تنظیمات امنیت شبکه؛ از تست نفوذ تا فایروال ویندوز و میکروتیک (پودمان چهارم)

هر کسب‌وکار الکترونیکی‌ای که در پودمان‌های قبل ساختیم، اگر امن نباشد یک فروشگاه باز با درِ باز است! پودمان چهارم کتاب تجارت الکترونیک و امنیت شبکه دو نیمه دارد: اول می‌فهمیم حمله‌ها چطور انجام می‌شوند (چون دفاع بدون شناخت حمله ممکن نیست) و بعد با فایروال، دژ دفاعی شبکه را می‌سازیم. این پودمان همان‌جایی است که خواندنش هم جذاب است و هم مصاحبه‌های شغلی امنیت ازش می‌پرسند.

واژگان امنیت: مهاجم، هدف، آسیب‌پذیری

به هر شخص یا عنصری در شبکه که حمله‌ای علیه سیستم انجام دهد، مهاجم یا نفوذگر می‌گویند؛ هر حمله یک هدف دارد و برای رسیدن به نتیجه از یک آسیب‌پذیری سوءاستفاده می‌کند. هکرها بر اساس هدف به گروه‌هایی تقسیم می‌شوند که کتاب سه‌تایش را برجسته می‌کند: هکر کلاه‌سیاه یا کراکر که غیرقانونی نفوذ می‌کند و اطلاعات می‌دزدد؛ هکر کلاه‌سفید که متخصص امنیت است و با اجازه، تست نفوذ انجام می‌دهد تا نقاط ضعف سازمان پیدا و برطرف شود؛ و هکر کلاه‌خاکستری که ترکیبی از هر دو رفتار را دارد. شغل «کارشناس تست نفوذ و آسیب‌پذیری» امروزه یکی از مشاغل پرتقاضای حوزه امنیت است: سازمان‌ها درصدد استخدام این افراد هستند تا همان کاری را که کراکرها می‌کنند، قانونمند و اخلاقی انجام دهند و گزارش آسیب‌پذیری‌ها را به مدیران بدهند.

چهار فاز یک حمله سایبری

کارشناسان تست نفوذ دقیقاً همان مسیری را می‌روند که کراکرها می‌روند، با اجازه و اخلاق. چهار فاز را با مثال‌های کارگاهی کتاب بشناس:

1. ۱فاز ۱ — جمع‌آوری اطلاعات (Footprinting): مهاجم تا می‌تواند درباره هدف اطلاعات جمع می‌کند؛ به دو روش شناسایی غیرفعال (نامحسوس: رصد رفت‌وآمد، جست‌وجوی اطلاعات اینترنتی) و شناسایی فعال (کاوش شبکه برای کشف رایانه‌ها و IPها که ممکن است ردپا بگذارد). ابزارها: Whois که مشخصات صاحب دامنه (نام، تلفن، رایانامه، تاریخ انقضای دامنه) را عمومی نشان می‌دهد؛ nslookup برای گرفتن IP از نام دامنه و تست DNS؛ tracert برای پیدا کردن مسیر و مسیریاب‌های میانی؛ و تکنیک Google Hacking یعنی استفاده هوشمند از خود موتور جستجو برای یافتن اطلاعات افشاشده.
2. ۲فاز ۲ — پویش (Scanning): با اطلاعات فاز قبل، نقاط ضعف را پیدا می‌کند: پویش درگاه‌های باز (مثلاً با Net Tools 5 یا ابزارهای معروف NMAP و Angry IP Scanner) — چون هر درگاه بازِ بدون نظارت یک راه ورود است؛ پویش آدرس‌های IP فعال شبکه با Ping Tester؛ و پویش آسیب‌پذیری تارنما با ابزارهایی مثل Acunetix و Nessus و Retina که گزارش تحلیلی می‌دهند. دستور netstat هم درگاه‌های باز سیستم خودت را نشان می‌دهد.
3. ۳فاز ۳ — ایجاد و حفظ دسترسی: با انتخاب حمله‌ای متناسب با آسیب‌پذیری، نفوذ انجام و سپس با Backdoor حفظ می‌شود؛ درگاهی پنهان در برنامه که دسترسی بدون بررسی امنیتی می‌دهد. بدافزارهایی که در قالب ایمیل و برنامه‌های ناشناخته می‌آیند هم همین کار را می‌کنند. دفاع: ابزارهای امنیتی کامل و بی‌اعتمادی به برنامه‌های ناشناس.
4. ۴فاز ۴ — پاک کردن ردپا: مهاجم آثار حمله را پاک می‌کند؛ روش رایج، پاک‌کردن پرونده‌های Log در سرویس Event Viewer ویندوز است. همین یعنی گزارش‌گیری و نگهداری لاگ روی سرور جداگانه، یکی از مهم‌ترین اقدامات دفاعی سازمان‌هاست.

حملات DoS و DDoS؛ وقتی سرور غرق می‌شود

در حمله DoS یا انکار سرویس، هدف ایجاد اختلال و قطع سرویس است، نه دزدی! مثال کتاب: دانشجویان برای دیدن نمره به سایت دانشگاه می‌روند و هکر با فرستادن حجم عظیمی ترافیک، سرور را آن‌قدر مشغول جواب‌دادن می‌کند که توان پاسخ به کاربران واقعی را از دست می‌دهد. در نوع خطرناک‌ترش یعنی DDoS، حمله از هزاران سیستم هم‌زمان شروع می‌شود. مثال واقعی کتاب تکان‌دهنده است: حمله DDoS معروف سال ۲۰۱۸ به تارنمای GitHub که مهاجمان به سرعت ۱٫۳۵ ترابیت بسته در هر ثانیه رسیدند! در کارگاه با ابزار LOIC روی یک هدف آزمایشی حمله شبیه‌سازی می‌کنی و با Wireshark ترافیک را تماشا می‌کنی — حتماً فقط روی شبکه آزمایشگاهی و با اجازه هنرآموز. برای دیدن نقشه زنده حملات جهانی هم تارنمای norse-corp.com در کتاب معرفی شده: می‌بینی کدام کشورها بیشترین هدف را دارند.

سرویس‌های دفاعی: IDS، IPS و آنتی‌ویروس

در مقابل تهدیدات، سرویس‌های دفاعی خاصی تعریف شده‌اند. سرویس IDS (سیستم تشخیص نفوذ) با تکیه بر پایگاه داده الگوهای حمله، انواع حملات را شناسایی می‌کند و معمولاً همراه سرویس IPS (سیستم جلوگیری از نفوذ) به کار می‌رود که توان خنثی‌کردن حمله را هم دارد. آنتی‌ویروس‌ها و سرویس‌های هرزنامه (Spam) هم ورود ویروس و پیام‌های مزاحم را به شبکه و سیستم‌ها می‌بندند. و ستون اصلی دفاع، فایروال است: سرویسی که همه بسته‌های عبوری را بازرسی می‌کند و بسته مشکوک را از ورود به شبکه جلوگیری می‌کند — همان مأمور گیت فرودگاه شبکه‌های رایانه‌ای.

فایروال سخت‌افزاری و نرم‌افزاری؛ انواع فیلترینگ

فایروال نرم‌افزاری مثل بقیه نرم‌افزارها روی سیستم‌عامل نصب می‌شود، ارزان و آسان است؛ نمونه‌ها: فایروال خود ویندوز، ISA Server و Kerio Control و حتی برخی آنتی‌ویروس‌ها. فایروال سخت‌افزاری روی بردهای اختصاصی پیاده و به‌صورت دستگاه مستقل عرضه می‌شود: تنظیمات پیشرفته‌تر دارد، بار ترافیکی کمتری به شبکه تحمیل می‌کند و برای شبکه‌های بزرگ مناسب است، ولی گران‌تر است و پیکربندی‌اش کار متخصص می‌خواهد — فایروال مسیریاب میکروتیک از همین نوع است. فیلترینگ هم چند سطح دارد که از ساده به قوی: MAC Filtering (بر اساس مک‌آدرس کارت شبکه)، Packet Filtering (تصمیم بر اساس آدرس IP و درگاه)، فیلترینگ Stateful (مبتنی بر وضعیت اتصال‌ها — قوی‌ترین و اختصاصی‌ترین) و فیلترینگ اپلیکیشن در سطح برنامه. دستگاه‌های UTM همه این فیلترینگ‌ها را یک‌جا دارند و سرویس‌های VPN/IPsec، آنتی‌ویروس، ضدهرزنامه و IDPS را هم یکپارچه ارائه می‌کنند؛ به همین دلیل نیازمندی امنیتی خیلی از سازمان‌های متوسط را برآورده می‌کنند.

فایروال ویندوز؛ پروفایل‌ها و قوانین

وقتی برای اولین بار به شبکه‌ای وصل می‌شوی، ویندوز از تو می‌پرسد چه نوع شبکه‌ای است و این انتخاب امنیتت را تعیین می‌کند! سه پروفایل داری: Domain (متصل به دامنه سازمان)، Private برای شبکه‌های خصوصی مطمئن مثل خانه (اشتراک فایل و دیدن رایانه‌های شبکه آزاد است) و Public برای شبکه‌های عمومی و ناشناس مثل وای‌فای فرودگاه (سخت‌گیرانه‌ترین حالت؛ اشتراک منابع بسته می‌شود). قوانین فایروال هم دو جهت دارند: Inbound برای ترافیکی که می‌خواهد وارد سیستم شود و Outbound برای ترافیکی که از سیستم خارج می‌شود؛ هر قانون می‌تواند برای یک برنامه، یک درگاه یا یک IP مشخص باشد و روی پروفایل خاصی اعمال شود. مثال کارگاه کتاب: رولی بنویس که رایانه‌ات نتواند از DHCP سرور کارگاه آدرس بگیرد! گزارش‌گیری فایروال هم مهم است: در تنظیمات هر پروفایل با دکمه Customize می‌توانی Log dropped packets (ثبت بسته‌های حذف‌شده) و Log successful connections (ثبت بسته‌های عبوری) را فعال کنی و بعد پرونده گزارش را بخوانی تا بفهمی رول‌ها درست کار می‌کنند یا فایروال جایی نرم‌افزارها را دچار اختلال کرده. ترفند به‌جای خاموش کردن کل فایروال: فقط رول مربوطه را پیدا و موقتاً غیرفعال کن!

فایروال میکروتیک و زنجیره‌ها (Chain)

فایروال میکروتیک از قدرتمندترین سرویس‌های مسیریاب است و فیلترینگ Stateful، فیلترینگ اپلیکیشن و فیلترینگ بر اساس آدرس و درگاه و محتوای بسته را ارائه می‌دهد. ساختارش بر پایه «زنجیره» است: Input Chain برای ترافیکی که مقصدش خودِ مسیریاب است، Output Chain برای ترافیکی که از خود مسیریاب بیرون می‌رود و Forward Chain — مخصوص میکروتیک — برای ترافیکی که از یک شبکه می‌آید، از مسیریاب عبور و به شبکه دیگر می‌رود. در کارگاه یک سناریوی واقعی پیاده می‌کنی: می‌خواهیم از شبکه خارجی هیچ‌کس نتواند از طریق اینترنت به WinBox مسیریاب (IP 10.1.1.1 روی اینترفیس گیرنده اینترنت) وصل شود؛ پس در IP → Firewall → Filter Rules قانونی می‌سازیم که اتصال به درگاه WinBox از سمت اینترفیس اینترنت را مسدود کند. جایگاه فایروال در شبکه هم دو سناریوی مهم دارد: لبه شبکه (بین شبکه داخلی و اینترنت؛ هم ورودی و هم خروجی را کنترل می‌کند) و تفکیک شبکه سرورها از شبکه داخلی سازمان (کاربران خارجی فقط به سرورها می‌رسند و شبکه داخلی پشت فایروال امن می‌ماند). آخرین درس امنیتی کتاب: امنیت میکروتیک از خودِ میکروتیک شروع می‌شود — کنترل کن چه کسانی به WinBox دسترسی دارند و سرویس‌های غیرضروری را غیرفعال کن.

جمع‌بندی امتحانی: انواع هکرها + چهار فاز حمله + ابزارهای هر فاز (Whois، nslookup، tracert، پویش درگاه، Acunetix) + تفاوت DoS و DDoS + IDS/IPS + پروفایل‌های ویندوز + سه زنجیره میکروتیک. این لیست، نقشه راه کامل پودمان چهارم است!