Network Security Mechanisms in Persian PDF

‫بسمه تعالی‬ ‫امنیت شبکههای کامپیوتری‬ ‫مکانیزمهای امنیتی در شبکه‬ ‫مریم آزادمنش‬...

‫بسمه تعالی‬ ‫امنیت شبکههای کامپیوتری‬ ‫مکانیزمهای امنیتی در شبکه‬ ‫مریم آزادمنش‬ ‫نیمسال اول ‪1403-1404‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪1‬‬  ‫مکانیزمهای امنیتی در شبکه‬ ‫❑ دیوارهآتش‬ ‫❑ سیستم تشخیص نفوذ‬ ‫❑ تله عسل‬ ‫❑ شبکههای خصوصی مجازی (‪)VPN‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪2‬‬  ‫دیواره آتش‬ ‫❑ دیواره اتش چیست؟‬ ‫▪ نقطه کنترل و نظارت شبکه‬ ‫▪ امکان اتصال شبکه ها با سطوح اعتماد مختلف با یکدیگر‬ ‫▪ ترافیک گذرنده از داخل به خارج و برعکس باید از دیواره آتش عبور کند‪.‬‬ ‫▪ تنها اطالعات و اشخاص مجاز‪ ،‬با توجه به سیاست های شبکه محلی‪ ،‬می توانند از دیواره آتش عبور کنند‪.‬‬ ‫▪ دیواره آتش باید خود در مقابل نفوذ امن باشد‪.‬‬ ‫▪ دیواره آتش کد کمی اجرا میکند‪ ،‬بنابراین ‪bug‬ها (رخنههای امنیتی) کمی دارد‪.‬‬ ‫▪ دیواره آتش میتواند به صورت حرفهای تر مدیریت شود‪.‬‬ ‫▪ دیواره آتش نرمافزارهای کمتری با ‪logging‬و ‪monitoring‬بیشتر‪ ،‬اجرا میکند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪3‬‬  ‫خدمات فراهم شده توسط دیواره آتش‬ ‫❑ امکان بازرسی و کنترل دسترسی به شبکه و منابع و سرویس های ان‬ ‫❑ امکان ثبت جریان ترافیک‬ ‫❑ تصفیه بر اساس محتوای بسته ها‬ ‫❑ فراهم سازی ترجمه ادرس ‪NAT‬و نظارت بر استفاده‬ ‫❑ پیاده سازی شبکه خصوصی مجازی‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪4‬‬  ‫مکانیزمهای کنترلی در دیواره آتش‬ ‫❑ کنترل سرویس‬ ‫▪ سرویس های اینترنتی قابل دسترس‬ ‫▪ اعمال کنترل بر اساس ادرس ‪ IP‬و پورت‬ ‫▪ استفاده از پروکسی برای سرویس های استاندارد‬ ‫❑ کنترل جهت‬ ‫▪ اینکه درخواست یک سرویس از کدام سمت میتواند ارسال و پاسخ داده شود‪.‬‬ ‫❑ کنترل کاربر‬ ‫❑ کنترل دسترسی به سرویس شخص درخواست کننده‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪5‬‬  ‫محدویتهای دیواره آتش‬ ‫❑ دیواره آتش نمی توانند با حمالت زیر مقابله کنند‪:‬‬ ‫▪ حمالتی که از فایروال عبور نمی کنند‪.‬‬ ‫▪ اتصال کارکنان از طریق ‪Dial-up‬‬ ‫▪ خطرات داخلی‬ ‫▪ کارمندان ناراضی یا ساده لوح‬ ‫▪ ممانعت کامل از انتقال ویروس ها و فایل های اجرایی مخرب‬ ‫▪ با توجه به تنوع سیستم های عامل و انواع فایل های مورد پشتیبانی ان ها‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪6‬‬  ‫شمای کلی دیواره آتش‬ Router Enterprise Internet LAN Web Mail Server Server DMZ Network Firewall Firewall 1403-1404 ‫ نیم سال اول تحصیلی‬،‫ دانشگاه بیرجند‬،‫ مریم آزادمنش‬،‫امنیت شبکه‬ 7  ‫افرازهای منطقی‬ ‫❑ افراد درون سازمان‪ :‬هر فردی درون سازمان فرض میشود که امن است‪.‬‬ ‫❑ افراد بیرون سازمان‪ :‬افراد غیر امن و تهدیدها در بیرون سازمان قرار دارند‪.‬‬ ‫❑ ‪ :)Demilitarized Zone( DMZ‬محل قرارگیری سرورهای ضروری اما خطرناک‬ ‫❑ نقطه خوبی برای سرورهای ایمیل‪ ،‬وب‬ ‫❑ افراد خارج از سازمان میتوانند ایمیل ارسال کنند‪ ،‬یا صفحات وب را بازیابی کنند‪.‬‬ ‫❑ افراد درون سامان میتوانند ایمیل بازیابی کنند‪ ،‬صفحات وب را به روز کنند‪.‬‬ ‫❑ این ماشینها باید به دقت نظارت شوند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪8‬‬  ‫انواع دیواره آتش‬ ‫❑ ‪Packet filter‬‬ ‫❑ ‪Application-Level Gateways‬‬ ‫❑ ‪Circuit-level Gateways‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪9‬‬  ‫‪Packet Filters‬‬ ‫❑ مبتنی بر روترها هستند و ارزان هستند‪.‬‬ ‫❑ هر بسته منفرد پذیرفته میشود یا رد میشود؛ هیچ اطالعات زمینهای استفاده نمیشود‪.‬‬ ‫❑ برای هر بسته سرآیند ‪ IP‬و سرایند الیه انتقال (‪ )TCP/UDP‬بررسی میشود‪.‬‬ ‫❑ مزیت آن سادگی است‬ ‫❑ عیب آن این است که معموال اصول اولیه ناکافی هستند و قوانین مختلف ممکن است در تقابل یکدیگر باشند و برای سرویسهای مشابه‬ ‫‪ FTP‬ضعیف عمل میکنند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪10‬‬  ‫‪Packet Filters‬‬ ‫❑ تصفیه بسته ها در این نوع دیواره آتش بر اساس فیلتر های زیر صورت می گیرد‪:‬‬ ‫▪ نوع پروتکل (‪)ICMP ،TCP ،IP‬‬ ‫▪ ادرس ‪IP‬مبدا و مقصد‬ ‫▪ پورت مبدا و مقصد‬ ‫▪ حالت ارتباط (پرچم های ‪ RST ،ACK ،SYN‬و ‪)...‬‬ ‫▪ زمان‪ :‬فعال کردن سرویس در یک بازه زمانی خاص‬ ‫▪ واسط ورودی و خروجی (‪eth1 ،eth0‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪11‬‬  ‫‪Packet Filters‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪12‬‬  ‫تنظیم قوانین دیواره آتش‬ ‫❑ عمل‪:‬‬ ‫▪ ‪ :)Pass( Permit‬به بسته اجازه عبور بدهیم‪.‬‬ ‫▪ ‪ :)Block( Deny‬حذف بستهها‬ ‫❑ جهت‪:‬‬ ‫▪ مبدا (بسته از کجا آمده است) یا شبکه‬ ‫▪ مقصد (بسته به کجا میرود) یا شبکه‬ ‫❑ پروتکل‪:‬‬ ‫▪ ‪UDP ،TCP‬‬ ‫❑ ‪ Flag‬های بسته‪:‬‬ ‫▪ ‪ RST ،SYN ،ACK‬و ‪....‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪13‬‬  ‫بدون حالت اجرا می شود‪.‬‬ ‫❑ ما میخواهیم به اتصاالت ‪ Outbound‬اجازه دهیم‪.‬‬ ‫❑ ما باید به بستههای پاسخ اجازه دهیم‪.‬‬ ‫❑ برای ‪ ،TCP‬این کار میتواند بدون حالت انجام شود‪.‬‬ ‫❑ در اولین بسته اتصال ‪ TCP‬فقط ‪ SYN‬با مقدار یک تنظیم شده است‪.‬‬ ‫❑ در همه سایر بستهها ‪ ACK‬تنظیم میشود‪.‬‬ ‫❑ راهکار‪ :‬به همه بستههایی که بیت ‪ ACK‬آنها یک است‪ ،‬اجازه ورود بدهیم‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪14‬‬  ‫مثالهایی از نمونههای فیلترینگ‬ ‫تنظیم دیواره آتش‬ ‫سیاست (‪)Policy‬‬ ‫همه بستههای خروجی که شماره پورت مقصد ‪ 80‬است‪Drop ،‬‬ ‫هیچ دسترسی وبی به خارج شبکه نباشد‪.‬‬ ‫شود‪.‬‬ ‫همه بسته های ‪ TCP SYN‬که وارد شبکه میشوند را ‪DROP‬‬ ‫ترافیک های ‪ TCP‬که وارد شبکه میشود تنها به سرور وب با‬ ‫کن مگر اینکه آدرس ‪ IP‬مقصد ان ‪ 07.244.203130.2‬باشد و‬ ‫آدرس ‪ 130.207.244.203‬باشد‪.‬‬ ‫پورت مقصد ‪ 80‬باشد‪.‬‬ ‫‪ Drop‬کردن هر بسته ‪ ICMP‬که می خواهد از شبکه خارج‬ ‫جلوگیری از اینکه کسی شبکه را ‪ Trace‬کند‪.‬‬ ‫شود‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪15‬‬  ‫یک نمونه قانون‬ ‫❑ ما میخواهیم ‪ spammers‬ها را بالک کنیم‪ ،‬اما میخواهیم اجازه دهیم که سایرین به‪ gateway‬ما ایمیل ارسال کنند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪16‬‬  ‫یک نمونه قانون‬ ‫❑ ما میخواهیم به همه مکالمات از داخل شبکه با ‪mail gateway‬های از راه دور اجازه دهیم‪.‬‬ ‫اشتباه‬ ‫❑ ما روی انتخاب شماره پورت ‪ host‬از راه دور کنترلی نداریم‪.‬هر فرایند از راه دوری روی پورت ‪ 25‬میتواند با ما تماس بگیرد‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪17‬‬  ‫یک نمونه قانون‬ ‫❑ ما میخواهیم به همه مکالمات با ‪ mail gateway‬از راه دور اجازه دهیم‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪18‬‬  ‫مشکالت مربوط به دیوارههای آتش بدون حالت‬ ‫❑ در ‪ UDP‬هیچ مفهومی از اتصال وجود ندارد‪.‬‬ ‫▪ در تعریف قواعدی مثل اینکه تنها اتصاالت خروجی مجاز باشد‪ ،‬دچار ضعف است‪.‬‬ ‫▪ اتصاالتی که شروعکننده ارتباط از درون شبکه باشد‪.‬‬ ‫❑ بستههای ‪ ICMP‬معموال برای اعالن مشکل در یک اتصال ‪ TCP‬و ‪ UDP‬توسط مسیریابها ارسال میشود‪.‬‬ ‫▪ دیواره آتش بدون حالت نمیتواند ارتباط بین این اتصاالت را درک کند‪.‬‬ ‫▪ اگر تنها اتصاالت خروجی مجاز باشد‪ ،‬این بستهها توسط دیواره آتش فیلتر میشود‪.‬‬ ‫❑ در پروتکلهایی مثل ‪ FTP‬دو کانال کنترلی و داده وچود دارد‪(.‬یک اتصال ‪ TCP‬روی هر یک)‬ ‫▪ دیواره آتش بدون حالت نمیتواند ارتباط بین این دو اتصال را درک کند‪.‬‬ ‫▪ اگر تنها اتصاالت خروجی مجاز باشد‪ ،‬پروتکل ‪ FTP‬ممکن است دچار مشکل شود‪.‬‬ ‫❑ و ‪....‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪19‬‬  ‫دیواره آتش دارای حالت‬ ‫❑ بسیاری از مسائل ‪ packet filter‬ساده را حل میکند‪.‬‬ ‫❑ برای هر اتصال‪ ،‬یک حالت (‪ )state‬در دیواره آتش نگهداری میشود‪.‬‬ ‫▪ هنگامی یک بسته به بیرون میرود‪ ،‬حالت اتصال ثبت میشود‪.‬‬ ‫▪ برای بستههای ورودی بررسی میشوند که متعلق به کدام حالت ثبت شده هستند‪.‬‬ ‫❑ میتواند درخواست‪/‬پاسخ ‪ UDP‬را مدیریت کند‪.‬‬ ‫❑ میتواند بستههای ‪ ICMP‬مرتبط با اتصاالت را مدیریت کند‪.‬‬ ‫❑ معموال در کنار ‪ NAT‬پیادهسازی میشود‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪20‬‬  ‫‪Application Gateway‬‬ ‫❑ ‪ Packet filter‬قادر به دفاع در برابر حمالت الیه باالتر نیست‪.‬‬ ‫❑ ‪Application Gateway‬‬ ‫▪ بیشتر به عنوان ‪ proxy server‬اطالق می شود‪.‬‬ ‫▪ اصوال نقش واسط انتقال ترافیک در الیه کاربرد را ایفا می کند‪:‬‬ ‫▪ کاربر از ‪proxy‬تقاضای سرویس می کند‪.‬‬ ‫▪ ‪Proxy‬صالحیت کاربر برای استفاده از سرویس را بررسی می کند‪.‬‬ ‫▪ ‪Proxy‬با سرور اصلی تماس می گیرد و قطعات ‪TCP‬را منتقل می کند‪.‬‬ ‫▪ اگر کد سرویس مدنظر ‪proxy‬پیاده سازی نشده باشد‪ ،‬سرویس غیر قایل دسترس خواهد بود‪.‬‬ ‫▪ ‪ Application Gateway‬میتواند در سطوح مختلفی پیادهسازی شود‪.‬‬ ‫▪ کارکردن در سطح )‪SMTP (RFC 2821‬یا در سطح محتوای ایمیل (‪)RFC 2822‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪21‬‬  ‫‪Application Gateway‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪22‬‬  ‫‪Application Gateway‬‬ ‫❑ مزایا‪:‬‬ ‫▪ تنها با لیست محدودی از برنامههای کاربردی سر و کار دارد‪.‬‬ ‫▪ امکان تصفیه بر اساس محتوای بستههای وجود دارد‪.‬‬ ‫▪ به طور کلی میتوان گفت امنیت بیشتری فراهم میکند‪.‬‬ ‫❑ معایب‪:‬‬ ‫▪ سربار بوجود امده برای ایجاد هر اتصال‬ ‫▪ طرفین با هم ارتباط مستقیم ندارند‪.‬‬ ‫▪ با تغییر ‪proxy server‬ها ممکن است مجبور به تغییر پیکربندی شبکه باشیم‪.‬‬ ‫▪ در مجموع کارایی کمتری دارد‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪23‬‬  ‫‪Circuit Gateway‬‬ ‫❑ ‪ Circuit gateway‬در الیه انتقال کار می کند‪(.‬هرچند که استثنا وجود دارد)‪.‬‬ ‫❑ اطالعات آدرس ‪ IP‬و شماره پورت موجود در سرایند ‪( TCP‬یا ‪ )UDP‬را بررسی می کند تا به یک ‪ host‬داخلی و ‪ host‬خارجی اجازه‬ ‫ایجاد اتصال بدهد یا ندهد‪.‬‬ ‫❑ ترافیک بدون کنترل محتوای داخلی آن منتقل می شود‪.‬‬ ‫❑ صرفا کنترل میشود که یک ارتباط برقرار شود یا نه‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪24‬‬  ‫نحوه عملکرد ‪Circuit Gateway‬‬ ‫❑ ‪ Circuit gateway‬ابتدا نشست ‪( TCP‬یا ‪ )UDP‬را بررسی می کند‪.‬‬ ‫❑ سپس یک اتصال مجزا با ‪ HOST‬داخلی و ‪ HOST‬خارجی ایجاد می کند‪.‬‬ ‫❑ یک جدول از اتصاالت معتبر نگهداری میکند و بسته ورودی در هر جهت را در جدول ارزیابی میکند‪.‬‬ ‫▪ یک بسته مجاز به عبور است اگر متعلق به یک اتصال در جدول باشد‪ ،‬در غیر این صورت بالک می شود‪.‬‬ ‫❑ هنگامی که نشست پایان می یابد‪ ،‬مدخل مرتبط حذف میشود و مدار بسته میشود‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪25‬‬  ‫نحوه عملکرد ‪Circuit Gateway‬‬ ‫❑ ‪ HOST‬خارجی نمی تواند به طور مستقیم با ‪ HOST‬داخلی ارتباط برقرار کند‪.‬‬ ‫❑ تنها می تواند با ‪ GATEWAY‬ارتباط برقرار کند و ‪ GATEWAY‬در صورت مجازشماری با ‪ CLIENT‬ارتباط برقرار می کند‪.‬‬ ‫❑ ‪ GATEWAY‬کامپیوترهای داخلی از دید خارج پنهان می کند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪26‬‬  ‫نحوه عملکرد ‪Circuit Gateway‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪27‬‬  ‫مکانیزمهای امنیتی در شبکه‬ ‫❑ دیوارهآتش‬ ‫❑ سیستم تشخیص نفوذ‬ ‫❑ تله عسل‬ ‫❑ شبکههای خصوصی مجازی (‪)VPN‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪28‬‬  ‫سیستم تشخیص نفوذ (‪)IDS‬‬ ‫❑ تشخیص نفوذ (‪)Intrusion detection‬‬ ‫▪ فرایند نظارت بر وقایع رخ داده در یک شبکه و یا سیستم کامپیوتری در جهت کشف موارد انحراف از سیاست های امنیتی‬ ‫❑ سیستم تشخیص نفوذ (‪)Intrusion detection system‬‬ ‫▪ یک نرم افزار با قابلیت تشخیص‪ ،‬آشکارسازی و پاسخ (واکنش) به فعالیت های غیرمجاز یا ناهنجار در رابطه با سیستم‪.‬‬ ‫▪ مثالهایی از سیستمهای تشخیص نفوذ در جهان واقع‪ :‬دزگیر ماشین و خانه‪ ،‬سیستمهای نظارتی و ‪...‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪29‬‬  ‫وظایف سیستم تشخیص نفوذ‬ ‫❑ جلوگیری از رفتارهای مشکل زا با مشاهده خطرات کشف شده‬ ‫❑ تشخیص و مقابله با مقدمات حمله‬ ‫❑ ثبت تهدیدات موجود برای یک سازمان‬ ‫❑ اطالعات مفیدی دریاره تهاجمات و نفوذهایی که واقع می شوند‪ ،‬ارائه می دهد و امکان عیب یابی‪ ،‬کشف و تصحیح عامل های سبب شونده را‬ ‫فراهم می کند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪30‬‬  ‫نیازمندیهای ‪IDS‬‬ ‫❑ سرعت باال‪ ،‬نظارت به حجم باالی داده‬ ‫▪ از دست رفتن بسته رخ ندهد‬ ‫❑ اخطارهای بالدرنگ‬ ‫❑ حمالت مختلفی را تشخیص بدهد‪.‬‬ ‫❑ در استفاده از منابع اقتصادی باشد‪.‬‬ ‫❑ مقاوم در برابر ‪ stress‬باشد‪.‬‬ ‫❑ نسبت به حمالتی که روی خودش هم انجام میشود‪ ،‬مقاوم شود‪.‬‬ ‫▪ سوء استفاده از واکنش ‪IDS‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪31‬‬  ‫معماری سیستم تشخیص نفوذ‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪32‬‬  ‫دستهبندی سیستم تشخیص نفوذ‬ ‫‪IDS‬‬ ‫استقرار‬ ‫روش تحلیل‬ ‫واکنش به نفوذ‬ ‫زمانبندی تحلیل‬ ‫تشخیص سوء‬ ‫تشخیص ناهنجاری‬ ‫مبتنی بر میزبان‬ ‫محل قرارگیری‬ ‫استفاده‬ ‫فعال‬ ‫غیرفعال‬ ‫بالدرنگ‬ ‫دورهای‬ ‫دسته ای‬ ‫‪Anomaly‬‬ ‫‪Host based‬‬ ‫‪Network based‬‬ ‫‪Misuse‬‬ ‫‪Active‬‬ ‫‪Passive‬‬ ‫‪Real-time‬‬ ‫‪Periodic‬‬ ‫‪Batch‬‬ ‫‪Detection‬‬ ‫‪Detection‬‬ ‫معماری‬ ‫متمرکز‬ ‫غیرمتمرکز‬ ‫‪Centralized‬‬ ‫‪Distributed‬‬ ‫‪33‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬  ‫استقرار سیستم تشخیص نفوذ‬ ‫❑ استقرار سیستم تشخیص نفوذ‬ ‫▪ مبتنی بر شبکه )‪(NIDS‬‬ ‫▪ مبتنی بر میزبان (‪)HIDS‬‬ ‫❑ مبتنی بر شبکه )‪(NIDS‬‬ ‫نظارت و تحلیل ترافیک کل شبکه‬ ‫▪‬ ‫▪ مشاهده تخطی از پروتکلها و الگوهای اتصال غیرمعمول‬ ‫نظارت بر فعالیت کاربران‬ ‫▪‬ ‫▪ بررسی دادههای بستهها و اطالعات سرآیند برای مشاهده توالیهای دستور بدخواه‬ ‫مزیت‬ ‫▪‬ ‫▪ دیدگاه عمومی از حمالت به شبکه‬ ‫معایب‬ ‫▪‬ ‫▪ عدم توانایی در تحلیل اطالعات رمز شده‬ ‫▪ آنچه ‪ IDS‬مشاهده میکند‪ ،‬ممکن است آنچه به سیستم نهایی میرسد‪ ،‬نباشد‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪34‬‬  ‫استقرار سیستم تشخیص نفوذ‬ ‫❑ حمله درج (‪ ،)Insertion Attack‬حملهای است که برای دور زدن ‪ IDS‬استفاده میشود‪.‬‬ ‫‪ )3‬حمله کننده‬ ‫‪ )1‬حملهکننده قطعه‬ ‫قطعه ‪ 3‬را ارسال‬ ‫یک را ارسال میکند‪.‬‬ ‫میکند‪.‬‬ ‫‪ )2‬حمله کننده‬ ‫قطعه ‪ 2‬را با ‪TTL=1‬‬ ‫‪ )4‬حملهکننده قطعه‬ ‫ارسال میکند‪.‬قطعه‬ ‫دو را با ‪ TTL‬مناسب‬ ‫به ‪ IDS‬میرسد‪.‬اما‬ ‫دوباره ارسال میکند‪.‬‬ ‫مسیریاب میانی به‬ ‫‪ NIDS‬به دلیل‬ ‫دلیل صفر شدن‬ ‫تکراری بودن قطعه‬ ‫‪ TTL‬آن را دور‬ ‫آن را دور میاندازد‪،‬‬ ‫میاندازد‪.‬‬ ‫اما قربانی قطعه‬ ‫جدید را دریافت‬ ‫میکند‪.‬‬ ‫‪35‬‬  ‫استقرار سیستم تشخیص نفوذ‬ ‫❑ در حمله درج (‪ ،)Insertion Attack‬آنچه که قربانی دریافت میکند با آنچه که ‪ NIDS‬مشاهده میکند‪ ،‬یکی نیست‪.‬‬ ‫❑ دلیل این حمالت عدم یکسانبودن پیادهسازی پروتکلها و سیستم عاملها و ابهامات در آنها است‪.‬‬ ‫▪ راهکارهای مقابله‬ ‫▪ نرمالسازی‬ ‫▪ در نظر گرفتن سرهمبندیهای مختلف بستهها‬ ‫❑ نظارت بر میزبان (‪)HIDS‬‬ ‫▪ استفاده از مکانیسمهای ممیزی سیستم عامل‬ ‫▪ نظارت بر فراخوانیهای سیستمی انجام شده توسط یک برنامه‬ ‫▪ نظارت بر فعالیتهای کاربر‬ ‫▪ نظارت بر اجرای برنامههای سیستم‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪36‬‬  ‫استقرار سیستم تشخیص نفوذ‬ ‫❑ نظارت بر میزبان (‪)HIDS‬‬ ‫▪ مزایا‬ ‫▪ کشف حمالتی که از طریق شبکه قابل شناسایی نیستند‪.‬‬ ‫▪ قابلیت عمل در محیطی که ترافیک شبکه در آن رمز شده‬ ‫▪ ‪ IDS‬باید سرهمبندی بستهها را به صورت کامل انجام دهد‪.‬‬ ‫▪ معایب‬ ‫▪ امکان غیر فعال شدن سیستم در بخشی از حمله‬ ‫▪ نیاز به انباره زیاد برای ذخیره اطالعات‬ ‫▪ سربار محاسباتی برای میزبان‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪37‬‬  ‫روش تحلیل سیستم تشخیص نفوذ‬ ‫❑ روش تحلیل سیستم تشخیص نفوذ‬ ‫▪ تشخیص سوء استفاده (‪)Misuse Detection‬‬ ‫▪ تشخیص ناهنجاری (‪)Anomaly Detection‬‬ ‫❑ تشخیص سوء استفاده (‪)Misuse Detection‬‬ ‫▪ شناخت حمالت موجود‬ ‫▪ تعریف الگوی حمالت برای موتور تحلیل‬ ‫▪ جستجوی مجموعه ای از وقایع که با یک الگوی از پیش تعریف شده مطابقت دارد‪.‬‬ ‫▪ نیاز به بروزرسانی الگوهای حمله‬ ‫▪ روشهای پیاده سازی‪ :‬سیستم خبره‪ ،‬روش های مبتنی بر گذار حاالت و ‪...‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪38‬‬  ‫روش تحلیل سیستم تشخیص نفوذ‬ ‫❑ تشخیص ناهنجاری )‪(Anomaly Detection‬‬ ‫▪ شناخت عملکرد نرمال سیستم‬ ‫▪ تهیه نمایه هایی از رفتار نرمال سیستم برای موتور تحلیل‬ ‫▪ جستجوی فعالیت غیرنرمال‬ ‫▪ روش های پیاده سازی‪ :‬روش های آماری‪ ،‬شبکه های عصبی و ‪...‬‬ ‫❑ مقایسه روش تشخیص ناهنجاری و تشخیص سوء استفاده‬ ‫‪39‬‬  ‫واکنش به نفوذ در سیستم تشخیص نفوذ‬ ‫❑ واکنش به نفوذ در سیستمهای تشخیص نفوذ‬ ‫▪ فعال (‪)IPS‬‬ ‫▪ غیر فعال (‪)IDS‬‬ ‫❑ سیستمهای ‪ IDS‬سنتی تنها نفوذ را تشخیص میدادند و به مدیر سیستم هشدار میدهد‪.‬‬ ‫❑ سیستمهای تشخیص نفوذ ممکن است فعاالنهتر باشند و به صورت خودکار به فعالیتهای نفوذ تشخیص داده شده پاسخ دهند‪.‬‬ ‫❑ به این سیستمهای ‪IPS‬سیستمهای جلوگیری از نفوذ گفته میشود‪.‬‬ ‫❑ یک ‪IPS‬میتواند به صورت خودکار قوانین محیطی شبکه را تغییر دهد‪ ،‬سیستمهای آسیبدیده را جدا کند و سرویسها را خاموش کند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪40‬‬  ‫واکنش به نفوذ در سیستم تشخیص نفوذ‬ ‫❑ ‪IPS‬در خط جریان بسته و بعد از دیواره آتش قرار میگیرد‪.‬‬ ‫❑ ‪NIDS‬به صورت موازی در شبکه قرار میگیرد‪.‬‬ ‫❑ اگر ناهنجاری امنیتی مشاهده کند‪IDS ،‬هشدار میدهد‪ ،‬اما قادر نیست که ترافیک را مسدود کند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪41‬‬  ‫‪ NIDS‬و ‪IPS‬‬ ‫❑ استفاده از ‪ IPS‬و‪ IDS‬به طور همزمان در شبکه‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪42‬‬  ‫زمانبندی تحلیل در سیستم تشخیص نفوذ‬ ‫❑ ‪ : Real-time detection‬با ورود داده آن را تحلیل میکند‪.‬‬ ‫❑ ‪ :Batch data‬وقتی اندازه داده به اندازه مشخصی رسید‪ ،‬آن را تحلیل میکند‪.‬‬ ‫❑ ‪ :Periodic detection‬به صورت دورهای در زمان مشخصی تحلیل میکند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪43‬‬  ‫مکانیزمهای امنیتی در شبکه‬ ‫❑ دیوارهآتش‬ ‫❑ سیستم تشخیص نفوذ‬ ‫❑ تله عسل‬ ‫❑ شبکههای خصوصی مجازی (‪)VPN‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪44‬‬  ‫تله عسل‬ ‫❑ یک منبع سیستم اطالعاتی که ارزش آن در استفاده غیرمجاز یا غیر قانونی از آن منبع است‪.‬‬ ‫❑ هر وسیله‪ ،‬سیستم‪ ،‬دایرکتوری یا فایلی که به عنوان طعمه ای برای فریب مهاجمان از منحرف کردن دارایی های مهم و ماشینهای با‬ ‫ارزشتر شبکه و جمع آوری رفتارهای نفوذی استفاده می شود‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪45‬‬  ‫چرا تله عسل؟‬ ‫❑ ساخت امضاهای آنتی ویروس‬ ‫❑ ساخت امضاهای ‪ SPAM‬و فیلترها‬ ‫❑ شناسایی سیستمهای آلوده‬ ‫❑ کمک به مجریان قانون برای ردیابی مجرمان‬ ‫❑ شناسایی و خاموش کردن ‪ botnet‬ها‬ ‫❑ جمعآوری و تجزیه و تحلیل بدافزار (‪)Maleware‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪46‬‬  ‫تله عسل‬ ‫❑ تله عسل در پیشگیری‪ ،‬تشخیص‪ ،‬واکنش و پژوهش موثر است‪.‬‬ ‫❑ پیشگیری‬ ‫▪ کند کردن سرعت عملیات نفوذگر و توقف حمله‬ ‫▪ مثال‪ :‬عکس العمل نشان دادن به ادرس هایی که در شبکه موجود نیست‪.‬‬ ‫❑ تشخیص‬ ‫▪ کشف و شناسایی نقص های شبکه‬ ‫▪ به دلیل حجم داده کم و توانایی عملکرد در محیط های رمز شده بهتر از ‪ IDS‬عمل می کند‪.‬‬ ‫‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪47‬‬  ‫تله عسل‬ ‫❑ پاسخ‬ ‫▪ همیشه فقط فعالیت های غیرفانونی ذخیره می شود‪.‬‬ ‫▪ تجزیه و تحلیل ان ساده است‪.‬‬ ‫▪ می توان در برابر حمله پاسخ سریع و موثری داد‪.‬‬ ‫❑ پژوهش‬ ‫▪ برای تحقیقات در زمینه امنیت شبکه به کار می رود‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪48‬‬  ‫تله عسل‬ ‫❑ مزایا‬ ‫▪ مجموعه داده کم و با ارزش باال دارد‪.‬‬ ‫▪ کاهش ‪False positive‬‬ ‫▪ شناسایی حمالت جدید (‪)False negative‬‬ ‫▪ در محیطهای رمزشده کار میکند‪.‬‬ ‫▪ مفهومسادهای که منابع کمی دارد‪.‬‬ ‫❑ معایب‬ ‫▪ میدان دید محدود‬ ‫▪ ریسک (به ویژه در ‪)High-interaction‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪49‬‬  ‫انواع تله عسل‬ ‫❑ تعامل کم (‪)Low-interaction‬‬ ‫▪ کاربردها‪ ،‬سرویسها و سیستم عامل شبیهسازی میشود‪.‬‬ ‫▪ ریسک کمی دارد‪ ،‬به آسانی قابل پیادهسازی و نگهداری است‪ ،‬اما اطالعات محدودی را دریافت میکند‪.‬‬ ‫❑ تعامل باال (‪)High-interaction‬‬ ‫▪ کاربردها‪ ،‬سرویسها و سیستم عامل واقعی‬ ‫▪ اطالعات زیادی دریافت میکند‪ ،‬اما ریسک باالیی دارد و نگهداری آن سخت است‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪50‬‬  ‫‪Honeyd‬‬ ‫❑ ‪ ،Honeyd‬یک تله عسل مجازی با تعامل کم است‪.‬‬ ‫▪ سرویسهای دلخواه ‪ TCP/UDP‬را شبیهسازی میکند‪.‬‬ ‫▪ میتوان نحوه رفتار آن (‪ )personality‬را به گونهای تنظیم کرد که به نظر برسد سیستم عامل خاصی در حال اجرا است‪.‬‬ ‫▪ تنها پشته شبکه شبیهسازی شده است و نه سیستم عامل‪.‬‬ ‫▪ ابزارهای ‪ fingerprinting‬مثل ‪ NMAP‬و ‪ Xprobe‬را میتواند فریب دهد‪.‬‬ ‫▪ از چندین آدرس ‪ IP‬به صورت همزمان حمایت میکند‪.‬‬ ‫▪ یک ‪ host‬میتواند ادعا کند که چندین ‪ IP‬است (تا ‪ 65536‬آدرس امتحان شده است)‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪51‬‬  ‫‪Honeyd‬‬ ‫❑ ‪ ،Honeyd‬یک تله عسل مجازی با تعامل کم است‪.‬‬ ‫▪ از ‪ ICMP‬حمایت میکند‪(.‬ماشینهای مجازی به ‪ ping‬و ‪ traceroute‬پاسخ میدهند‪).‬‬ ‫▪ از یکپارچهسازی با سیستمهای واقعی حمایت میکند‪(.‬سرویس را میتوان ‪ proxy‬و هدایت کرد (‪))redirect‬‬ ‫▪ شبیه سازی شبکه با توپولوژیهای مسیریابی دلخواه با خصوصیات قابل تنظیم لینک مثل ‪ latency‬و ‪packet loss‬‬ ‫▪ ابزارهای ‪ networking mapping‬مثل ‪ traceroute‬تنها توپولوژی شبیهسازی شده را کشف میکنند‪.‬‬ ‫▪ از ‪ logging‬حمایت میکند‪.‬‬ ‫▪ ‪ Log‬ساده ‪connection‬‬ ‫▪‪ Log‬کامل بسته‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪52‬‬  ‫معماری ‪Honeyd‬‬ ‫❑ پایگاه داده تنظیمات‬ ‫▪ ذخیره تنظیمات مرتبط با هر ‪ IP‬مرتبط با ‪ honeypot‬های مجازی‬ ‫❑ ‪Packet Dispatcher‬‬ ‫▪ درخواست تنظیمات آدرس ‪ IP‬مربوط از پایگاه داده تنظیمات‬ ‫▪ بررسی طول بسته ‪ IP‬و ‪checksum‬‬ ‫▪ تحویل بسته به ‪Protocol handler‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪53‬‬  ‫معماری ‪Honeyd‬‬ ‫❑ ‪Protocol handler‬‬ ‫▪ ‪ :ICMP handler‬حمایت از اکثر درخواستهای ‪ ICMP‬با توجه به تنظیمات‬ ‫▪ ‪ TCP handler‬و ‪UDP handler‬‬ ‫▪ برای پورتهای باز ایجاد اتصال به سرویسها‬ ‫(سرویسهای شبیهسازی شده یا ‪ redirect‬به سرویس واقعی)‬ ‫ ‬ ‫▪ برای پورتهای بسته در صورت مجاز بودن‪ ،‬ارسال پیغام ‪ICMP Port Unreachable‬‬ ‫❑ ‪Personality Engine‬‬ ‫▪ تنظیم محتوای بستهها مطابق با پشته پروتکل سیستم عامل تنظیم شده قبل از ارسال بسته به شبکه‬ ‫❑ ‪Routing‬‬ ‫▪ زمانیکه که ‪ Honeyd‬توپولوژی شبکه را شبیهسازی میکند‪ ،‬استفاده میشود‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪54‬‬  ‫‪Honeynets‬‬ ‫❑ ‪ Hoenynet‬یک ‪ Honeypot‬با تعامل باال است‪.‬‬ ‫❑ ‪ Honeynet‬یک شبکه است که هدف اصلی آن تحلیل بهرهبردایها از آسیبپذیریهای جدید سیستم روی شبکه است‪.‬‬ ‫❑ هر ترافیکی که وارد یا خارج شود‪ ،‬مشکوک است‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪55‬‬  ‫عملکرد ‪Honeynet‬‬ ‫❑ یک شبکه بسیار کنترلشده که در آن هر بستهای که وارد یا خارج میشود‪ ،‬نظارت‪ ،‬ضبط و تجزیه و تحلیل میشود‪.‬‬ ‫▪ ‪Data Control‬‬ ‫▪ ‪Data Capture‬‬ ‫▪ ‪Data Analysis‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪56‬‬  ‫معماری ‪Honeynet‬‬ ‫❑ ‪Honeywall‬‬ ‫▪ ‪ Gateway device‬در ‪ Honeynet‬است‪.‬‬ ‫▪ نقطه اصلی ورود و خروج همه ترافیک شبکه ‪Honeynet‬‬ ‫▪ امکان کنترل و تحلیل کامل همه ترافیک شبکه به‪/‬از ‪Honeynet‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪57‬‬  ‫کنترل داده در ‪Honeynet‬‬ ‫❑ فیلترکردن ترافیک خروجی‬ ‫▪ محدود کردن نرخ برای محافظت شبکه خارج از ‪ Honeynet‬در برابر حمالت ‪DOS‬‬ ‫▪ معموال با استفاده از ‪Iptables‬‬ ‫❑ جلوگیری از نفوذ‬ ‫▪ به صورت فعاالنه مانع از حمالت خطرناک به خارج از ‪ Honeynet‬میشود‪.‬‬ ‫▪ با استفاده از ‪)Snort-inline( NIPS‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪58‬‬  ‫کنترل داده در ‪Honeynet‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪59‬‬  ‫‪ Data Capture‬در ‪Honeynet‬‬ ‫❑ همه فعالیتها در سطوح مختلف را میگیرد‪.‬‬ ‫▪ فعالیت کاربرد‬ ‫▪ فعالیت سیستم‬ ‫▪ فعالیت شبکه‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪60‬‬  ‫‪ Sebek‬در ‪Honeynet‬‬ ‫❑ ماژول پنهان کرنل که همه فعالیتهای ‪ host‬را ‪ capture‬میکند‪.‬‬ ‫❑ فعالیت به شبکه فرستاده میشود‪.‬‬ ‫❑ حملهکننده نمیتواند هیچیک از بستههایی که منشا آن ‪ Sebek‬است را ‪ Sniff‬کند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪61‬‬  ‫معماری‪ Sebek‬در ‪Honeynet‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪62‬‬  ‫حمالت در ‪Honeypot‬‬ ‫❑ نفوذ )‪(Compromising‬‬ ‫▪ ‪ Honeypot‬معموال در ‪ LAN‬مجزای مجاور با زیرساخت حیاتی شبکه قرار میگیرد‪.‬‬ ‫▪ نقطه شروع خوبی برای حمالت داخلی‬ ‫❑ مسموم کردن )‪(Poisoning‬‬ ‫▪ فراهمکردن اطالعات اشتباه‬ ‫▪ محو کردن اطالعات ارزشمند با تولید نویز‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪63‬‬  ‫حمالت در ‪Honeypot‬‬ ‫❑ جاسوسی‬ ‫▪ فرض کنید به یک ‪ Honeypot‬نفوذ شود‬ ‫▪ اطالعات فردی افشا میشود (نام فرد‪ ،‬ساعتهای کاری‪ ،‬سطح تحصص)‬ ‫▪ اطالعات درون سازمان افشا میشود‪.‬‬ ‫▪ اگر ‪ Honeypot‬فقط سیستم ویندوز را شبیهسازی کند‪.‬‬ ‫▪ اگر ‪ Oracle ،Honeypot‬را شبیهسازی کند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪64‬‬  ‫تشخیص‪Honeypot‬‬ ‫❑ ویژگیهای فنی ‪Honeypot‬‬ ‫▪ زمانهای پاسخ‪ ،‬بنرها (‪ )banners‬و پارامترهای ناسازگاری‬ ‫❑ ویژگیهای اجتماعی سیستم مثل تعامل کاربران‬ ‫▪ در یک بازه طوالنی مدت هیچ فایلی در سرور ایجاد نشده است یا به هیچ فایلی در سرور تقاضای دسترسی داده نشده است‪.‬‬ ‫❑ ‪Network sniffing‬‬ ‫▪ بستههایی که به‪/‬از سیستم ارسال میشونددریافت میشوند‪.‬‬ ‫❑ جستجو برای ردپایی از ‪Vmware‬‬ ‫▪ ‪ Vmware‬معموال یک ‪ platform‬محبوب برای ‪Honeypot‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪65‬‬  ‫تشخیص‪Honeynet‬‬ ‫❑ جستجو برای ابزارهای مخصوص ‪ Honeypot‬مثل ‪sebek‬‬ ‫❑ جستجو برای فایلهای ‪ log‬و تاریخچهها‬ ‫▪ فقط انسانهای بد اشتباه نمیکنند‪.‬‬ ‫❑ آسیبپذیریهایی که در ‪ Honeypot‬وجود دارد (فقط در ‪)low-interaction‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪66‬‬  ‫مکانیزمهای امنیتی در شبکه‬ ‫❑ دیوارهآتش‬ ‫❑ سیستم تشخیص نفوذ‬ ‫❑ تله عسل‬ ‫❑ شبکههای خصوصی مجازی (‪)VPN‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪67‬‬  ‫شبکههای خصوصی مجازی (‪)VPN‬‬ ‫❑ سازمان های چند سایتی (‪ ،)multi-site organizations‬شبکه های خصوصی را با استفاده از خطوط اجاره ای اداره می کردند‪.‬این رویکرد‬ ‫پرهزینه و غیر قابل انعطاف بود‪.‬‬ ‫▪ راهکار ارزانتر استفاده از اینترنت اشتراکی به جای خطوط ارتباطی اختصاصی بود‪.‬‬ ‫❑ ‪VPN‬یک نوع شبکه خصوصی است که از ارتباطات عمومی مثل اینترنت (به جای خطوط اجارهای اختصاصی) استفاده میکند‪.‬‬ ‫▪ شبکه است‪ :‬تبادل اطالعات بین موجودیت های (‪ )entity‬مختلفِ شبکهی خصوصی مجازی‪.‬‬ ‫▪ خصوصی است‪ :‬ویژگیهای شبکه خصوصی را دارد یعنی از مجموعه بستهای از کاربران مجاز پشتیبانی میکند و به آنها امکان دسترسی‬ ‫به خدمات و منابع محتلف مرتبط با شبکه را میدهد‪(.‬احراز هویت دسترسی کاربر)‪.‬همچنین داده به صورت خصوصی و رمز شده مبادله‬ ‫میشود‪.‬در بسیاری از موارد حریم خصوصی کاربر هم حفظ میشود (به عنوان مثال آدرس ‪ ip‬واقعی فرستنده رمز میشود)‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪68‬‬  ‫شبکههای خصوصی مجازی (‪)VPN‬‬ ‫❑ ‪VPN‬یک نوع شبکه خصوصی است که از ارتباطات عمومی مثل اینترنت (به جای خطوط اجارهای اختصاصی) استفاده میکند‪.‬‬ ‫▪ مجازی است‪ :‬یک توپولوژی مجازی روی زیرساخت شبکه فیزیکی موجود و مشترک ساخته شده است‪.‬برای ایجاد یک ارتباط نقطه به‬ ‫نقطه بین نودهای شبکه مجازی‪ ،‬دادهها با سرایندی که اطالعات مسیریابی را برای رسیدن به نقطه انتهایی فراهم میکند‪ ،‬کپسوله میشود‪.‬‬ ‫❑ ‪ VPN‬میتواند عملکردهای زیر را فراهم کند‪:‬‬ ‫▪ محرمانگی‪ :‬با رمزنگاری دادهها‪ ،‬از شنود غیرمجاز آن جلوگیری شود‪.‬‬ ‫▪ احراز هویت‪ :‬تایید اینکه کاربر‪ ،‬روتر یا دیواره اتش یک ترافیک ‪ VPN‬ارسال میکند‪ ،‬قانونی است‪.‬‬ ‫▪ صحت‪ :‬تایید اینکه بسته ‪ VPN‬به نحوی در حین ارتباط تغییر نکرده است‪.‬‬ ‫❑ ‪ VPN‬ها نمیتوانند مانع تحلیل ترافیک شود و اطالعاتی نظیر اندازه بستهها‪ ،‬زمان استفاده از شبکه‪ ،‬دو نقطه انتهایی مذاکره‪ ،‬افشا میشود‪.‬‬ ‫❑ ‪ VPN‬میتواند برای دور زدن خط مشی سازمان با کپسولهکردن ترافیک ممنوعه و رمزکردن آن در یک بسته دیگر به کار رود‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪69‬‬  ‫شبکههای خصوصی مجازی (‪)VPN‬‬ ‫❑ ‪Tunneling‬‬ ‫▪ به طور نمونه یک ‪ VPN‬شامل مجموعه ای از اتصاالت نقطه به نقطه است که از طریق اینترنت تونل می شوند‪.‬‬ ‫▪ روترهای میانی در اینترنت که این ترافیک را حمل می کنند‪ ،‬هر اتصال ‪P2P‬را به عنوان دنباله ای از بسته های مسیریابی‬ ‫بین نقاط پایانی می بینند‪.‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪70‬‬  ‫شبکههای خصوصی مجازی (‪)VPN‬‬ ‫❑ ‪Encapsulation‬‬ ‫❑ به منظور دستیابی به تونل سازی‪ ،‬بسته ها شامل محتوای بسته‪ ،‬آدرس های ورودی و خروجی‪ ،‬شماره پورت ها و سایر‬ ‫سرایندهای بسته پروتکل استاندارد‪ ،‬به عنوان محتوای بسته های که توسط مسیریابهای حامل اتصال مشاهده می شود‪،‬‬ ‫کپسوله می شوند‪.‬‬ ‫ایجاد تونل در الیه سه پشته پروتکل با استفاده از پروتکل ‪IPSEC‬‬ ‫ایجاد تونل در الیه دو شبکه با پروتکل ‪PPTP‬‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪71‬‬  ‫شبکههای خصوصی مجازی (‪)VPN‬‬ ‫عملکرد شبکه خصوصی مجازی به پروتکل استفاده شده بستگی دارد‪ ،‬اما به طور کلی میتوان مراحل زیر را در نظر گرفت‪:‬‬ ‫‪ (1‬تنظیم سیاستهای امنیتی‪ ،‬مجوزهای کاربران‪ ،‬تعیین مسیرهای شبکه‬ ‫‪ (2‬مرحله آغازین (مرحله مذاکره)‪ :‬شامل احراز هویت کاربر‪ ،‬توافق روی نسخه پروتکل امنیتی‪ ،‬الگوریتم رمزنگاری‪ ،‬روش مبادله کلید‬ ‫‪ (3‬مبادله و تولید کلیدهای برای ایجاد تونل امن‬ ‫‪ (4‬انتقال داده از طریق تونل امن‬ ‫‪ (5‬حفظ ثبات اتصال با ارسال پیغامهای ‪keep alive message‬‬ ‫‪ (6‬پایان اتصال و آزاد سازی منابع‬ ‫امنیت شبکه‪ ،‬مریم آزادمنش‪ ،‬دانشگاه بیرجند‪ ،‬نیم سال اول تحصیلی ‪1403-1404‬‬ ‫‪72‬‬  ‫پایان‬ ‫امنیت سایبری‪-‬مریم آزادمنش‪-‬دانشگاه بیرجند‬ ‫‪73‬‬