Multi layer protection حفاظت چند لايه

network firewalls فايروال هاي شبكه
ساختار بهينه براي فايروال ها با بررسي و تحليل نيازهاي امنيتي سازمان وبا استفاده از تكنولوژي ها ومحصولات مناسب اجرا مي گردد. سيستم مديريت و مونيتورينگ اين لايه دفاعي به صورت شبانه روزي تمام عمليات در لايه شبكه را زير نظر مي گيردو مديران شبكه رااز وضيت امنيتي شبكه آگاه مي كند

Intrusion Detection And Response سيستم هاي تشخيص وجلوگيري از نفوذ
تشخيص وجلوگيري از نفوذ در برابر حملات لايه شبكه و لايه نرم افزاري شامل موارد زير است
ثبت تمام جزئيات حملات – جلوگيري از حملات به طور اتوماتيك – ارائه گزارشات جامع – تشخيص عمليات مشكوك و غير عادي – رفع اخطارهاي نادرست – استفاده از هوش مصنوعي براي تشخيص ترافيك عادي يا غير عادي شبكه – اخطار بلادرنگ به صورت پيام كوتاه – عملكرد غير محسوس در شبكه بون تحميل بار اضافي وموارد ديگر

Vulnerability Protection حفاظت در برابر آسيب پذيري هاي امنيتي
مشخصات عمده اين حفاظت به شرح زير است
اجراي پويشهاي خودكار و قابل تنظيم روي لايه هاي مختلف ساختار امنيتي سازمان – شناسايي ورفع سريع آسيب پذيري ها – سيستم جامع گزارشات و آمار – به روز رساني خودكار سيستم براي تشخيص و رفع آسيب پذيري هاي جديد

ISMS:سيستم مديريت امنيت اطلاعات

سيستم فوق به مديران اين امكان را مي دهد تا بتوانند امنيت سيستمهاي خود را با به حداقل رساندن ريسك هاي تجاري كنترل كنند. اما متاسفانه اين سيستم در ايران جدي گرفته نشده است. تاكنون بش از يك هزاروپانصد سازمان در دنيا اين استاندارد را كسب كرده اند ولي در ايران هيچ تلاشي صورت نگرفته است يا اينكه اين تلاشها كافي نبوده است
كشور ژاپن داراي بيشترين سازمان هايي است كه موفق شده اند اين استاندارد را كسب كنند با بيش از ششصد سازمان و در رتبه ي بعد هم كشور انگلستان با بيش از دويست سازمان قرار دارد. در قاره آسيا هم كشورهايي مانند قطر و مصر و عربستان نيز سازمان هايي دارند كه اين استاندارد را كسب كرده اند
متاسفانه مقوله ي امنيت در ايران چندان جدي گرفته نشده است و مكسيمم محدود به فروش و نصب فايروال و آنتي ويروس است
امروزه بديهي است كه هر سازمان بايد يك مشاور امنيتي زبده داشته باشد. همه ي سازمانها يكي دو جين مشاور و معاون براي خود مي تراشند ولي دريغ از استخدام يك مشاور امنيتي.در كشور ما بايد بلا نازل شود تا به فكر درمان آن بيفتيم

BS7799

اين استاندارد داراي ده گروه كنترلي مي باشد كه هر گروه شامل چندين كنترل زير مجموعه است. بنابراين در كل 127 كنترل براي داشتن سيستم مديريت امنيت اطلاعات مد نظر قرار دارد.اين ده گروه كنترلي عبارتنداز
سياستهاي امنيتي – امنيت سازمان – كنترل و طبقه بندي دارايي ها – امنيت فردي – امنيت فيزيكي -مديريت ارتباط ها – كنترل دسترسي ها -روشها وروالهاي نگهداري و بهبود اطلاعات – مديريت تداوم كار سازمان – سازگاري با موارد قانوني
فوايد استاندارد فوق ولزوم پياده سازي
اطمينان از تداوم تجارت – اطمينان از سازگاري با استاندارد امنيت اطلاعات – قابل اطمينان كردن تصميم گيري ها – ايجاد اطمينان نزد مشتريان وشركاي تجاري
امكان رقابت بهتر با ساير شركت ها- ايجاد مديريت فعال و پويا در پياده سازي امنيت اطلاعات وداده ها

نكته : “ايران در صدر جول جرايم رايانه اي خاور ميانه قرار دارد”.امنيت سيستمهاي اطلاعاتي را جدي بگيريم

سيستم مديريت امنيت اطلاعات

استراتژي امنيتي سازمان بايد به گونه اي طراحي شودكه سه اصل مهم زير همواره رعايت گردد
الف: محرمانه بودن اطلاعات كه در اين حالت تنها افراد مجاز به اطلاعات دسترسشي خواهند داشت. ب: جامعيت كه دراين حالت كامل بودن و جامع بودن اطلاعات وصحت روش هاي پردازش اطلاعات بايد تضمين شود. پ: در دسترس بودن كه در اين حالت اطلاعات به طور صحيح در دسترس افرادي كه حق دسترسي به آنرا دارند قرار مي گيرد
يك سيستم جامع امنيتي بر سه پايه بنا مي شود:1- سيستمها ودستورالعملهاي امنيتي: طرحها و برنامه هاي مرتبط با نحوه محافظت از سيستمهاي اطلاعاتي و داده هاي آنها در اين سيستم مورد توجه قرار مي گيرد. 2- تكنولوژي و محصولات امنيتي: تمام ابزارهاي مورد استفاده در بخش هاي مختلف امنيتي براي اعمال دستورالعملها وكنترل و نظارت 3- عوامل اجرائي اين عوامل از تكنولوژي و ابزارها در جهت اجراي سياستها و دستورالعملهاي امنيتي استفاده مي كنند
راه حلهاي امنيت اطلاعات
نصب و راه اندازي ابزارهاي امنيتي – مشاوره در زمينه ي امنيت شبكه – تربيت و آموزش افراد متخصص در زمينه ي امنيت شبكه – شناسايي سرمايه هاي سازماني وتخمين آسيب پذيري امنيتي – بازبيني وطراحي وپياده سازي سيستمهاي امنيت شبكه بر اساس سياستهاي سازمان وبسياري ديگر

سيستم امنيت اطلاعات

سيستم امنيت اطلاعات شايد پرهزينه ووقت گير به نظر آيدولي با توجه به اهميت اطلاعات در بقاي سازمان وجود چنين سيستمي بسيار ضروري مي نمايد.اعمال چنين سيستمي براي هر سازمان ضروري بوده و بسته به سطح اطلاعات و ارزش اطلاعات سازمان گستردگي متنوعي خواهد داشت
سازمانها لازم است سه شرط زير را درطراحي سيستم اطلاعات خود مدنظر قرار دهند: 1- اطمينان از سلامت اطلاعات چه در زمان ذخيره و چه به هنگام بازيابي 2- دقت اطلاعات چه از نظر منبع ارسالي وچه در هنگام ارسال و بازيابي 3- قابليت دسترسي براي افراد مجاز

اينك به دو نكته زير توجه كنيد: 1- درحدود 44% مننفع ايالات متحده از فناوري اطلاعات به دست مي آيد. 2- امضاي ديجيتال از طريق كد گذاري متن ارسالي با يك كد خصوصي توسط فرستنده اعمال مي شود ونيز يك كد عمومي براي گيرنده در نظر گرفته مي شود كه از اين طريق مي تواند به متن دسترسي داشته باشد.مزيت امضاي ديجيتال در اين است كه از طرق تطبيق مقدار “هش” هاي توليد شده توسط فرستنده وگيرنده امكان تصديق عدم آسيب وتغيير در متن ارسالي رابه گيرنده مي دهد

چگونه يك متخصص امنيت سيستمهاي اطلاعاتي شويم؟

بخشي از تخصصهايي كه براي يك متخصص امنيت سيستمهاي اطلاعاتي مفيد است در زير آمده است
دانش وتخصص لازم در زمينه ي سيستمهاي ويندوزي – دانش وتخصص در زمينه ي پروتكلهاي اصلي شبكه – مفاهيم معماري شبكه – آشنايي با فايروال و
راه حلهاي آنتي ويروس ها وبرنامه هاي فيلتر محتوا كه به توضيح اجمالي آنها مي پردازيم

در اغلب شبكه ها ما فقط از يك نوع سيستم عامل استفاده نمي كنيم.مثلا” سيستمهاي ويندوزي يا لينوكسي يا بي اس دي
دانش و تخصص لازم در زمينه ي خطاهاي پروتكل اچ تي تي پي نيز بسيار لازم است. هرشبكه بزرگ وامروزي داراي ابزارهاي مختلف امنيتي است. اين ابزارها شامل فايروال وراه حلهاي آنتي ويروس ها وفيلتركنندگان محتوا و پروكسي سرورها مي تواند باشدكه تمامي آنها توسط مديران سيستمها كنترل مي شود
تست نفوذگري وامنيت برنامه هاي كاربردي از تخصص هاي جديد در زمينه ي امنيت سيستمهاي اطلاعاتي ميباشد

مديريت سيستمهاي امنيت اطلاعات

سيستم امنيت اطلاعات: براي طراحي اين سيستم بايد عوامل مختلفي را در نظر گرفت. از جمله: محاسبه ارزش اطلاعات از نظر اقتصادي -سودمندي استفاده از سيستم امنيت اطلاعات – بررسي خطرات ومحاسبه ي خسارتهاي احتمالي وتخمين هزينه و…. 1خ

مراحل طراحي يك سيستم اطلاعات در زير مي آيد
آشنايي با منابع اطلاعاتي موجود در سازمان – ارزيابي ارزش اطلاعات- هزينه ي فاش شدن اطلاعات- تهديدات سيستم اطلاعاتي

انواع خطرهاي تهديد كننده سيستم اطلاعاتي
اشتباهات انساني – خطرات ناشي از عوامل طبيعي – ايرادات سيستمي – فعاليتهاي خرابكارانه

اتخاذ سياستهاي امنيتي
تعيين سياست امنيتي اطلاعات – بررسي بلادرنگ وضعيت امنيت اطلاعاتي بعد از اعمال سيست امنيتي – بازرسي وتست امنيت شبكه اطلاعاتي – بهبودروشهاي امنيت اطلاعاتي سازمان

Introducing

سلام. من دانشجوي ترم دوم مهندسي فناوري اطلاعات (آي تي ) هستم. من به طور عمومي در زمينه ي امنيت مجازي وبه طور تخصصي در زمينه ي امنيت سيستمهاي اطلاعاتي فعاليت مي كنم.كامنت هاي شما نشانه ي علاقه ي شما به مباحث مطرح شده است. از كامنتهاي انتقادي هم استقبال جدي مي شود
My Email: itazizi@yahoo.com
اين وبلاگ به طور ويژه مباحث امنيتي را دنبال مي كند.واما اين وبلاگ تقديم به: چشمهايي كه به راه ماندند و دلهايي كه انها را راندند. اشكهايي كه غرورشان شكست وعهدهايي كه كسي آنها را نبست. كساني كه يك عمر مي بخشند ولي كسي آنها را نمي بخشد.تقديم به گناهكاران بي گناه و مقصران بي تقصير
تقديم به عاشقان