چگونه فناوری داده را امنیت دار کنیم؟

گام ۱ – فناوری‌های امنیت اطلاعات

طبقه‌بندی(INFOSEC)
طبقه‌بندی، دسته‌بندی اشیا است در یک فهرست سازمان یافته یا در قالب یا روابط سلسله‌مراتبی که روابط طبیعی بین اشیا را نشان می‌دهد (Conway & Sliger، ۲۰۰۲). طبقه‌بندی به عنوان یک فرایند، عبارت است از ایجاد نظامی منطقی از رتبه‌ها که در آن، هر رتبه از تعدادی اشیا تشکیل شده، به گونه‌ای که در صورت نیاز می‌توان به آسانی به اجزای آن دسترسی پیدا کرد.

طبقه‌ بندی ارائه‌ شده در مقاله حاضر از فناوری‌های امنیت اطلاعات، در وهله اول براساس دو ویژگی پایه‌گذاری شده:

۱٫ براساس مرحله خاصی از زمان: بدین معنا که در زمان تعامل فن آوریفناوری با اطلاعات، عکس‌ العمل لازم در برابر یک مشکل امنیتی می‌ تواند کنشگرایانه (کنشی)(Proactive) یا واکنشی (Reactive) باشد (Venter & Eloff، ۲۰۰۳).

غرض از «کنشگرایانه»، انجام عملیات پیشگیرانه قبل از وقوع یک مشکل خاص امنیتی است. در چنین مواردی به موضوعاتی اشاره می گردد که ما را در پیشگیری از وقوع یک مشکل کمک خواهد کرد ( چه کار باید انجام دهیم تا …؟).

غرض از «واکنشی» انجام عکس‌العمل لازم پس از وقوع یک مشکل خاص امنیتی است. در چنین مواردی به موضوعاتی اشاره می‌گردد که ما را در مقابله با یک مشکل پس از وقوع آن، کمک خواهند کرد (اکنون که … چه کار باید انجام بدهیم؟).

۲٫ براساس سطوح پیاده‌سازی نظام‌ های امنیتی در یک محیط رایانه‌ای: فناوری امنیت اطلاعات را، خواه از نوع کنشی باشد یا واکنشی، می‌توان در سه سطح – سطح شبکه(Network Level )، سطح میزبان(Host Level)، سطح برنامه کاربردی(Application Level)- پیاده‌سازی کرد. (Venter & Eloff، ۲۰۰۳). بدین منظور می‌توان نظام امنیتی را در سطح شبکه و خدمات ارائه شده آن، در سطح برنامه کاربردی خاص، یا در محیطی که شرایط لازم برای اجرای یک برنامه را فراهم می نماید (سطح میزبان) پیاده کرد.

شکل ۱ فناوری‌های امنیت اطلاعات را براساس دو ویژگی یاد شده ترسیم می‌نماید. توصیف مختصری از هریک از فن آوریفناوری ها در بخش‌های بعد ارائه خواهد شد.

الف. فناوری‌های امنیت اطلاعات کنشگرایانه
۱٫ رمزنگاری (Cryptography)
به بیان ساده، رمزنگاری به معنای «نوشتن پنهان»، و علم حفاظت، اعتمادپذیری و تأمین تمامیت داده‌ها است (McClure, Scambray, & Kurtz، ۲۰۰۲). این علم شامل اعمال رمزگذاری، رمزگشایی و تحلیل رمز است. در اصطلاحات رمزنگاری، پیام را «متن آشکار»(plaintext or cleartext)می‌نامند. کدگذاری مضامین را به شیوه‌ای که آن‌ها را از دید بیگانگان پنهان سازد، «رمزگذاری»(encryption)یا «سِرگذاری» ( encipher)می‌نامند* . پیام رمزگذاری شده را «متن رمزی»(ciphertext)، و فرایند بازیابی متن آشکار از متن رمزی را رمزگشایی( decryption)یا «سِّرگشایی»(decipher)می نامند.

الگوریتم‌هایی که امروزه در رمزگذاری و رمزگشایی داده‌ها به کار می‌روند از دو روش بنیادی استفاده می کنند: الگوریتم‌های متقارن، و الگوریتم‌های نامتقارن یا کلید عمومی. تفاوت آن‌ها در این است که الگوریتم‌های متقارن از کلید یکسانی برای رمزگذاری و رمزگشایی استفاده می‌کنند، یا این که کلید رمزگشایی به سادگی از کلید رمزگذاری استخراج می‌شود (مثل: DES(Data Encryption Standard)، CCEP(The Commercial Comsec Endoremment Program)، IDEA(International Data Encryption Algoritm)، FEAL ). در حالی که الگوریتم‌های نامتقارن از کلیدهای متفاوتی برای رمزگذاری و رمزگشایی استفاده می‌کنند و امکان استخراج کلید رمزگشایی از کلید رمزگذاری وجود ندارد. همچنین کلید رمزگذاری را کلید عمومی، و کلید رمزگشایی را کلید خصوصی یا کلید محرمانه می‌نامند (مثل: RSA ، LUC).

تجزیه و تحلیل رمز(cryptanalysis)، هنر شکستن رمزها و به عبارت دیگر، بازیابی متن آشکار بدون داشتن کلید مناسب است؛ افرادی که عملیات رمزنگاری را انجام می‌دهند، رمزنگار(cryptographer)نامیده می‌شوند و افرادی که در تجزیه و تحلیل رمز فعالیت دارند رمزکاو(cryptanalyst)هستند.

رمزنگاری با تمام جوانب پیام‌رسانی امن، تعیین اعتبار، امضاهای رقومی، پول الکترونیکی و نرم افزارهای کاربردی دیگر ارتباط دارد. رمزشناسی(cryptology)شاخه‌ای از ریاضیات است که پایه‌های ریاضی مورد استفاده در شیوه‌های رمزنگاری را مطالعه می‌کند (“آشنایی با …”، ۱۳۸۳).

رمزنگاری یک فناوری امنیت اطلاعات از نوع کنشگرایانه است، زیرا اطلاعات را قبل از آن که یک تهدید بالقوه بتواند اعمال خرابکارانه انجام دهد، از طریق رمزگذاری داده‌ها ایمن می‌سازند. به علاوه، رمزنگاری در سطوح متنوع، به طوری که در طبقه‌بندی شکل ۱ بیان شد، در سطوح برنامه‌های کاربردی و در سطوح شبکه قابل پیاده‌سازی است.

۲٫ امضاهای رقومی (digital signatures)
امضاهای رقومی، معادل «امضای دست‌نوشت» و مبتنی بر همان هدف هستند: نشانه منحصر به فرد یک شخص، با یک بدنه متنی (Comer، ۱۹۹۹، ص. ۱۹۱). به این ترتیب، امضای رقومی مانند امضای دست‌نوشت، نباید قابل جعل باشد. این فناوری که با استفاده از الگوریتم رمزنگاری ایجاد می‌شود، تصدیق رمزگذاری‌شده‌ای است که معمولاً به یک پیام پست الکترونیکی یا یک گواهی‌نامه ضمیمه می‌شود تا هویت واقعی تولیدکننده پیام را تأیید کند.
امضای رقومی یک فناوری امنیت اطلاعات از نوع کنشگرایانه است، زیرا قبل از وقوع هر تهدیدی، می‌توان با استفاده از آن فرستنده اصلی پیام و صاحب امضا را شناسایی کرد. به علاوه این فناوری در سطح یک برنامه کاربردی قابل پیاده‌سازی است. در این سطح، امضای رقومی در یک برنامه کاربردی خاص و قبل از آن که به یک گیرنده خاص فرستاده شود، ایجاد می‌گردد.

۳٫ گواهی‌های رقومی(Digital certificates)
گواهی‌های رقومی به حل مسئله «اطمینان» در اینترنت کمک می‌کنند. گواهی‌های رقومی متعلق به «سومین دسته اطمینان»(trusted third parties)هستند و همچنین به «متصدی‌های گواهی» اشاره دارند (Tiwana، ۱۹۹۹). متصدی‌های گواهی، مؤسسات تجاری هستند که هویت افراد یا سازمان‌ها را در وب تأیید، و تأییدیه‌هایی مبنی بر درستی این هویت‌ها صادر می‌کنند. برای به دست‌آوردن یک گواهی، ممکن است از فرد خواسته شود که یک کارت شناسایی (مانند کارت رانندگی) را نشان دهد. بنابراین گواهی‌های رقومی، یک شبکه امن در میان کاربران وب، و مکانی برای تأیید صحت و جامعیت یک فایل یا برنامه الکترونیکی ایجاد می‌کنند. این گواهی‌ها حاوی نام فرد، شماره سریال، تاریخ انقضا، یک نسخه از گواهی نگاهدارنده کلید عمومی (که برای رمزگذاری پیام‌ها و امضاهای رقومی به کار می‌رود) می‌باشند** (Encyclopedia and learning center، ۲۰۰۴).

گواهی‌های رقومی، فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا از این فناوری برای توزیع کلید عمومی از یک گروه ارتباطی به گروه ارتباطی دیگر استفاده می‌شود. همچنین این روش، قبل از آن که هر ارتباطی بین گروه‌ها اتفاق بیفتد، اطمینان ایجاد می‌کند. این فناوری در سطح برنامه کاربردی قابل پیاده‌سازی است؛ مثلاً قبل از آغاز هر ارتباط مرورگر وب، تأیید می‌کند که آن گروه خاص قابل اطمینان می‌باشد.

۴٫ شبکه‌های مجازی خصوصی( virtual private networks)
فناوری شبکه‌های مجازی خصوصی، عبور و مرور شبکه را رمزگذاری می‌کند. بنابراین این فناوری برای تضمین صحت و امنیت داده‌ها، به رمزنگاری وابسته است. این شبکه بسیار امن، برای انتقال داده‌های حساس (از جمله اطلاعات تجاری الکترونیکی) از اینترنت به عنوان رسانه انتقال بهره می‌گیرد. شبکه‌های مجازی خصوصی، فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا داده‌ها قبل از آن که در شبکه عمومی منتشر شوند، با رمزگذاری محافظت می‌شوند و این باعث می‌گردد که تنها افراد مجاز قادر به خواندن اطلاعات باشند. به علاوه این فناوری در سطح شبکه قابل پیاده‌سازی است، و از فناوری رمزگذاری بین دو میزبان شبکه مجازی خصوصی، در مرحله ورود به شبکه و قبل از آن که داده‌ها به شبکه عمومی فرستاده شود، استفاده می‌گردد.
۵٫ نرم‌افزارهای آسیب‌نما( vulnerability scanners)

نرم‌افزارهای آسیب‌نما برنامه‌هایی برای بررسی نقاط ضعف یک شبکه یا سیستم یا سایت هستند. بنابراین نرم‌افزارهای آسیب‌نما یک نمونه خاص از نظام آشکارساز نفوذی از فناوری امنیت اطلاعات هستند (Bace، ۲۰۰۰، ص ۴-۳). همچنین این نرم‌افزارها به یک پویش فاصله‌مدار اشاره دارند؛ بدین معنا که میزبان‌های روی شبکه را در فواصل خاص و نه بطور پیوسته، پویش می‌کنند. به مجرد این که یک نرم‌افزار آسیب‌نما بررسی یک میزبان را خاتمه داد، داده‌ها در درون یک گزارش، نمونه‌برداری می‌شوند، که به یک «عکس فوری»(snapshot) شباهت دارد (مثل: cybercop scanner، cisco secure scanner، Net Recon).

نرم‌افزارهای آسیب‌نما، فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا از آن‌‌ها برای کشف عامل‌های نفوذی قبل از آن که بتوانند با عملیات‌های خرابکارانه یا بدخواهانه از اطلاعات سوء استفاده کنند، استفاده می‌شود. نرم‌افزارهای آسیب‌نما در سطح میزبان قابل پیاده‌سازی هستند.

۶٫ پویشگرهای ضد ویروس(Anti- virus scanner)
در دهه‌های گذشته ویروس‌های رایانه‌ای باعث تخریب عظیمی در اینترنت شده‌اند. ویروس رایانه‌ای یک قطعه مخرب نرم‌افزاری است که توانایی تکثیر خودش را در سراسر اینترنت، با یک بار فعال‌شدن، دارد (McClure et al، ۲۰۰۲). پویشگرهای ضد ویروس، برنامه‌های نرم‌افزاری هستند که برای بررسی و حذف ویروس‌های رایانه‌ای، از حافظه یا دیسک‌ها طراحی شده‌اند. این برنامه‌ها از طریق جستجوی کدهای ویروس رایانه‌ای، آن‌ها را تشخیص می‌دهند. اگرچه برنامه‌های حفاظت از ویروس نمی‌توانند تمام ویروس‌ها را نابود کنند، اما اعمالی که این برنامه‌ها انجام می‌دهند عبارت‌اند از: ۱) ممانعت از فعالیت ویروس، ۲) حذف ویروس، ۳) تعمیر آسیبی که ویروس عامل آن بوده است، و ۴) گرفتن ویروس در زمان کنترل و بعد از فعال‌شدن آن (Caelli, Longley, & Shain ، ۱۹۹۴).

پویشگر ضدویروس، یک فناوری امنیت اطلاعات از نوع کنشگرایانه است. این پویشگرها در سطوح متنوع، و به طوری که در طبقه‌بندی بیان شده در سطح برنامه‌های کاربردی و در سطح میزبان، قابل پیاده‌سازی هستند.

۷٫ پروتکل‌های امنیتی(security protocols)
پروتکل‌های امنیتی مختلفی مانند «پروتکل امنیت اینترنت»( Internet Protocol Security (IPsec)) و «کربروس»(kerberos)که در فناوری‌های امنیت اطلاعات طبقه‌بندی می‌شوند، وجود دارند. پروتکل‌ها فناوری‌هایی هستند که از یک روش استاندارد برای انتقال منظم داده‌ها بین رایانه‌ها استفاده می‌کنند، یا مجموعه‌ای از مقررات یا قراردادها هستند که تبادل اطلاعات را میان نظام‌های رایانه‌ای، کنترل و هدایت می‌کنند.

پروتکل‌های امنیتی، یک فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا برای حفاظت از اطلاعات حساس از یک پروتکل خاص امنیتی، قبل از آن که اطلاعات به وسیله خرابکاران به دست آید، استفاده می‌کنند. این فناوری در سطوح مختلف _ سطح برنامه کاربردی و سطح شبکه- قابل پیاده‌سازی است. مثلاً پروتکل «کربروس»، پروتکل و سیستمی است که از آن در تعیین اعتبار سیستم‌های اشتراکی استفاده می‌شود. «کربروس» برای تعیین اعتبار میان فرآیندهای هوشمند (نظیر از خدمت‌گیرنده به خدمت‌دهنده، یا ایستگاه کاری یک کاربر به دیگر میزبان‌ها) مورد استفاده قرار می‌گیرد و این تعیین اعتبار در سطح برنامه کاربردی و شبکه، قابل پیاده‌سازی است.

۸٫ سخت افزارهای امنیتی(Security hardware)
سخت افزار امنیتی به ابزارهای فیزیکی که کاربرد امنیتی دارند، اشاره می‌کندٍ؛ مانند معیارهای رمزگذاری سخت‌افزاری یا مسیریاب‌های سخت‌افزاری.

ابزارهای امنیت فیزیکی شامل امنیت سرورها، امنیت کابل‌ها، سیستم‌های هشداردهنده امنیتی در زمان دسترسی غیرمجاز یا ذخیره فایل‌ها بعد از استفاده یا گرفتن فایل پشتیبان هستند.

این فناوری یک فناوری امنیت اطلاعات از نوع کنشگرایانه است، زیرا داده‌ها را قبل از آن که تهدید بالقوه‌ای بتواند تحقق یابد، حفاظت می‌کنند. مثلاً از رمزگذاری داده‌ها به‌منظور جلوگیری از اعمال خرابکارانه و جرح و تعدیل ابزار سخت‌افزاری استفاده می‌شود. این فناوری در سطح شبکه قابل پیاده‌سازی است. مثلاً یک کلید سخت‌افزاری می‌تواند در درون درگاه میزبان برای تعیین اعتبار کاربر، قبل از آن که کاربر بتواند به میزبان متصل شود به کار رود، یا معیارهای رمزگذاری سخت‌افزار روی شبکه، یک راه حل مقاوم به دستکاری را فراهم آورد و در نتیجه ایمنی فیزیکی را تأمین نماید.

۹٫ جعبه‌های توسعه نرم‌افزار امنیتی(security software development kits (SDKs))
جعبه‌های توسعه نرم‌افزار امنیتی، ابزارهای برنامه‌نویسی هستند که در ایجاد برنامه‌های امنیتی مورد استفاده قرار می‌گیرند. «Java security manager» و «Microsoft.net SDKs» نمونه‌ نرم‌افزارهایی هستند که در ساختن برنامه‌های کاربردی امنیتی (مانند برنامه‌های تعیین اعتبار مبتنی بر وب) به کار می‌روند. این جعبه‌ها شامل سازنده صفحه تصویری، یک ویراستار، یک مترجم، یک پیونددهنده، و امکانات دیگر هستند. جعبه‌های توسعه نرم‌افزار امنیتی، فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا از آن‌ها در توسعه نرم افزارهای متنوع برنامه‌های کاربردی امنیتی (که داده‌ها را قبل از آن که تهدید بالقوه تحقق یابد، حفاظت می‌کنند) استفاده می‌شوند. به‌علاوه این فناوری در سطوح متنوع- سطح برنامه‌های کاربردی، سطح میزبان، سطح شبکه- قابل پیاده‌سازی است.

ب. فناوری‌های امنیت اطلاعات واکنشی
۱٫ دیوار آتش( firewalls)دیوار آتش
در اینترنت یک ابزار نرم‌افزاری، خصوصاً روی یک رایانه پیکربندی‌شده می‌باشد که به عنوان مانع، فیلتر یا گلوگاه بین یک سازمان داخلی یا شبکه امین و شبکه غیرامین یا اینترنت، نصب می‌شود (Tiwana، ۱۹۹۹). هدف از دیوار آتش جلوگیری از ارتباطات غیرمجاز در درون یا بیرون شبکه داخلی سازمان یا میزبان است (Oppliger، ۱۹۹۸، ص. ۵۸). دیوار آتش به عنوان اولین خط دفاعی در تلاش برای راندن عامل مزاحم، مورد توجه قرار می‌گیرد. اگرچه فناوری رمزگذاری به حل بسیاری از مشکلات ایمنی کمک می‌کند، به یک فناوری ثانوی نیز نیاز داریم. فناوری معروف به دیوار آتش اینترنت کمک می‌کند تا رایانه‌ها و شبکه‌های یک سازمان را از ترافیک نامطلوب اینترنت محافظت کنید. این فناوری برای پرهیز از مشکلات ایجاد شده در اینترنت یا گسترش آن‌ها به رایانه‌های سازمان طراحی می‌گردد. دیوار آتش بین نظام‌های سازمان و اینترنت قرار می‌گیرد. شکل ۲ این مفهوم را نشان می‌دهد (امنیت شبکه…، ۱۳۸۳).

دیوار آتش یک فناوری امنیت اطلاعات از نوع واکنشی است و مهم‌ترین ابزار امنیتی مورد استفاده برای کنترل ارتباطات شبکه‌ای بین دو سازمان که به یکدیگر اعتماد ندارند، می‌باشد. با قراردادن یک دیوار آتش روی هر ارتباط خارجی شبکه، سازمان می‌تواند یک دایره امنیتی تعریف نماید که از ورود افراد خارجی به رایانه‌های سازمان جلوگیری می‌کند. علاوه بر آن، دیوار آتش می‌تواند مانع نفوذ افراد خارجی به منابع موجود در رایانه‌های سازمان و گسترش نامطلوب روی شبکه سازمان شود. این فناوری در سطوح میزبان و در سطح شبکه قابل پیاده‌سازی است.

کنترل دسترسی به مجموعه سیاست‌ها و اقدامات مربوط به دادن اجازه یا ندادن اجازه برای دسترسی یک کاربر خاص به منابع، یا محدودکردن دسترسی به منابع نظام‌های اطلاعاتی برای کاربران، برنامه‌ها، پردازه‌ها یا دیگر سیستم‌های مجاز اطلاق می‌شود. هدف از این فناوری، حصول اطمینان است از این که یک موضوع، حقوق کافی برای انجام عملیات‌های خاص روی سیستم را دارد (King et al.، ۲۰۰۱). این موضوع ممکن است کاربر، یک گروه از کاربران، یک خدمت، یا یک برنامه کاربردی باشد. موضوعات در سطوح مختلف، امکان دسترسی به اشیای خاصی از یک سامانه را دارند. این شیء ممکن است یک فایل، راهنما، چاپگر یا یک فرایند باشد. کنترل دسترسی ابزاری است که امنیت شبکه را از طریق تأمین کاراکترهای شناسایی و کلمه عبور تضمین می‌کند و فناوری امنیت اطلاعات از نوع واکنشی است، زیرا دسترسی به یک نظام را به محض این که یک درخواست دسترسی صورت گیرد، مجاز می‌شمارد یا غیرمجاز. این فناوری در سطوح متنوع- در سطح برنامه کاربردی، در سطح میزبان و در سطح شبکه- قابل پیاده‌سازی است.

۳٫کلمات عبور(passwords)
کلمه عبور، یک کلمه، عبارت یا حروف متوالی رمزی است که فرد برای به‌دست آوردن جواز دسترسی به اطلاعات (مثلاً یک فایل، برنامه کاربردی یا نظام رایانه‌ای) باید وارد نماید (Lexico Publishing Group ، ۲۰۰۲). این کلمه برای شناسایی و برای اهداف امنیتی در یک نظام رایانه‌ای به کار می‌رود. به هر کاربر مجموعه معینی از الفبا و عدد اختصاص داده می‌شود تا به تمام یا قسمت‌هایی از نظام رایانه‌ای دسترسی داشته باشد. کلمه عبور، فناوری امنیت اطلاعات از نوع واکنشی است، زیرا به‌منظور گرفتن مجوز و دسترسی به نظام، به محض این که یک فرد یا فرایند بخواهد به یک برنامه کاربردی، میزبان یا شبکه متصل شود، به کار می‌رود. این فناوری در سطوح متنوع- در سطح برنامه کاربردی، سطح میزبان، سطح شبکه- پیاده‌سازی می‌شود.

۴٫ زیست‌سنجی(biometrics)
زیست‌سنجی، علم و فناوری سنجش و تحلیل‌داده‌های زیستی است. در فناوری اطلاعات، زیست‌سنجی معمولاً به فناوری‌هایی برای سنجش و تحلیل ویژگی‌های بدن انسان (مانند اثر انگشت، قرنیه و شبکیه چشم، الگوهای صدا، الگوهای چهره، و اندازه‌های دست) خصوصاً به‌منظور تعیین اعتبار اشاره دارد. یکی از ویژگی‌های ذاتی علم زی