای تمامی سامانه‌ها و سیاست‌های امنیتی سازمان مورد بررسی و ارزیابی قرار گیرد. گاهی اوقات خود سیاست‌های امنیتی دچار مشکل می‌گردند و یا به‌مرورزمان منسوخ می‌گردند، بنابراین بازرسی، بازبینی، بررسی و ارزیابی این سیاست‌ها کمک شایانی در افزایش امنیت یک سازمان خواهد داشت.?اهداف تست نفوذتست نفوذ و روش‌های انجام آنتست نفوذ که به‌عنوان یک فرایند سامانمند و برنامه‌ریزی‌شده شناخته می‌شود را می‌توان از دو منظر مورد بررسی قرار داد. در ابتدا میزان اطلاعاتی که در اختیار تستر نفوذ قرار می‌گیرد و دیگری مکانی که تست نفوذ ازآنجا انجام می‌شود.منظر اول: میزان اطلاعاتی که در اختیار تستر نفوذ قرار می‌گیرد.تست جعبه سفید (White-Box-Pentest)در این نوع از نفوذ، سازمان‌ها و یا متقاضیان تست نفوذ اطلاعات کامل و جامعی از سیستم و زیرساخت‌های خود، نقشه شبکه و برنامه‌های کاربردی سازمان را در اختیار تستر نفوذ قرار می‌دهند.تست جعبه خاکستری (Gray-Box-Pentest)در این نوع از نفوذ، سازمان‌ها و یا متقاضیان تست نفوذ اطلاعات نسبتاً مناسبی را در اختیار تستر نفوذ قرار می‌دهند. در این تست، تستر نفوذ به‌عنوان یکی از کاربران سازمان در نظر گرفته می‌شود که برخی از سطح دسترسی‌های مجاز را دارد. این‌گونه از تست نفوذ بین تست نفوذ جعبه سفید و جعبه سیاه قرار دارد.تست جعبه سیاه (Black-Box-Pentest)در این نوع از نفوذ، سازمان‌ها و یا متقاضیان تست نفوذ، هیچ‌گونه اطلاعاتی را در اختیار گروه‌های امنیتی قرار نمی‌دهند و تسترهای نفوذ باید همانند یک هکر کلاه‌سیاه به سیستم نفوذ کرده و امنیت سازمان را ارزیابی و بررسی نمایند.منظر دوم: مکانی که تست نفوذ ازآنجا انجام می‌گیرد.در این دیدگاه حمله به دو صورت انجام می‌گیرد. حمله از داخل سازمان یا Internal Pentest و حمله از خارج سازمان یا External Pentestدر حالت داخلی، تستر نفوذ به‌عنوان یکی از کارمندان سازمان عملیات تست نفوذ را انجام می‌دهد و در حالت خارجی تستر نفوذ هیچ دسترسی به داخل سازمان را ندارد و سازمان باید حتماً به شبکه اینترنت یا اینترانت متصل باشد.روش های تست نفوذتست نفوذ و مراحل انجام آندر ابتدا سازمان مربوطه درخواستی مبنی بر تست نفوذ را به شرکت‌های امنیتی ارسال نموده و منتظر پاسخ از طرف شرکت امنیتی می‌ماند. بعد از مشاوره و رایزنی توسط شرکت امنیتی و سازمان، تفاهم‌نامه‌ای مبنی بر هزینه‌ها، نوع و چگونگی تست نفوذ منعقد می‌گردد. بعد از امضای تفاهم‌نامه، شرکت امنیتی بر اساس موازین تعیین‌شده و نقشه راهی که توسط سازمان مشخص‌شده است، شروع به انجام فرآیند تست نفوذ می‌نماید.در ادامه راه شرکت امنیتی با کمک متخصصین نفوذگر خود، شروع به کشف آسیب‌پذیری‌ها و شکاف‌های امنیتی در سازمان می‌نماید. بعد از انجام این کار ممکن است بر اساس تفاهم‌نامه شروع به حمله به زیرساخت‌ها و اطلاعات سازمان نماید تا بتوانند شکاف‌های امنیتی را به‌صورت کامل کشف نمایند.در انتهای کار، شرکت امنیتی لیست کامل و جامعی از شکاف ها و ضعف‌های امنیتی را بر اساس مستندات جمع‌آوری کرده و به سازمان مربوطه اعلام می‌دارد. در پایان سازمان مربوطه به کمک شرکت امنیتی یا کارکنان متخصص خود تمامی شکاف ها و رخنه‌های امنیتی را بازبینی، بررسی و تصحیح می‌نمایند.تست نفوذ و استانداردهای آندر فرایند تست نفوذ انواع گوناگونی از حالات و روش‌های نفوذ وجود دارد که می‌توانیم از آن‌ها پیروی نماییم. ولی از استانداردهای مطمئن و قابل‌اعتماد، می‌توان به موارد زیر که بر اساس سرفصل‌ها و روش‌های جاری قابل‌اعتماد پیروی می‌نمایند، اشاره نمود.استاندارد ISO/IEC 27001این استاندارد یک سیستم مدیریت را معین می‌نماید که هدف اصلی آن تأمین امنیت اطلاعات است. این استاندارد همچنین به‌عنوان ISMS نیز شناخته می‌شود که یکی از استانداردهای قدرتمند در امنیت اطلاعات است و یکسری از نیازهای امنیتی را ملزم می‌داند و باید حتماً اجرا شوند.استاندارد ISO/IEC 27002این استاندارد توسط سازمان‌های بین‌المللی استاندارسازی ISO و گروه الکترونیکی بین‌المللی IEC برای مدیریت امنیت اطلاعات منتشرشده است.استاندارد Open Source Security Testing Methodology Manual (OSSTMM)این استاندارد شامل یک تست امنیتی کامل و جامع است که در مراحل مختلف و گام‌به‌گام باید انجام پذیرد. در این استاندارد شش بخش امنیت اطلاعات، امنیت فرآیند، امنیت فن‌آوری اینترنت، امنیت ارتباطات، امنیت بی‏سیم و امنیت فیزیکی وجود دارد. هر بخش دارای ماژول‌هایی است که همه‌ی جوانب امنیتی بخش‌ها را پوشش می‌دهد و برای بررسی کامل هر ماژول باید وظایف خاصی انجام گردد.استاندارد The Open Web Application Security Project (OWASP)یک متدولوژی است تا در آن شما را به‌عنوان یک متخصص برنامه‌نویسی تحت وب، با معیارهای درست امن‌تر کردن برنامه‌های کاربردی وب آشنا سازد.استاندارد Licensed Penetration Tester (LPT)مدرک LPT یک مدارک وابسته به امنیت است که با استانداردسازی دانش‌های پایه‌ای برای تست نفوذ حرفه‌ای با استفاده بهترین آموزش‌ها است.در مقاله های بعدی با مقاله ی –وب‌سایت یا برنامه کاربردی وب، دو واژه‌ی یکسان با اختلافی کوچک– و همچنین مقاله ی –امنیت سایت یا تست نفوذ در برنامه‌های کاربردی وب، با استفاده از استانداردهای بین‌المللی– آشنا خواهیم شد. برچسب ها:استاندارد تست نفوذ, امنیت اطلاعات, تست نفوذ ? امین کیانی متخصص و کارشناس امنیت صفحات وب با رویکردی پایه‌ای و هدفمند در جهت آموزش‌های مرتبط با امنیت سایت و انجام پروژه‌های تست نفوذ در سایت‌ها و کسب‌وکارهای آنلاین

هکر و تستر نفوذ با نگاهی رقابتی بر روی امنیت در فضای سایبری

Security — Sat, 09 Feb 2019 18:53:25 +0330

امنیت سایبری و گرایش هادر این مقاله قصد داریم تا با مفهومی از تفاوت هکر و تستر نفوذ با هم آشنا شویم.در بحث امنیت سایبری، شاخه‌ها و گونه‌های مختلفی از امنیت وجود دارد که می‌توان به امنیت در زیرساخت‌ها و سخت‌افزارهای شبکه، امنیت در پروتکل‌های ارتباطی، امنیت در رمزنگاری‌ها، امنیت در برنامه‌های اندرویدی و IOS، امنیت در وب‌سرویس‌ها و وب‌سایت‌ها، امنیت در سیستم‌عامل‌ها، امنیت در شبکه‌های بی‌سیم، امنیت در نرم‌افزارها اشاره نمود. اگر بخواهیم به‌صورت دقیق‌تری در هر شاخه از امنیت وارد شویم با دنیای از اطلاعات و مطالب روبه‌رو می‌شویم که نه‌تنها باعث سردرگمی و گیج شدن می‌گردد، بلکه باعث از بین رفتن علاقه برای ادامه راه می‌گردد.در دنیای امنیت اطلاعات همیشه دسته‌ای افراد جامعه وجود دارند که ازنظر سطح فنّاوری، دیدگاه و دانش نسبت به دیگر افراد فراتر هستند و سعی آن‌ها بر نفوذ به سیستم‌ها و فناوری‌های پیشرفته است که در اصطلاح به این گروه از افراد نفوذ گر می‌گوییم. شاید بارها و بارها شنیده باشید که هکر یا به‌اصطلاح نفوذ گر انسان‌هایی با قصد خرابکاری و نابودی هستند که تصمیم بر متلاشی نمودن یک سیستم را دارند. متأسفانه تاکنون اسم دقیق و کاملی را نمی‌توان برای دسته‌بندی نفوذ گران در نظر گرفت و باید بنا به اطلاعاتی که در دیگر سایت‌ها و منابع و مراجع منتشر می‌شود اکتفا کنیم.?هکر و تستر نفوذنفوذگر کیستنفوذ گران یا به‌اصطلاح کسانی که به سیستم نفوذ می‌کنند و در آن‌ها خرابکاری ایجاد می‌کنند، گروهی از افراد با ذهنی باز و نگاهی اندیشمندانه به حل مسائل غیرممکن هستند که سعی در دور زدن و پیدا کردن یک شکاف امنیتی در سیستم‌ها هستند. این دسته از افراد به دنبال حل معماهایی هستند که ذهن انسان کمتر به آن‌ها توجه می‌کند. کاربران عادی سیستم‌ها گاها از یک موضوع در سیستم‌هایشان به‌سادگی عبور کرده و توجه چندانی به آن ندارند، ولی هکرها همیشه به چرایی موضوع توجه داشته و به این فکر می‌کنند که چرا و چگونه و به چه دلیل این اتفاق رخ‌داده است.نوع تفکر و دیدگاهی که هکرها به موضوعات امنیتی دارند از جایگاهی به دست می‌آید که تمرین مولد و ایجادکننده آن است. با داشتن تمرین و کسب دانش روزافزون درباره سیستم‌ها و فناوری‌ها، هر کاربر عادی قادر است که در این حیطه قدم نهاده و بتواند به دانش بالایی از این هنر برسد. هنر نفوذ به سیستم‌ها و فناوری‌ها از دیدگاه باز و دانش بالای این دسته از افراد ایجاد می‌گردد.تفاوت هکر با تستر نفوذخیلی‌ها با دید بدی نسبت به کلمه نفوذ گر برخورد می‌کنند و زمانی که این واژه را می‌شنوند سریعاً یک انسان با قصد خرابکاری را در ذهن تصور می‌کنند. ولی باید این تفکر که نسبت به نفوذ گرها وجود دارد را عوض نماییم. زیرا نفوذ گرها افرادی هستند که توانایی، دانش و هنر بالایی را دارند و باید از دانش این افراد در جهت مفید استفاده نماییم.هکر و تستر نفوذ در رقابتی چالش‌برانگیز بر روی امنیت فناوری‌ها و سیستم‌ها در تلاش هستند تا بتوانند مهارت و دانش خود را به رخ همدیگر بکشانند. ازآنجایی‌که هکر و تستر نفوذ در سطح دانش و مهارت باهم رقابت دارند، در یک وجه باهم اشتراک دارند و آن امنیت است. یکی برای نقض امنیت و دیگری برای برقراری امنیت در تلاش است. هکر یا به‌اصطلاح Hacker در کتب و منابع مختلف به دسته‌های گوناگونی ازنظر تفکری،منشی و اخلاقی تقسیم‌شده‌اند.?تفاوت تستر نفوذ و هکرهکر و تستر نفوذ در قالب دسته بندیدسته اول که با نام هکرهای کلاه‌سفید شناخته می‌شوند، دیدگاهی مبنی بر کشف شکاف ها و رخنه‌های امنیتی و معرفی آن‌ها به صاحبانشان را دارند. سعی این گروه بر خرابکاری نبوده و فقط در جهت توسعه امنیت بوده است و قصد هیچ‌گونه خرابکاری در فناوری‌ها و سیستم‌ها را ندارند. ما در اصطلاح به این گروه از افراد تسترهای نفوذ می‌گوییم ولی با این تفاوت که هکرهای کلاه‌سفید هیچ‌گونه مجوز قانونی از صاحبان فناوری‌ها و سیستم‌ها برای انجام تست‌های نفوذ خود ندارند و تست نفوذ را از روی کنجکاوی و علایق خود انجام می‌دهند.دسته دوم که با نام هکرهای کلاه خاکستری شناخته می‌شوند با دیدگاهی متناقض از گروه هکرهای کلاه‌سفید و کلاه‌سیاه، فعالیت خود را انجام می‌دهند. این گروه از افراد با توجه به منفعت خود و سیاست‌های اخلاقی‌شان تصمیم می‌گیرند که در لحظه جزء کدام گروه از هکرها باشند.دسته سوم که با نام هکرهای کلاه‌سیاه شناخته می‌شوند با تفکر خرابکارانه به فناوری‌ها و سیستم‌ها نفوذ کرده و باعث خسارت‌های جبران‌ناپذیری به صاحبان سیستم‌ها می‌گردند.رابطه هکر و تستر نفوذازآنجایی‌که هکرها به دسته‌ها و گروه‌های مختلفی تقسیم می‌شوند، باید خاطرنشان کنیم، کلمه‌ی هکر که در دیدگاه کلیه انسان‌ها است؛ گروه سوم یا همان هکرهای کلاه‌سیاه است که قصد بر خرابکاری و ویرانی را دارند. تسترهای نفوذ همان هکرهای کلاه‌سفیدی هستند که از صاحبان فناوری‌ها و سیستم‌ها، مجوزهای قانونی را دریافت کرده و سپس شروع به نفوذ در آن سیستم‌ها می‌نمایند و در انتها گزارشی کامل و مفصل از تست نفوذ خود را به صاحبان سیستم ارائه داده تا بتوانند سیستم خود را امن‌تر نمایند.در انتها باید خاطرنشان نماییم که قائل شدن تفاوت بین تستر نفوذ و هکر در منش، عملکرد و دیدگاه آن‌ها است و بسته به نوع نگاه انسان‌ها به این رشته تخصصی، ممکن است افراد در دسته‌بندی‌های مختلفی ازلحاظ اخلاقی و رفتاری قرار بگیرند.در انتها شما را به مطالعه مقاله بعدی با عنوان تست نفوذ بر اساس استانداردهای بین‌المللی، راه‌حلی برای ارزیابی امنیت اطلاعات دعوت می نمایم. برچسب ها:تست نفوذ, هکر ? امین کیانی متخصص و کارشناس امنیت صفحات وب با رویکردی پایه‌ای و هدفمند در جهت آموزش‌های مرتبط با امنیت سایت و انجام پروژه‌های تست نفوذ در سایت‌ها و کسب‌وکارهای آنلاین

امنیت اطلاعات در فضای سایبری و نگاهی ژرف در آن

Security — Sat, 09 Feb 2019 18:52:27 +0330

امنیت اطلاعات چرا؟ چه چیزی باعث شده که به امنیت نگاه بیشتری داشته باشیم!در دنیای پرهیاهوی شبکه‌های کامپیوتری و سامانه‌های شبکه‌ای، که داده‌هایی با عنوان بیت و بایت جابه‌جا می‌شوند، کاربران و استفاده‌کنندگان از این فضای شبکه‌ای، به‌عنوان پایگاهی مستحکم برای انتقالات و تبادلات خود استفاده می‌کنند. در این تبادلات اطلاعات شخصی و حساس مبادله می‌گردد و کلیه کشورهای دنیا برای محافظت از این داده‌های حساس در تلاش هستند و به دنبال راه‌حل‌هایی برای امنیت اطلاعات در این تبادلات می‌باشند.گروهی دیگر از افراد وجود داشته که قصد بر دستیابی به این اطلاعات(که ممکن است امنیت شخص یا کشور را در معرض خطر قرار دهند) را دارند. بنابراین در این فضای تبادلاتی حساسیت زیادی بر روی امنیت اطلاعات و داده‌ها همیشه بوده و خواهد بود. در اولین روزهایی که کامپیوترها اختراع شدند، گروهی از افراد به دنبال آن بودند که به آن سامانه‌ها نفوذ کنند و حتی‌الامکان از آن‌ها استفاده نمایند. با پیشرفت فنّاوری‌های کامپیوتری، افراد نیز اطلاعات و دانش خود را ارتقا داده‌اند تا بتوانند با این فناوری هماهنگ شده و یک پله از آن جلوتر باشند.«ارتش پیروز اول شرایط را آماده می‌کند و سپس می‌جنگد، اما ارتش بازنده اول می‌جنگد و سپس تلاش می‌کند تا شرایط را آماده کند.»برگرفته از کتاب هنر جنگ نوشته‌ی سان تزوواژه امنیت اطلاعات که در دنیای کنونی به‌عنوان یک واژه نام‌آشنا در کلیه امور کامپیوتری موردبحث است، در چندین سال اخیر به‌عنوان یک‌رشته تخصصی، حرفه‌ای، دانشگاهی و کاربردی در ایران جای خود را بازکرده است. امنیت اطلاعات با مفهومی از حفظ محرمانگی، حفظ یکپارچگی و قابل‌دسترس بودن اطلاعات تعبیر شده است. که وب‌سایت شکاف با استناد به این سه مفهوم آرم خود را طراحی نموده است.?امنیت اطلاعات و فضای سایبریمثلث امنیت اطلاعاتمحرمانگی یا به‌اصطلاح جلوگیری از افشای اطلاعات به افراد غیرمجاز است که در آن افراد غیرمجاز(هکرها) به اطلاعات حساس و حیاتی سازمان یا اشخاص نباید دستیابی داشته باشند.یکپارچگی به معنی جلوگیری از تغییر داده‌ها و اطلاعات حساس به‌صورت غیرمجاز و تشخیص سریع تغییرات در صورت دست‌کاری غیرمجاز اطلاعات است. در دنیای تبادلات و انتقالات که داده‌های حساسی در حال جابه‌جایی هستند، باید در حین جابه‌جایی این داده‌ها از مبدأ تا مقصد هیچ‌گونه تغییری در محتویاتشان ایجاد نگردد و دست‌کاری غیرمجاز بروی داده‌ها توسط افراد غیرمجاز انجام نشود.قابل‌دسترس بودن، یعنی زمانی که اطلاعات موردنیاز افراد مجاز است، آن اطلاعات در دسترس آن‌ها قرار گیرد. این بدین معنی است که باید از صحت کار کردن درست سامانه‌ها و پردازش‌های اطلاعات و کانال‌های ارتباطی مورداستفاده برای دسترسی افراد مجاز اطمینان حاصل نماییم.امنیت اطلاعات در قالب گوشه‌های مثلثازآنجایی‌که امنیت اطلاعات بر سه پایه اساسی محرمانگی، یکپارچگی و قابل‌دسترس بودن استوار است؛ باید به این مهم توجه داشته باشیم که این سه اصل را در برنامه‌های امنیتی خود سرلوحه کار قرار داده تا بتوانیم سیستم امن و محافظت‌شده داشته باشیم. کلیه متخصصین امنیت اطلاعات به این امر معتقدند که هیچ سامانه‌ای صد در صد امن نیست و باید در راستای امنیت سامانه‌ها، با این روند رو به رشد اطلاعات و فنّاوری‌ها تلاش کنیم.سالانه هزینه‌های بسیاری در جهت برآورده شدن امنیت در سازمان‌ها و کشورها صرف می‌شود تا بتوانند از گزند حملات و نفوذ به سامانه‌ها جلوگیری شود و باید به این امر توجه داشت که متخصص و حرفه‌ای بودن در امن سازی سامانه‌ها به‌عنوان یکی از پردرآمدترین تخصص‌های حال حاضر در عصر ارتباطات است.در مقاله بعدی با عنوان –هکر و تستر نفوذ با نگاهی رقابتی بر روی امنیت در فضای سایبری– نگاهی به این موضوع خواهیم داشت. برچسب ها:امنیت اطلاعات, تست نفوذ ? امین کیانی متخصص و کارشناس امنیت صفحات وب با رویکردی پایه‌ای و هدفمند در جهت آموزش‌های مرتبط با امنیت سایت و انجام پروژه‌های تست نفوذ در سایت‌ها و کسب‌وکارهای آنلاین

امنیت و نگاهی به اهمیت آن در دنیای امروزه‌ی انسان

Security — Sat, 09 Feb 2019 18:51:04 +0330

آشنایی با واژه امنیتواژه امنیت ریشه در عبارت عربی امن دارد و به معنی در امان و آسایش ماندن است و در زبان انگلیسی این واژه معادل عبارت Security است. در لغتنامه‌های مختلف این واژه به‌صورت زیر تعریف‌شده است:دور شدن نسبی از هرگونه تهدید یا حمله و یا آمادگی برای مواجهه با تهدیدات و حملات را امنیت گویند.در دنیای واقعی حال حاضر، اجتناب و دوری از تهدیدات و حملات امری بسیار حائز اهمیت است. در گذشتگان دور انسان می‌بایست برای حفظ بقاء، موجودیت و در امان بودن خود از دیگر موجودات درنده، تلاش کند و تاکنون نسبت به این امر حیاتی سعی نموده است.«بدترین جا برای سکونت جایی است که ساکنین در آن امنیت نداشته باشند» امیرالمؤمنین علی (ع)بشر حال حاضر در دنیای امروزه که با فناوری‌ها و تکنولوژی‌های گوناگون آشنا شده است؛ به دنبال راه‌کارهایی است تا ایمنی و امن بودن خود را در این دنیای مجازی تأمین نماید و این موضوع یکی از بزرگ‌ترین دغدغه‌های حال حاضر برای جوامع بشری شده است. امن بودن از ابعاد و دیدگاه‌های گوناگون دارای گونه‌های مختلفی است که از آن جمله می‌توان به امنیت فردی، فرهنگی، اجتماعی و سایبری و … نام برد.?اهمیت امنیت در زندگی انساناهمیت امنیتامنیت را می‌توان به‌عنوان یکی از اساسی‌ترین و مسلم‌ترین حقوق انسانی بشر دانست که با این حق می‌توان از سایر حقوق و آزادی‌های دیگر بشری، برخوردار شد. بر این اساس، افراد یک جامعه می‌توانند با اطمینان خاطر نسبت به حفظ جان، آبرو و حقوق مادی و معنوی خود اطمینان خاطر داشته باشند. امنیت و دفاع چنان دارای اهمیت است که در قرآن کریم بالغ‌بر ۶۰۰ آیه به آن اختصاص داده‌شده است.ازآنجایی‌که ارتباطات در فضای مجازی روند رو به رشد زیادی دارد و باعث گردیده است که در کنار فرصت‌های به وجود آمده آن، تهدیدات فراوانی را به همراه داشته باشد. این مهم ایجاد می‌شود که خود را مقید سازیم تا در راستای ایمن ساختن فضای سایبری کشور عزیزمان ایران بکوشیم و نسبت به آگاه‌سازی افراد جامعه در فضای تبادل اطلاعات بپردازیم.در این راستا وب‌سایت شکاف به‌عنوان یکی از رسالت‌های اصلی خود شروع به آموزش‌های لازم برای ایجاد بستری امن در فضای سایبری خواهد کرد و امید آن را داریم که کشوری امن و عاری از هرگونه نفوذ داشته باشیم. در مقاله بعدی نگاهی ژرف به امنیت اطلاعات در فضای سایبری خواهیم داشت. برچسب ها:امنیت اطلاعات, امنیت سایت ? امین کیانی متخصص و کارشناس امنیت صفحات وب با رویکردی پایه‌ای و هدفمند در جهت آموزش‌های مرتبط با امنیت سایت و انجام پروژه‌های تست نفوذ در سایت‌ها و کسب‌وکارهای آنلاین

حفاظت از حملات CSRF

Security — Wed, 06 Feb 2019 02:24:18 +0330

Cross-Site Forgery Request (CSRF) حمله ای است که در OWASP Top 10 مشخص شده است که به موجب آن یک وب سایت مخرب درخواستی را برای یک برنامه وب ارسال می کند که کاربر قبلا آن را از یک وب سایت دیگر تأیید کرده است. به این ترتیب مهاجم میتواند از طریق مرورگر تأیید اعتبار قربانی در برنامه کاربردی وب مورد استفاده قرار گیرد. اهداف شامل برنامه های کاربردی وب مانند رسانه های اجتماعی، مشتریان ایمیل در مرورگر، بانکداری آنلاین و اینترفیس های وب برای دستگاه های شبکه است.اجرای یک حمله CSRFحمله متقابل در متقاضی عبور، مهاجم سوء استفاده از چگونگی تأیید هویت وب برنامه هدف را مورد سوء استفاده قرار می دهد. برای استفاده از CSRF، قربانی باید در برابر (ورود به) سایت هدف تأیید شود. به عنوان مثال، بگوئید examplebank.com دارای بانکداری آنلاین است که برای CSRF آسیب پذیر است. اگر من یک صفحه از حمله CSRF را در examplebank.com ببینم اما در حال حاضر وارد نشده ام، هیچ اتفاقی رخ نمی دهد. با این حال، اگر به سیستم وارد شدم، درخواستها در حمله اعدام خواهند شد، به شرط اینکه اقداماتی بود که من قصد داشتم انجام دهم.بیایید نگاه کنیم چگونه حمله ای که در بالا توضیح داده می شود در جزئیات کمی کار می کند. اولا فرض کنیم که من به حساب من در examplebank.com وارد شده ام، که به ویژگی های استاندارد بانکی آنلاین، از جمله انتقال وجوه به حساب دیگر، اجازه می دهد.حالا بگید من به سایت somemalicioussite.com مراجعه میکنم این فقط اتفاق می افتد که این سایت در حال تلاش برای حمله به افرادی که بانک با examplebank.com را دارند و یک حمله CSRF را روی سایت خود راه اندازی کرده است. این حمله 1،500.00 دلار به حساب شماره 123456789 انتقال خواهد داد. جایی در سایت somemalicioussite.com، مهاجمان این خط کد را اضافه کرده اند: http://examplebank.com/app/transferFunds ؟ مقدار = 1500 و destinationAccount = ... ">پس از بارگذاری iframe، مرورگر من این درخواست را به examplebank.com ارسال می کند، که مرورگر من قبلا به عنوان من وارد شده است. درخواست پردازش می شود و 1،500.00 دلار به حساب 123456789 ارسال می شود.یکی دیگر از تقاضای جعل تقاطع سایتمن فقط یک روتر بیسیم خانگی جدید خریدم مانند دیگر روترهای WiFi، از طریق یک رابط وب پیکربندی شده است. روتر به من با یک آدرس IP داخلی 192.168.1.1 فرستاده شد. من مشکل تنظیم پیکربندی روتر را دارم، و خوشبختانه افرادی که در somemalicioussite.com هستند، یک راهنمای را ارائه کرده اند که به من نشان می دهد که دقیقا چه دکمه هایی روی اینترفیس روتر کلیک می کنید تا همه چیز را به طور ایمن تنظیم کنید. مهاجمان همچنین یک پروکسی سرور را در 123.45.67.89 نصب کرده اند که تمام ترافیک را که از طریق آن عبور می کند وارد می کند و چیزهایی مانند رمزهای عبور و نشانه ها را جستجو می کند.همانطور که از طریق راهنمای تنظیمات کلیک کردم، تصویر 1 × 1 پیکسل را که بارگیری نشد، از دست دادم:مهاجمان می دانستند وقتی که من خواندن آموزش خود را، من را به رابط روتر وارد شوید. بنابراین آنها حمله CSRF را در آموزش ایجاد کردند. با استفاده از این درخواست، روتر من می تواند دوباره تنظیم شود تا ترافیک من به سرور پروکسی من هدایت شود، جایی که می تواند تمام انواع بدی را با آن انجام دهد.جلوگیری از آسیب پذیری درخواست تقلب در Cross Site (CSRF)رایج ترین روش برای جلوگیری از حمله متقابل سایت Cross-Site Forgery (CSRF) این است که برچسب های CSRF را برای هر درخواست اضافه کنید و آنها را با جلسه کاربر مرتبط کنید. چنین نشانه ها باید حداقل در هر جلسه کاربر منحصر به فرد باشد، اما می تواند برای هر درخواست منحصر به فرد باشد. با استفاده از یک علامت چالش با هر درخواست، توسعه دهنده می تواند اطمینان حاصل کند که درخواست معتبر است و از یک منبع غیر از کاربر نمی آید.پیدا کردن و اصلاح آسیب پذیری درخواست تقلب تقسیم سایت (CSRF)ساده ترین راه برای بررسی اینکه آیا یک برنامه آسیب پذیر است، این است که ببینیم آیا هر لینک و فرم یک نشانه غیر قابل پیش بینی برای هر کاربر دارد. مهاجمین بدون چنین نشانه ای غیرقابل پیش بینی می توانند درخواست های مخرب ایجاد کنند. تمرکز بر پیوندها و اشکال است که به توابع تغییر حالت منجر می شود، چرا که آنها مهمترین اهداف CSRF هستند.Send feedbackHistorySavedCommunity

جلوگیری از حملات هدایت باز

Security — Wed, 06 Feb 2019 02:19:04 +0330

این آموزش توضیح می دهد که چگونه می توانید از حملات هدایت باز در برنامه های ASP.NET MVC خود جلوگیری کنید. این آموزش در مورد تغییراتی که در AccountController در ASP.NET MVC 3 ایجاد شده است را مورد بحث قرار می دهد و نشان می دهد که چگونه می توانید این تغییرات را در برنامه های موجود ASP.NET MVC 1.0 و 2 خود اعمال کنید.یک بازوی هدایت باز چیست؟هر برنامه ی وب که به یک URL که از طریق درخواست مشخص شده است، از جمله داده های querystring یا فرم، هدایت می شود تا بتواند کاربران را به یک URL خارجی و مخرب هدایت کند. این دستکاری یک حمله مجدد باز است.هر وقت منطق برنامه خود را به یک URL مشخص هدایت می کند، باید تأیید کنید که URL تغییر مسیر شده با آن تغییر نکرده است. ورودی مورد استفاده در AccountController به طور پیش فرض برای ASP.NET MVC 1.0 و ASP.NET MVC 2 آسیب پذیر است برای حمل بارهای مجدد باز. خوشبختانه، برنامه های موجود خود را به روزرسانی کنید تا از اصلاحات ASP.NET MVC 3 Preview استفاده شود.برای درک آسیب پذیری، اجازه دهید نگاهی به نحوه تغییر مسیر ورود به سایت در پروژه ASP.NET MVC 2 Web Application پیش فرض کنیم. در این برنامه، تلاش برای بازدید از یک عمل کنترل کننده که دارای ویژگی [Authorize] است، کاربران غیر مجاز را به نمایه / Account / LogOn هدایت می کند. این تغییر مسیر به / Account / LogOn شامل پارامتر querystring returnUrl می شود تا کاربر بتواند پس از ورود به سیستم، به URL اصلی درخواست شده بازگردد.از آنجا که پارامتر querystring ReturnUrl تایید نشده است، مهاجم می تواند آن را تغییر دهد تا هر آدرس URL را به پارامتر تزریق کند تا یک حمله مجدد باز را انجام دهد. برای نشان دادن این، ما می توانیم پارامتر ReturnUrl را به http://bing.com تغییر دهیم، بنابراین آدرس ورودی حاصل خواهد شد /Account/LogOn؟ReturnUrl=http://www.bing.com/. با موفقیت وارد سایت شوید، به http://bing.com هدایت می شوید. از آنجا که این تغییر مسیر معتبر نیست، می تواند به جای یک سایت مخرب که تلاش می کند کاربر را فریب دهد اشاره می کند.یک پیچیدگی مجدد Redirection Attackحمله های مجدد باز به خصوص خطرناک است زیرا مهاجم می داند که ما در حال تلاش برای ورود به یک وب سایت خاص هستیم، که باعث می شود ما به یک حمله فیشینگ آسیب پذیر باشیم. به عنوان مثال، یک مهاجم می تواند ایمیل های مخرب را به کاربران وب سایت ارسال کند تا تلاش کنند تا رمزهای عبور خود را ثبت کنند. بیایید نگاه کنیم چگونه این کار در سایت NerdDinner کار می کند. (توجه داشته باشید که سایت NerdDinner زنده برای حفاظت در برابر حملات مجدد بازبینی به روز شده است.)اول، مهاجم یک پیوند را به صفحه ورود به سیستم در NerdDinner می فرستد که شامل تغییر مسیر به صفحه جعلی خود می شود:http://nerddinner.com/Account/LogOn؟returnUrl=http://nerddiner.com/Account/LogOnتوجه داشته باشید که آدرس بازگشت به nerddiner.com اشاره دارد که از شام کلمه "n" گم شده است. در این مثال، این دامنه ای است که مهاجم کنترل می کند. هنگامی که به لینک بالا دسترسی پیدا میکنیم، ما به صفحه ورود مشروع NerdDinner.com منتقل میشویم.وقتی ما به درستی وارد سیستم می شویم، عمل LogOn ASP.NET MVC AccountController ما را به URL مشخص شده در پارامتر querystring returnUrl هدایت می کند. در این مورد، این نشانی اینترنتی است که مهاجم وارد کرده است که http://nerddiner.com/Account/LogOn است. مگر اینکه ما بسیار مراقب باشیم، احتمالا ما این را متوجه نمیشویم، به ویژه به این دلیل که مهاجم مراقب باشید که صفحه جعلی خود دقیقا شبیه صفحه ورود مشروع باشد. این صفحه ورود شامل یک پیغام خطا می شود که درخواست دوباره ما را وارد کنید. ما را شگفت زده کردیم، باید رمز عبور خود را اشتباه گرفته باشیم.هنگامی که ما نام کاربری و رمز عبور خود را دوباره تایپ می کنیم، صفحه ورود جعلی اطلاعات را ذخیره می کند و ما را به سایت مشروع NerdDinner.com می فرستد. در این مرحله، سایت NerdDinner.com قبلا ما را تأیید کرده است، بنابراین صفحه ورود جعلی می تواند به طور مستقیم به آن صفحه هدایت شود. نتیجه نهایی این است که مهاجم دارای نام کاربری و رمز عبور ما است و ما نمی دانیم که ما آن را به آنها ارائه کردیم.نگاهی به کد آسیب پذیر در Action LogOn AccountControllerکد فعال سازی LogOn در ASP.NET MVC 2 در زیر نشان داده شده است. توجه داشته باشید که پس از ورود موفق، کنترل کننده یک تغییر مسیر را به returnUrl منتقل می کند. شما می توانید ببینید که هیچ اعتبار سنجی در برابر پارامتر returnUrl انجام نمی شود.

برنامه وب و انواع حملات آن

Security — Wed, 06 Feb 2019 02:12:53 +0330

معرفینرم افزار وب رابط کاربری بین سرور وب و سرویس دهنده را برای برقراری ارتباط فراهم می کند. صفحات وب در سرور تولید می شوند و مرورگرها آنها را در سمت سرویس گیرنده ارائه می دهند. داده ها بین مشتری و سرور در قالب صفحات HTML از طریق پروتکل HTTP منتقل می شوند.آسیب پذیری های سمت سرویس گیرنده و آسیب پذیری های سمت سرور وجود دارد که منجر به حمله ی کاربردی وب می شود.حملات:پارامتر خرابکاری:این شامل تغییر پارامترهای مبادله بین سرویس گیرنده و سرور می شود که ممکن است به حمله XSS و تزریق SQL منجر شود. معمولا داده های HTML به عنوان یک جفت ارزش نام می گیرند؛ اگر مهاجم قادر به تغییر مقادیر پارامتر در هنگام انتقال باشد، ممکن است منجر به حملات فراوانی شود.دستکاری پارامترورودی های نامعتبربرنامه های کاربردی وب ورودی های کاربر را می پذیرند، نمایش داده ها بر اساس ورودی کاربر پویا ساخته می شوند. اگر این ورودی ها به درستی درمان نشوند، راه را برای مهاجم برای راه اندازی حملات مانند XSS، تزریق تزریق SQL، حمله مسیریابی دایرکتوری و غیره، سرقت هویت، سرقت اطلاعات، نتایج خطرناک این حمله را باز می کند.پیاده روی دایرکتوری Attack:این یک نوع آسیب پذیری است که مهاجم میتواند فراتر از دایرکتوری ریشه وب به دایرکتوری محدود در وب سرور دسترسی پیدا کند. سپس مهاجم قادر به دسترسی به فایل های سیستم، اجرای دستورات OS، دسترسی به اطلاعات پیکربندی و غیره خواهد بود.

خطای امنیتی، یک عنصر آگاه از OWASP Top 10، خطرات و راه حل ها

Security — Wed, 06 Feb 2019 02:08:55 +0330

نادرست بودن امنیت، شماره 6 در OWASP فعلی است که در ده مورد مهمترین خطرات امنیت برنامه کاربردی وب است. misconfiguration می تواند شامل هر دو خطا در نصب امنیت و عدم انجام کامل نصب کنترل های امنیتی موجود باشد. خطای امنیتی، یک عنصر آگاه از OWASP Top 10، خطرات و راهکارها گزارش یک گزارش آوریل 2018 از آی بی ام، برخی تغییرات جالب در روند امنیتی در سال 2017 را ذکر کرد. یکی از نکات کلیدی، افزایش سرعت افزایش زیرساخت های ابر ناکافی بود. این گزارش تخمین زده است که نقض مربوط به پیکربندی بد، 424 درصد افزایش یافته است که تقریبا 70 درصد از پرونده های خطرناک را در طول سال به خود اختصاص داده است. در حالیکه امنیت داده ها در حال افزایش است پیچیده تر و بهترین شیوه ها برای جلوگیری از نقص ها، بیشتر تصحیح می شود، خطاهای ساده ی انسانی تبدیل به یک مشکل بزرگتر و بزرگتر می شوند. این خطاهای انسانی منجر به تصحیح خطای امنیتی شده است، رتبه 6 را در لیست لیست خطرات امنیتی برنامه های OWASP در سال 2017 نشان می دهد. آی بی ام گزارش می دهد که نقض مربوط به پیکربندی بد در سال 2018 424 درصد افزایش یافته است که تقریبا 70 درصد از پرونده های خطرناک را در طول سال به خود اختصاص داده است. خط مشی خطای امنیتی چیست؟ امنیت نرم افزار به ندرت پیکربندی می تواند در بسیاری از انواع مختلف صورت بگیرد. misconfigurations می تواند در کد اصلی برنامه نویس، در کد ویژگی ها و توابع پیش ساخته و یا از طریق API رخ دهد. آنها می توانند در برنامه خود، در سرورها و پایگاه های داده استفاده شده توسط برنامه، یا در منابع استفاده شده در طول روند توسعه ظاهر شوند. هر سطحی از یک پشته برنامه کاربردی سازمان می تواند یک نقص پیکربندی را آشکار سازد و در بیشتر لایه ها احتمال اشتباهی که منجر به آسیب پذیری می شود، بیشتر است. برای مثال، فایروالها توسط کاربران خود غالبا با اشتباه تنظیم می شوند. خط مشی ها می تواند بیش از حد گسترده باشد، به طور موثر از شبکه به طور دائم در معرض قرار. سیستم های تست ممکن است به درستی از سیستم تولید فایروال باشد؛ و اصل اصلی حداقل امتیاز، همیشه اجرا نمی شود. به عنوان یک برنامه کاربردی در محدوده گسترش می یابد، تنظیمات امنیتی سخت و موثر تر می شود. اگر نرم افزار شامل ویژگی های غیر ضروری و یا استفاده نشده باشد، این مشکل بزرگتر می شود. این ممکن است توسط چیزهایی مانند پورت های غیر ضروری که از چرخه توسعه فعال می شوند، ایجاد شود، به طور پیش فرض به حساب نمی آید به درستی حذف و غیره. اگر این ویژگی های استفاده نشده باقی بمانند، احتمالا آنها نادیده گرفته می شوند و یا حداقل به طور ضعیف نگهداری می شوند، که باعث می شود مهاجمان بیشترین آسیب پذیری را کشف کنند. آسیب پذیری های امنیتی می تواند از مکان های غیر منتظره در معرض قرار گیرد. پیام های خطا ممکن است حاوی سرنخ هایی برای مهاجمان باشند اگر آنها به درستی انجام می شوند. کد های مخفی و برنامه های کاربردی نمونه از فرایند توسعه ممکن است شامل آسیب پذیری های شناخته شده ای باشد که مهاجمان اجازه دسترسی به سرور برنامه را می دهند. هنگامی که به درستی پیکربندی نشده است، اطلاعات خطایابی مانند این پیام خطا و ردیابی پشته دقیق، حیاتی برای توسعه دهنده، می تواند سلاح در دست مهاجم تبدیل شود. با این حال، با اتخاذ گزینه های ذخیره سازی ابر افزایش یافته است، تنظیمات امنیتی ساده تر اما ویرانگرانه به مرحله ی مرکز تبدیل شده است: عدم قفل کردن دسترسی به داده های ذخیره شده در دستگاه های ذخیره سازی اینترنتی. به نظر می رسد مردم تصور می کنند که هر شخص ثالثی که درگیر آن است امنیت را فراهم می کند - که به طور کلی درست نیست. در سال 2017، Accenture 137 گیگا بایت داده، از جمله 40،000 رمز عبور ساده، رمزهای عبور هشدار، کلید های دسترسی برای پلتفرم مدیریت زیرساخت ابر ENStratus، اطلاعات ایمیل و اطلاعات مربوط به پایگاه داده ASGARD شرکت مشاوره ای که در سطل AWS S3 قرار گرفته است، 137 گیگا بایت داده است. همچنین در سال 2017، Viacom اطلاعات شرکت حساس را که در سطل S3 قرار دارد، از جمله رمزهای عبور و آشکار برای سرورهای Viacom را ترک کرد. کلید دسترسی و کلید مخفی برای حساب AWS شرکت به طور مشابه در مخزن ذخیره شده است. این مشکل نادرست نیز ممکن است در سرورهای خصوصی رخ دهد که از نرم افزار شخص ثالث استفاده می کنند. در اوایل سال جاری، Broker Data Exactis یک پایگاه اطلاعاتی گسترده از اطلاعات شخصی را در مورد 218 میلیون نفر، 110 میلیون خانوار و 21 میلیون شرکت به نمایش گذاشت. این پایگاه داده توسط Elasticsearch پیشگام بود، اما هیچ کنترل دسترسی مستقر نشد. شرکت ها باید بدانند که همیشه مسئولیت داده های خود را در هر کجا و در هر صورت ذخیره می کنند. راه حل این نوع تصحیح اشتباه نسبتا ساده است - شرکت ها باید به رسمیت شناخته شوند که همیشه مسئولیت هرکدام از داده ها را دارند و با این حال ذخیره می شوند. این مسئولیت خود را برای تأمین امنیت آن - اغلب با کنترل های احراز هویت ارائه شده توسط شخص ثالث است. تأثیر امنیت نادرست امنیتی امنیت ناسازگار می تواند ناشی از نظارت های بسیار ساده باشد اما می تواند یک برنامه را برای مهاجمان باز کند. در برخی موارد، تنظیمات اشتباه می تواند داده ها را بدون نیاز به یک حمله فعال عامل مخرب در معرض قرار دهد. در آوریل 2014، براون کراسب، روزنامه نگار امنیتی، یک آسیب پذیری را در وب سایت شرکت MBIA، بزرگترین شرکت بیمه بنیاد آمریکا، گزارش کرد. به دلیل یک سرور پایگاه داده غلط تنظیم شده، موتورهای جستجو صدها صفحه از کاربر فعال را نشان داد

تفاوت بین هکر اخلاقی و تست نفوذ

Security — Sun, 03 Feb 2019 03:31:32 +0330

تست نفوذ فرایندی است که شناسایی آسیب پذیری های امنیتی، خطرات نقص ها و محیط های نامعتبر است. این را می توان به عنوان راهی برای موفقیت با نفوذ به یک سیستم اطلاعات خاص بدون ایجاد آسیب دید. این اساسا شبیه جنایتکاران سایبری است و پیش بینی می کند که سیستم چگونه می تواند به خطر بیفتد. تفاوت بین هکر اخلاقی و تست نفوذ چیست؟سازمانها تست های قلم را برای تقویت سیستم های دفاع شخصی شرکت های خود انجام می دهند. این شامل تمام سیستم های کامپیوتری و زیرساخت های مرتبط است. در حالی که تست نفوذ می تواند به سازمانها کمک کند تا امنیت سایبری خود را بهبود ببخشند، قبل از اینکه مشکل ایجاد شود، بهتر است پیشگیرانه عمل کند. تست قلم باید به طور منظم انجام شود، زیرا مجرمان اینترنتی دائما در نقاط ضعف جدید در سیستم ها، برنامه ها و برنامه های در حال ظهور قرار می گیرند. تست قلم ممکن است پاسخ امنیتی جامع برای شرکت شما ارائه نکند، این امر موجب به حداقل رساندن احتمال موفقیت حمله خواهد شد. هک اخلاقی یک اصطلاح گسترده تر است که شامل همه روش های هک کردن و سایر روش های مربوط به حمله سایبری است. هدف اخاذی اخلاقی هنوز برای شناسایی آسیب پذیریهاست و آنها را قبل از اینکه مجرمان مورد سوءاستفاده قرار گیرند، رفع می کنند، اما این رویکرد در محدوده وسیع تر از تست قلم است. به عبارت دیگر، هک اخلاقی بیشتر از یک اصطلاح چتر است، در حالی که تست نفوذ نشان دهنده یک زیر مجموعه از تمام تکنیک های هک اخلاقی است. باید به عنوان یک تستر نفوذ هکر و اخلاقی اخذ شود برخی از افراد با هک کردن "اخلاقی" مخالفت می کنند، حتی اگر این رویکرد برای شناسایی و رفع نقص های امنیتی شرکت استفاده شود. با این حال، اصطلاح "هکر اخلاقی" در حال افزایش است، زیرا امنیت سایبری برای سازمان ها بیشتر و بیشتر اهمیت دارد. علاوه بر این، تقاضا برای نامزد شغلی با گواهینامه های امنیتی سایبری به طور چشمگیری افزایش می یابد. در اینجا خلاصه ای سریع از تفاوت بین تست نفوذ و هک اخلاقی: آزمون نفوذ هک اخلاقیارزیابی امنیت سایبری در سیستم های خاص IT انجام می دهد نقص های امنیتی سیستم را از طریق بسیاری از رویکردهای هک، که در آن تست نفوذ تنها یک ویژگی است، ارزیابی می کندیک تستر نیاز به دانش و مهارت در منطقه خاصی دارد که برای آن آزمایش می شود. هکر اخلاقی باید دارای دانش گسترده و کامل از برنامه های برنامه نویسی و سخت افزار باشد.صدور گواهینامه می تواند از بین برود، اگر یک کاندید دارای تجربه کافی باشد، صدور گواهینامه هک اخلاقی معمولا مورد نیاز استدسترسی فقط به سیستم هایی است که در آن تست قلم انجام می شود. دسترسی به طیف وسیعی از سیستم های کامپیوتری در سراسر زیرساخت فناوری اطلاعات مورد نیاز استسه عدد از مقالات جالب در وبسایت ویرگول که ارزش دیدن دارن https://virgool.io/@erfun/%D9%87%D9%88%DB%8C%D8%AA-%D8%B3%D9%86%D8%AC%DB%8C-%DA%A9%D8%A7%D8%B1%D8%A8%D8%B1%D8%A7%D9%86-jwt-jws-jwe-pedif3sejkol https://virgool.io/@pfc12064/how-to-hack-telegram-h9bfujxsw5ia https://virgool.io/@sasanmoghaddas77/%D9%87%DA%A9-%DA%86%DB%8C%D8%B3%D8%AA%D9%87%DA%A9%D8%B1-%DA%A9%DB%8C%D8%B3%D8%AA-jgjxgdu9swgj