کنفرانس ملی امنیت اطلاعات

1. رایانش ابری و نقش آن در امنیت بررسی راهکارجداسازی اینترنت از شبکه داخلی کنفرانس ملی امنیت اطلاعات علی کیائی فر - مدیر تحقیق و توسعه شرکت آینده نگاران (آیکو) Kiaeifar@ayco.ir 19 تیرماه 91 - تهران www.ayco.ir

2. امنیت در فضای کسب و کار sub-title goes like this • امنیت یک کمیت نسبی است. امنیت صفر و یک نیست. • امنیت یعنی کاهش ریسک خطرات و رساندن آن زیر آستانه قابل تحمل. • امنیت اطلاعات مجموعه ای است از تدابیر ، روش ها و ابزارهابرای جلوگیری از دسترسی، سرقت، جاسوسي، خرابكاري و تغییرات غیر مجاز • به مخاطره افتادن هريک از سامانه‌هاي عملياتي و اطلاعاتي حساس مانند نیروگاه ها، پالایشگاه ها، وزارتخانه ها و مراکز تحقیقاتی و نظامی مي‌تواند تبعات اجتماعي، سياسي و امنيت ملي به وجود آورد. • یک بدافزار کامپیوتری می‌تواند به راحتی باعث نابودی یک نیروگاه، پالایشگاه، کارخانه و ... شود. • امروزه بدافزارها، جنگ افزارهای نوین هستند. • مرزهای مجازی جدید در نبردهای سایبری بوجود آمده اند.

3. اقدامات دفاعی فعلی در برابر حملات سایبری در سالهای گذشته با تشخیص ضرورت دفاع در برابر حملات سایبری اقداماتی به شرح زیر کمابیش انجام شده است: • امنیت فیزیکی (شبکه زیرساخت) • نصب آنتی ویروس تحت شبکه و بروز رسانی آن • نصب Firewall • نصب IPS و IDS • بازنگری در سیاست های امنیتی • بروز کردن سیستم عاملهای Serverها و سیستم های کاربران با استفاده از Patch Management • اتخاذ Policyهای مناسب برای Passwordها • ايجاد محدوديت در برخي از ضمايم پست الکترونيکي • طراحی سیستم Backup • ارتقاء آموزش های امنیتی به کاربران • و ....

4. نتیجه اقدامات امنیتی؟؟؟ ویروس استاکس نت با عبور از سیستمهای دفاعی به مراکز کنترل نیروگاهها و مراکز صنعتی حمله کرد! • ویروس استاکس نت با انتشار از طریق CoolDisk به قلب نیروگاهها راه یافت. • از تمام لایه های دفاعی تعریف شده عبور کرد. • از سیستم های کنترل به PLCها نفوذ کرد. • مدتها فعالیت می کرد بدون اینکه کسی متوجه حضورش شود. • در این مدت با روشی پیچیده اطلاعات مورد نیازش را از طریق CoolDisk اپراتورها از نیروگاه خارج می کرد. • آنچه که استاکس نت می توانست بکند و خوشبختانه نکرد!

5. اقدامات اصلاحی ما پس از تجربه استاکس نت: تشدید اقدامات دفاعی قبلی: • حذف Firewallهای خارجی و جایگزین کردن آنها با نمونه های داخلی. • بکار بردن Firewallهای چند لایه • محدود سازی دسترسی ها به USB Portها • بکارگیری Antivirusهای اورجینال در دو لایه Endpoint و Gateway • طراحی و پیاده سازی سیستم مدیریت امنیت اطلاعات بر مبنای استاندارد ISO27001 • اجرای دوره ای تست نفوذ • ارزیابی امنیت نرم افزارهای کاربردی • ارزیابی دوره ای آسیب پذیری ها • ایجاد مرکز عملیات و مانیتورینگ امنیت(SOC) • محدود سازی دسترسی به اینترنت برای کاربران تا حد امکان

6. نتیجه تشدید اقدامات امنیتی ؟؟؟ ویروس شعله (Flamer) بعد از 2 سال فعالیت مرموز کشف شد! • ویروس Flamer بعد از دو سال فعالیت خاموش شناسایی شد. • این ویروس با وجود همه آنتی ویروس ها و بروز بودن همه Serverها توانست به قلب شبکه ها ازجمله وزارت نفت نفوذ کند. • از تمام لایه های دفاعی تعریف شده عبور کرد. • Flamer به مراتب از ویروس استاکس نت قوی تر و کارا تر است.

7. ویژگیهای بدافزار Flamer ویروس شعله (Flamer) بعد از 2 سال فعالیت مرموز کشف شد! • انتشار از طریق حافظه های فلش • انتشار در سطح شبكه • اسکن شبكه و جمع آوری اطلاعات منابع شبكه و رمز عبور سیستم­های مختلف • جستجو دركامپیوتر آلوده برای فایل­هایی با پسوندها و محتوای مشخص • تهیه تصویر از فعالیت­های خاص كاربر با عکس گرفتن از مانیتور کاربر • فعال سازی میکروفون و ضبط صدای محیط و ارسال آن به مقصد • ارسال اطلاعات ذخیره شده به سرورهای كنترل خارج از كشور • دارا بودن ده ها دامنه مورد استفاده به عنوان سرور C&C • برقراری ارتباط امن با سرورهای C&C از طریق پروتكل های SSH و HTTPS • شناسایی و از كار انداختن بیش از 100 نرم افزار آنتی ویروس، ضد بدافزار، فایروال و ... • قابلیت آلوده سازی سیستم­های بروز شده ویندوز XP، ویستا و ویندوز 7 • قابلیت آلوده سازی سیستم­های یك شبكه در مقیاس بالا

8. ویژگیهای بدافزار Flamer ویروس شعله (Flamer) بعد از 2 سال فعالیت مرموز کشف شد! • بقدری ساخت آن ماهرانه و دقیق است که در وجود یک دولت با پشتوانه مالی قوی برای ساخت آن تردیدی وجود ندارد. • تکنولوژی ساخت چنین بدافزاری از تکنولوژی ساخت هواپیماهای بدون سرنشین قطعا پیشرفته تر است. • هدف اصلی طراحان این ویروس همانند ویروس استاکس نت، ایران بوده است. • اجزای کشف شده این ویروس بگونه ای نوشته شده اند که در نگاه اول به نظر نمی رسد حاوی کدهای مخرب باشند. • کدهای این ویروس بسیار پیچیده است و تحلیل کامل آن ماه ها و شاید سالها زمان ببرد. • در تمام اجزای خود از روشهای رمزگذاری پیچیده ای استفاده کرده است.

9. ویژگیهای بدافزار Flamer ویروس شعله (Flamer) بعد از 2 سال فعالیت مرموز کشف شد! • این بدافزار همزمان دارای یک مترجمLUA، کد SSH، و قابلیت های SQL است. پیاده سازی و استفاده از یک مترجم LUA باعث شده این ویروس بسیار قابل انعطاف و قابل تنظیم باشد. این به مهاجمان اجازه می دهد از راه دور بتوانند فرمانهای متنوع خود را خیلی سریع و راحت به اجرا درآورند و حتی ماهیت عملکرد ویروس را از راه دور تغییر دهند. • طبیعت ماژولار این بدافزار نشان می دهد که یکی از اهداف گروه طراحان آن، استفاده بلندمدت از این بدافزار برای طراحی حملات خود بوده است. • پس از شناسایی این ویروس سازندگان آن دستور خودکشی آنرا صادر کردند تا برخی از رازهای آن همچنان ناشناخته بماند.

10. درس هایی که از مواجهه با استاکس نت و Flamer گرفتیم خاگریزهای دفاع سایبری را باید جلوتر کشید. • خاکریزهای دفاعی را در جای مناسبی بنا نکرده ایم. • بجای تمرکز بر دفاع در داخل شبکه خود لازم است خاکریز دفاعی خود را خارج از شبکه داخلی قرار دهیم. (Cloud Computing) • بکار بردن Firewallهای چند لایه وسیاستهای کنترل فیزیکی و ... هرگز نتوانسته تضمینی برای کنترل حملات باشد. • مهاجمان برای طراحی حملات خود هزینه های مالی بسیار زیادی کرده اند. برای دفاع در برابر این مهاجمان مسلح باید هزینه کرد. • معاون وزیر ارتباطات: سازمان‌ها جداسازی اینترنت از اینترانت را جدی بگیرند. (12 اردیبهشت ماه 1391)

11. ضرورت جداسازی اینترنت از شبکه داخلی استفاده از Virtual Applications به منظور جداسازی • جداسازی شبکه اینترنت از شبکه داخلی یعنی بستن راه اصلی نفوذ مهاجمان. • انواع جداسازی: • 1- جداسازی فیزیکی • 2- جداسازی با تکنولوژی Virtual Applications • جداسازی فیزیکی مشکلات و محدودیتهای زیادی در پی دارد. (تامین منابع برای دو شبکه، مدیریت دو شبکه و ...). در نهایت سازمان بدلیل رفع نیازها ناچار خواهد بود دو شبکه را به هم وصل کند! • جداسازی با استفاده از تکنولوژی مجازی سازی نرم افزارها راهکاری ارزان، سریع و مطمئن.

12. جداسازی فیزیکی اینترنت از شبکه داخلی استفاده از Thin Client و Virtual Applications به منظور جداسازی • به منظور کاهش هزینه های سخت افزاری استفاده از ترکیب Thin Client و روشهای مجازی سازی Applicationها برای جداسازی توصیه می شود. • در این روش بر روی Thin Clientها هیچگونه اطلاعاتی ذخیره نمی شود. • دسترسی به اینترنت از طریق Application Publishing بر روی یک Server که به اینترنت متصل است انجام می شود.

13. راهکار جداسازی اینترنت از شبکه داخلی استفاده از Virtual Applications به منظور جداسازی

14. راهکار جداسازی اینترنت از شبکه داخلی استفاده از Virtual Applications به منظور جداسازی • Virtual Applications گامی است در جهت حرکت سازمان به سوی رایانش ابری (Cloud Computing) • در شکل صفحه قبل فقط یک کامپیوتر اینترنت دارد که خارج از شبکه داخلی است. • کاربران بر روی Desktop خود یک Shortcut از Firefox می بینند درحالیکه Firefox روی سیستم آنها نصب نیست. • وقتی کاربر بر روی Firefox،Double Click می کند، سرور مجازی ساز (2X)، نرم افزار Firefox را از روی سرور اینترنت فراخوانی کرده و فقط تصویر آنرا برای کاربر ارسال می کند. • به این ترتیب کاربر بدون اینکه کاربر متوجه تغییر خاصی شود با Firefox به راحتی کار می کند. • تمام فایلهایی که Download می کند بر روی سرور اینترنت دانلود می شوند. • اگر حمله ای اتفاق بیفتد نهایتا کامپیوتر متصل به اینترنت به خطر می افتد که تهدید مهمی نیست.

15. رایانش ابری و نقش آن در امنیت جداسازی شبکه ها تنها یکی از کاربردهای Cloud Computing است. • جداسازی اینترنت از شبکه داخلی تنها یکی از قابلیتهای Application Virtualization است. • بحث در مورد ویژگی های Cloud Computing خارج موضوع سمینار است. اما از دیدگاه امنیتی مزایای زیر را در پی دارد: • کاهش ریسک • مشخص بودن مسئولیت ها • حذف اطلاعات وبرنامه های سازمان از روی سیستم های غیر متمرکز • عدم وابستگي به سيستم عامل سمت كاربر • متمرکز کردن اطلاعات و بالا بردن ضريب امنيتي شبکه و داده ها • نصب آسان Patchهای نرم افزارها • بروز رسانی آسانی نرم افزارها • عدم ذخیره اطلاعات سمت کاربر • آسان شدن تهیه نسخه پشتیبان از اطلاعات • گزارش متمرکز از کارکرد افراد سازمان • و ......

16. پایان