مفاهیم امنیت شبکه

امنيت شبکه يا Network Security پردازه اي است که طي آن يک شبکه در مقابل انواع مختلف تهديدات داخلي و خارجي امن مي شود. مراحل ذيل براي ايجاد امنيت پيشنهاد و تاييد شده اند:

1-     شناسايي بخشي که بايد تحت محافظت قرار گيرد.

2-     تصميم گيري درباره  مواردي که بايد در مقابل آنها از بخش مورد نظر محافظت کرد.

3-     تصميم گيري درباره چگونگي تهديدات

4-  پياده سازي امکاناتي که بتوانند از دارايي هاي شما به شيوه اي محافظت کنند که از نظر هزينه به صرفه باشد.

5-     مرور مجدد و مداوم پردازه و تقويت آن درصورت ياقتن نقطه ضعف

مفاهيم امنيت شبکه

براي درک بهتر مباحث مطرح شده در اين بخش ابتدا به طرح بعضي مفاهيم در امنيت شبکه      مي پردازيم.

1- منابع شبکه

در يک شبکه مدرن منابع بسياري جهت محافظت وجود دارند. ليست ذيل مجموعه اي از منابع شبکه را معرفي مي کند که بايد در مقابل انواع حمله ها مورد حفاظت قرار گيرند.

1-     تجهيزات شبکه مانند روترها، سوئيچ ها و فايروالها

2-  اطلاعات عمليات شبکه مانند جداول مسيريابي و پيکربندي ليست دسترسي که بر روي روتر ذخيره شده اند.

3-     منابع نامحسوس شبکه مانند عرض باند و سرعت

4-     اطلاعات و منابع اطلاعاتي متصل به شبکه مانند پايگاه هاي داده و سرورهاي اطلاعاتي

5-     ترمينالهايي که براي استفاد هاز منابع مختلف به شبکه متصل مي شوند.

6-     اطلاعات در حال تبادل بر روي شبکه در هر لحظه از زمان

7-     خصوصي نگهداشتن عمليات کاربرن و استفاده آنها از منابع شبکه جهت جلوگيري از شناسايي کاربران.

مجموعه فوق به عنوان دارايي هاي يک شبکه قلمداد مي شود.

2- حمله

حال به تعريف حمله مي پردازيم تا بدانيم که از شبکه در مقابل چه چيزي بايد محافظت کنيم. حمله تلاشي خطرناک يا غير خطرناک است تا يک منبع قابل دسترسي از طريق شبکه ، به گونه اي مورد تغيير يا استفاده قرار گيرد که مورد نظر نبوده است.براي فهم بهتر بد نيست حملات شبکه را به سه دسته عمومي تقسيم کنيم:

1-     دسترسي غيرمجاز به منابع و اطلاعات از طريق شبکه

2-     دستکاري غيرمجاز اطلاعات بر روي يک شبکه

3-     حملاتي که منجر به اختلال در ارائه سرويس مي شوند و اصطلاحا Denial of Service نام دارند.

کلمه کليدي در دو دسته اول انجام اعمال به صورت غيرمجاز است. تعريف يک عمل مجاز يا غيرمجاز به عهده سياست امنيتي شبکه است، اما به عبارت کلي مي توان دسترسي غيرمجاز را تلاش يک کاربر جهت ديدن يا تغيير اطلاعاتي که براي وي در نظر گرفته نشده است، تعريف نمود اطلاعات روي يک شبکه نيز شامل اطلاعات موجود بر روي رايانه هاي متصل به شبکه مانند سرورهاي پايگاه داده و وب ، اطلاعات در حال تبادل بر روي شبکه و اطلاعات مختص اجزاء شبکه جهت انجام کارها مانند جداول مسيريابي روتر است. منابع شبکه را نيز مي توان تجهيزات انتهايي مانند روتر و فايروال يا مکانيزمهاي اتصال و ارتباط دانست.

هدف از ايجاد امنيت شبکه ، حفاظت از شبکه در مقابل حملات فوق است، لذا مي توان اهداف را نيز در سه دسته ارائه کرد:

1-     ثابت کردن محرمانگي داده

2-     نگهداري جامعيت داده

3-     نگهداري در دسترس بودن داده

3- حليل خطر

پس از تعيين دارايي هاي شبکه و عوامل تهديدکننده آنها ، بايد خطرات مختلف را ارزيابي کرد. در بهترين حالت بايد بتوان از شبکه در مقابل تمامي انواع خطا محافظت کرد، اما امنيت ارزان به دست نمي آيد. بنابراين بايد ارزيابي مناسبي را بر روي انواع خطرات انجام داد تا مهمترين آنها را تشخيص دهيم و از طرف ديگر منابعي که بايد در مقابل اين خطرات محافظت شوند نيز شناسايي شوند. دو فاکتور اصلي در تحليل خطر عبارتند از :

1-     احتمال انجام حمله

2-     خسارت وارده به شبکه درصورت انجام حمله موفق

4- سياست امنيتي

پس از تحليل خطر بايد سياست امنيتي شبکه را به گونه اي تعريف کرد که احتمال خطرات و ميزان خسارت را به حداقل برساند. سياست امنيتي بايد عمومي و در حوزه ديد کلي باشد و به جزئيات نپردازد. جزئيات مي توانند طي مدت کوتاهي تغيير پيدا کنند اما اصول کلي امنيت يک شبکه که سياست هاي آن را تشکيل مي دهند ثابت باقي مي مانند.در واقع سياست امنيتي سه نقش اصلي را به عهده دارد:

1-     چه و چرا بايد محافظت شود.

2-     چه کسي بايد مسئوليت حفاظت را به عهده بگيرد.

3-     زمينه اي را بوجود آورد که هرگونه تضاد احتمالي را حل و فصل کند.

سياستهاي امنيتي را مي توان به طور کلي به دو دسته تقسيم کرد:

1-     مجاز (Permissive) : هر آنچه بطور مشخص ممنوع نشده است ، مجاز است.

2-     محدود کننده (Restrictive) : هر آنچه بطور مشخص مجاز نشده است ، ممنوع است.

معمولا ايده استفاده از سياستهاي امنيتي محدودکننده بهتر و مناسبتر است چون سياستهاي مجاز داراي مشکلات امنيتي هستند و نمي توان تمامي موارد غيرمجاز را برشمرد. المانهاي دخيل در سياست امنيتي در RFC 2196 ليست و ارائه شده اند.

5- طرح امنيت شبکه

با تعريف سياست امنيتي به پياده سازي آن در قالب يک طرح امنيت شبکه مي رسيم. المانهاي تشکيل دهنده يک طرح امنيت شبکه عبارتند از :

1-     ويژگيهاي امنيتي هر دستگاه مانند کلمه عبور مديريتي و يا بکارگيري SSH

2-     فايروالها

3-     مجتمع کننده هاي VPN براي دسترسي از دور

4-     تشخيص نفوذ

5-  سرورهاي امنيتي AAA ( Authentication، Authorization and Accounting) و ساير خدمات AAA براي شبکه

6-     مکانيزمهاي کنترل دسترسي و محدودکننده دسترسي براي دستگاههاي مختلف شبکه

6- نواحي امنيتي

تعريف نواحي امنيتي نقش مهمي را در ايجاد يک شبکه امن ايفا مي کند. در واقع يکي از بهترين شيوه هاي دفاع در مقابل حملات شبکه ، طراحي امنيت شبکه به صورت منطقه اي و مبتني بر توپولوژي است و يکي از مهمترين ايده هاي مورد استفاده در شبکه هاي امن مدرن ، تعريف نواحي و تفکيک مناطق مختلف شبکه از يکديگر است. تجهيزاتي که در هر ناحيه قرار مي گيرند نيازهاي متفاوتي دارند و لذا هر ناحيه حفاظت را بسته به نيازهاي امنيتي تجهيزات نصب شده در آن ، تامين مي کند. همچنين منطقه بندي يک شبکه باعث ايجاد ثبات بيشتر در آن شبکه نيز       مي شود.

نواحي امنيتي بنابر استراتژي هاي اصلي ذيل تعريف مي شوند.

1-  تجهيزات و دستگاههايي که بيشترين نياز امنيتي را دارند (شبکه خصوصي) در امن ترين منطقه قرار مي گيرند. معمولا اجازه دسترسي عمومي يا از شبکه هاي ديگر به اين منطقه داده نمي شود. دسترسي با کمک يک فايروال و يا ساير امکانات امنيتي مانند دسترسي از دور امن (SRA) کنترل مي شود. کنترل شناسايي و احراز هويت و مجاز يا غير مجاز بودن در اين منطقه به شدت انجام مي شود.

2-  سرورهايي که فقط بايد از سوي کاربران داخلي در دسترس باشند در منطقه اي امن ، خصوصي و مجزا قرار مي گيرند. کنترل دسترسي به اين تجهيزات با کمک فايروال انجام مي شود و دسترسي ها کاملا نظارت و ثبت مي شوند.

3-  سرورهايي که بايد از شبکه عمومي مورد دسترسي قرار گيرند در منطقه اي جدا و بدون امکان دسترسي به مناطق امن تر شبکه قرار مي گيرند. درصورت امکان بهتر است هر يک از اين سرورها را در منطقه اي مجزا قرار داد تا درصورت مورد حمله قرار گرفتن يکي ، سايرين مورد تهديد قرار نگيرند. به اين مناطق DMZ يا Demilitarized Zone مي گويند.

4-  استفاده از فايروالها به شکل لايه اي و به کارگيري فايروالهاي مختلف سبب مي شود تا درصورت وجود يک اشکال امنيتي در يک فايروال ، کل شبکه به مخاطره نيفتد و امکان استفاده از Backdoor نيز کم شود.