دفاع در مقابل کرم ها و ویروس ها

کرم ها و ویروس ها نوع خاصی از برنامه های کامپیوتری موسوم به کد مخرب می باشند علت ظهور کرم ها و ویروس ها , وجود ضعف در برنامه ها ی کامپیوتری است

کرم ها و ویروس ها نوع خاصی از برنامه های کامپیوتری موسوم به " کد مخرب " می باشند. علت ظهور کرم ها و ویروس ها ، وجود ضعف در برنامه ها ی کامپیوتری است . آنان نسخه هائی از خود را تکرار و یا به سایر برنامه ها متصل، بسرعت گسترش و بسادگی از سیستمی به سیستم دیگر توزیع می شوند.درابتدا لازم است که تعریف مناسبی برای هر یک از آنان ارائه گردد . کرم ها ، نوع خاصی ازبرنامه های کامپیوتری می باشند که پس از آغاز فعالیت خود ، بدون مداخله انسانی منتشر و توزیع خواهند شد. ویروس ها ، نوع دیگری از برنامه های کامپیوتری می باشند که بمنظور انتشار و توزیع خود نیازمند انجام عملیات خاصی توسط کاربر نظیر فعال شدن فایل همراه یک نامه الکترونیکی می باشند.کاربران در اغلب موارد و در مشاهده با فایل های ضمیمه همراه نامه های الکترونیکی ، اغوا و بدون لحاظ نمودن مسائل امنیتی آنان را باز و به عاملی برای گسترش یک ویروس تبدیل می شوند. کاربران بدلیل کنجکاوی مربوط به موضوع یک نامه و یا ظاهر شدن نامه بگونه ای که برای مخاطب خود آشنا است ، اقدام به باز نمودن ضمائم یک نامه الکترونیکی می نمایند. کرم ها و ویروس می توانند اقدامات پیشگیرانه امنیتی نظیر فایروال ها و سیستم های حفاظتی را نادیده و اهداف خود را دنبال نمایند.

کرم ها و ویروس ها در مقایسه با گذشته با سرعت بمراتب بیشتری اقدام به خرابی سیستم های آسیب پذیر نموده و در این راستا نسخه هائی از خود را برای اکثر سیستم های فوق ، توزیع و منتشر می نمایند. کامپیوترهای موجود در منازل ، نمونه مناسبی از سیستم های آسیب پذیر بوده که شرایط و استعداد مناسبی را در این رابطه دارند. کرم Code Red در سال ۲۰۰۱ بسرعت در سطح جهان منتشر گردید . سرعت انتشار کرم فوق، بمراتب بیشتر از کرم Morris در سال ۱۹۸۸ و ویروس ملیزا در سال ۱۹۹۹ بود. بدیهی است، افزایش سرعت انتشار این نوع از کدهای مخرب ، سرعت در بروز خرابی و آسیب را بدنبال خواهد داشت . مثلا" فاصله زمانی بین شناسائی اولین نسخه کرم Code Red و خرابی گسترده آن ، صرفا" چندین روز بیشتر نبوده است و دراین فاصله زمانی محدود، Code Red بسرعت اشاعه و گسترش پیدا کرده بود. پس از گذشت یک ماه از ظهور کرم Code Red ، کرم دیگری با نام "نیمدا" توانست در اولین ساعت فعالیت خود ، خرابی بسیار گسترده ای را ایجاد نماید . در ژانویه همان سال ، " اسلامر" توانست صرفا" در مدت چندین دقیقه خرابی گسترده ای را بوجود آورد .

شکل زیر،سرعت انتشار و میزان آسیب رسانی " اسلامر" ، بلستر و Code red در اولین روز فعال شدن را نشان می دهد . همانگونه که مشاهده می شود ، اسلامر توانسته است با سرعت بیشتری در اولین ساعات فعال شدن خود ، تعداد زیادی از سیستم ها را آلوده نماید. سرعت انتشار بلستر از اسلامر کندتر ولی از Code Red سریعتر بوده است . پس از گذشت بیست و چهار ساعت، بلستر به ۳۳۶،۰۰۰ ، .Code Red به ۲۶۵،۰۰۰ و اسلامر به ۵۵،۰۰۰ دستگاه کامپیوتر آسیب رسانده بودند. دقت داشته باشید که بلستر در هیجده ساعت اولیه فعالیت خود تواسنه است بیش از ۳۳۶،۰۰۰ کامپیوتر را آلوده نماید. بلستر نسبت به اسلامر توانسته است علیرغم کند بودن انتشار در ساعات اولیه ، تعداد بمراتب بیشتری از سیستم ها را آلوده نماید . بنابراین ، ما از یکطرف سرعت در انتشار و از طرف دیگر افزایش بالای تعداد سیستم های آسیب پذیر را می توانیم مشاهده نمائیم .

عملکرد کرم بلستر و Code Red در هیجده ساعت اولیه در هر دو حالت در ساعات بین سه تا پنج اولیه فعالیت ، نزدیک به ۱۰۰،۰۰۰ کامپیوتر آلوده شده بود. سرعت انتشار و آسیب به اندازه ای سریع بوده است که اغلب مدیران سیستم و کاربران زمان لازم بمنظور ایمن سازی سیستم ها پس از اعلام ضعف امنیتی را نداشته اند .

●عملکرد کرم ها و ویروس ها

در بهترین حالت ، کرم ها و ویروس ها بمنزله مزاحمینی می باشند که بمنظور برخورد با آنان می بایست هزینه های زیادی صرف گردد . در بدترین حالت ، آنان بمنزله دشمنان خانمان سوزی بوده که قادرند سرمایه های اطلاعاتی را نابود و ویران نمایند. بر اساس گزارشات منتشر شده ، صرفا" در دوازده ماه گذشته ، حملات کرم ها و ویروس ها میلیون ها دلار خسارت را متوجه سازمان ها و موسسات نموده است . براساس نظر سنجی انجام شده توسط CSI/FBI در سال ۲۰۰۳ ، بیش از هشتاد و دو درصد از پاسخ دهندگان با نوع خاصی از حملات توسط ویروس ها و کرم ها برخورد داشته که هزینه ای معادل ۲۷،۳۸۲،۳۴۰ دلار صرف برطرف نمودن مشکلات مربوطه شده است . کمترین هزینه گزارش شده ۴۰،۰۰۰ دلار و بیشترین هزینه گزارش شده بالغ بر ۶،۰۰۰،۰۰۰ دلار بوده است . در یک نظر سنجی دیگر و در استرالیا نیز نتایجی مشابه بدست آمده است . در این نظر سنجی بیش از هشتاد درصد از پاسخ دهندگان با نوع خاصی از حملات توسط کرم ها و یا ویروس ها مواجه بوده اند . در بررسی انجام شده توسط موسسه تحقیقاتی استرالیا ، ۳۳ % درصد از پاسخ دهندگان اعلام نموده اند که مشکل آنان در کمتراز یک روز ، ۳۰ % اعلام نموده اند که مشکل آنان بین یک تا هفت روز و ۳۷ % دیگر اعلام نموده اند که بیش از یک هفته صرف برطرف نمودن مشکل آنان شده است . ( برخی از سازمان ها و موسسات نیز اعلام نموده اند که مشکل آنان هرگز برطرف نشده است ) .

میزان صدمات وخرابی گزارش شده در ارتباط با کرم بلستر، بالغ بر ۵۲۵ میلیون دلار و در ارتباط با سوبیگ ( نوع F ) ، بین ۵۰۰ میلیون تا یک میلیارد دلار برآورد شده است.هزینه فوق ، شامل ازدست دادن بهره وری ، ساعات تلف شده ، عدم فروش کالا و یا خدمات و هزینه های اضافی مربوط به پهنای باند است . بر اساس اظهارات ارائه شده در نشریه اکونومیست ۲۳ اگوست ۲۰۰۳ ، سوبیگ (نوع F )، مسئول یکی از شانزده نامه الکترونیکی ارسال شده بر روی اینترنت بوده است . برخی سازمان های بزرگ ، صرفا" طی یک روز بیش از ۱۰،۰۰۰ نامه الکترونیکی آلوده را دریافت نموده اند ( در هر ۶. ۸ ثانیه ، یک پیام ) . سوبیگ ، قادر به ارسال چندین نامه الکترونیکی در یک زمان بود و بدین ترتیب ضریب نفوذ و اشاعه آن بشدت بالا بود . ( هزاران پیام در یک دقیقه ) . با توجه به اینکه، سوبیگ چندین مرتبه تغییر و نسخه های جدیدتری از آن ارائه می شد، برخورد و غیر فعال نمودن آن با مشکل مواجه می گردید . ( حرف F نشاندهنده نسخه شماره شش سوبیگ است ) .

●وضعیت آینده

نتایج و تجارب کسب شده ، صرفا" محدود به عملکرد خاص برخی از کرم ها و ویروس ها نظیر بلستر و سوبیگ بوده و ما می بایست به این واقعیت مهم توجه نمائیم که کرم ها و ویروس ها یک تهدید جدی در رابطه با امنیت اینترنت بوده و می توانند مسائل متعدد و غیرقابل پیش بینی را در آینده برای هر یک از شهروندان حقوقی و یا حقیقی اینترنت بدنبال داشته باشند .بنابراین می توان این ادعا را داشت که اینترنت نه تنها در حال حاضر در مقابل اینگونه حملات آسیب پذیر است بلکه آسیب پذیری آن در آینده نیز قابل پیش بینی و واقعیتی غیرقابل کتمان است. کامپیوترهای موجود در سازمان ها ، موسسات دولتی و خصوصی ، مراکز تحقیقاتی ، مدارس ، دانشگاه ها در حال حاضر نسبت به ضعف های امنیتی کشف شده آسیب پذیر بوده و قطعا" نسبت به ضعف هائی که در آینده مشخص می گردند، نیز آسیب پذیری خود را خواهند داشت . بنابراین ، سیستم های کامپیوتری هم در مقابل حملات در حال حاضر و هم برای حملات در آینده ، دارای استعداد لازم بمنظور پذیرش آسیب خواهند بود. بدیهی است ، همزمان با افزایش وابستگی سازمان ها و موسسات دولتی و خصوصی به اینترنت ، انجام فعالیت های تجاری، تهدیدات و خطرات خاص خود را بدنبال خواهد داشت .

●محدودیت راه حل های واکنشی

پس از گذشت قریب به پانزده سال از عمومیت یافتن اینترنت و مطالعات گسترده انجام شده بمنظور کاهش خطرات ، خرابی و سرعت در تشخیص و غلبه بر حملات ، می توان این ادعا را نمود که راه حل های واکنشی به تنهائی کافی نخواهند بود. ادعای فوق ، ماحصل توجه به عوامل زیر است :

▪اینترنت در حال حاضر بیش از ۱۷۱،۰۰۰،۰۰۰ کامپیوتر را بیدیگر متصل و رشد آن همچنان ادامه دارد . در حال حاضر ، میلیون ها کامپیوتر آسیب پذیر در اینترنت وجود دارد که مستعد یک نوع خاص از حملات توسط مهاجمین می باشند.

▪تکنولوژی حملات بسیار پیشرفته شده و مهاجمان می توانند با اتکاء بر آخرین فنآوری ها ی موجود ، بسادگی از نقاط ضعف موجود در سیستم های آسیب پذیر استفاده و به آنان آسیب مورد نظر خود را برسانند( حملات مبتنی بر آخرین تکنولوژی موجود ).

▪تعداد زیادی از حملات در حال حاضر بصورت کاملا" اتوماتیک عمل نموده و با سرعت بسیار بالائی در اینترنت و صرفنظر از منطقه جغرافیائی ویا محدودیت های ملی ، توزیع و گسترش می یابند.

▪تکنولوژی بکارگرفته شده در حملات بسیار پیچیده و در برخی موارد تعمد پنهانی در آنان دنبال می گردد . بنابراین ، کشف و آنالیز مکانیزمهای استفاده شده بمنظور تولید پادزهر و برطرف نمودن مشکل ، مستلزم صرف زمان زیادی خواهد بود .

▪کاربران اینترنت وابستگی زیادی به اینترنت پیدا کرده و از آن بمنظور انجام کارهای حیاتی خود نظیر: فعالیت های تجاری Online استفاده می نمایند. کوچکترین وقفه در ارائه خدمات می تواند ازدست دادن منابع اقتصادی و بمخاطره افتادن سرویس های حیاتی را بدنبال داشته باشد .

●توجه به هر یک از موارد اشاره شده ، شاهدی است بر این ادعا که ما همچنان در معرض طیف گسترده ای از حملات قرار گرفته ایم . حملاتی که از دست دادن منابع اقتصادی و عدم امکان عرضه سرویس ها را بدنبال خواهد داشت .در این راستا می بایست از تمامی امکانات و پتانسیل های موجود بمنظور سرعت در پاسخ و برخورد با حملات استفاده نمود. بازنگری در راه حل ها ی موجود و استفاده از رویکردهای علمی و جامع می تواند عاملی موثر در جهت برخورد مناسب با حملات باشد.

●وظایف مدیران سیستم

شناسائی تهدیدات کرم ها و ویروس ها عملیات ساده و ایستائی نبوده و در این رابطه می بایست از رویکردهای کاملا" پویا و مبتنی بر آخرین دستاوردهای تکنولوژی استفاده گردد. با کشف بیش از چهار هزار نوع نقطه آسیب پذیر در طی هر سال ، مدیران سیستم و شبکه در وضعیت دشواری قرار دارند . آنان با چالش های جدی در ارتباط با تمامی سیستم ها ی موجود و Patch های مورد نظر که برای برطرف نمودن نقایص امنیتی ارائه می گردد ، مواجه می باشند . استفاده و بکارگیری Patch ها ی ارائه شده در عین مفید بودن بمنظور مقابله با مشکل امنیتی ایجاد شده ، می تواند زمینه بروز مسائل و اثرات جانبی غیرقابل پیش بینی را فراهم نماید . در این رابطه لازم است به این نکته مهم نیز اشاره گردد که پس از ارائه یک Patch امنیتی ، مدت زمان زیادی طول خواهد کشید که مدیران سیستم و یا شبکه مشکل تمامی سیستم های آسیب پذیر خود را برطرف نمایند. مدت زمان برطرف سازی مشکلات و اشکالات بوجود آمده در برخی موارد می تواند ماه ها ویا حتی سالها پس از ارائه patch پیاده سازی شده ،بطول می انجامد . مثلا" هنوز گزاشاتی در رابطه با ویروس ملیزا که چهار سال از فعال شدن آن گذشته است ، توسط برخی سازمان ها و موسسات در سطح جهان ارائه می گردد. ریشه کن نمودن یک کرم و یا ویروس شایع ، با توجه به گستردگی اینترنت ، عملیاتی نیست که در یک بازه زمانی محدود، بتوان موفق به انجام آن گردید ومی بایست برای نیل به موفقیت فوق ، زمان زیادی صرف گردد .

شاید این سوال مطرح گردد که دلایل اینهمه تاخیر در ریشه کن نمودن یک ویروس و یا کرم چیست ؟ در پاسخ می توان به موارد متعددی نظیر صرف زمان زیاد ، پیچیدگی گسترده آنان و عدم اختصاص اولویت مناسب برای مقابله با آنان در یک سازمان و یا موسسه ، اشاره نمود.متاسفانه ، بسیاری از مدیران شناخت کامل و جامعی نسبت به تهدیدات نداشته و هرگز به مقوله امنیت با یک اولویت سطح بالا نگاه نکرد و حتی منابع لازم را به این مقوله اختصاص نمی دهند. علاوه بر این ، سیاست های تجاری در برخی موارد سازمان ها را بسمت انتخاب یکی از دو گزینه : اهداف تجاری و نیازهای امنیتی هدایت که در اکثر موارد رسیدن به اهداف تجاری دارای اولویت و جایگاه بالاتری برای آنان می باشند. علاوه بر تمامی مسائل فوق، می بایست به این نکته مهم نیز اشاره گردد که تقاضا برای مدیران سیستم ورزیده و کارشناس بیش ازمیزان موجود بوده و همین امر همواره استفاده از متخصصین و کارشناسان امنیتی را با مشکل جدی مواجه می سازد( عدم توازن بین عرضه و تقاضا) .

بمنظور برخورد مناسب با وضعیـت فوق ، مدیران سیستم در یک سازمان می توانند با دنبال نمودن مراحل زیر عملیات لازم در جهت تسهیل در امر حفاظت سیستم های سازمان را انجام دهند:

▪اتخاذ روش های امنیتی .انتخاب سیستم های ارزیابی امنیت اطلاعات ، مدیریت سیاست ها و تبعیت از روش های امنیتی برای تمامی سازمان ها (بزرگ و کوچک ) امری حیاتی است . سازمان ها و موسسات می توانند بر اساس وضعیت موجود خود ، یکی از روش های مناسب امنیتی را انتخاب نمایند. در این راستا می توان از پتانسیل ها و تجارب بخش دولتی و یا خصوصی استفاده گردد. در این رابطه می توان از منابع متعدد اطلاع رسانی موجود بمنظور اتخاذ سیاست های کلی امنیتی استفاده و پس از بررسی آنان نسبت به تدوین و پیاده سازی سیاست امنیتی در سازمان مربوطه ، اقدام نمود.

▪بهنگام نمودن دانش و اطلاعات . مدیران سیستم می بایست بمنظور ارتقاء سطح دانش و معلومات خود ، دوره های آموزشی خاصی را بگذرانند . شرکت در دوره های آموزشی مستمر و اختصاص وقت لازم برای استفاده مفید از دوره های آموزشی می بایست در دستور کار مدیران سیستم در سازمان ها و موسسات قرار گیرد . مدیران سیستم لازم است ضمن آشنائی با آخرین تهدیدات و حملات با ابزارهای لازم در جهت افزایش حفاظت سیستم ها نیز شناخت مناسبی را پیدا نمایند .لازم است به این نکته مهم اشاره گردد که امنیت ، دارای ماهیتی کاملا" پویا بوده که همزمان با بروز حملات جدید و شناسائی نقاط آسیب پذیر جدید بصورت روزانه تغییر و ارتقاء می یابد. با دانش استاتیک و محدود نمی توان با مقوله های پویا و گسترده برخوردی مناسب و

---