نبرد با انواع Worm

Hoff به عنوان مدیر سرویس های امنیتی فرا گیر در Western Corporate Federal Credit Union) Wescorp) از یك معماری چند لایه كه جهت گذاردن موانع میان افراد بد خواه و داده های او طرا حی شده بود استفاده كرد. شركت San Dimas علاوه بر استفاده از فایروال و ابزار ضد ویروس معمول ، با سرمایه ای بالغ بر ۲۵ میلیارد دلار شبكه های خود را سگمنت بندی نموده و یك آرایه از ابزارهای باز دارنده و كشف تجاوز به شبكه ، محصولات امنیت كلا نیت نرم افزار مدل سازی تهدید را به كار گرفته است . به گفته دست اندر كاران مسائل امنیتی همچون Hoff ، این شیوه دفاع دقیقا همان چیزی است برای حفظكه این روزها كه برای حفظ امنیت لازم است . Hoff می گوید : « مشكل Worm ، ارتباط كاركرد امنیت اطلاعات را كاملا تسریع كرده است ، آن دیگر بحث ROL نیست ، بلكه بحث كاهش ریسك سرمایه گذاری است ». كاربران می گویند : Worm ها و سایر برنامه های مخرب سال ها وجود داشته اند . اما تمایلات و روش های متعدد دست به دست هم داده اند تا خطرنا ك تراز قبل سازند . نویسندگان Worm از رخنه ها ی تازه اعلام شده در نرم افزار ها سریعتر از قبل بهره می جویند ، كه این امر زمان كمتری را در اختیار كاربران برای دفاع از سیستم های خود قرار می دهد . Blaster در سال گذشته یك آسیب پذیری را پس از ۲۶ روز مورد سو ء‌استفاده قرار داده بود . Sasser كه كه در ماه امسال ظاهر شد در طی ۱۷ روز این كار را انجام داد ، در حالیكه Witty در ماه مارس تنها در طی ۱ روز ظاهر گردید . تا كنون سوء استفاده های « صفرروزه » هم وجود داشته است ، یعنی قبل از آنكه یك رخنه فاش شود ، یا یك برنامه اصلاحی در دسترسی قرار بگیرد ، این سوء استفاده ها صورت گرفته است . البته زبان آنها محدود گشته ، اما طبق گفته متخصصان پیش از رها شدن یك برنامه خطرنا ك تنها مسئله زمان مطرح است . Eric litt ، مدیر ارشد امنیت اطلاعات در شركت General Motors، می گوید : « این یك نبرد است . اگر كاربران قصد پیروزی در این نبرد را دارند ، با یستی همیشه گوش به زنگ با شند .»
اما شركت ها همچنان به طور متوسط در طی ۶۰روز كار نصب برنامه اصلاحی (patch) را برمی سیستم های خود انجام می دهند كه این زمان بسیار طولانی است ،‌ این گفته Gerhard Eschelback، مدیر ارشد تكنو لوژی در شركت Qualys (یك فراهم كننده سرویس های مدیریت آسیب پذیری ) است . او می گوید : هر سال نیمی از آسیب پذیری های جدی با موارد جدید و معادل خود جایگزین می گردند.
میزان در معرض خطر قرار گرفتن شركت ها با اتصال شبكه های ایمن آنها به شبكه های شركا و شركت های واسط افزایش می یابد . ظهور و رشد كاربران از راه د ور و بی سیم بر مشكل می افزاید .
Greg Murry ، قائم مقام مدیر عامل در امور امنیت اطلاعات در شركت Inforamiton Resources واقع در شیكاگو ، می گوید : « موارد بیشتری وجود دارد كه می تواند مورد حمله قرار گیرد، واین دلیل خوبی است برای اینكه ثابت گردد دفاع محیطی به تنهایی كافی نیست ». این شركت تحقیقات عملی رادر بازار برای برخی از بزرگترین شركت تحقیقات عملی را در بازار برای برخی از بزرگترین شركت های دنیا در صنایع غذایی، كالاهای مصرفی و دارویی انجام می دهد . Worm ها به شكل رو به رشدی در حال ظهور هستند ، و به مرور مهلك تر می گردند . چهار نوع از پنج Worm شایع(MyDoon،Netsky،Bagle،Sasser) امسال ظاهر شدند . تعداد تهدید هایی كه شركت ضد ویروس Symantec آنها را در دسته بندی ۴ قرار دارد (این دسته بندی خطرنا ك است ) در نیمه نخست سال ۲۰۰۴ بیشتر از كل سال ۲۰۰۳ بود . برای نمونه ، My Doon سیستم هارا آلوده كرد وسپس از آنها برای حملات denial-of –Service به شركت مایكرو سافت و شركت SCO Group استفاده نمود . سایر Worm ها مبادرت به مسدود ساختن سیستم های آلوده جهت جلو گیری از download برنامه های اصلاحی و به روز رسانی ها ی ضد ویروس نمودند ، در حالیكه سایر آنها كار نصب سیستم های back door و دزدیدن اطلاعات را انجام دادند .
Jamie Chanaga، مدیر ارشد امنیت اطلاعات در Gesinger Health System ، می گوید :« روز Pearl Harbor دیجیتالی كه افراد زیادی صحبتش را می كردند به سرعت در حال نزدیك شدن است .»
Litt می گوید : آماده شدن برای چین وضعیت اضطراری نیازمند یك معمار ی امنیتی توانا در كشف و مسدود سازی خودكار تهدیدات ، چه شنا خته شده و چه نا شنا خته است . او میگوید :« تكنو لوژی ها ی برتر ضد ویروس امروزه آنهایی هستند كه اقدام به تصفیه كردن آلو دگی ها بر اساس رمز مشخصه های ویروس ها (virus signature) می نمایند .»این روش تنها برای كدهای مخرب و آسیب پذیر ی های شنا خته شده كار می كند . Litt می گوید : زما ن میان آشكار شدن آسیب پذیری و سوء استفاده از آن باید تا حد ممكن كوتاه گردد.
Chanaga می گوید : « دلیل اصلی آنكه كه Worm ها و ویروس ها بسیاری موثر واقع می شوند این است كه همواره برای شركت ها امكان پذیر نیست كه برنامه های اصلاحی را بر روی سیستم های تولیدی نصب نمایند ». هدف باید داشتن لا یه های دفاعی به میزان كافی باشد تا رخنه در یك لایه موجب به مخاطره افتادن توانایی شما در انجام تجارت نگردد. در مورد Wes Corp، شبكه های شركت بر اساس كاربرد و ارزش تجاری سگمنت بندی شدند . برای نمونه تمامی سرور ها ی SQL آن در یك سگمنت دیگر قرار داده شدند . هر سگمنت از شبكه توسط یك آرایه از سیستم های بازدارنده و كشف تجاوز، و فایر وال های بررسی كننده بسته (Packet) و تكنولوژی های ضد ویروس مبتنی بر رمز مشخصه محافظت گردید . WesCorp یك تكنو لوژی اسكن مبتنی برسرور از شركت Wholesecurity را به منظور اسكن نمودن سیستم های شرا كتی یا كلانیت برای یافتن Trojan، نرم افزار های جاسوسی و سایر كدهای بد خواه پیش از انتشار آنها به بخش های دیگر مورد استفاده قرار داد. یك سرویس آسیب پذیری مدیریت آسیب پذیر از شركت Qualys نیز برای یافتن رخنه های امنیتی كار اسكن را انجام داده و به WesCorp كمك می نماید كه به سرعت دارایی های خود را كه در هنگام حملع نیازمند محافظت هستند اولویت بندی نماید. همچنین یك نرم افزار از شركت Skybox System از تركیبی از فایروال ها ، روتر ، شبكه و اطلاغات درباره آسیب پذیری جهت مدل كردن حملات استفاده می كند . تكنو لوژی Crqssbeam System به WesCrop امكان یكپارچه سازی مدیریت تمامی اجزاء امنتی خود را می دهد . نتیجه بسیار موثر است، اما كامل نیست . Hoff می گوید : « ما هرگز قادر نخواهیم بود كه میزان خطر را به صفر برسانیم ».
Murray می گوید : « نصب فایر وال ها میزان ، پشتیبانی شبكه خصوصی مجازی تكنو لو ژی های كشف تجاوز بر روی تمامی ابزارهای پایانی و داشتن راه هایی برای تطبیق یافتن با كلا نیت ها و شركای تجاری یك امر حیاتی محسوب می گردد ». او از یك ابزار متعلق به شركت Check oint ftwareTechnologies برای انجام دادن تمامی این گارها استفاده می نماید .
Chanaga می گوید : « دورانی كه شما می توانستید از یك حفاظ تیتا نیومی استفتده نمایید سپری شده است ، توجه داشته باشید كه اكنون ناچار به باز كردن شبكه خود به روی شركا ی تجاری ، فروشندگان و سایر موسسات هستید ».
Chanaga می گوید : مانیتورینگ شبكه و تمامی سیستم های متصل به آن بصورت Real-time (بلادرنگ ) نیز یك امر حیاتی برای كشف آسیب پذیری ها و اولویت بندی پاسخ ها به شمار می رود ، او این كار را توسط Qualys انجام می دهد .

درس های فراگرفته شده
شركت Salli Mae بخش اعظم استراتژی ضد Worm خود را پس از ضربه مهلكی كه در سپتامبر ۲۰۰۱از Nimda خورد ، مورد باز بینی قرار دارد این گفته Marc Houtp طراح امنیت اطلاعات شركت است . از آن پس Reston(وابسته به Sallie Mac) یك قرارداد برای اسكن ۸۰۰۰۰ پیغام الكترونیك روزانه خود و تصفیه فایل های اجرایی و سایر پسوندهای مشكوك با شركت MessageLab امضا نمود. این شركت اقدام به نصب یك نرم افزارضد ویروس از شركت Computer Associates Internetional بر روی تمامی سرور ها و ایستگاه ها ی كاری نمود و تعداد دفعات جستجو های خود را برای رمز مشخصه های به روز شده ویروس از دو بار درروز به هر چهار ساعت یك بار افزایش داد . ایستگاه های كاری شركت نیز هر ۱۵ دقیقه یك بار توسط سرور اصلی آنتی ویروس كنترل می شدند. Houpt می گوید :همچنین به تیم امنیت اطلاعات Sallie Mac اختیار بیشتری جهت اتخاذ تصمیمات موضعی در مورد Worm ها و ویروس ها واگذار گردید . هنگامی كه My Doom شروع به انتشار خود نمود ، او قادر بود به سرعت مافوق های خود را در مورد خاموش كردن سرور های پست الكترنیك تا زمان بر طرف شدن مشكل ، متقاعد نماید . او می گوید : پیش از این چنین كاری ( خاموش كردن سرورها ) نیازمند « دو یا سه سطح كسب اجازه و یك فرآیند بسیار دشوار موضعی » بود ، « حالا تمام كاری كه بایستی انجام گردد، یك توافق میان مدیرشبكه و من ( به عنوان طراح امنیت اطلاعات ) است ».
بزرگترین مسئله یكپارچگی اجزای متعدد تكنو لوژی است . Hoff می گوید این موضوع اهمیت دارد كه شما قبل از خرید این محصول از سرویس فروشندگان برای انجام یكپارچه سازی استفاده كنید .
Murray می گوید : داشتن یك استراتژی چند لایه بدون داشتن قابلیت های تحلیلی جامع و گزارش گیری به منظور تفسیر و ارائه اطلاعات جمع آوری شده توسط چنین سیستم هایی چندان خوب نیست .
Sam Curry قائم مقام مدیر عامل در CA، میگوید: «تكنولوژی های امنیتی بیشتر شمارا ایمن تر نمی سازند: بلكه این مدیریت بهتر است كه این كار را انجام می هد». در ضمن مسائل مربوط به پشتیبانی را كم نگیرید . به عنوان نمونه ، یكپارچه كردن امنیت با ابزارهای پایانی به شكل اجتناب نا پذیری منجر به مراجعات بیشتری به بخش كمك رسانی خواهد گردید ، در نتیجه گروه امنیت اطلاعات را برای به عهده گرفتن مسئو لیت برخی از هزینه ها ملزم می سازد ، این گفته Hoff است . بنا بر این آموزش كاربران نهایی یك بخش اساسی از هر استراتژی فرو نشانی Worm ها است . Chanaga می گوید : به شكل مضحكی گاهی اوقات قوانین می توانند مانع به حساب آیند . برای مثال ، Geisinger قادر به نصب برنامه های اصلاحی مورد نیاز و نرم افزار ضد ویروس بر روی سیستم های الكتریكی بدون حفاظ مبتنی بر ویندوز نیست ، زیرا این كار باعث نقض شدن گواهینامه FDA برروی آن سیستم ها خواهد شد . Houpt می گوید : تلاش ها باید در مقابل نیازهای تجاری نیز موازنه گردند . او می گوید : به عنوان نمونه ، هنگامی كه تیم امنیت اطلاعات اختیار متوقف ساختن سرورهای حیاتی را كسب می كند باید درك بسیار خوبی از تاثیر بالقوه مشكل داشته باشد . وی همچنین می گوید : « تیم امنیت اطلاعات شما بایستی دانش فنی و اعتبار لازم رابرای انجام یك ارزیابی مناسب داشته باشد ، و تیم های كاربر نیز باید قادر به اعتماد كردن به این دانش باشند ».
چیزی بیش از امضا ء مورد نیاز است
كاربران می گویند : تكنو لوژی های ضد ویروس مبتنی بر تطبیق امضاء به ایفای نقش خود در استراتژی های مقابله با Worm در آینده ادامه خواهند داد اما نقش آنها به اندازه كنونی بر جسته نخواهد بود .
محصولات ضد ویروس سنتی Worm ها و ویروس ها را با استفاده از الگو های انطباقی د رفایل های خود تصفیه می نمایند . از نظر كاربران رویكرد مزبور همچنان به عنوان موثرترین روش مسدود ساختن تهدیدات شنا خته شده مد نظر قرار می گیرد ، خصوصا به این دلیل كه برخی Worm ها برای سال ها در اینترنت سرگردانند ، شركت هایی كه رمز مشخصه های ویروس خود را به روز نگه می دارند قادر به اجتناب از شیوع های خطرناك بیشتری خواهند بود . به هر حال ، تكنو لوژی های فوق در مقابل Worm های ناشناخته نا توان هستند . برای اینكه چنین محصولاتی موثر باشند ، فروشندگان بایستی هر زمان كه یك Worm ظاهر می گردد اقدام به توسعه امضاهای جدید نمایند . این موضوع در مورد موقعیت هایی كه چندین Worm مختلف یك آسیب پذیری را مورد سوء استفاده قرار می دهند یا از روش های مشابه استفاده می كنند نیز صادق است . سرعت عمل بیشتری رخنه هارا مورد استفاده قرار می دهند حیاتی تر می گردد .
كاربران همچنین نیازمند روشی برای رای گیری ها ی (Poll) ثابت و پایدار برای امضاهای جدید جهت به روز نگه داشتن فایل های خود هستند . به دلیل افزایش در تعداد Worm ها ، شركت ها نا چارند تعداد دفعات كنترل به روز رسانی ها با فروشندگان ضد ویروس را به میزان قابل توجهی افزایش دهند كه اغلب اوقات هر ۱۵ دقیقه یك بار انجام می گیرد . Gerhard Eschelbeck، مدیر ارشد تكنو لوژی در Qualys می گوید :« Worm ها سریع تر از به روز زسانی های ضد ویروس كار خود را انجام می دهند » . Eric Litt، مدیر ارشد امنیت اطلاعات در شركت General Motors می گوید : در ، اینده شركت ها ی بزرگ نمی توانند برای پیروزی در مسابقه بر روی فروشندگان ضد ویروس حساب باز كنند.این حقیقت اغلب آنها از جمله شركت GM را وادار خواهد ساخت تا به دنبال تكنو لوژی ها یی باشند كه توانایی كشف و مسدود ساختن تهدیدات را داشته باشند .
شركت Thevmo Electron، یك تولید كننده ۲ میلیارد دلاری تجهیزات پزشكی ، برای استفاده از یك « فایروال حافظه » جدید متعلق به شركت Determina برنامه ریزی نموده است . تكنو لو ژی Determina بجای استفاده از تطبیق امضاء از یك تكنیك اسكن حافظه برای كشف مسدود ساختن حتی تهدیدات ناشناخته استفاده می نماید .
سایر محصولات ، حملات را بر اساس انحراف و تغییر در ترافیك شبكه مسدود می سازند . در حالی كه چنین محصولاتی به عنوان جانشین هایی برای تكنولوژی های مبتنی بر تطبیق امضاء عرضه می گردند ، متخصصان بر این عقیده اند كه هنوز برای پیش بینی در مورد میزان كا ر آیی آنها خیلی زود است .

منبع : از مجله علم الكترونیك و كامپیوتر

منبع : شبکه فن آوری اطلاعات ایران