دانلود تحقیق تهدید های وب با تکیه بر IIS

تهدید های امنیت اطلاعات هنگامی که شما تلاش می کنید IIS[1] را در مقابل خطرات و تهدیدها ایمن نموده و آسیب پذیری برنامه های کاربردی موجود در IIS را شناسایی نمایید، در واقع به دنیای امنیت اطلاعات که با عنوان infosec[2] شناخته می شود، وارد شده اید.

infosec یک رشته تخصصی در دنیای کامپیوتر است که هدف آن تجزیه، تحلیل، کاهش و پاسخ به تهدیدهای سیستمهای اطلاعاتی است.

اهمیت infosec هم از جهت دسترسی مشکل به آن و هم از جهت مخاطراتی است که همه روزه در دنیای کامپیوتر اتفاق می افتد.

درک اینکه infosec چیست و از آن چگونه برای توسعه و گسترش امنیت سیستمهای اطلاعاتی که بر اساس IIS مایکروسافت[3] بنا نهاده شده اند، استفاده می شود، به شناسایی ماهیت تهدیدهایی که امنیت کامپیوتر را به مخاطره می اندازد کمک می کند.

یک تهدید امنیتی کامپیوتر، هر چیز یا هر کسی است که می تواند باعث شود کامپیوتر عملی را انجام دهد که شما نمی خواهید آن عمل انجام شود یا عملکرد معمول سیستم را قطع کند.

در کامپیوتر های قابل برنامه ریزی، کار اصلیCPU[4]، اجرای دستورالعملهای کد ماشین است که کمک موثری به پردازش داده و ارتباطات خواهد کرد که هدف و نیت اساسی سیستمهای اطلاعاتی است.

هرگونه انحراف از این هدف خواه بر اثر یک رویداد پیش بینی نشده همانند باگ های نرم افزاری یا خواه اقدام یک مهاجم خرابکار[5] باشد، نشان دهنده پتانسیل بالقوه آسیب پذیری[6] است.

این آسیب پذیری شامل انحراف از اعمال عادی سیستم است که باعث می شود سیستم اطلاعاتی از انجام اهداف معین باز بماند و متوقف شود که اصطلاحاً به این وضعیت قطع خدمات(DoS)[7] گویند.

به علاوه برای تمرکز بر روی برطرف کردن خطرها، تهدیدها و اطمینان از سلامتی و انجام عادی عملیات سیستمهای اطلاعاتی، infosec با مدیریت بحران ها، حفاظت و اختفای مبادلات تجاری و همچنین محافظت و حراست از مدارکی که دارای ارزش قانونی در مشکلات حقوقی هستند، ارتباط دارد.

این ارتباط شامل مواردی همچون رمزنگاری[8]، مدیریت تراکنش، پیشگیری از نابودی و سرقت داده، بی عیبی رسانه ذخیره سازی بر خط[9] و برون خط[10] و تحلیل متوسط زمان خطا، توسعه و گسترش سیستمهای مزاحم یاب[11] (شناسایی ورود افراد بدون اجازه ورود)، امنیت پاسخ ضمنی و بحثهای تحلیل کدهای مخرب و سیستمهای توافقی[12] می باشد.

جنگ اطلاعاتی، تاکتیک های نفوذ و دفاع متقابل، ترمیم خرابی، سیستمهای کنترل دسترسی، فناوری شناسایی بایومتریک[13] و پایگاه داده وابسته به آن، مفهوم فیلترها، شناسایی ویروس و تروجان[14]، برنامه نویسی سیستم های جاسازی شده[15] برای کاربردهای امنیتی، کارتهای هوشمند، نظارت دیجیتال، امضای دیجیتال، کلید سند شخص ثالث[16] و سیستم های مدیریت تصدیق و تائید صحت کلید همه و همه جزء حوزه infosec هستند.

هر یک یا همه موارد بالا ممکن است برای شما مهم باشد، تا بتوانید امنیت مطمئنی در سیستمهای اطلاعاتی که از سیستم عامل ویندوز سرور به همراه IIS استفاده می کنند، فراهم آورید.

زنجیره دفاعی infosec را نشان می دهد.

در حوزه ای که کامپیوتر IIS منفرد قرار دارد و هیچ مزیت ویژه ای برای دسترسی به سیستم ها یا شبکه های دیگر ندارد، واکنش های ضمنی ممکن است منجر به این شود که IIS به یک حالت نفوذ پذیری کم باز گردد.

در غیر اینصورت واکنشهای ضمنی، تحت تاثیر قرار گرفتن تمامی پتانسیل سخت افزاری و نرم افزاری را در بر خواهد داشت.

بنابراین مشاهده می شود که گروههای سرور مجزا، کوچک و فراوان، عملی ترین محدوده تهدید و کارآمد ترین پاسخهای ضمنی را عرضه می دارند.

مانند یک آتش خاموش کن که برای محافظت بناها در مقابل آتش سوزی استفاده می شود، جعبه هایی که شما می توانید بطور مجازی در حین پاسخهای ضمنی استفاده کنید تا پتانسیل تهدیدهای ناشناخته را محو کنید، روشی برای محافظت از داده را عرضه می دارد.

ایجاد کامپیوتر های دام که ظرف عسل[1] نامیده می شوند برای جذب حملات مخرب مانند مگس هایی که به سمت عسل جذب می شوند، ممکن است اخطار حمله پیشرفته را بوسیله قربانی کردن داده ها و کامپیوتر هایی که اساساً بی ارزش هستند، به معرض نمایش بگذارد.

شکل 1 زنجیره دفاعی infosec را نشان می دهد.

ایجاد کامپیوتر های دام که ظرف عسل نامیده می شوند برای جذب حملات مخرب مانند مگس هایی که به سمت عسل جذب می شوند، ممکن است اخطار حمله پیشرفته را بوسیله قربانی کردن داده ها و کامپیوتر هایی که اساساً بی ارزش هستند، به معرض نمایش بگذارد.

تکنیک ها و مفاهیم امنیت اطلاعات به دو دلیل مورد تقاضا هستند.

دلیل اول که بدیهی است، برای محافظت داده ها و سیستمهای کامپیوتری از خرابکاری و یا دسترسی های بدون اجازه و اطمینان از اینکه آنها توانایی سرویس دهی به کاربران را دارند و وظایف محوله را بطور خودکار و بدون انقطاع به انجام می رسانند.

هر کاربر، مدیر، هیئت مدیره و تصمیم گیرندگان و کسانی که بر سیستمهای اطلاعاتی تکیه می کنند یا آنرا اداره و مدیریت می کنند، نیاز به سطحی از اطمینان از امنیت داده ها و بی عیبی سیستم دارند.

دلیل دوم مربوط به مبحث حقوقی کامپیوتر است.

بعنوان یکی از خصوصیات infosec ، تجزیه و تحلیل و سند بندی سیستمهای اطلاعاتی بصورت حقوقی است که می توان از آن برای کمک به اقدامات قانونی (مدنی و جنایی) بکار برد.

قسمتی از واکنشهای ضمنی، گذشته از بازیابی سیستم های توافقی یا تحت تاثیر قرار گرفته به یک حالت امن اصلی، ابزارها و تکنیکهای حقوقی کامپیوتری را برای جمع آوری مدارک دیجیتال قابل اطمینان و دقیق برای ارائه به افرادی که نیاز به آگاهی از وقایع امنیتی دارند، فراهم می آورد.

اسناد دیجیتالی در اشکال گوناگونی استفاده می شود و ممکن است در مراوده با دیگران برای اهداف مختلفی مورد استفاده قرار گیرد، همچون ارائه در موارد تحقیقات قانونی در دادگاههای مدنی و جنایی، گزارشات داده شده به اشخاص حقوقی، مدیران امنیتی ISP و حسابرسی مربوط به زیانهای مالی ناشی از حوادث امنیتی کامپیوتر ها از جمله آنها است.

شبکه جهانی وب و یا وب درون سازمانی شما، ممکن است بطور ذاتی بیشتر از همه سیستمهای اطلاعاتی آسیب پذیر باشد.

علاوه بر وابستگی های امنیتی مرسوم در مسیریابهای شبکه، هابها، پراکسی ها، دیوارهای آتش، سیم کشی و امکانات فیزیکی شبکه، وب و انواع مختلف آن در معرض حملات گسترده هستند و از طرفی در سوی دیگر این قضیه سیستمهای نرم افزاری خدمات دهنده/خدمات گیرنده وجود دارند که در نهایت، این حملات به آنها برخورد خواهد کرد و این به علت نوع طراحی وب است.

این واقعیت که وب کنترل شکل واسط کاربر را به دست می گیرد و با فراهم کردن امکانات طراحی به نوعی احساس نویسندگان صفحات وب را ابراز می دارد که این موارد خصوصاً در معماری سرویس گیرنده های کم کار فراهم شده است، باعث می شود امن ساختن برنامه های کاربردی وب نسبت به نرم افزارهای مرسوم سخت تر شود.

اصل و ریشه سختی ها از پیچیدگی تقابل بین سرویس دهنده و سرویس گیرنده، برنامه نویس و مدیر، مهندس شبکه و ارائه دهنده خدمات جانبی، برنامه های مربوط به سرویس گیرنده کم کار و سیستم عامل حجیم مربوط به سرویس دهنده، هکر خرابکار و قربانی که نیاز به ذکر ندارد، ناشی می شود.

سرویس گیرنده های کم کار قادر نیستند از خودشان در مقابل حملات به خوبی دفاع کنند در حالیکه سرویس گیرنده های پرکار قادرند به نحو بهتری از خودشان دفاع کنند، چون شما هیچ گونه کنترلی بر روی ویژگیها و نحوه عملکرد نرم افزارهای سرویس گیرنده یا محیط آن ندارید.

این امر تقریباً بار مسئولیت امنیتی را بر روی وب سرور ها تحمیل می کند.

بیشترین پتانسیل وب از توسعه پذیری، دسترسی جامع و قابلیت برنامه نویسی آن ناشی می شود و مشکلترین آن مدیریت امنیتی هر چیزی که به آن متصل می گردد.

وب می خواهد که توانایی کاربران را در تشخیص بین نرم افزاری که درحال اجرا در کامپیوتر محلی شان است، که ممکن است به داده هایی که برای آنها مهم هستند دسترسی داشته باشد یا حتی آنها را نابود کند، با نرم افزاری که در سرور اجرا می شود را محو نماید.

در حقیقت همان فناوری اطلاعاتی که برای به کاربردن داده و برنامه های کاربردی در روی اینترنت جهانی استفاده می شود می تواند در شبکه های داده خصوصی در سازمانها و حتی در کامپیوترهای خدمات گیرنده کاربران نهایی، جایی که ممکن است در وهله اول دلیلی برای وجود خدمات شبکه وجود نداشته باشد، مورد استفاده قرار گیرد؛ این بدان معناست که هکرهای کلاه سیاه می توانند مهارتهای خسارت بار خودشان را به واسطه در امان بودن از شناسایی با توجه به گمنامی در اینترنت عمومی افزایش داده و سپس حملات را علیه شبکه خصوصی شما آغاز کنند، یا بدتر از آن، آنها می توانند به شرکت شما برای کار بیایند و حملات خود را از داخل سازماندهی کنند.

تهدیدهای امنیتی داده در سرورهای وب شما باید امنیت داده ها را کاملاً درک کنید و گرنه خود به عنوان اولین تهدید و خطر محسوب می شوید.

هر چیزی که شما می توانید در یک کامپیوتر سرور که در حال اجرای IIS است، انجام دهید، هر شخص دیگری هم در صورتی که بتواند با موفقیت خود را به جای شما جا بزند می تواند انجام دهد.

هر میانبری که شما برای ساده سازی و راحتی کار خود فراهم می کنید، به عنوان مثال فراهم کردن امکان دسترسی از راه دور به کامپیوترهای سرور توسط مدیر از خانه، حذف کلمه های عبور برای سیستم هایی که می تواند فقط از درون شبکه خصوصی شما مورد دستیابی قرار گیرد و یا قرار دادن یک راه حل برقراری ارتباط واحد که امتیاز دسترسی به همه منابع کلمه های عبور محافظت شده را بواسطه یک مرحله احراز هویت فراهم کند و مواردی از این دست محافظت از احراز هویت شما را بسیار بحرانی می سازد.

خطر انسانهای مهاجم یا حتی برنامه هایی که کلمه عبور شما را به سرقت می برند و از آن برای ورود با بهره گیری از امتیاز شما استفاده می کنند، محدود نیست.

اگر شما نیاز است فقط یک بار عملیات احراز هویت را و آن هم موقع ورود انجام دهید، این باعث خواهد شد که کدهای مخربی که آنها را بدون شناخت اجرا می کنید یا کدهایی که با استفاده از آسیب پذیری سرریز بافر موجود در سرویسهایی که توسط شما شروع می شوند خود را به طور خودکار اجرا می کنند، در بستر امنیتی شما با استفاده از حق امتیازتان اجرا شود.

بدون امنیت اضافی، چنین کد مخربی هیچگاه نگران سرقت کلمه های عبور شما نیست؛ می تواند به سادگی یک تروجان را نصب کند که از اجرای کد مخرب محافظت نموده یا آنرا موقعی که شما وارد سیستم می شوید دوباره فعال نماید.

پیش از اینکه دیوارها را برای سادگی مدیریتی از بین ببرید، شما باید بیشتر از آن این دیوارها را برای جلوگیری خود از انجام وظایف مدیریتی و برنامه نویسی بدون احراز هویت یکتا اضافی برای هر نوع فعالیت، بنا بنهید.

کلمه های عبوری که یکبار در هر نقطه احراز هویت مورد استفاده قرار گرفته، بایستی با لیست های کلمه عبور یا الگوریتم های مولد کلمه عبور ترکیب شده تا کلمه عبوری که در احراز هویت بعدی مورد استفاده قرار گیرد را تدارک ببیند؛ این یکی از تنها روشهای محافظت در برابر سرقت کلمه عبور از طریق ثبت کننده های کلیدهای تایپ شده، نگاه کردن از پشت شانه کسی هنگام ورود کلمه عبور، دوربین های مخفی، یا سایر تاکتیکهایی مزاحمان برای تسخیر کلمه های عبور محرمانه هنگامیکه توسط صفحه کلید وارد می شوند، است.

شکل 2 احراز هویت لایه بندی شده با استفاده از لیست های کلمه عبور از پیش تعیین شده را نشان می دهد.

این قبیل لیست ها بعنوان "دفترچه یاداشت یک بار مصرف"شناخته می شوند، این درحالی است که این لیستها ترجیحاً به عنوان کلیدهای رمزنگاری مورد استفاده قرار می گیرند تا اینکه به عنوان سیستم کنترل دسترسی کلمه های عبور استفاده شوند.

به منظور همخوانی با دفترچه یاداشتی که حاوی لیست کلمه های عبور یک بار مصرف مربوط به احراز هویت است، باید از استفاده از کلمه عبور یکتا جلوگیری شود زیرا کلمه های عبوری که یک بار مورد استفاده قرار گرفتند دیگر دارای ارزش نیستند.

برای گیج کردن بیشتر یک حمله کننده، کسی که جلو عملیات مربوط به دفترچه یاداشت یک بار مصرف را می گیرد ولی در استراق سمع هر جلسه احراز هویت موفقیت آمیز شکست می خورد، می توان کلمه های عبور را با استفاده از چند کلید بخاطر سپردنی ساده که هرگز از لیست کلمه های عبور بدست نمی آید، رمزنگاری کرد.

در این روش لیستهای کلمه عبور به تنهایی بدون داشتن دانش اضافی از کلید رمزنگاری محرمانه، برای تایید اعتبار نمی توانند مورد استفاده قرار گیرند.

لیستهای کلمه عبور استفاده شده سابق، مخصوصاً زمانی که در یک مدل احراز هویت لایه ای از آنها استفاده شده بطوری که یک کلمه عبور منفرد اجازه کنترل نامحدود بر منابع حفاظت شده را ندهد، اساساً کلمه عبور با امنیت بهتر، با هزینه کمتر و بدون دردسر نامعقول برای شما، مدیر یا برنامه نویس، یا کاربران نهایی تدارک می بیند.

شکل 2 : احراز هویت لایه ای بوسیله لیست کلمه های استفاده شده سابق سیستمهای شناسایی بایومتریک و فناوری های دیگر می تواند به همراه کلمه عبور برای بهبود احراز هویت مورد استفاده قرار گیرد، اما بخاطر داشته باشید که هیچ یک از محافظتهای امنیتی داده که شما آنها را به خوبی اجرا کرده اید، وقتی که شخص ثالثی بتواند کامپیوتر را از برق کشیده و آنرا به بیرون حمل کند و سپس همه داده های روی دیسک سخت آنرا بخواند، چندان موثر نخواهد بود.

در حقیقت شما می توانید دیسک سخت یک سیستم از کار افتاده را به کامپیوتر دیگری متصل کنید و به داده های آن دسترسی داشته باشید، شاید این امر برای جبران خرابی مفید باشد، اما باید این امکان بعنوان یک آسیب پذیری امنیتی در نظر گرفته شود.

اگر شما رمزنگاری سیستم فایل را مورد استفاده و گسترش قرار ندهید، رفتن شما به دریایی خروشان با فناوری های احراز هویت ناجور، گران و پیچیده و موانع اضافی دیگر برای باز داشتن خود از انجام موثر و یکپارچه کارهای مدیریتی و برنامه نویسی روزانه، کاری بس بیهوده خواهد بود.

یکی دیگر از تهدیدهای زیرکانه ای که در مورد آن باید آگاه بود این است که ممکن است سرور وب شما بیش از آنچه انتظار دارید مورد استفاده قرار گیرد.

استفاده بیش از اندازه می تواند حالت قطع خدمات را سبب شود بطوریکه تمام پهنای باند اشباع شده یا منابع محاسباتی سرور همانند به اتمام رسیدن فضای آزاد دیسک یا سرعت پردازنده محدود شود.

این امر همچنین مستقیماً منجر به خسارتهای مالی در شرایط خاصی می شود، مانند وقتی که ISP شما دارای یک سیاست صدور صورت حسابی است که صورت حساب شما را بر مبنای ترافیک کل شبکه محاسبه می کند یا اگر برنامه کاربردی وب شما یک اتصال زنده به سیستمی را فراهم کند که مسئولیت تراکنش دستمزدها را بر عهده دارد.

فن سوء استفاده از کارت اعتباری در بین هکرها شناخته شده است، سایتهای وب تجارت الکترونیکی که عملیات بازبینی کارتهای اعتباری را بطور مستقیم و زنده انجام می دهند بطوریکه بازخورد بلادرنگ درباره موفقیت یا عدم موفقت در تلاش برای خرید را به مشتریان ارائه می دهند، می توانند برای پیشگویی شماره کارتهای اعتباری و تاریخ انقضاء آنها مورد سوء استفاده قرار گیرند.

در زمینه امنیت اطلاعات، به هر سیستمی که بطور صحیح به ورودی جواب بدهد و بدان وسیله حمله کنندها را قادر سازد که بطور مکرر ورودی های نامعتبر را شناسایی کرده تا در نهایت به ورودی معتبر یا حتی قسمتی از آن دست یابد، oracle یا پیشگو می گویند.

حمله کنندگان می دانند که می توانند با ارسال هزاران شماره کارتهای اعتباری و تاریخ انقضاء آنها برای سایتهای وب و ترکیب اندک نتایج آن با یک خرید موفق شماره کارتهای معتبر را آشکار کنند.

این نوع سوء استفاده ها، این خصیصه را که بعضی از توسعه دهندگان وب برای هر تجارت الکترونیکی در مسئولیتهای مالی اساسی می دانستند به یک تهدید درهم گسیخته به هر کسی که شماره کارت اعتباری آن ممکن است از طریق یک حمله از نوع پیشگویی کشف شود، تغییر داده است.

چندین سال قبل یک پژوهشگر امنیتی یک حمله از نوع پیشگویی علیه پروتکل لایه سوکت امنیتی(SSL) کشف کرد که با استفاده از پاسخهای یک سرور SSL به حدود یک میلیون پیغام غیر معتبر با دقت ساخته شده، کلید امنیتی سرور را بدرستی استنباط می کرد.

این نوع از آسیب پذیریها ارتباطات آینده را به خطر می اندازد؛ از لحظه ای که یک حمله کننده بتواند خود را بعنوان یک سرور SSL معتبر جا بزند و نیز هر ارتباط بعدی که سرور معتبر با سرویس گیرنده ها دارد را رمزگشایی کند، از آن لحظه به بعد همه ارتباطات ایمنی که سرور در گذشته با استفاده از آن کلید داشته را به خطر می اندازد، زیرا هر کسی که بخوبی همه ترافیک به/از سرور را بدرستی ضبط کرده است، می تواند با عطف به ما سبق بخشهای رمزنگاری شده همه ترافیک قبلی را کشف رمز نماید.

از این نوع خطرها آگاه باشید و کلیدهای رمزگذاریتان را هر زمانی که ممکن است تغییر دهید، این امر در مواقع سرقت یکی از کلید ها باعث می شود که خسارتهای ناشی از آن به حداقل برسد.

سیل استفاده کننده گان همیشه ماهیت مخربی ندارد.

وب سایت محبوب slashdot.org ملاحظه کرد که سایر سایتهای وب که فوق اتصال آنها در slashdot.org بود اغلب به علت سیل بازدید کنندگان به حالت قطع خدمات تن در می دهند.

بنابراین علت قطع خدمات به سبب سیل استفاده کنندگان بدون هیچ گونه سوء نیتی به تاثیر slashdot اشاره داشت.

در هنگام سیل ناگهانی استفاده کنندگان میانگین کیفیت بازدیدکنندگان اغلب کاهش می یابد چون جویندگان کنجکاو و کابرانی که غلط راهنمایی شده اند، کسانی که از مراجعه به آن سایت بهره واقعی نبردند، در زمانهای بعدی به آن سایت برای انجام کارهای خویش مراجعه نخواهند کرد.

دلایل زیادی در بوجود آمدن سیل استفاده کنندگان موثر است و حالت قطع خدمات موقعی به یک مشکل تبدیل می شود که برای سرویس دادن به درخواستها به بیش از منابع محاسباتی و شبکه ای موجود نیاز باشد.

شکل 3 : سیل کاربران بدون هر گونه سوء نیت استفاده بیش از حد می تواند بطور غیر مستقیم خسارتهای مالی را در پی داشته باشد، همچنین دیسکهای سخت و سایر تجهیزات کهنه و فرسوده شده بایستی زودتر از آنچه انتظار داریم تعویض شوند.

شکل 3 ضربه مالی ناشی از سیل استفاده کنندگان را نشان می دهد.

اغلب یک ارتباط مستقیمی بین مقدار استفاده و زمان و تلاش مورد نیاز برای مدیریت امنیتی، مرور گزارشات ورود روزانه و انجام وظایف مدیریتی روزانه وجود دارد.

اگر شما آمادگی لازم را برای سپری کردن این زمان اضافی ندارید، بهتر است که سرور را در حالت برون خط رها کنید یا نرخ استفاده کنندگان را محدود کنید بطوری که نرخ استفاده کنندگان نتواند از توانایی شما برای مدیریت رشد استفاده کنندگان مادامی که از امنیت و محافطت مطمئنی در برابر تهدیدها برخوردارید، تجاوز کند.

مگر اینکه شما مطمئن هستید که یک مقدار زیاد ترافیک مورد انتظار و پذیرش است، هر نقطه در ترافیک باید مورد توجه و بازرسی قرار گیرد و نقاط ترافیکی با منابع مخرب باید بدقت مورد رسیدگی قرار گرفته و توانایی آنها در دسترسی به سرور شما در آینده مسدود شود.