IP یکی از پروتکل های مطرح در عرصه شبکه های کامپیوتری است که از چهار لایه متفاوت فیزیکی ، شبکه ، حمل و کاربرد تشکیل شده است .
شکل زیر ارتباط پروتکل چهار لایه ای TCP/IP و مدل مرجع OSI هفت لایه ای را نشان می دهد :
هر لایه دارای مکانیزم های امنیتی ، پروتکل ها و برنامه های مختص به خود می باشد .
در ادامه به برخی از امکانات امنیتی متداول و مرتبط با هر یک از لایه های پروتکل TCP/IP اشاره می گردد :
لایه فیزیکی : معادل لایه های اول و دوم مدل مرجع OSI
• Packet Filters ، به منظور استقرار بین یک شبکه داخلی و یک شبکه خارجی طراحی می گردند.
برای برخورد مناسب ( ارسال ، نپذیرفتن ، حذف ) با بسته های اطلاعاتی ورودی و یا خروجی از یک شبکه از مجموعه قوانین تعریف شده خاصی استفاده می گردد .
ACL ( برگرفته از Access Control List ) روتر ، نمونه ای از یک Packet Filter می باشد .
• NAT ، ( برگرفته از Network Address Translation ) ، مکانیزمی برای ترجمه آدرس است .
اکثر کاربران اینترنت با سرعت بالا از NAT استفاده می نمایند .
تکنولوژی فوق به منظور تامین امنیت کاربران ، آدرس داخلی آنان را از دید شبکه های خارجی مخفی نگه می دارد .
• CHAP ( برگرفته از Challenge Handshake Authentication Protocol ) ، یک پروتکل تائید است که از آن به عنوان گزینه ای جایگزین در مقابل ارسال معمولی و رمز نشده نام و رمز عبور استفاده می گردد .
پروتکل فوق از الگوریتم MD5 برای رمزنگاری رمزهای عبور استفاده می نماید .
• PAP ( برگرفته از Password Authentication Protocol ) .
پروتکل فوق ، به عنوان بهترین گزینه امنیتی در لایه فیزیکی مطرح نمی باشد و با ارائه امکاناتی کاربران را ملزم به درج نام و رمز عبور می نماید .
اطلاعات درج شده توسط کاربران به صورت متن معمولی ( رمز نشده ) ارسال می گردد ( مهمترین محدودیت پروتکل PAP ) .
لایه شبکه : معادل لایه سوم مدل مرجع OSI
• PPTP ( برگرفته از Point to Point Tunneling Protocol ) توسط کنسرسیومی متشکل از مایکروسافت و 3com پیاده سازی و هدف آن ارائه امکانات لازم به منظور کپسوله سازی داده می باشد .
امنیت لازم برای PPTP توسط رمزنگاری Point-to-point مایکروسافت ارائه شده است .
• L2TP : پروتکل VPN فوق به منظور امنیت و بر اساس پروتکل های PPTP و L2F پیاده سازی شده است .
• IPsec : از پروتکل فوق به منظور حفاظت بسته های اطلاعاتی IP و دفاع در مقابل حملات شبکه ای استفاده می گردد .
IPsec از پروتکل های امنیتی و مدیریت کلید پویا استفاده نموده و دارای دو پیکربندی پایه AH ( برگرفته از Authenticated Header ) و ESP ( برگرفته از Encapsulated Secure Payload ) می باشد .
لایه حمل : معادل لایه های چهارم و پنجم مدل مرجع OSI
• SSL ( برگرفته از Secure Sockets Layer ) ، پروتکلی است که با استفاده از آن به کابران این اطمینان داده می شود که به صورت ایمن اقدام به مبادله اطلاعات بر روی شبکه ( نظیر اینترنت ) نمایند .
• TLS ( برگرفته از Transport Layer Security ) ، پروتکلی مشابه پروتکل SSL است و از یک رویکرد لایه ای به منظور امنیت داده استفاده می نماید .
TLS از چندین پروتکل زیر مجموعه دیگر تشکیل می گردد .
لایه کاربرد : برخی از وظایف لایه پنجم و معادل لایه های ششم و هفتم مدل مرجع OSI
• RADIUS ( برگرفته از Remote Authentication Dial-In User Service ) متداولترین پروتکل تائید کاربران dialup در دنیای شبکه های کامپیوتری است .
پروتکل فوق امکانات لازم برای تائید و اعطای مجوز لازم به کابران dialup شبکه های کامپیوتری را فراهم می نماید .
TACACS ( برگرفته از Terminal Access Controller Access Control System ) ، یک پروتکل "تائید" قدیمی در شبکه های مبتنی بر سیستم عامل یونیکس است که این امکان را برای یک سرویس دهنده راه دور فراهم می نماید تا رمز عبور درج شده توسط کاربران را به یک سرویس دهنده تائید شده هدایت تا صلاحیت آنان برای استفاده از یک سیستم بررسی گردد .
Kerberos توسط MIT و به عنوان یک پروتکل تائید قدرتمند پیاده سازی شده است .
پروتکل فوق برای تائید مجوز کاربران در ارتباط با اشیاء متفاوت از tickets استفاده می نماید .
Kerberos ، امکانات لازم به منظور رمزنگاری ، پیوستگی داده و محرمانگی را ارائه می نماید .
S-MIME ( برگرفته از Secure / Multipurpose Internet Mail Extensions ) ، پروتکلی به منظور ایمن سازی نامه های الکترونیکی است .
پروتکل فوق با بهره گیری از امکاناتی نظیر رمزنگاری و امضاء دیجیتال ، امنیت نامه های الکترونیکی را تضمین می نماید .
کارشناسان امینت اطلاعات بر این عقیده هستند که چون نمی توان یک شبکه و یا host را صرفا" با استفاده از امکانات امنیتی یک لایه صددرصد ایمن نمود ، می بایست از رویکرد "دفاع در عمق " و یا امنیت لایه ای ( layered security ) استفاده نمود .
ایده "دفاع در عمق" می تواند بطرز قابل توجهی کاهش حملات موفقیت آمیز را به دنبال داشته باشد .
تشخیص Packet Sniffing در یک شبکه همه روزه شاهد ابداع فن آوری های جدیدی در عرصه دنیای گسترده امنیت اطلاعات می باشیم.
ابداع هر فن آوری جدید از یک طرف کارشناسان امنیت اطلاعات را امیدوار به برپاسازی و نگهداری یک شبکه ایمن می نماید و از طرف دیگر مهاجمان را امیدوار به تدارک حملاتی که شانس موفقیت بیشتری را داشته باشند.
چراکه آنان نیز از آخرین فن آوری های موجود در این عرصه به خوبی استفاده خواهند کرد .
شاید به همین دلیل باشد که بسیاری از کارشناسان فن آوری اطلاعات و ارتباطات بر این عقیده هستند ، مادامیکه دانش مهاجمان بیش از کارشناسان امنیت اطلاعات است امکان مقابله منطقی ، ساختیافته و به موقع با بسیاری از حملات وجود نخواهد داشت .( چگونه می توان با چیزی مقابله نمود که نسبت به آن شناخت مناسبی وجود ندارد؟
) .
این یک واقعیت تلخ در دنیای امنیت اطلاعات است که بسیاری از پتانسیل هائی که به منظور تسهیل در امر استفاده کامپیوتر و یا افزایش کارآئی سیستم ایجاد و یا به عنوان محصولات و ابزارهائی در جهت حفاظت و ایمن سازی شبکه های کامپیوتری عرضه می گردند ، توسط مهاجمان و به منظور برنامه ریزی حملات در شبکه های کامپیوتری نیز مورد استفاده قرار خواهند گرفت .
این موضوع در رابطه با packet sniffing نیز صدق می کند .
packet sniffing چیست ؟
یکی از قدیمی ترین روش های سرقت اطلاعات در یک شبکه ، استفاده از فرآیندی موسوم به packet sniffing است .
در این روش مهاجمان از تکنیک هائی به منظور تکثیر بسته های اطلاعاتی که در طول شبکه حرکت می کنند ، استفاده نموده و در ادامه با آنالیز آنان از وجود اطلاعات حساس در یک شبکه آگاهی می یابند .
امروزه پروتکل هائی نظیر IPSec به منظور پیشگیری از packet sniffing طراحی شده است که با استفاده از آن بسته های اطلاعاتی رمزنگاری می گردند .
در حال حاضر تعداد بسیار زیادی از شبکه ها از تکنولوژی IPSec استفاده نمی نمایند و یا صرفا" بخش اندکی از داده های مربوطه را رمزنگاری می نمایند و همین امر باعث شده است که packet sniffing همچنان یکی از روش های متداول به منظور سرقت اطلاعات باشد .
یک packet sniffer که در برخی موارد از آن به عنوان network monitor و یا network analyzer نیز یاد می شود ، می تواند توسط مدیران شبکه به منظور مشاهده و اشکال زدائی ترافیک موجود بر روی شبکه استفاده گردد تا به کمک آن بسته های اطلاعاتی خطاگونه و گلوگاه های حساس شبکه شناسائی و زمینه لازم به منظور انتقال موثر داده ها فراهم گردد .
به عبارت ساده تر ، یک packet sniffer تمامی بسته های اطلاعاتی که از طریق یک اینترفیش مشخص شده در شبکه ارسال می گردند را حمع آْوری تا امکان بررسی و آنالیز آنان فراهم گردد .
عموما" از برنامه های packet sniffer به منظور جمع آوری بسته های اطلاعاتی به مقصد یک دستگاه خاص استفاده می گردد.
برنامه های فوق قادر به جمع آوری تمامی بسته های اطلاعاتی قابل حرکت در شبکه صرفنظر از مقصد مربوطه نیز می باشند .
یک مهاجم با استقرار یک packet sniffer در شبکه ، قادر به جمع آوری و آنالیز تمامی ترافیک شبکه خواهد بود .
اطلاعات مربوط به نام و رمز عبور عموما" به صورت متن معمولی و رمز نشده ارسال می گردد و این بدان معنی است که با آنالیز بسته های اطلاعاتی ، امکان مشاهده اینگونه اطلاعات حساس وجود خواهد داشت .
یک packet sniffer صرفا" قادر به جمع آوری اطلاعات مربوط به بسته های اطلاعاتی درون یک subnet مشخص شده است .
بنابراین یک مهاجم نمی تواند یک packet sniffer را در شبکه خود نصب نماید و از آن طریق به شبکه شما دستیابی و اقدام به جمع آوری نام و رمز عبور به منظور سوء استفاده از سایر ماشین های موجود در شبکه نماید .
مهاجمان به منظور نیل به اهداف مخرب خود می بایست یک packet sniffer را بر روی یک کامپیوتر موجود در شبکه اجراء نمایند .
نحوه کار packet sniffing نحوه کار packet sniffing به روشی برمی گردد که شبکه های اترنت بر اساس آن کار می کنند .
در یک شبکه اترنت ، هر زمان که کامپیوتری یک بسته اطلاعاتی را ارسال می نماید ، بسته اطلاعاتی به عنوان یک broadcast ارسال می گردد .
این بدان معنی است که هر کامپیوتر موجود در شبکه بسته های اطلاعاتی ارسالی را مشاهده نموده و بجزء کامپیوتر مقصد سایر دستگاه های موجود از بسته اطلاعاتی صرفنظر خواهند کرد .
packet sniffing با کپی یک نسخه از بسته های اطلاعاتی ارسالی در شبکه، فعالیت خود را سازماندهی می نماید .
آیا روش هائی به منظور تشخیص وجود یک packet sniffer در شبکه وجود دارد ؟
تشخیص وجود یک packet sniffer بر روی شبکه کار آسانی نخواهد بود .
برنامه های فوق به صورت passive در شبکه عمل نموده و به سادگی اقدام به جمع آوری بسته های اطلاعاتی می نمایند .خوشبختانه ، امروزه با استفاده از روش هائی می توان وجود احتمالی یک packet sniffer را در شبکه تشخیص داد .
روش های تشخیص packet sniffing در شبکه همانگونه که اشاره گردید تشخیص این موضوع که یک فرد در یک بازه زمانی محدود و همزمان با حرکت بسته های اطلاعاتی در شبکه از یک packet sniffer استفاده می نماید ، کار مشکلی خواهد بود .
با بررسی و آنالیز برخی داده ها می توان تا اندازه ای این موضوع را تشخیص داد : استفاده از امکانات ارائه شده توسط برخی نرم افزارها : در صورتی که مهاجمان دارای منابع محدودی باشند ممکن است از برنامه کاربردی Network Monitor برای packet sniffing استفاده نمایند .
یک نسخه محدود از Network Monitor به همراه ویندوز NT و 2000 و یک نسخه کامل از آن به همراه SMS Server ارائه شده است .
برنامه فوق ، گزینه ای مناسب برای مهاجمانی است که می خواهند در کوتاه ترین زمان به اهداف خود دست یابند چراکه استفاده از آن در مقایسه با سایر نرم افزارهای مشابه راحت تر است .
خوشبختانه می توان بسادگی از اجرای این برنامه توسط سایر کاربران در یک شبکه ، آگاهی یافت .
بدین منظور کافی است از طریق منوی Tools گزینه Identify Network Monitor Users را انتخاب نمود .
بررسی سرویس دهنده DNS : در صورتی که مهاجمان از یکی از صدها نرم افزار ارائه شده برای packet sniffing استفاده نمایند ، امکان تشخیص سریع آن همانند برنامه Network Monitor وجود نخواهد داشت .
توجه داشته باشید که یک روش صدرصد تضمینی به منظور تشخیص وجود یک برنامه packet sniffing در شبکه وجود ندارد ولی با مشاهده نشانه هائی خاص می توان احتمال وجود packet sniffing در شبکه را تشخیص داد .
شاید بهترین نشانه وجود یک packet sniffing در شبکه به بانک اطلاعاتی سرویس دهنده DNS برگردد .
سرویس دهنده DNS وظیفه جستجو در بانک اطلاعاتی به منظور یافتن نام host و برگرداندن آدرس IP مربوطه را بر عهده دارد .
در صورتی که مهاجمی یک packet sniffing را اجراء نماید که اسامی host را نمایش می دهد ( اکثر آنان چنین کاری را انجام می دهند ) ، ماشینی که فرآیند packet sniffing را انجام می دهد یک حجم بالا از درخواست های DNS را اجراء می نماید .
در مرحله اول سعی نمائید ماشینی را که تعداد زیادی درخواست های DNS lookups را انجام می دهد ، بررسی نمائید .
با این که وجود حجم بالائی از درخواست های DNS lookup به تنهائی نشاندهنده packet sniffing نمی باشد ولی می تواند به عنوان نشانه ای مناسب در این زمینه مطرح گردد .
در صورتی که به یک ماشین خاص در شبکه مشکوک شده اید ، سعی نمائید یک ماشین طعمه را پیکربندی و آماده نمائید .
ماشین فوق یک کامپیوتر شخصی است که کاربران از وجود آن آگاهی ندارد .
پس از اتصال این نوع کامپیوترها به شبکه ، یک حجم بالا ی ترافیک بر روی شبکه را ایجاد نموده و به موازات انجام این کار درخواست های DNS را بررسی نمائید تا مشخص گردد که آیا ماشین مشکوک یک درخواست DNS را بر روی ماشین طعمه انجام می دهد .
در صورتی که اینچنین است می توان با اطمینان گفت که ماشین مشکوک همان ماشین packet sniffing است .
اندازه گیری زمان پاسخ ماشین های مشکوک : یکی دیگر از روش های متداول برای شناسائی افرادی که از packet sniffing استفاده می نمایند ، اندازه گیری زمان پاسخ ماشین مشکوک است .
روش فوق مستلزم دقت زیاد و تا اندازه ای غیرمطمئن است .
بدین منظور از دستور Ping ماشین مشکوک به منظور اندازه گیری مدت زمان پاسخ استفاده می شود .
بخاطر داشته باشید فردی که عملیات packet sniffing را انجام می دهد تمامی بسته های اطلاعاتی را کپی نخواهد کرد ، چراکه حجم اطلاعات افزایش خواهد یافت .
آنان با تعریف یک فیلتر مناسب، صرفا" بسته های اطلاعاتی مورد علاقه خود را تکثیر می نمایند (نظیر آنانی که برای تائید کاربران استفاده می گردد ) .
بنابراین از تعدادی از همکاران خود بخواهید که چندین مرتبه عملیات log in و log out را انجام داده و در این همین وضعیت مدت زمان پاسخ کامپیوتر مشکوک را محاسبه نمائید .
در صورتی که مدت زمان پاسخ زیاد تغییر نکند ، آن ماشین احتمالا" عملیات packet sniffing را انجام نمی دهد ولی در صورتی که زمان پاسخ کند گردد ، این احتمال وجود خواهد داشت که ماشین مشکوک شناسائی شده باشد.
استفاده از ابزارهای مختص AntiSniff : شرکت های متعددی اقدام به طراحی و پیاده سازی نرم افزارهائی به منظور ردیابی و شناسائی packet sniffing نموده اند .
برنامه های فوق از روش های اشاره شده و سایر روش های موجود به منظور شناسائی packet sniffing در یک شبکه استفاده می نمایند .
آشنائی با حملات DoS شاید تاکنون شنیده باشید که یک وب سایت مورد تهاجمی از نوع DoS قرار گرفته است .
این نوع از حملات صرفا" متوجه وب سایت ها نبوده و ممکن است شما قربانی بعدی باشید.
تشخیص حملات DoS از طریق عملیات متداول شبکه امری مشکل است ولی با مشاهده برخی علائم در یک شبکه و یا کامپیوتر می توان از میزان پیشرفت این نوع از حملات آگاهی یافت .
حملات از نوع ( DoS ( denial-of-service در یک تهاجم از نوع DoS ، یک مهاجم باعث ممانعت دستیابی کاربران تائید شده به اطلاعات و یا سرویس های خاصی می نماید .
یک مهاجم با هدف قرار دادن کامپیوتر شما و اتصال شبکه ای آن و یا کامپیوترها و شبکه ای از سایت هائی که شما قصد استفاده از آنان را دارید ، باعث سلب دستیابی شما به سایت های Email ، وب سایت ها ، account های online و سایر سرویس های ارائه شده بر روی کامپیوترهای سرویس دهنده می گردد .
متداولترین و مشهودترین نوع حملات DoS ، زمانی محقق می گردد که یک مهاجم اقدام به ایجاد یک سیلاب اطلاعاتی در یک شبکه نماید .
زمانی که شما آدرس URL یک وب سایت خاص را از طریق مرورگر خود تایپ می نمائید ، درخواست شما برای سرویس دهنده ارسال می گردد .
سرویس دهنده در هر لحظه قادر به پاسخگوئی به حجم محدودی از درخواست ها می باشد، بنابراین اگر یک مهاجم با ارسال درخواست های متعدد و سیلاب گونه باعث افزایش حجم عملیات سرویس دهند گردد ، قطعا" امکان پردازش درخواست شما برای سرویس دهنده وجود نخواهد داشت.
حملات فوق از نوع DoS می باشند، چراکه امکان دستیابی شما به سایـت مورد نظر سلب شده است .
یک مهاجم می تواند با ارسال پیام های الکترونیکی ناخواسته که از آنان با نام Spam یاد می شود ، حملات مشابهی را متوجه سرویس دهنده پست الکترونیکی نماید .
هر account پست الکترونیکی ( صرفنظر از منبعی که آن را در اختیار شما قرار می دهد ، نظیر سازمان مربوطه و یا سرویس های رایگانی نظیر یاهو و hotmail ) دارای ظرفیت محدودی می باشند.
پس از تکمیل ظرفیت فوق ، عملا" امکان ارسال Email دیگری به account فوق وجود نخواهد داشت .
مهاجمان با ارسال نامه های الکترونیکی ناخواسته سعی می نمایند که ظرفیت account مورد نظر را تکمیل و عملا" امکان دریافت email های معتبر را از account فوق سلب نمایند .
حملات از نوع ( DDoS (distributed denial-of-service در یک تهاجم از نوع DDoS ، یک مهاجم ممکن است از کامپیوتر شما برای تهاجم بر علیه کامپیوتر دیگری استفاده نماید .
مهاجمان با استفاده از نقاط آسیب پذیر و یا ضعف امنتیی موجود بر روی سیستم شما می توانند کنترل کامپیوتر شما را بدست گرفته و در ادامه از آن به منظور انجام عملیات مخرب خود استفاده نمایند.
ارسال حجم بسیار بالائی داده از طریق کامپیوتر شما برای یک وب سایت و یا ارسال نامه های الکترونیکی ناخواسته برای آدرس های Email خاصی ، نمونه هائی از همکاری کامپیوتر شما در بروز یک تهاجم DDOS می باشد .
حملات فوق ، "توزیع شده " می باشند ، چراکه مهاجم از چندین کامپیوتر به منظور اجرای یک تهاجم DoS استفاده می نماید .
نحوه پیشگیری از حملات متاسفانه روش موثری به منظور پیشگیری در مقابل یک تهاجم DoS و یا DDoS وجود ندارد .
علیرغم موضوع فوق ، می توان با رعایت برخی نکات و انجام عملیات پیشگیری ، احتمال بروز چنین حملاتی ( استفاده از کامپیوتر شما برای تهاجم بر علیه سایر کامپیوتر ها ) را کاهش داد .
نصب و نگهداری نرم افزار آنتی ویروس ( جایگاه نرم افزارهای ضدویروس ) .
نصب و پیکربندی یک فایروال ( فایروال چیست ؟
) تبعیت از مجموعه سیاست های خاصی در خصوص توزیع و ارائه آدرس Email ( توصیه هائی برای کاهش Spam ) .
چگونه از وقوع حملات DoS و یا DDoS آگاه شویم ؟
خرابی و یا بروز اشکال در یک سرویس شبکه ، همواره بدلیل بروز یک تهاجم DoS نمی باشد .
در این رابطه ممکن است دلایل متعددی فنی وجود داشته و یا مدیر شبکه به منظور انجام عملیات نگهداری موقتا" برخی سرویس ها را غیر فعال کرده باشد .
وجود و یا مشاهده علائم زیر می تواند نشاندهنده بروز یک تهاجم از نوع DoS و یا DDoS باشد : کاهش سرعت و یا کارآئی شبکه بطرز غیر معمول ( در زمان باز نمودن فایل ها و یا دستیابی به وب سایت ها ) .
عدم در دسترس بودن یک سایـت خاص (بدون وجود دلایل فنی ) عدم امکان دستیابی به هر سایتی (بدون وجود دلایل فنی ) افزایش محسوس حجم نامه های الکترونیکی ناخواسته دریافتی در صورت بروز یک تهاجم ، چه عملیاتی را می بایست انجام داد ؟
حتی در صورتی که شما قادر به شناسائی حملات از نوع DoS و یا DDoS باشید ، امکان شناسائی مقصد و یا منبع واقعی تهاجم ، وجود نخواهد داشت .
در این رابطه لازم است با کارشناسان فنی ماهر ، تماس گرفته تا آنان موضوع را بررسی و برای آن راهکار مناسب را ارائه نمایند .
در صورتی که برای شما مسلم شده است که نمی توانید به برخی از فایل ها ی خود و یا هر وب سایتی خارج از شبکه خود دستیابی داشته باشید ، بلافاصله با مدیران شبکه تماس گرفته و موضوع را به اطلاع آنان برسانید .
وضعیت فوق می تواند نشاندهنده بروز یک تهاجم بر علیه کامپیوتر و یا سازمان شما باشد .
در صورتی که وضعیت مشابه آنچه اشاره گردید را در خصوص کامپیوترهای موجود در منازل مشاهده می نمائید با مرکز ارائه دهنده خدمات اینترنت ( ISP ) تماس گرفته و موضوع را به اطلاع آنان برسانید .
ISP مورد نظر می تواند توصیه های لازم به منظور انجام عملیات مناسب را در اختیار شما قرار دهد .
پویش پورت ها پویش یک پورت فرآیندی است که مهاجمان با استفاده از آن قادر به تشخیص وضعیت یک پورت بر روی یک سیستم و یا شبکه می باشند .
مهاحمان با استفاده از ابزارهای متفاوت ، اقدام به ارسال داده به پورت های TCP و UDP نموده و با توجه به پاسخ دریافتی قادر به تشخیص این موضوع خواهند بود که کدام پورت ها در حال استفاده بوده و از کدام پورت ها استفاده نمی گردد و اصطلاحا" آنان باز می باشند .
مهاجمان در ادامه و بر اساس اطلاعات دریافتی ، بر روی پورت های باز متمرکز شده و حملات خود را بر اساس آنان سازماندهی می نمایند .
عملکرد مهاجمان در این رابطه مشابه سارقانی است که به منظور نیل به اهداف مخرب خود ( سرقت ) ، درابتدا وضعیت درب ها و پنجره های منازل را بررسی نموده تا پس از آگاهی از وضعیت آنان ( باز بودن و یا قفل بودن ) ، سرقت خود را برنامه ریزی نمایند.
Transmission Control Protocol) TCP ) و ( UDP ( User Datagram Protocol ، دو پروتکل مهم TCP/IP می باشند .
هر یک از پروتکل های فوق می توانند دارای شماره پورتی بین صفر تا 65،535 باشند .
بنابراین ما دارای بیش از 65،000 درب می باشیم که می بایست در رابطه با باز بودن و یا بستن هر یک از آنان تعیین تکلیف نمود ( شبکه ای با بیش از 65،000 درب!
از 1024 پورت اول TCP به منظور ارائه سرویس های استانداردی نظیر FTP,HTTP,SMTP و DNS استفاده می گردد .
( پورت های خوش نام ) .
به برخی از پورت های بالای 1023 نیز سرویس های شناخته شده ای نسبت داده شده است ، ولی اغلب این پورت ها به منظور استفاده توسط یک برنامه در دسترس می باشند .
نحوه عملکرد برنامه های پویش پورت ها برنامه های پویش پورت ها در ابتدا اقدام به ارسال یک درخواست برای کامپیوتر هدف و بر روی هر یک از پورت ها نموده و در ادامه با توجه به نتایج بدست آمده ، قادر به تشخیص وضعیت یک پورت می باشند (باز بودن و یا بسته بودن یک پورت ) .
در صورتی که اینگونه برنامه ها با اهداف مخرب به خدمت گرفته شوند ، مهاجمان قادر به تشخیص وضعیت پورت ها بر روی یک سیستم و یا شبکه کامپیوتری می شوند.
آنان می توانند تهاجم خود را بگونه ای برنامه ریزی نمایند که ناشناخته باقی مانده و امکان تشخیص آنان وجود نداشته باشد .
برنامه های امنیتی نصب شده بر روی یک شبکه کامپیوتری می بایست بگونه ای پیکربندی شوند که در صورت تشخیص ایجاد یک ارتباط و پویش مستمر و بدون وقفه مجموعه ای از پورت ها در یک محدوده زمانی خاص توسط یک کامپیوتر ، هشدارهای لازم را در اختیار مدیریت سیستم قرار دهند .
مهاجمان به منظور پویش پورت ها از دو روش عمده "آشکار" و یا " مخفی" ، استفاده می نمایند .
در روش پویش آشکار ، مهاجمان در رابطه با تعداد پورت هائی که قصد بررسی آنان را دارند ، دارای محدودیت خواهند بود ( امکان پویش تمامی 65،535 پورت وجود ندارد ) .
در پویش مخفی ، مهاجمان از روش هائی نظیر " پویش کند " استفاده نموده تا احتمال شناسائی آنان کاهش یابد .
با پویش پورت ها در یک محدوده زمانی بیشتر ، احتمال تشخیص آنان توسط برنامه های امنیتی نصب شده در یک شبکه کامپیوتری کاهش پیدا می نماید .
برنامه های پویش پورت ها با تنظیم فلاگ های متفاوت TCP و یا ارسال انواع متفاوتی از بسته های اطلاعاتی TCP قادر به ایجاد نتایج متفاوت و تشخیص پورت های باز بر اساس روش های مختلفی می باشند .
مثلا" یک پویش مبتنی بر SYN با توجه به نتایج بدست آمده اعلام می نماید که کدام پورت باز و یا کدام پورت بسته است و یا در یک پویش مبتنی بر FIN بر اساس پاسخی که از پورت های بسته دریافت می نماید ( پورت های باز پاسخی را ارسال نخواهند کرد) وضعیت یک پورت را تشخیص خواهد داد .
نحوه پیشگیری و حفاظت مدیران شبکه می توانند با استفاده از امکانات متنوعی که در این رابطه وجود دارد از پویش پورت ها بر روی شبکه توسط مهاجمان آگاه گردند .
مثلا" می توان تمامی پویش های مبتنی بر SYN را ثبت تا در ادامه امکان بررسی دقیق آنان وجود داشته باشد .
( تشخیص ارسال یک بسته اطلاعاتی SYN به پورت های باز و یا بسته ) .
به منظور افزایش ایمن سازی کامپیوتر و یا شبکه مورد نظر می توان خود راسا" اقدام به پویش پورت ها نمود .
با استفاده از نرم افزارهائی نظیر NMap می توان محدوده ای از آدرس های IP و پورت های مورد نظر را بررسی نمود ( شبیه سازی یک تهاجم ) .
پس از مشخص شدن وضعیت هر یک از پورت ها می بایست اقدامات لازم حفاظتی در این خصوص را انجام داد .
در صورتی که به وجود ( باز بودن ) یک پورت نیاز نمی باشد ، می بایست آنان را غیر فعال نمود.
در صورت ضرورت استفاده از یک پورت ، می بایست بررسی لازم در خصوص تهدیداتی که ممکن است از جانب آن پورت متوجه سیستم و یا شبکه گردد را انجام و با نصب patch های مرتبط با آنان امکان سوء استفاده از پورت های باز را کاهش داد .
نرم افزارهای پویش پورت ها به منظور پویش پورت ها و آگاهی از وضعیت پورت های TCP و UDP می توان از برنامه های متعددی استفاده نمود : Nmap ( یا Network Mapper ) FoundStone Vision FoundStone FPort FoundStone ScanLine FoundStone SuperScan FireWalls.com Port Scan ( بررسی online وضعیت پورت ها ) فیلترینگ بسته های اطلاعاتی TCP/IP TCP/IP یکی از پروتکل های کاملا" شناخته شده در عرصه شبکه های کامپیوتری است که در عمل تا اندازه ای پیچیده جلوه می نماید .
شاید بخشی از این پیچیدگی مبتنی بر این حقیقت باشد که پروتکل فوق از تعداد زیادی زیرعنصر نظیر پورت ها و پروتکل های دیگر تشکیل شده است .
پروتکل TCP/IP به منظور انجام عملیات روزمره خود به تعداد زیادی از پورت ها و پروتکل ها نیاز خواهد داشت و برخی دیگر بندرت استفاده می گردند .
پروتکل های غیرضروری می تواند امنیت شبکه شما را بمخاطره انداخته و فرصت نفوذ به یک شبکه را در اختیار مهاجمان قرار دهد .
برای پیشگیری از دستیابی غیر مجاز مهاجمان به شبکه ، اغلب مدیران شبکه اقدام به پیاده سازی یک فایروال می نمایند که در آن تمامی پورت ها و پروتکل های غیرضروری ، بلاک می گردند.
شاید این موضوع برای شما جالب باشد که بدانید نسخه های ویندوز 2000 به بعد دارای امکانات از قبل تعبیه شده ای نظیر پتانسیل های ارائه شده توسط فایروال ها می باشند .
در ادامه با نحوه بلاک کردن پورت ها و پروتکل های غیرضروری در نسخه ویندوز 2000 آشنا می شویم .
اجازه دهید در ابتدا با صراحت عنوان نمائیم که راه حلی که در ادامه به آن اشاره خواهد شد را نمی توان به عنوان گزینه ای جایگزین در مقابل یک فایروال واقعی مطرح نمود .
فیلترینگ بسته های اطلاعاتی TCP/IP با استفاده از امکانات ارائه شده در نسخه های ویندوز 2000 به بعد ، صرفا" روشی است که می تواند تا حدودی شبکه شما را ایمن نماید .
سیستم فیلترینگ بسته های اطلاعاتی در ویندوز 2000 بگونه ای طراحی شده است که تمامی بسته های اطلاعاتی فیلتر می گردند مگر آنانی که مجوز لازم برای استفاده از آنان صادر و اصطلاحا" در لیست مجاز قرار گرفته باشند .
پیشنهاد می گردد تمامی بسته های اطلاعاتی بجزء آنانی که به مقصد شماره پورت های زیر حرکت می نمایند ، بلاک گردند .
شماره پورت های TCP شماره پورت های UDP شماره پورت های IP نحوه فلیترینگ پورت ها و پروتکل های غیرضروری کلیک بر روی آیکون Network and Dial Up Connections از طریق control panel کلیک سمت راست بر روی Connection مورد نظری که قصد پیکربندی آن را داریم و انتخاب گزینه Properties انتخاب پروتکل TCP/IP از طریق لیست عناصر نصب شده و فعال نمودن دکمه Properties کلیک بر روی دکمه Advanced ( پس از نمایش صفحه مربوط به خصلت ها ی پروتکل TCP/IP ) انتخاب گزینه TCP/IP Filtering و کلیک بر روی دکمه Properties .
در ادامه پنجره TCP/IP Filtering نمایش داده می شود : همانگونه که در شکل فوق مشاهده می گردد ، در قسمت بالای پنجره TCP/IP Filtering یک check box به منظور فعال و یا غیرفعال نمودن ( Enable TCP/IP Filtering (All Adapters وجود دارد .
پنجره فوق به سه ستون TCP Ports , UDP Ports و IP Protocols تقسیم شده است که هر یک دارای مجموعه ای از دکمه های Radio button می باشند .
مقدار پیش فرض Radio button موجود در هر ستون، Permit All در نظر گرفته شده است .
بدین ترتیب به تمامی بسته های اطلاعاتی این اجازه داده می شود که بدون هیچگونه فیلترینگی در مسیر خود آزادانه حرکت نمایند .
برای اعمال فیلترینگ بر روی برخی پورت ها می توان مقدار Radio button موجود در هر ستون را به Permit Only تغییر داد .
بدین ترتیب صرفا" به شماره پورت های مشخص شده در لیست ، اجازه ارسال و یا دریافت بسته های اطلاعاتی از طریق connection مربوطه داده می شود .
.
با استفاده از دکمه های Add و یا Remove می توان لیست پورت های مجاز را ویرایش نمود .
مثلا" در صورتی که بخواهیم به connection مورد نظر امکان دستیابی به صفحات وب داده شود ، می توان پورت 80 را در بخش TCP Ports اضافه نمود .
فیلترینگ بسته های اطلاعاتی با بلاک نمودن بسته های اطلاعاتی غیرمجاز می تواند یک سطح حفاظتی را به شبکه شما اضافه می نماید.
در صورتی که پس از ایجاد لیست پورت های ضروری ( بر اساس جداول اشاره شده ) با مشکل خاصی برخورد کردید ، ممکن است برنامه ها و یا سرویس هائی در شبکه شما استفاده می گردد که از پورت های خاص دیگری استفاده می نمایند .
در صورت تحقق چنین شرایطی می توان یا شماره پورت حذف شده را به لیست مورد نظر اضافه نمود و یا Packet filtering را غیرفعال تا همه چیز به حالت اولیه بر گردد .