چرا فايروال ها هميشه كافي نيستند؟

[rahimonline]

شبيه مردان گول زن و جيب بر هكرهاي بزهكار (AKA Crackers) مردمي با استعدادند.
كوين ميتنيك (هكر افسانه اي) شايد نمونه اي از اين دست افراد باشد كه با گول زدن دوستانش و از طريق تلفن توانست بسياري از دسترسي هاي غيرممكن به شبكه ها و سرورها را ممكن سازد.
بدين ترتيب روش موسوم به «مهندسي اجتماعي» يكي از خطرناكترين راهها و روشهاي نفوذ به شبكه هاست كه در محافل رايانه اي از جمله كنفرانس RSA در سان فرانسيسكو بدان پرداخته شد.


Welcome to WebSite.ws -- your internet address for life



سخنگوي امسال كنفرانس ايرا وينكلر تحليلگر اسبق در (NSA) و مشاور امنيت سيستم ها در حال حاضر با مثالهاي به جاي خود اين روش را براي حضار شرح داد.
خود وينكلر پيش تر از سوي يك سازمان بزرگ اقتصادي به مدت 4 روز استخدام شد تا مانند هكرها وارد سيستم هايشان شده و راههاي نفوذ را پس از كشف خنثي كند.
وي كار خود را با اينترنت و تلفن آغاز كرد و در تماس با كارمندان سعي كرد اطلاعات لازم را بگيرد (روش مهندسي اجتماعي) وي نام و مشخصات كارمندان مرتبط با آي تي سازمان را درآورد و سعي كرد كلمه رمز و پسورد را از لابه لاي شماره هاي آي دي ، نام همسرشان شماره هاي كارت اعتباري و تلفن در بياورد.
وينكلر وانمود كرد كه از واحد خدمات مسافري سازمان مذكور است و در حال تهيه اطلاعات براي تهيه بليط مسافري براي كارمندان است.
وي از اتاق گرافيك و اتاق پشت كار خود را بسط داد و اطلاعات جامعي بدست آورد و بعد يكراست راهبر TI سازمان (Administrator) را نشانه رفت.
وي با نوت بوك خود به شبكه بي سيم سازمان بطور مخفي وصل شده و سعي كرد و پسورد Admin را از لابه لاي اطلاعات به دست آورده از قبل پيدا كند.
اما وقتي با هيچكدام از اين روشها نتوانست به هسته اصلي شبكه نفوذ كند مجبور شد از روش بي شرمانه اي به نام سرقت فيزيكي بهره ببرد.
بله ! به همين سادگي دنبال ابزار مرتبط با اين روش (قسمت بي شرمانه روش مهندسي اجتماعي) گشت.
سرقت يك نوار پشتيبان از اطلاعات حساس ، نوت بوك راهبر آي تي سازمان و مقامات ارشد آن سازمان كه حدس مي زد داخل آنها اطلاعات حساس باشد و يا يك همراه شخصي ديجيتالي (PDA) يا موبايل متعلق به دپارتمان آي تي !.
در اين ميان فراشان ، آبدارچي ها و نامه بران 3 كيسي بود كه به فكر وينكلر خطور كرد كه يا از آنها كمك بگيرد و يا خود را در نقش آنها ظاهر ساخته و ابزار مذكور را بدزدد.
البته طبيعت انساني است كه بخواهد به دوست يا همكار خود كمك كند و سرانجام همين كمك هاست كه بطور غيرمستقيم در روش مهندسي اجتماعي باعث لو رفتن اطلاعات حساس مي شود! و ادامه ماجرايي كه وينكلر خود مستقيما درآن نقش داشت را حتما مي دانيد.
اما از همه اين حرفها و تجربه هاي تلخ كه بگذريم بايد به 10 نكته اي كه بعنوان راه حل مبارزه با روش مهندسي اجتماعي توصيه مي شود ، اشاره كرد:
1 - كالر آي دي را حين كار در سازمان خود فعال كنيد (Actirate callerID) بعنوان نمونه نام افراد حتي همراهشان بود و قابل مشاهده باشد.
2 - هنگام ست كردن كالر آي دي براي ارتباطات دور طوري آنرا براي ديگران نشان ندهيد كه جزييات كالر آي دي روي نمايشگرها معلوم شود.
(نه مثل سازمان هايي كه وقتي به شما تلفن مي زنند شمارهاي مخفي سازمان روي گوشي تلفن همراه مي افتد).
3 - سياست كال بك (Call-bcback) را روي سيستم تلفني و ارتباطاتي سازمان خود پياده كنيد.
وقتي كسي از بيرون اطلاعاتي راجع به سازمانتان مي خواهد وي را به تلفن هاي اصلي حواله ندهيد بلكه آنرا به تلفن خانه سوئيچ كنيد و از تلفني كه با آن اطلاعات حساس فكس مي كنيد به وي جواب ندهيد و ترجيحا اطلاعاتي ندهيد.
4 - نسبت به انعكاس اطلاعات شخصي و نام افراد هنگام ارسال پيام هاي پستي (نظير اسم كامل راهبر و اطلاعات راجع به وي) حساسيت نشان دهيد.
5 - هرگز فرد ناآشنايي را داخل اتاق حساس سرور يا اتاق كارتهاي آي دي راه ندهيد و اصولا اين گونه اتاقها را امن نگه داريد.
6 - نسبت به افراد خارجي و بيگانه داخل سازمان بلافاصله شك كرده و با گارد ساختمان تماس گرفته و وي را رها نكنيد تا از در سازمان بيرون رود يك لحظه غفلت شما مي تواند باعث فرار بيگانه شود.
7 - حتما مديران ارشد آي تي را بشناسيد و صداي آنها را از بيگانه و اعضاي غير آي تي تشخيص دهيد و اگر كسي زنگ زده و پسوردتان را خواست فورا تلفن را قطع كرده و افراد مرتبط را آگاه سازيد.
8 - هرگز پسورد خود را روي يك تكه كاغذ نصب شده جلوي كيبوردتان ننويسيد مطمئن باشيد كه هكر يا كراكري داخل سازمان بوده و مي خواهد بطور فيزيكي به اتاق تان بيايد بنابراين اطلاعات حساس را در دسترس اش قرار ندهيد.
9 - بصورت دوره اي به موشكافي كامل روي سيستم و سرورهاي خود (از طريق استخدام افراد زيرك مثل وينكلر) بپردازيد تا ببينيد آيا مثلا اطلاعات حساس سازمانتان از فايروال گذشته و يا مثلا موتورهاي جستجو آن را كشف كرده اند يا نه؟.
10 - سيستم اخطار امنيتي را در اداره خود توسعه دهيد يك آدرس ايميل مانند: securityalert@yourcompany.com ساخته و افراد مرتبط را فورا از موارد مشكوك مطلع سازيد.