این کارشناس امنیتی در گفت و گو با دیجیاتو از وب سایت های دانلود نرم افزار به عنوان تهدیدی برای سازمان های خصوصی و دولتی یاد کرد که می تواند دسترسی به سایت ها را در کنار هم تسهیل کند. وی از آژانس های امنیت سایبری خواست تا مداخله کنند و از وقوع بلایای بزرگ جلوگیری کنند.
حمله سایبری اخیر به سیستم سوخت هوشمند نگرانی‌های ایمنی بسیاری را ایجاد کرده است. اغلب، وقتی صحبت از حملات سایبری به میان می آید، ذهن همه به سمت هک های بزرگ و سخت می رود که روزها یا ماه ها طول می کشد تا وارد روند زمان شوند.
اما گاهی اوقات یک راه آسان وجود دارد که فقط منتظر بمانید تا حیوان گیر کند و سپس به راحتی وارد سازمان شوید. نسخه های ESXi، ویندوز و کرک نرم افزارهای محبوب قربانیانی هستند که می توان از آنها برای هک استفاده کرد.
مشکلی ساده که در حال حاضر بسیاری از شرکت های دولتی و خصوصی آن را دنبال نمی کنند و برای دانلود نرم افزار به هزاران وب سایت مراجعه می کنند تا نرم افزاری را روی ماشین های کارمندان خود نصب کنند و از کرک های موجود در این مناطق استفاده کنند.
اگر افرادی بخواهند به شرکت ها و سازمان های ایرانی دسترسی داشته باشند کافی است بتوانند سرورهای یک یا چند سایت را هک کنند و نرم افزاری را بکشند و بی سر و صدا به کرک نرم افزارهای سرور این سایت ها تزریق کنند. «Backdoor» برنامه‌ای است که به کاربر این امکان را می‌دهد تا از طریق امنیت سیستم، به انواع خدمات فیزیکی از طریق مناسب به کاربر دسترسی داشته باشد.
سپس زمانی که مدیران سازمان ها نرم افزار مورد نظر خود را از این سایت ها دانلود می کنند، Backdoor ها در شبکه سازمان راه اندازی می شوند. به نظر می رسد که این نقض بزرگ امنیت تا حد زیادی توسط آژانس های امنیت سایبری ملی نادیده گرفته شده است و شواهد نشان می دهد که هیچ دستورالعملی برای ارائه نرم افزار وجود ندارد که اولین بار در سازمان ها نیست.
اما این تاثیر کجا ممکن است و چه راهکارهایی در این زمینه وجود دارد؟ برای پاسخ به این سوالات به سراغ «علی کیایی فر» مدیر حراست مدیریت بازرگانی شرکت مدبران و کارشناس امنیت اطلاعات رفتیم.
در مقابل نرم افزارهای مورد نیاز سازمان؛ تغییر حمله مستقیم هکرها
کیایی فر به دیجیاتو می گوید: «دسترسی به سازمان های دولتی و خصوصی بیش از هر زمان دیگری دشوار شده است.
در حال حاضر، تقریباً هر سازمان بزرگی در لبه شبکه خود از ابزارهای امنیتی مناسب و به‌روز برای رفع آسیب‌پذیری‌ها در تجهیزات و نرم‌افزار خود استفاده می‌کند.» برای سازمان‌هایی مانند این سخت‌تر از همیشه شده است.
اما او گفت که شکل جدیدی از حمله سایبری به سازمان‌ها از سال‌ها پیش وجود داشته است که «حمله زنجیره تأمین» نامیده می‌شود. به این ترتیب هکر به جای حمله مستقیم به یکی از نرم افزارهای مورد استفاده در آن سازمان به آن حمله می کند.
برای دقیق تر بودن، کارشناس امنیتی در ادامه یک مثال ساده از حمله زنجیره تامین را بیان کرد:
فرض کنید یک هکر سعی دارد مامور X را بکشد. در مرحله اول سعی می کند از طریق یک نقص در شبکه سازمان X یک حفره باز کند، اما موفق نمی شود. در مرحله دوم وب سایت سازمان X کمی بررسی شد و به راحتی متوجه شد که این سازمان (مثلا) از نرم افزار اتوماسیون اداری توسعه یافته توسط شرکت Y استفاده کرده است. از مصرف کنندگان.”
این کافی است تا یک هکر سعی کند شرکت Y را هک کند، اگر امنیت شرکت Y آسان نباشد با کمی تلاش دزدیده می شود و هکر بدون علاقه وارد دفتر نرم افزار اتوماسیون می شود و پشت آن را در آن جاسازی می کند.
هفته آینده، شرکت Y نسخه جدیدی از اتوماسیون اداری را منتشر خواهد کرد که با نسخه جدید منتشر شده با Backdoor ناشناخته است. آژانس X همچنین نسخه اتوماسیون آفیس خود را به روز کرد و به این ترتیب این سازمان به صورت دستی Backdoor تعبیه شده توسط هکر را در شبکه خود نصب کرد.
اکنون با این استارت آپ، هکر نه تنها به شبکه سازمان X، بلکه به تمام شبکه هایی که از اتوماسیون اداری شرکت Y استفاده می کنند نیز دسترسی دارد.
دانلود سایت ها و افزایش خطر حملات سایبری
به گفته کیایی فر به دیجیاتو، مشکل حملات زنجیره‌ای در ایران جدی‌تر است و این به عدم رعایت آن بازمی‌گردد.
در ایران به دلیل نبود قوانین، سایت‌های زیادی برای دانلود کرکرهای نرم‌افزاری راه‌اندازی شده‌اند.» خانه‌ای برای کسب‌وکارها و سازمان‌هایی که بسیار حساس هستند، می‌توان از این سایت‌ها به عنوان بستری برای دانلود نرم‌افزارهای مورد نیازشان استفاده کرد.»
حالا یک هکر کافی است یکی از سایت های دانلود نرم افزار ایرانی را هک کند تا به سازمان های ایرانی نفوذ کند و در کرک پرکاربردترین نرم افزارها را جاسازی کند. مناطقی که این کارشناس امنیتی معتقد است بدترین هستند:
“کاربران و مدیران سازمان‌ها نیز می‌توانند فایل‌های Backdoor را دانلود کرده و در شبکه خود اجرا کنند. دسترسی به Domain Admin نیز دارد! نکته جالب این است که ادمین‌ها آنتی ویروس خود را هنگام اجرای کرک غیرفعال می‌کنند. اگر آنتی ویروس همچنان از اجرا شدن کرک‌ها جلوگیری می‌کند و هشدار می‌دهد. کاربر، بهترین آنتی ویروس کاربر نیست. فکر کنید، زیرا اجازه نمی دهد کرک ها به خوبی کار کنند.”
او به دیجیاتو گفت: «این نوع حمله ساده است و از نظر عملکرد می تواند بسیار جدی باشد.
وی افزود: با این نوع حملات در کوتاه مدت به بسیاری از شبکه‌های سراسر کشور دسترسی پیدا می‌شود، بنابراین لازم است آژانس‌های امنیت سایبری در کشور مشارکت کنند، به‌ویژه زمانی که بدانیم دولت اسرائیل تمام توان سایبری خود را متمرکز کرده است. برای ایجاد اختلال در ارتباطات و زیرساخت های حیاتی کشور و عدم تلاش سازمان های جاسوسی اسرائیل نیز می توانند از طریق روش های مخربی مانند Insider به سایت دانلود دسترسی پیدا کرده و مجدداً سایت را نصب کنند.
“نه.” هدف این سایت ها کسب درآمد از رسانه هاست و مسئولیتی در قبال عواقب استفاده از داده های کرک شده ندارند.”
اما آیا فرهنگ استفاده از نرم افزارهای قدیمی می تواند این ریسک را کاهش دهد؟ دیجیاتو در پاسخ به این سوال بر این باور است که در این زمینه باید به طور همزمان چند مورد تصمیم گیری شود. یکی از مشکلاتی که در بحث جریمه مطرح می شود این است که به کاربران ایرانی اجازه نمی دهد اکثر نرم افزارهای خارجی را بخرند یا از خدمات پشتیبانی آن ها استفاده کنند: «به طور کلی، حتی سازندگان هم می دانند که مجوز در ایران استفاده می شود، می توانند آن را ببندند. آی تی. “
وی گفت: مشکل دیگر سرمایه گذاری پول ملی است که خرید مجوز نرم افزارهای خارجی را به راحتی و از طریق خرید چندین کاربر و سازمان گران کرده است.
وی گفت: خرید نرم افزار قدیمی نیازی به حذف حملات زنجیره ای صفر ندارد. بنابراین به نظر من فرهنگ سازی استفاده از اولین مجوز عمومی برای نرم افزارهای خارجی حداقل در شرایط فعلی امکان پذیر نیست.»
ادغام نرم افزارهای مورد استفاده سازمان ها در مبارزه با سایبر
دیجیاتو به دیجیاتو گفت: طبق آمار، 92 درصد از حملات به سازمان ها مربوط به نرم افزارهای مورد استفاده در سازمان است. به عبارت دیگر می‌توان گفت که اگر نرم‌افزار مورد استفاده در یک سازمان کاملاً ایمن باشد، درصد است. اعتراض رخ نخواهد داد “
اعتقاد بر این است که اکثر برنامه نویسان و حتی شرکت های نرم افزاری هیچ دانشی از امنیت ندارند و هدف اصلی آنها توسعه محصولات کاربردی است. زمانی که هدف اصلی باید ایمن کردن نرم افزار باشد:
هر روز اگر اخبار حملات سایبری را دنبال کنید، شاهد حوادث زیادی خواهید بود که به دلیل عدم امنیت در سطح نرم افزار به یک سازمان سرایت کرده است. در سازمان های کوچک.”
بسته های نرم افزاری نیز به طور گسترده در دفتر استفاده می شود. آیا این بسته عوارضی دارد؟ یک کارشناس امنیتی در پاسخ به سوالات دیجیاتو می گوید: خب سایت های دانلود به دلیل داشتن برنامه های بیشتر خطرناک هستند.
اطلاعات امنیتی برای سازمان ها
کیایی فر آخرین سخنان خود را به ارائه برخی اطلاعات ایمنی به سازمان ها اختصاص داد و به دیجیاتو گفت:
وی ادامه داد: ابتدا باید لیست نرم افزارهایی که مجاز به نصب در سازمان هستند تنظیم و تعریف شود، ثانیاً مکان نرم افزاری که در سازمان راه اندازی می شود باید معتبر باشد، اعتبار این کار به طرق مختلف قابل انجام است. به عنوان مثال، یکی از راه‌ها این است که کرک نرم‌افزار توسط یک تیم داخلی با پشتیبان‌گیری مهندسی انجام شود، یا کرک کردن داده‌ها توسط کارشناسان امنیتی در جعبه‌های شنی مختلف برای نظارت بر سلامت آنها بررسی شود.»
به گفته وی، این موضوع باید در تیم امنیتی سازمان بررسی شود و راهکار رهبری برای وی در سازمان تدوین شود.
