از سایبر کامند (Cyber Command) چه می دانیم؟

از سایبر کامند (Cyber Command) چه می دانیم؟ در دوران آغاز عصر جنگ‌های سایبری آرایش رزمی نیروهای آمریکا چگونه شکل گرفته است؟ تهاجم سایبری به سایر ملت‌های دنیا چگونه آغاز شد؟

 هم‌‌اکنون بخش اعظمی از جنگ‌هایی که به صورت روزمره شاهدیم شامل یک نیروی نظامی پیشرفته و نیروهای شبه‌نظامی بوده و بیشتر جنبه جنگ سخت را دارند، یعنی در آن‌ها اغلب نیروهای متعارف طرف پیشرفته سعی می‌کنند که با عملیات‌های ایذایی، انتحاری و چریکی شبه‌نظامی‌ها مقابله کنند.

در عراق، افغانستان، فلسطین اشغالی و یا در کلمبیا شاهد چنین جنگ‌هایی هستیم. اما آیا این امر بدین معناست که دیگر جنگ بین نیروهای متعارف ملی به اتمام رسیده یا اینکه به دلیل قدرت زیاد و مخرب ارتش‌های پیشرفته دیگر هیچ جنگی بین آن‌ها رخ نخوهد داد؟ آیا بازداندگی متعارف یا هسته‌ای باعث شده بین کشورهای بزرگ صلحی دائمی پدید آید؟ اگرچه دیگر شاهد بروز جنگ‌های جنبشی بین کشورها نیستیم اما در حقیقت می‌توان گفت که میدان جنگ بین این قدرت‌ها ماهیت خود را تغییر داده و به صورت فزاینده‌ای وارد فضای قدرت نرم و مجازی شده است. به گزارش وزارت دفاع آمریکا روزانه چندین هزار حمله به شبکه‌های مجازی وابسته به این وزارت صورت می‌پذیرد.

غیر‌منطقی نخواهد بود اگر بگوییم که یقینا در ورای بخش اعظمی از این حملات دولت‌هایی نهفته‌اند که می‌خواهند به زیرساخت‌های سایبری رقیب برای آسیب‌زدن یا جمع‌آوری اطلاعات نفوذ نمایند. البته در چند دهه اخیر این آمریکا بوده که سردمداری معرفی جنگ‌های نوین را بر عهده داشته و قطعا این کشور حملات بی‌شماری را علیه زیرساخت‌های مجازی کشورهای رقیب به مانند چین، روسیه و ایران طراحی و اجرا می‌کند.

حملات سایبری می‌توانند زیر ساخت‌های اقتصادی، مدیریتی و نظامی کشورها را هدف قرار دهند

یکی از مهمترین سازمان‌های جنگ سایبری آمریکا قرارگاه "فرماندهی سایبری" است که به منظور طراحی، هماهنگی و اجرای برنامه‌های دفاعی و تهاجمی ارتش آمریکا در حوزه سایبری تأسیس شده است. در گزارش حاضر سعی گردیده تا به صورت اجمالی ساختار و اهداف این سازمان مورد بررسی قرار گیرند.


قرارگاه فرماندهی سایبری چگونه بوجود آمد
قرارگاه فرمانده‌ای سایبری آمریکا (USCYBERCOM) یکی از قرارگاه‌های فرعی نیروهای نظامی آمریکا است که زیر نظر "قرارگاه فرماندهی استراتژیک آمریکا" (USSCOM) فعالیت می‌کند. در 23 ژوئن 2009، "رابرت گیتس" (Robert Gates)، وزیر دفاع وقت، به فرمانده قرارگاه استراتژیک آمریکا دستور تأسیس قرارگاه سایبری را داد .

این قرارگاه در مجموعه "فورت‌مید" (Fort Meade) مریلند واقع شده و فرماندهی آن بر عهده ژنرال "کیث بی. الکساندر" (Keith B. Alexander) است. قابل ذکر است که این قرارگاه در ساختمان "آژانس امنیت ملی آمریکا" (NSA) قرار داشته و فرمانده آن به‌طور همزمان ریاست آژانس امنیت ملی را نیز برعهده دارد. ژنرال الکساندر از سال 2005 ریاست آژانس و از سال 2010 نیز به عنوان فرمانده قرارگاه سایبری منصوب گشت. قرارگاه سایبری فرماندهی عملیات‌های فضای مجازی را متمرکز کرده، منابع سایبری موجود را سازماندهی نموده، دفاع از شبکه‌های نظامی آمریکا و نیز تهاجم به شبکه‌ها کشورهای دیگر را هماهنگ می‌کند.

ژنرال کیث بی. الکساندر، فرمانده آژانس امنیت ملی و قرارگاه سایبری

بودجه و پرسنل قرارگاه فرماندهی سایبری
بنا بر گزارشات منتشره، این سازمان در زمان تأسیس دارای 1000 نفر نیروی متخصص و بودجه‌ای بالغ بر 120 میلیون دلار برای سال 2010 بود. بودجه این سازمان در سال 2011، 150 میلیون دلار برآورد گردید.

"وزارت دفاع آمریکا" در بودجه درخواستی خود برای سال 2012، 2/3 میلیارد دلار را به بهبود توانمندی‌های سایبری اختصاص داده است. این مبالغ قرار است صرف تقویت قرارگاه فرماندهی سایبری، شامل بودجه لازم برای طراحی و ایجاد "مرکز عملیات‌های مشترک" (Joint Operations Center) برای قرارگاه فرماندهی در فورت‌مید است.

مبلغ 500 میلیون دلار برای تکنولوژی‌های سایبری اختصاص خواهد یافت و نیز مبالغی نیز صرف آموزش و بهبود آگاهی‌های موضعی خواهد شد.

    

مقر قرارگاه فرماندهی سایبری و آژانس امنیت ملی آمریکا در پادگان فورت‌مید مریلند

مأموریت قرارگاه
بر اساس بیانیه مطبوعاتی وزارت دفاع آمریکا "قرارگاه سایبری فعالیت‌ها را برنامه‌ریزی، هماهنگ، ادغام و اجرا می‌کند تا عملیات‌ها و دفاع از شبکه‌های اطلاعاتی وزارت دفاع را هدایت نموده؛ عملیات‌های نظامی فضای سایبری را تهیه کرده و در صورت درخواست آنها را اجرایی کند تا توان اجرای اقدامات را در تمام حوزه‌ها فراهم آورده و آزادی عمل نیروهای آمریکایی/ائتلاف را در فضای سایبری تضمین نموده و همین آزادی عمل را از دشمنان بگیرد."

عبارت "9ec4c12949a4f31474f299058ce2b22a" که در حلقه طلایی موجود بر آرم این سازمان نقش بسته است، ترجمه این مأموریت به زبان رمز است.

لوگوی قرارگاه فرماندهی سایبری ارتش آمریکا

در ادامه بیانیه مطبوعاتی وزارت دفاعی می‌خوانیم: "این قرارگاه وظیفه دارد که منابع موجود فضای سایبری را گرد هم آورد، اقدامات هماهنگ و جمعی را به منظور دفاع از محیط امنیتی اطلاعاتی، پدید آورد. قرارگاه مأموریت دارد فرماندهی عملیات‌های فضای سایبری را متمرکز ساخته، توانمندی‌های فضای سایبری وزارت دفاع را تقویت کرده و تخصص سایبری وزارت دفاع را یکپارچه ساخته و ارتقا بخشد."


سازمان‌های زیر نظر قرارگاه فرماندهی سایبری
قرارگاه فرماندهی سایبری آمریکا متشکل از چندین سازمان و واحد نظامی است که خدمات مشترکی را به قرارگاه ارائه می‌کنند. این سازمان‌ها عبارتند از:

· قرارگاه فرماندهی سایبری نیروی زمینی / سپاه دوم (نیروی زمینی)

              · قرارگاه فرماندهی تکنولوژی تأسیسات شبکه‌ای نیروی زمینی (NETCOM) / فرماندهی نهم سیگنال نیروی زمینی

              · بخش‌هایی از فرماندهی یکم عملیات‌های اطلاعاتی (زمینی) (LIWA/IDC)

              · قرارگاه فرماندهی اطلاعات و امنیت ارتش آمریکا (INSCOM)

· فرماندهی سایبری ناوگان / ناوگان دهم (نیروی دریایی)

              · فرماندهی جنگ شبکه‌ای نیروی دریایی (NETWARCOM)

              · فرماندهی عملیات‌های دفاع سایبری نیروی دریایی

              · نیروهای ویژه مرکب

· فرماندهی فضایی نیروی هوایی / بیست و چهارم نیروی هوایی (نیروی هوایی) (AFCYBER)

              · تیپ هوایی 68 جنگ شبکه‌ای (67 NWW)

              · تیپ هوایی 688 عملیات‌های اطلاعاتی

              · تیپ هوایی 689 ارتباطات جنگ (AFCYBER)

· فرماندهی فضای سایبری تفنگداران دریایی (تفنگداران دریایی)

نمایی داخلی از قرارگاه فرماندهی سایبری آمریکا

قرارگاه فرماندهی سایبری نیروی زمینی آمریکا
"قرارگاه فرماندهی سایبری نیروی زمینی" یکی از قرارگاه‌هایی است که از قرارگاه فرماندهی سایبری پشتیبانی می‌کند. این قرارگاه در 1 اکتبر 2010 تأسیس شده و فرماندهی آن بر عهده ژنرال "رت ای. هرناندز" (Rhett A. Hernandez) است. این قرارگاه زیر نظر سپاه دوم نیروی زمینی ارتش آمریکا فعالیت می‌کند. این قرارگاه مسئول برقراری ارتباط با دیگر سازمان‌ها در حوزه عملیات‌های فضای سایبری و اطلاعات است. این قرارگاه وظیفه دارد که عملیات‌های نیروی زمینی را در فضای سایبری برنامه‌ریزی، هماهنگی، هدایت و اجرا کند.

لوگوی فرماندهی سایبری نیروی زمینی آمریکا

ناوگان فرماندهی سایبری / ناوگان دهم (نیروی دریایی)
ناوگان دهم مسئول برنامه‌های جنگ سایبری نیروی دریایی آمریکا است. ناوگان مذکور ابتدا در جنگ جهانی دوم و طی نبرد آتلانتیک برای نبرد علیه زیردریایی‌ها تأسیس گردید و هم‌اکنون به عنوان قرارگاه فرماندهی سایبری ناوگان نیروی دریایی آمریکا تجدید سازمان شده است. ناوگان دهم در 29 ژانویه 2010 به عنوان ناوگان فرماندهی سایبری بار دیگر فعال گردید. اولین فرمانده این قرارگاه، دریادار "برنارد جی مک‌کولاو" (Bernard J. McCullough) بود. ناوگان فرماندهی سایبری، بازوی دریایی قرارگاه فرماندهی سایبری آمریکا است. این ناوگان پشتیبانی عملیاتی از قرارگاه‌های دریایی آمریکا در سراسر جهان را بر عهده داشته و از جنگ‌های اطلاعاتی، کامپیوتری و الکترونیکی و نیز عملیات‌های فضایی پشتیبانی می‌نماید. این ناوگان کنترل عملیاتی نیروهای اطلاعاتی، کامپیوتری، رمز‌نگاری و فضایی نیروی دریایی را بر عهده دارد.

لوگوی ناوگان فرماندهی سایبری / ناوگان دهم (نیروی دریایی)

فرماندهی فضایی نیروی هوایی / بیست و چهارم نیروی هوایی (نیروی هوایی) (AFCYBER)
فرماندهی فضایی نیروی هوایی / بیست و چهارم نیروی هوایی (نیروی هوایی) یکی از بخش‌های نیروی‌هوایی آمریکا است. نیروی هوایی نیروهای پشتیبانی و نبرد فضای سایبری را در بیست و چهارم نیروی هوایی یکپارچه نمود. بیست و چهارم نیروی هوایی بخش هوایی قرارگاه فرماندهی سایبری را تشکیل می‌دهد. فرماندهی این سازمان بر عهده ژنرال "سوزانی ام. واترینات" (Suzanne M. Vautrinot) است که در 29 آوریل 2011 به این سمت برگزیده شد.
    

لوگوی فرماندهی فضایی نیروی هوایی / بیست و چهارم نیروی هوایی (نیروی هوایی) (AFCYBER)

این سازمان که مقر آن در پایگاه "لاکلند" (Lackland Air Force Base) تگزاس قرار دارد، فعالیت رسمی خود را از 18 آگوست 2009 آغاز نمود. بیست و چهارم نیروی هوایی دارای 14/000 نیرو است که بسیاری از ان‌ها در دیگر سازمان‌ها مشغول به خدمت هستند و البته واحد‌های نیروی هوایی نیز پذیرای متخصصین سایبری از سایر سازمان‌ها می‌‌باشند.

آگهی تبلیغاتی فرماندهی سایبری نیروی هوایی آمریکا برای جذب نیرو

قرارگاه فرماندهی تفنگداران دریایی آمریکا
قرارگاه فرماندهی تفنگداران دریایی آمریکا یکی از سازمان‌های تفنگداران دریایی آمریکا است که وظیفه آن حفاظت از زیرساخت‌های حیاتی در جنگ‌های سایبری است. این سازمان از یک بخش فرماندهی و کنترل با عنوان "مرکز امنیت عملیات‌‌های شبکه‌ای تفنگداران دریایی" (Marine Corps Network Operations Security Center) و گروهانی از هنگ پشتیبانی رمزنگاری تفنگداران دریایی است و در حدود 800 نظامی در این قرارگاه مشغول به خدمت هستند.

تفنگداران دریایی آمریکا اینبار به جای تسلیحات مرگبار خود پشت میزهای کامپیوتر به جنگ خواهند رفت

درخواست رسمی قرارگاه سایبری برای انجام عملیات‌های تهاجمی
ژنرال کیث الکساندر (Keith Alexander) فرمانده قرارگاه سایبری آمریکا در حضور بیش از 1000 نفر شرکت کننده در کنفرانس فضا و سایبر فرماندهی راهبردی گفت: «ما باید برای دفاع از خودمان در فضای سایبری اختیارات و قدرت بیشتری داشته باشیم.»

این اظهارات نشان می‌دهند که پنتاگون قصد دارد به صورت رسمی حق اجرای عملیات‌های سایبری تهاجمی را داشته باشد. دولت آمریکا تاکنون قرارگاه سایبری را مرکزی دفاعی و جنگ سایبری را نیز جنگی دفاعی معرفی می‌کرد که برای دفاع از زیرساخت‌های اقتصادی و نظامی آمریکا در فضای سایبری پدید آمده‌اند اما هم‌اکنون به صورت علنی اعلام کرده که قصد دارد اینترنت را تبدیل به پایگاهی برای حمله به دیگر ملت‌ها گرداند.

الکساندر خواهان کسب مجوز رسمی برای انجام حملات سایبری
ژنرال "مایکل باسلا" (Michael Basla)، قائم مقام فرمانده قرارگاه فضایی نیروی هوایی، پس از سخنرانی الکساندر در کنفرانس گفت: «ما همچنین تصمیم به ایجاد توانمندی تهاجمی سایبری داریم.» قرارگاه فضایی مسئول جنگ سایبری نیروی هوایی است.

این نوع اظهارات در بیانیه "رجینا دوگان" (Regina Dugan)، رئیس "آژانس پروژه‌های پیشرفته تحقیقاتی دفاعی" (DARPA) – افرادی که اینترنت را اختراع کردند – نیز مورد اشاره قرار گرفته بود مبنی بر اینکه آن‌ها توانمندی‌های سایبری تهاجمی ایجاد خواهند کرد و اینکه آمریکا تهاجمات سایبری را با اقدامات به اصطلاح جنبشی در هم خواهد آمیخت. اقدامات تهاجمی در ادبیات نظامی به معنای استفاده از تجهیزات انفجاری، گلوله‌ها یا کلاهک برای انهدام چیزی است.

تربيت جنگجويان سايبري آمريكا با آموزش علوم پایه و ریاضی
با توجه به ضعف آمريكايي‌ها در رياضيات و علوم مهندسي، فرماندهي قرارگاه سايبري آمريكا نگران تربيت جنگجويان سايبري خود از نسل بعد است و برنامه‌اي را براي آموزش علوم پايه براي آن‌ها تدوين نموده است. وب‌سايت وزارت دفاع آمريكا در اين باره نوشت: از جنگجوی بزرگ سایبری آمریکا بپرسید چگونه می‌توان تضمین نمود که نسل آتی آمریکایی‌ها قادر است با چالش‌های آتی امنیتی مواجه شود و وی به شما خواهد گفت: در حوزه‌ ریاضی، علوم و تکنولوژی‌ آموزش‌های بیشتری به آن‌ها بدهید.

ژنرال الکساندر، دستور داد برنامه‌ای برای افزایش آموزش علوم، تکنولوژی، مهندسی و ریاضیات در سطح کشور آمريكا آغاز گردد. وی آمار درصد کسانی را که در کشورهای مختلف جهان دارای مدرک "علوم، تکنولوژی، مهندسی و ریاضی" هستند چنین اعلام کرد: چین 47 درصد؛ کره جنوبی 38 درصد؛ و آلمان 28 درصد. در آمریکا تنها 4 درصد از فارغ‌التحصیلان دارای مدرک "علوم، تکنولوژی، مهندسی و ریاضی" هستند. وی در کنفرانس "مجمع امنیتی سیستم‌های بین‌المللی" (International Systems Security Association) چنین گفت: آمریکا در ایجاد این قابلیت‌ها در سطح پایین‌تری نسبت به بسیاری کشورهای دیگر قرار دارد. این توانمندی‌ها در چهارچوب امنیت ملی آتی نقش برجسته‌ای دارند.


    
    

آمریکا در تلاش است تا هر کودک را تبدیل به یک جنگجوی سایبری نماید

الکساندر در ادامه سخنان خود گفت: «ما باید این فرآیند را اصلاح کنیم. با توجه به اینکه فارغ‌التحصیلان امروز و فردا، نیروی امنیت ملی آتی آمریکا را تشکیل خواهند داد، آژانس امنیت ملی نیز در برنامه ملی آموزش علوم، تکنولوژی، مهندسی و ریاضی شرکت دارد.»

در سال 1998، آژانش امنیت ملی مراکزی را تأسیس نمود تا دانشگاه‌هایی که برنامه‌های برجسته‌ای در حوزه بیمه اطلاعاتی ارائه می‌کنند، شناسایی شوند. امروزه، آژانس امنیت ملی و وزارت امنیت میهنی به صورت مشترک حمایت مالی از "مراکز ملی برتر در آموزش بیمه اطلاعات" و برنامه‌های "تحقیقات مهندسی با کمک کامپیوتر" را بر عهده دارند.

به گفته الکساندر، این برنامه، که در آن 18 دانشکده و دانشگاه فعالیت دارند، قصد دارد تا آموزش‌های عالی و تحقیقات را در این حوزه‌ها ارتقا داده و افرادی خبره با تخصص بیمه اطلاعاتی پرورش دهد.

هدف نهایی این برنامه کاهش آسیب‌پذیری زیرساخت اطلاعات ملی آمریکا است. الکساندر در ادامه افزود که اگرچه اجرای این نوع برنامه‌ها گامی بزرگ در مسیری درست است اما کافی نیستند. وی در ادامه افزود، ما نیاز به برنامه‌های علمی اصلی و بنیادینی داریم که در مدارس ابتدایی اعمال گردند تا در نهایت اطمینان حاصل شود که امنیت بلند مدت کشور تضمین می‌گردد.

.

هدف قرارگاه سایبری دستیابی به ارتشی است که سلاحش صفحه کلید رایانه است

چه باید کرد؟
کشور ما نیز به مانند سایر کشورهای جهان به صورت فزاینده‌ای به شبکه‌های مجازی وابسته می‌شود. با توجه به سرعت بسیار شتابان پیشرفت‌های تکنولوژیکی می‌توان پیش‌بینی نمود که طی سال‌ها و دهه‌های آتی کارکرد زیرساخت‌های مجازی در نهادهای اقتصادی و نظامی ما نیز افزایش چشمگیری خواهد یافت، افزایشی که با توجه به روندهای تکنولوژیکی اجتناب‌ناپذیر است. بهره‌وری از فضای سایبری در عین اینکه می‌تواند باعث افزایش ظرفیت‌های قدرت ملی شوند اما در عین حال آسیب‌پذیری‌های زیرساختی کشور را افزایش خواهند داد و در آینده یقینا تبدیل به یکی از مسائل عمده امنیت ملی خواهند شد، فرآیندی که از قبل آغاز شده است.

با توجه بدین امر جای دارد که سیاستگذاران ایران مسئله جنگ سایبری را جز اولویت‌های کاری خود قرار داده و کشور را برای ورود به میدان‌های جنگی مجازی آماده سازند. پرورش متخصصین نخبه، ارائه آموزش‌های همگانی، تقویت نرم‌افزاری و سخت‌افزاری زیرساخت‌های سایبری و رصد دائمی نیروهای سایبری سایر کشورها می‌توانند از اهمیتی کلیدی در رویکرد سایبری کشور برخوردار باشند. 

منبع: مشرق

موضوعات مرتبط: مشاوره امنیتی.اطلاعاتی طراحی.پیادهسازی.کنترل امنیت ،دسترسی،استفاده،افشاء،خواندن،نسخه برداری.ضبط.تغییر. ، امنیت فیزیکی.مرکز حساس.خرابکاری،جاسوس.سرقت اطلاعات ، عملیاتی. اطلاعات.امنیت.امنیت رایانه‌ای.امنیت ملی. ، کنترل پرسنل.کنترل, کنترل تردد,تردد پرسنل امنیتی ، انسان.مدیر.رفتار.کنترل.مدارک.اسناد.اوراق.سند ،سیستم.بهره وری.حساسیت.ردیابی.اطلاعات.نگهداری.سالن ، جاسوسی صنعتی.سازمانی.سیستم.هشدار.نفوذ.کامپیوتر.امن 
جنگ سایبری , حمله سایبری , ارتش سایبری , آمریکا , کیث الکساندر 

مشاوره امنیتی.اطلاعاتی طراحی.پیادهسازی.کنترل امنیت ،دسترسی،استفاده،افشاء،خواندن،نسخه برداری.ضبط.تغییر. ، امنیت فیزیکی.مرکز حساس.خرابکاری،جاسوس.سرقت اطلاعات ، عملیاتی. اطلاعات.امنیت.امنیت رایانه‌ای.امنیت ملی. ، کنترل پرسنل.کنترل, کنترل تردد,تردد پرسنل امنیتی ، انسان.مدیر.رفتار.کنترل.مدارک.اسناد.اوراق.سند ،سیستم.بهره وری.حساسیت.ردیابی.اطلاعات.نگهداری.سالن ، جاسوسی صنعتی.سازمانی.سیستم.هشدار.نفوذ.کامپیوتر.امن 
جنگ سایبری , حمله سایبری , ارتش سایبری , آمریکا , کیث الکساندر 

روش های تجزیه و تحلیل اطلاعات

برداری.ضبط.تغییر. ، امنیت فیزیکی.مرکز حساس.خرابکاری،جاسوس.سرقت اطلاعات ، عملیاتی. اطلاعات.امنیت.امنیت رایانه‌ای.امنیت ملی. ، کنترل پرسنل.کنترل, کنترل تردد,تردد پرسنل امنیتی ، انسان.مدیر.رفتار.کنترل.مدارک.اسناد.اوراق.سند ،سیستم.بهره وری.حساسیت.ردیابی.اطلاعات.نگهداری.سالن ، جاسوسی صنعتی.سازمانی.سیستم.هشدار.نفوذ.کامپیوتر.امن ، سرقت اطلاعات.امنیت.کنترل اطلاعات.مدیریت.نگهداری 
اطلاعات حساس , امنیت , امنیت وب , وب , کروم امنیت فیزیکی.مرکز حساس.خرابکاری،جاسوس.سرقت اطلاعات ، عملیاتی. اطلاعات.امنیت.امنیت رایانه‌ای.امنیت ملی. ، کنترل پرسنل.کنترل, کنترل تردد,تردد پرسنل امنیتی ، انسان.مدیر.رفتار.کنترل.مدارک.اسناد.اوراق.سند ،سیستم.بهره وری.حساسیت.ردیابی.اطلاعات.نگهداری.سالن ، جاسوسی صنعتی.سازمانی.سیستم.هشدار.نفوذ.کامپیوتر.امن ، سرقت اطلاعات.امنیت.کنترل اطلاعات.مدیریت.نگهداری 

برای آماده نمودن اطلاعات برای تجزیه و تحلیل می باید آنها را طبقه بندی نمود. این کار برای تحقیقات کمی با مشکل کمتری مواجه است زیرا...

روش های تجزیه و تحلیل اطلاعات

طبقه بندی اطلاعات

برای آماده نمودن اطلاعات برای تجزیه و تحلیل می باید آنها را طبقه بندی نمود. این کار برای تحقیقات کمی با مشکل کمتری مواجه است زیرا در هنگام طراحی روش گردآوری اطلاعات معمولاً سوالات به گونه ای تنظیم می شود که طبقه بندی داده ها نیز در داخل آن در نظر گرفته می شود. اما در تحقیقات کیفی این امر بواسطه کیفی بودن پاسخ ها با سختی بیشتری انجام می شود. به هر روی قبل از تجزیه و تحلیل اطلاعات باید کار دسته بندی، گروه بندی یا طبقه بندی آنها انجام شود.

پردازش داه ها

داده های جمع آوری شده می تواند به صورت دستی یا به رایانه ای تجزیه و تحلیل شوند. چنانچه  حجم اطلاعات از حد معینی بیشتر باشد امکان تجزیه وتحلیل دستی وجود نخواهد داشت. امروزه تقربیاً در همه موارد این امر با استفاده از رایانه و برنامه های مختلف تجزیه و تحلیل آماری انجام  می پذیرد. اصلی ترین نرم افزار آماری مورد استفاده در گروه های آموزشی اجتماعی، کشاورزی و .. نرم افزار Spss می باشد.

تجزیه و تحلیل داده ها

دو دسته پردازش اصلی به طور عمده در تحقیقات مختلف بر روی داده ها انجام می شود. برای اینکار از آمار توصیفی و آمار استنباطی استفاده می گردد.

در آمار توصیفی که معمولاً به توصیف داده ها می پردازد از شاخص های تمایل مرکزی و شاخص های پراکندگی برای بیان داده های جمع آوری شده استفاده می شود. برای نمایش و نشان دادن نتایج کار معمولا از جداول توزیع فراوانی - بر اساس تعداد موارد مطلق و نسبی ، درصد - و نیز نمودار های مختلف هیستوگرام ، ستونی یا دایره ای استفاده می شود. همچنین در این زمینه استفاده از شاخص های پراکندگی مانند واریانس، انحراف معیار ، انحراف استاندارد و… نیز قابل ذکر است.

در آمار استنباطی به آزمون فرضیه های مورد بررسی در تحقیق پرداخته می شود. آزمون ها ی مختلفی همچون کای اسکوئر، تی- استیودنت، رگرسیون، آنالیز واریانس و… در این زمینه مورد استفاده قرار میگیرد.

مشاوره امنیتی.اطلاعاتی طراحی.پیادهسازی.کنترل امنیت ،دسترسی،استفاده،افشاء،خواندن،نسخه برداری.ضبط.تغییر. ، امنیت فیزیکی.مرکز حساس.خرابکاری،جاسوس.سرقت اطلاعات ، عملیاتی. اطلاعات.امنیت.امنیت رایانه‌ای.امنیت ملی. ، کنترل پرسنل.کنترل, کنترل تردد,تردد پرسنل امنیتی ، انسان.مدیر.رفتار.کنترل.مدارک.اسناد.اوراق.سند ،سیستم.بهره وری.حساسیت.ردیابی.اطلاعات.نگهداری.سالن ، جاسوسی صنعتی.سازمانی.سیستم.هشدار.نفوذ.کامپیوتر.امن ، سرقت اطلاعات.امنیت.کنترل اطلاعات.مدیریت.نگهداری 
اطلاعات حساس , امنیت , امنیت وب , وب , کروم 

برادرخوانده استاکس‌نت به آمریکا و اروپا حمله کرد

تحلیلگران امنیت سایبری در غرب می گویند یک ویروس جدید با نام "دوکو" (Duqu) که عملکردی دقیقا شبیه استاکس‌نت دارد، به چند مجتمع صنعتی بزرگ در اروپا حمله کرده است.

 اطلاعات مربوط به دو‌کو روز سه شنبه 26 مهر 1390 (18 اکتبر 2011) از سوی شرکت امنیت رایانه ای سیمانتک افشا شد.

 این شرکت با قرار دادن یک مقاله تحلیلی روی سایت خود تاکید کرد نمونه‌ای از این ویروس بسیار پیچیده و خطرناک را از "یک آزمایشگاه تحقیقی اروپایی که مناسبات بین المللی قدرتمندی دارد" دریافت کرده است.

این شرکت امنیتی نام این آزمایشگاه را به دلیل "جلوگیری از افشا شدن هویت شرکت قربانی" فاش نکرده است.

سیمانتک در مقاله خود تاکید می کند این ویروس شباهت بسیار زیادی به استاکس‌نت دارد و طراحان آن بدون شک به کد اصلی استاکس‌نت دسترسی داشته اند.

این شرکت نتیجه گرفته است که طراحان این ویروس و استاکس‌نت یکی هستند با این تفاوت که استاکس‌نت در 155 کشور جهان مشاهده شد و هدف اصلی آن اخلال در برنامه هسته ای ایران بود اما دوکو فعلا فقط در چند مجتمع صنعتی اروپایی مشاهده شده است.

منابع غربی می گویند بدافزار دوکو دو کار اصلی انجام می دهد:
1- سرقت اطلاعات مجتمع های صنعتی
2- فراهم آوردن امکان کنترل از راه دور این مجتمع ها

بر اساس گزارش های منتشر شده، این ویروس به این دلیل "دوکو" نامگذاری شده است که در ابتدای آغاز به کار فایل هایی با پسوند DQ می سازد.

در حالی که سیمانتک در گزارش خود در مورد این‌که دوکو به آمریکا حمله کرده باشد چیزی نگفته است، "تبسم زکریا" در گزارشی برای خبرگزاری "رویترز" از واشنگتن در 27 مهر نوشت: وزارت امنیت داخلی آمریکا اعلام کرده از وجود این ویروس آگاهی داشته و اقدامات لازم را برای مقابله با آن انجام داده است.

"مارک مارکوف" در مقاله ای برای "نیویورک تایمز" در 27 مهر هشدار داده است که ظهور دوکو نشان دهنده آن است که استاکس‌نت راهی به شدت خوفناک را در جهان سایبر گشوده است. احتمالا روزی که "سرویس‌های اطلاعاتی غربی" این ویروس را طراحی می کردند، هیچ توجهی به این موضوع نداشتند که احتمال دارد هکرها بتوانند به سرعت با رمزگشایی استاکس‌نت، حملات مشابهی را به به تاسیسات صنعتی غرب –که بسیار آسیب پذیرتر از تاسیسات ایران است- طراحی کنند.

موضوعات مرتبط: انسان.مدیر.رفتار.کنترل.مدارک.اسناد.اوراق.سند ، سیستم.بهره وری.حساسیت.ردیابی.اطلاعات.نگهداری.سالن ، جاسوسی صنعتی.سازمانی.سیستم.هشدار.نفوذ.کامپیوتر.امن ، سرقت اطلاعات.امنیت.کنترل اطلاعات.مدیریت.نگهداری 
برچسب‌ها: حمله سایبری , استاکس نت , ایران , آمریکا , اروپا 

جلوگیری ازجاسوسی تجاری-صنعتی.حفاظت ازاطلاعات شرکت‌ و فناوری .جاسوسی صنعتی.کنترل اسرار شغلی و شرکت

جلوگیری ازجاسوسی تجاری-صنعتی.حفاظت ازاطلاعات شرکت‌ و فناوری .جاسوسی صنعتی.کنترل اسرار شغلی و شرکت

امنیت فیزیکی در مراکز حساس IT

امنیت فیزیکی در مراکز حساس IT

برقراری امنیت فیزیکی، یعنی کنترل تردد و دسترسی افراد به تأسیسات و مناطق خاص، نقش حساسی را در نیل به اهداف یک مرکز داده ایفا می‌نماید. امروزه به‌کارگیری فناوری‌های جدید مانند تعیین هویت با استفاده از ویژگی‌های بیومتریک و مدیریت از راه دور امنیت اطلاعات، در گستره وسیعی به کمک فعالان حوزه امنیت آمده است که نتیجه آن، کنار گذاشتن روش‌های سنتی (کارت و نگهبان) توسط سیستم‌های امنیتی مدرن در داخل و اطراف مراکز داده است. در این راه و پیش از صرف سرمایه و خرید تجهیزات، مدیران IT باید با تشخیص و تخمین صحیح نیازهای امنیتی سازمان خود، مناسب‌ترین و مقرون به صرفه‌ترین روش حفاظتی را انتخاب نمایند. این مقاله به صورت اجمالی اصول تشخیص هویت افراد‌ (Personnel Identification) و روش‌های اجرایی آن، عناصر اصلی و شیوه‌های رایج در بحث سیستم‌های امنیتی را بررسی می‌نماید.
● نیروی انسانی؛ ریسکی که باید مدیریت شود
زمانی که از امنیت یک مرکز داده صحبت می‌کنیم، اولین چیزی که به ذهن خطور می‌کند، حفاظت در برابر خرابکاری، جاسوسی و دزدی اطلاعات خواهد بود. نیاز به محافظت در برابر اخلال‌گران و جلوگیری از وارد آمدن آسیب‌های عمدی نیز امری بدیهی به حساب می‌آید. با این‌حال خطراتی که از جانب فعالیت‌های روزمره کارکنان و کارمندان متوجه یک مرکز داده می‌شود، مخاطرات و آسیب‌های عموماً پنهانی هستند که اغلب تأسیسات اطلاعاتی به طور دائم با آن روبه‌رو هستند.
کارکنان جزو لاینفک یک مرکز داده به حساب می‌آیند. به طوری که مطالعات نشان می‌دهند، شصت درصد از مواردی که منجر به از کار افتادن یک مرکز داده می‌شود به علت اشتباهات فردی، استفاده نادرست از ابزار و تجهیزات، عدم الصاق برچسب و نصب نوشته‌های راهنما، سقوط اشیا، اشتباه در تایپ فرامین و دیگر موارد پیش‌بینی نشده کوچک و بزرگ اتفاق می‌افتند.
از آنجایی که حضور کارکنان همواره همراه با اشتباهات اجتناب‌ناپذیر انسانی است، کنترل و ایجاد محدودیت در تردد کارکنان به مناطق حساس، یکی از نکات کلیدی در مقوله مدیریت ریسک است. این مطلب حتی در زمانی که احتمال حرکات و فعالیت‌های مشکوک ضعیف به نظر می‌رسد نیز به قوت خود باقی است.
فناوری‌های تشخیص هویت با همان سرعتی که تجهیزات، اطلاعات و ارتباطات تغییر می‌کنند، در حال پیشرفت است. همراه با پدید آمدن تجهیزات و تکنیک‌های جدید نباید این نکته را فراموش نمود که مشکل اصلی‌ای که تمام این تلاش‌ها به خاطر آن صورت می‌گیرند، نه نکته‌ای فنی و نه مسئله‌ای پیچیده است.
این مشکل به زبان ساده عبارت است از: «دور نگهداشتن افراد غیرمجاز یا بدخواه از محل‌هایی که نباید در آنجا حضور داشته باشند.» اولین قدم، ترسیم نقشه مناطق حساس و تعیین قوانینی برای دسترسی به این مناطق خواهد بود. اگرچه این‌کار ممکن است به ایجاد یک طرح پیچیده و چندلایه منجر شود، در نهایت کار خیلی دشواری نیست. مدیران IT عموماً می‌دانند که چه افرادی باید در چه نقاطی حضور داشته باشند. دشواری کار در قدم دوم نهفته است: تصمیم درباره انتخاب فناوری مناسب برای اجرای طرح.
● که هستید و چرا اینجایید؟
پیاده‌سازی فناوری‌های امنیتی ممکن است به نظر عجیب و پیچیده بیاید. به این اسامی توجه کنید: اثر‌انگشت، اسکن کف دست، اسکنر چشم، کارت‌های هوشمند و شناسایی طرح چهره. مفاهیم اساسی امنیت از همان زمانی که برای اولین بار انسان اقدام به محافظت از اموال خود نمود تا کنون بدون تغییر باقی مانده است. این مفاهیم که ساختاری ساده دارند و برای همه ما قابل فهمند، عبارتند از: پاسخی قاطع و روشن به این سؤال که: که هستید و اینجا چه می‌کنید؟
سؤال اول، یعنی «که هستید؟»، بیشترین مشکلات را در طراحی سیستم‌های امنیتی خودکار ایجاد می‌کنند. فناوری‌های امروزی تلاش می‌کنند با سطوح مختلفی از اطمینان، به طریقی هویت افراد را تعیین نمایند. وجود تفاوت در میزان دقت هر فناوری، باعث ایجاد تفاوت در هزینه استفاده از آن فناوری می‌گردد.
برای مثال، استفاده از کارت‌های مغناطیسی، هزینه پایینی به همراه دارد. اما از سوی دیگر نتیجه آن به هیچ‌وجه قابلیت اطمینان صددرصد را ندارد.
زیرا هیچ‌گاه مطمئن نیستید که چه کسی از کارت استفاده می‌نماید. اسکنر عنبیه چشم گران‌قیمت است، ولی نتیجه قطعی به همراه دارد. یافتن تعادلی مناسب بین دقت و هزینه، نکته اصلی در طراحی یک سیستم امنیتی به شمارمی‌رود.
سؤال دوم یعنی «اینجا چه می‌کنید؟»، به زبان دیگر به این معنی است که: «وظیفه شما در این بخش چیست؟» پاسخ به این سؤال می‌تواند به طور تلویحی به همراه احراز هویت فرد مشخص گردد (نام این پرسنل آلیس ویلسون متخصص کابل‌کشی ما است. وی در زمینه کابل‌ها کار می‌کند. بگذارید وارد شود) یا این‌که اطلاعات مربوطه به طرق مختلف جمع‌آوری گردند.
این کار می‌تواند به این شکل انجام شود که اطلاعات مرتبط با «هویت» و «دلیل» حضور شخص در یک ناحیه حفاظت شده با یکدیگر ترکیب شوند و برای مثال در یک کارت مغناطیسی ذخیره گردند. در چنین حالتی هویت یک فرد می‌تواند از طریق فرا‌خواندن اطلاعات موجود روی یک رایانه با دسترسی مجاز تأیید شود.
البته برای این بخش می‌توان از روش‌های دسترسی متفاوتی نیز استفاده نمود؛ روش‌هایی که بر پایه حضور با اهداف مختلف طراحی گردیده‌اند. گاهی سؤال دوم، یعنی دلیل حضور، تنها سؤال مهم است و پاسخ به سؤال اول اهمیتی ندارد. مثال مناسب برای این حالات، کارکنان بخش تعمیرات و نظافت هستند.
● زیرساخت حساس فیزیکی
امنیت فیزیکی بخش مهمی از زیرساخت حساس فیزیکی محسوب می‌گردد. زیرا نقش مستقیمی در بالا بردن حداکثر زمان در دسترس بودن سیستم (Uptime) را ایفا می‌کند. این کار با کاهش زمان Downtime و از طریق جلوگیری از حضور و تردد اشخاص بیگانه (که خطر بروز حادثه یا خرابکاری تعمدی را افزایش می‌دهد) صورت می‌پذیرد.
● ترکیب تخصص‌ها برای یافتن راه‌حل‌
مدیران فعال در حوزه IT به خوبی با «چه کسی و چرا»های مسائل امنیتی آشنایی دارند. اما ممکن است در خصوص جزئیات یک روش خاص یا یک تکنیک مناسب برای پیاده‌سازی آن‌ها، بینش و بصیرت کافی نداشته باشند یا ساده‌تر این‌که، اصولاً به چنین شناختی احتیاجی نداشته باشند. در عوض، مدیران IT با آگاهی از محدودیت‌های ناشی از بودجه و شناخت خطرات و تهدیدات موجود، مسائلی که سازمان آنان در موارد امنیتی با آن‌ها دست به گریبان است را به خوبی می‌فهمند.
از سوی دیگر، شاید مشاوران فعال در زمینه سیستم‌های امنیتی با جزئیات ریز و ظریف سازمان آشنایی نداشته باشند. اما با شناخت ظرفیت‌ها، موانع و هزینه‌های روش‌های جدید، کمک خوبی برای مدیران محسوب می‌گردند. مشاوران معمولاً تجارب خوبی در دیگر زمینه‌های طراحی سیستم‌های امنیتی دارند و به همین خاطر قادرند برای هرچه واضح‌تر شدن مسئله، سؤالات خوبی را در کنار دو سؤال اصلی «چه کسی و چرا؟» مطرح سازند.
بدین شکل و با استفاده از تلفیق تخصص‌ها، طراحی سیستم امنیتی با برقراری تعادل مناسب بین ملزومات، میزان خطرپذیری، روش‌های در دسترس و محدودیت‌های مالی صورت خواهد پذیرفت.
● شناسایی مشکل‌
▪ مناطق محافظت شده: چه چیزی نیازمند محافظت است؟
اولین قدم در پیاده‌سازی طرح حفاظتی یک تأسیسات، تهیه نقشه‌ای از اماکن فیزیکی، شناسایی نواحی و نقاط ورودی است. در این نقشه باید کلیه نواحی از لحاظ سطوح امنیتی و همچنین قواعد دسترسی مشخص و دسته‌بندی گردند.
جانمایی مناطق ذیل می‌تواند به صورت نواحی هم‌مرکز طراحی گردد:
- محدوده بنا
- محدوده ساختمان
- بخش کامپیوتر
- اتاق سرورها
- رک حاوی تجهیزات‌
به همین شکل نواحی زیر نیز می‌توانند به صورت مجاور با یکدیگر در نظر گرفته شوند:
- بخش ملاقات کنندگان‌
- دفاتر
- انبار، سرویس‌ها و تأسیسات‌
در مناطق هم‌مرکز می‌توان از روش‌های دسترسی متفاوت یا افزاینده استفاده نمود. در صورتی که از روش امنیتی افزاینده استفاده شود، با نزدیک‌تر شدن به ناحیه مرکزی بر شدت و میزان توجه و محافظت افزوده خواهد شد.
حسن این روش در این است که برای دسترسی به مناطق داخلی، علاوه بر قوانین امنیتی مربوط به آن ناحیه، قوانین مربوط به نواحی بیرونی و لایه‌های خارجی نیز ناظر بر تردد افراد خواهند بود. علاوه بر آن، هر گونه نفوذ به یک ناحیه بیرونی، توسط لایه حفاظتی بعدی خنثی خواهد شد.
▪ Rack-Level Security: در قلب لایه‌های امنیتی «رک» قرار دارد. قفل‌های مخصوص رک که به طور ویژه برای این محفظه‌ها ساخته شده‌اند، هنوز کاملاً عمومیت نیافته‌اند. اما در صورت رواج، به عنوان آخرین سد دفاعی در برابر دسترسی‌های غیر مجاز در تجهیزات حساس به کار گرفته خواهند شد.
اتاقی را در نظر بگیرید که در دور تا دور آن رک‌های حاوی سرور قرار دارند. در چنین اتاقی بسیار بعید به نظر می‌رسد که تمامی افراد حاضر در اتاق به دسترسی به تمام رک‌ها نیاز داشته باشند. استفاده از قفل رک این اطمینان را به وجود خواهد آورد که کارکنان سرورها به رک سرورها، کارکنان مخابرات به رک تجهیزات مخابراتی و به همین شکل هر فردی به رک مربوط به کار خود دسترسی داشته باشد.
«قفل‌های رک قابل مدیریت» این قابلیت را دارند که از راه دور پیکربندی شوند تا تنها در زمان نیاز و برای افراد مشخص دسترسی به رک را امکان‌پذیر سازند. با استفاده از این قفل‌ها خطرات ناشی از حوادث، خرابکاری یا نصب غیرمجاز تجهیزات اضافه (که خطراتی از قبیل افزایش مصرف برق و درجه حرارت داخلی رک را به دنبال دارد) به حداقل خواهد رسید.
▪ Infrastructure Security: توجه به این نکته ضروری است که در تهیه نقشه‌های امنیتی، علاوه بر نواحی دربرگیرنده تجهیزات عملیاتی IT، به نواحی شامل المان‌های زیرساختی فیزیکی نیز توجه شود. زیرا تهدید این المان‌ها می‌تواند موجب از کار افتادن کل سیستم و در نتیجه بروز Downtime گردد.
برای مثال، تجهیزات HVAC (برق فشار قوی) می‌توانند عمداً یا سهواً خاموش شوند، ژنراتوری که باتری‌ها را شارژ می‌کند احتمال دارد به سرقت برود یا کنسول مدیریت هوشمند سیستم احتمالا‌ً به اشتباه سیستم اطفای حریق را فعال سازد.
«امنیت فیزیکی» یعنی ...
یکی دیگر از معانی امنیت فیزیکی، محافظت در قبال آسیب‌های سهمناک (آتش، سیل، زمین‌لرزه، بمباران) یا خرابی تأسیسات (قطع برق، خرابی بخش ولتاژ بالا) است. در این مقاله مقصود از این عبارت، تنها محافظت در برابر نفوذهای داخلی است که توسط انسان صورت می‌گیرد.
● ضوابط دسترسی: چه کسی؟ کجا؟
اجازه دسترسی یک فرد به یک ناحیه حفاظت شده، به عوامل گوناگونی بستگی دارد. در کنار عواملِ مرسومِ «هویت» و «هدف حضور»، سه عامل مهم‌تر (عوامل دیگری نیز می‌توانند تأثیرگذار باشند) عبارتند از:
▪ هویت شخصی: پرسنل مشخصی که در یک سازمان مشغول کارند، باید به بخش‌های مرتبط با وظیفه آن‌ها دسترسی داشته باشند. برای نمونه، مدیر امنیت یک شرکت باید به اکثر بخش‌های ساختمان دسترسی داشته باشد.
اما دلیلی وجود ندارد که همین شخص به اطلاعات مشتریان در بانک اطلاعات شرکت دسترسی داشته باشد. ممکن است مسئول IT یک شرکت به اتاق‌های کامپیوتر و سیستم‌عامل‌های نصب شده روی آن‌ها دسترسی داشته باشد.
اما همین شخص اجازه ورود به بخش تأسیسات و تجهیزات ولتاژ قوی ساختمان را نخواهد داشت. یا مدیرعامل شرکتی را در نظر بگیرید که باید به دفتر مدیر حراست، بخش IT و بخش‌های عمومی شرکت دسترسی داشته باشد.
اما دلیلی وجود ندارد اجازه دستیابی به اتاق سرور یا بخش تأسیسات را داشته باشد.
▪ مجوز حضور: ممکن است یکی از پرسنل بخش تعمیرات (صرف‌نظر از نام و مشخصاتش) تنها به قسمت تأسیسات و نواحی عمومی دسترسی داشته باشد. از سوی دیگر، ممکن است مجوز دسترسی یک کارگر بخش خدمات که وظایف محوله وی معمولاً به طور روزانه تغییر می‌کند، فقط برای دسترسی به قسمت‌های عمومی و مشترک اعتبار داشته باشد. یک متخصص سوییچ‌های شبکه تنها اجازه دسترسی به رک‌هایی را دارد که حاوی این سوییچ‌ها هستند، نه رک‌هایی که سرورها و دیگر ابزار ذخیره‌سازی در آن‌ها جای داده ‌شده‌اند.
در یک مرکز که سرورهای میزبان وب در آن قرار دارند، امکان دارد کارمند بخش «پشتیبانی از سیستم‌های کلاینت» فقط اجازه ورود به اتاق کلاینت‌ها (یعنی جایی که برای انجام وظایف مدیریتی، از آنجا به وسیله کلاینت به سرورها متصل می‌شوند) را داشته باشد.
اطلاعات مجاز: اجازه دستیابی به قسمت‌های فوق‌العاده حساس تنها به برخی افراد خاص و برای اهداف خاص داده می‌شود. البته افرادی که «باید» به اطلاعات مربوطه دسترسی داشته باشند، این دسترسی تا هنگام «نیاز» برای آن‌ها مهیا خواهد بود.
● موارد را از هم تفکیک کنید
اجازه ندهید جزئیات فناروی‌های «شناسایی هویت» مانع از ترسیم نقشه ملزومات امنیتی در ابتدای کار گردند. پیش از هر چیز ناحیه مورد نظر و شرایط دسترسی به ساختمان را مشخص سازید و پس از آن تحلیل‌های هزینه/ کارایی/ ریسک را انجام دهید. بعد از یافتن موازنه‌ای مناسب بین این فاکتورها، بیهترین فناوری را انتخاب کنید.
● چرا تا این اندازه پیچیده؟
دلیل این که طراحی سیستم‌های امنیتی تا این اندازه پیچیده به نظر می‌رسند این است که ما این فناوری‌ها را به خدمت نمی‌گیریم تا با سرعت، به آسانی و با هزینه‌ای اندک هویت یک فرد را با قاطعیت و اطمینان بالا تأیید کنیم. چیزی که ما به دنبالش هستیم، مجموعه‌ای از انواع روش‌های مختلف مؤثر و پرهزینه است که پس از انجام تحلیل‌های دشوار از لحاظ هزینه/ کارایی/ ریسک و قضاوت در مورد لزوم ترکیب چندین فناوری و نتیجتاً پیاده‌سازی یک سیستم امنیتی هم‌مرکز، مورد استفاده قرار گیرد.
● استفاده از فناوری‌
▪ روش‌های احراز هویت: «قابلیت اطمینان» در «برابر هزینه»
روش‌های شناسایی افراد به سه بخش عمده تقسیم می‌شوند. این سه بخش از نظر قابلیت اطمینان و البته میزان هزینه به ترتیب صعودی عبارتند از:
-‌ چه به همراه دارید؟
-‌ چه می‌دانید؟
-‌ چه کسی هستید؟
▪ چه به همراه دارید؟: ضعیف‌ترین قابلیت اطمینان (امکان استفاده به صورت اشتراکی و امکان به سرقت رفتن)
این بخش شامل وسایلی می‌شود که فرد می‌تواند با خود حمل کند یا بپوشد. یک کلید، یک کارت یا یک شیء کوچک‌ (Token) که می‌تواند به جایی از لباس فرد متصل گردد یا در داخل یک جا کلیدی قرار داده شود. این ابزارها می‌توانند خیلی ساده، مانند یک کلید فلزی، یا خیلی هوشمند، مانند یک کارت با تراشه هوشمند باشند.
چنین ابزاری می‌تواند یک کارت دارای نوار مغناطیسی حاوی اطلاعاتی در مورد شما (مانند کارت‌های آشنای ATM)، یا یک کارت یا Token مجهز به فرستنده و/یا گیرنده که در فواصلی کوتاه با یک Reader در ارتباط است (proximity card یا proximity token)، باشد.
این دسته از روش‌های احراز هویت، پایین‌ترین قابلیت اطمینان و اعتماد را دارند. زیرا هیچ ضمانتی وجود ندارد که این ابزار توسط فرد مجاز مورد استفاده قرار گیرند. این ابزارها می‌توانند به اشتراک گذاشته شوند، به سرقت بروند، مفقود شوند یا فردی آن را پیدا کرده باشد.
چه می‌دانید؟: قابل اطمینان‌تر (به سرقت نمی‌روند. اما می‌توانند بین چند نفر به اشتراک گذاشته شوند یا در جایی نوشته شوند)
متدهای این دسته شامل کلمات عبور، کد، دستورالعملی برای انجام یک کار (مانند باز کردن یک قفل رمز شده)، عملیات تأیید توسط یک card reader یا دسترسی به یک رایانه از طریق صفحه کلید هستند. استفاده از کلمه عبور یا کد برای تأمین امنیت معمولاً یک معمای امنیتی را ایجاد می‌کند: به خاطر سپردن کلمه عبور یا کد بسیار آسان است.
به همین دلیل، حدس زدن آن نیز کار ساده‌ای است. اگر عبارت انتخاب شده سخت و مشکل باشد، آن‌گاه نمی‌توان به سادگی آن را حدس زد. اما چون کلمه عبور و کد را می‌توان جایی نوشت و یادداشت کرد، همین امر ایمنی آن را کاهش می‌دهد.
این دسته، از دسته اول قابل اطمینان‌تر است. اما کلمات عبور و کدها نیز همچنان می‌توانند مشترکاً مورد استفاده چند نفر قرار گیرند و اگر در جایی نوشته شوند، آن‌گاه خطر لو رفتن آن افزایش خواهد یافت.
▪ چه کسی هستید؟: بالاترین قابلیت اطمینان (وابسته به خصوصیت فردی که منحصراً متعلق به یک شخص است).
این دسته از روش‌های احراز هویت، بر پایه شناسایی مشخصات منحصربه فرد فیزیکی و فیزیولوژیکی افراد ایجاد شده‌اند. شناسایی قاطع هویت اشخاص، نیازی است که همگی به طور روزمره به آن احتیاج داریم. وقتی این عمل با استفاده از روش‌های تکنولوژیک صورت می‌گیرد، نام «روش‌های بیومتریک» به آن اطلاق می‌شود. تکنیک‌های اسکن بیومتریک بر اساس چند ویژگی خاص انسانی که قابل تبدیل به اطلاعات کمّی و قابل تحلیل هستند طراحی می‌شوند. برخی از رایج‌ترین این تکنیک‌ها عبارتند از:
-‌‌ اثر انگشت
-‌ عنبیه (الگوی رنگی)
-‌ شبکیه (الگوی مویرگ‌های خونی چشم)
-‌ صدا
-‌ دست (شکل انگشت‌ها و ضخامت دست)
-‌ صورت (موقعیت نسبی چشم‌ها، بینی و دهان نسبت به یکدیگر)
-‌ دستخط (الگوی حرکت قلم در هنگام نوشتن)
نتیجه پردازش ابزارهای بیومتریک (در صورتی که هویت شخص را تأیید نمایند) معمولاً قابلیت اطمینان بسیار بالایی دارد. یعنی چنانچه دستگاه، هویت فردی را تأیید نمود، با اطمینان می‌توان گفت که این همان فردی است که در روز اول، اطلاعات او به دستگاه داده شده است. منشأ اصلی عدم اطمینان به روش‌های بیومتریک، نه در شناسایی اشتباه و نه در فریب سیستم، بلکه در عدم شناسایی یک کاربر مجاز‌ (false rejection) نهفته است.
● ترکیب روش‌ها برای افزایش قابلیت اطمینان‌
در یک طرح نمونه امنیتی، برای بالا بردن قابلیت اطمینان (که طبعاً با بالا رفتن هزینه نیز همراه خواهد شد) از دورافتاده‌ترین و کم‌اهمیت‌ترین نقاط سازمان گرفته تا نواحی مرکزی و حساس سایت، از روش‌های متفاوتی استفاده می‌گردد.
برای مثال، امکان دارد در نقطه ورودی ساختمان از ترکیب کارت مغناطیسی و شماره رمز شخصی و برای ورود به اتاق کامپیوترها از صفحه‌کلید به همراه دستگاه بیومتریک استفاده شود. استفاده از متدهای ترکیبی در نقاط ورودی، موجب افزایش اطمینان در این نقاط خواهد شد.
همچنین به‌کارگیری روش‌های متفاوت امنیتی برای سطوح داخلی، به طور قابل ملاحظه‌ای ظرفیت‌های امنیتی را در سطوح بالاتر ارتقا خواهد داد. زیرا هر سطح بالاتر، نه تنها توسط سازوکار حفاظتی متعلق به خود، بلکه به واسطه بررسی‌هایی محافظت می‌گردد که در لایه‌های بیرونی انجام می‌شود.
▪ مدیریت سیستم‌های امنیتی‌
بعضی از دستگاه‌های کنترل دسترسی (برای مثال کارت‌خوان و اسکنر بیومتریک) می‌توانند اطلاعات مربوط به رخدادهای دسترسی را ضبط و ثبت نمایند. چنانچه به این تجهیزات قابلیت کار در شبکه نیز افزوده شود، می‌توان این اطلاعات را با هدف ثبت تردد و مانیتورینگ، کنترل دستگاه (تعریف کد دسترسی برای اشخاص خاص در اوقات خاص) و همچنین اعلام اخطار (اطلاع از تلاش‌های تکراری ناموفق برای عبور از یک دروازه امنیتی) از طریق شبکه به یک سیستم مدیریت راه دور انتقال داد.
● ابزارهای کنترل دسترسی‌
▪ کارت‌ها و Tokenها: «چه به همراه دارید؟»
امروزه انواع مختلفی از کارت‌ها و Tokenها، از مدل‌های ساده گرفته تا انواع پیچیده آن، برای کنترل دسترسی مورد استفاده قرار می‌گیرند. مدل‌های متنوع این ابزار، طیف وسیعی از قابلیت‌های امنیتی و کارایی را در اندازه‌های فیزیکی مختلف در اختیار کاربران قرار می‌دهند. مهم‌ترین ویژگی‌های این ابزار عبارتند از:
-‌ توانایی برنامه‌ریزی مجدد
-‌ مقاوم در برابر جعل‌
-‌ دارای انواع مختلف برای مقاصد مختلف (swipe، insert ،flat contact ،no contact)
-‌ سهولت استفاده (شکل فیزیکی و نحوه حمل)
-‌ ظرفیت اطلاعات‌گیری‌
-‌ قابلیت‌های محاسباتی بالا
-‌ هزینه پایین کارت‌
-‌ هزینه پایین کارت‌خوان‌
صرف‌نظر از میزان امنیت و اطمینان این وسیله که برگرفته از فناوریِ به کار رفته در آن است، میزان امنیت حاصل شده توسط این ابزار محدود به این حقیقت خواهد بود که در واقع هیچ تضمینی وجود ندارد که فرد استفاده کننده، همان شخص مجاز و مالک کارت باشد. بنابراین معمولاً این روش را با دیگر روش‌های موجود مانند کلمه عبور یا روش‌های بیومتریک ترکیب می‌نمایند.
کارت‌های دارای نوار مغناطیسی رایج‌ترین نوع این کارت‌ها است. در این نوع کارت اطلاعات روی یک نوار مغناطیسی واقع بر پشت کارت نگهداری می‌شود. زمانی که کارت روی کارت‌خوان کشیده می‌شود، اطلاعات موجود در آن خوانده می‌شود و در یک بانک اطلاعاتی نگهداری می‌گردد. این سیستم قیمت پایینی دارد و استفاده از آن نیز آسان است. از نکات منفی آن نیز می‌توان به سهولتِ کپی‌برداری از روی کارت و آسان بودن استخراج اطلاعات ذخیره شده روی آن اشاره کرد.
کارت‌های فریت باریوم‌ (barium ferrite) که به کارت‌های magnetic spot نیز مشهورند، مشابه کارت‌های مغناطیسی هستند؛ با این تفاوت که بدون افزایش قابل ملاحظه در هزینه، امنیت بیشتری را در اختیار قرار می‌دهند. ساختار این کارت‌ها به این‌گونه است که روی پوشش نازکی از مواد مغناطیسی، نقاط دایره‌ای شکلی در چند ردیف قرار دارند. این کارت‌ها به جای قرار گرفتن در داخل کارت‌خوان یا کشیدن روی آن، به سادگی با نزدیک شدن و تماس با کارت‌خوان، خوانده می‌شوند.
نوع دیگری از کارت‌ها، Weigand card نام دارد. این کارت نمونه تغییر یافته کارت مغناطیسی است. این کارت حاوی سیم‌های مخصوصی است که به همراه گونه‌ای امضای مغناطیسی خاص در داخل کارت جاگذاری شده‌اند. وقتی کارت را روی کارت‌خوان می‌کشیم، یک سیم‌پیچ حساس اقدام به شناسایی امضا می‌نماید و آن را به رشته‌ای از بیت‌ها تبدیل می‌سازد.
مزیت این کارت‌های پیچیده این است که قابلیت کپی‌برداری ندارد و نکته منفی آن هم، عدم برنامه‌ریزی مجدد کارت است. با فناوری به کار رفته در این کارت‌ها دیگر نیازی نیست برای خواندن اطلاعات به طور مستقیم با کارت‌خوان در تماس فیزیکی باشند. بدین ترتیب هد کارت‌خوان در پوشش حفاظتی خاصی قرار می‌گیرد که ضمن بالا بردن طول عمر مفید دستگاه، استفاده از آن را در مکان‌های باز امکان‌پذیر می‌سازد.
کارت‌خوان مخصوص این نوع کارت‌ها برخلاف دو نمونه قبلی از تداخلات امواج رادیویی (RFI) یا میادین مغناطیسی تأثیر نمی‌گیرد. قدرت کارت‌خوان به همراه دشواری کپی‌برداری، موجب شده است این کارت‌ها از امنیت نسبتاً بالایی برخوردار باشند (البته به این اظهار نظر باید عدم تضمین هویت دارنده کارت را نیز افزود). با این وجود این کارت‌ها قیمت بالایی دارند.کارت‌های بارکددار نوع دیگری از کارت‌ها هستند که با کشیدن روی کارت‌خوان خوانده می‌شوند. این سیستم بسیار ارزان‌قیمت است. اما به راحتی قابل جعل است زیرا یک دستگاه کپی معمولی هم می‌تواند به سادگی با کپی‌برداری از روی بارکد، سیستم را فریب دهد.
کارت‌های بارکددار مناسب مکان‌هایی هستند که به حداقل امنیت نیاز دارند. مخصوصاً مکان‌هایی که به تعداد زیادی کارت‌خوان در سطح مجموعه نیاز است یا عبور و مرور زیادی از نقاط محدودی صورت می‌گیرد. البته با توجه به سطح امنیتی پایین، می‌توان ادعا کرد که این روش تنها در موارد خاصی مؤثر است.
کارت‌های مادون قرمز یا infrared shadow card در پاسخ به امنیت پایین کارت‌های بارکد به وجود آمدند. در این کارت‌ها بارکد را بین دو لایه پلاستیک PVC قرار داده‌اند و دستگاه کارت‌خوان با عبور دادن پرتو مادون قرمز از لایه‌های کارت، سایه بارکد را در سمت دیگر کارت می‌خواند.
کارت مجاورتی یا proximity card (که گاهی prox card نیز نامیده می‌شود) گامی به جلو در جهت راحتی در استفاده از دستگاه‌های کارت‌خوان محسوب می‌گردد. همان‌طور که از نام این کارت پیداست، برای خواندن آن کافی است کارت را به کارت‌خوان نزدیک کنیم.
فناوری Radio Frequency Identification) RFID) که نیروی مورد نیاز کارت آن توسط کارت‌خوان و با استفاده از میدان الکترومغناطیسی تأمین می‌گردد، تکمیل شده همین متد است. این کارت‌ها در فاصله حداکثر ده سانتی‌متری از کارت‌خوان کار می‌کنند. این میزان برد در نمونه‌ای دیگر که vicinity card نام دارد، تا یک متر افزایش یافته است.
کارت هوشمند‌ (smart card) جدیدترین پیشرفت در کارت‌های کنترل دسترسی به حساب می‌آید و به سرعت به انتخاب اول در ابزارهای جدید مبدل شده است.
این کارت با دارا بودن یک چیپ سیلیکونی که برای ذخیره و یا انجام محاسبات روی اطلاعات استفاده می‌شود، این اطلاعات را از طریق تماس کارت با دستگاه خواننده (contact smart card) یا ارتباط از فاصله دور (با استفاده از فناوری‌های proximity یا vicinity) انتقال می‌دهد.
این چیپ که اندازه قطر آن نیم اینچ است، علاوه بر کارت می‌تواند روی اشیای دیگر مانند کارت شناسایی، جاکلیدی یا بخش‌هایی از لباس مانند دگمه یا جواهرات نصب گردد. نام عمومی‌ای که به اشیای حامل این چیپ اطلاق می‌گردد، smart media است.
کارت‌های هوشمند طیف وسیعی از انعطاف‌پذیری را در حوزه کنترل دسترسی از خود نشان داده‌اند. برای مثال، چیپ هوشمند را می‌توان روی انواع قدیمی‌تر کارت‌ها نصب نمود تا از آن در سیستم‌های قدیمی استفاده شود یا این‌که به منظور انجام عمل تأیید هویت در دستگاه کارت‌خوان، مشخصه‌های مربوط به اثر انگشت یا اسکن عنبیه را در داخل چیپ جاسازی نمود.
با این عمل می‌توان سطح احراز هویت را از «چه چیزی به همراه دارید؟» به «چه کسی هستید؟» ارتقا بخشید. کارت‌های هوشمندی که مانند کارت‌های vicinity نیازی به تماس با دستگاه ندارند، بیشترین سهولت و راحتی را برای کاربر به همراه خواهند داشت. زیرا با زمان تراکنش نیم‌ثانیه حتی لازم نیست تا کارت از جیب خارج شود.
● چرا از ابزارهای بیومتریک به تنهایی استفاده نمی‌کنیم؟
سؤال: اگر ابزارهای بیومتریک تا این اندازه قابل اطمینان هستند، چرا به جای استفاده از کارت، PIN و روش بیومتریک در یک نقطه ورودی، تنها از یک دستگاه بیومتریک به تنهایی استفاده نمی‌شود؟
پاسخ: به خاطر این که:
۱) زمان مورد نیاز برای پردازش ابزارهای بیومتریک گاهی بسیار طولانی است؛ مخصوصاً اگر از یک بانک اطلاعات بزرگ استفاده شود. درست است برای کاهش این زمان بهتر است ابتدا دایره جست‌وجوی سیستم با استفاده از یک ابزار شناسایی دیگر کاهش یابد.
۲) با فراهم آوردن شرایطی که طی آن اطلاعات مربوط به کاربر تنها با یک رکورد متعلق به خودش مقایسه شود، ریسک خطای دستگاه به حداقل کاهش خواهد یافت.
با این که ویژگی‌های بیومتریک غیرقابل جعل هستند، هنوز هم ریسک اشتباه در تطابق از جانب سیستم محتمل است.
▪ صفحه‌کلید و قفل‌های رمزگذاری شده: «چه چیزی می‌دانید؟»
صفحات‌کلید و قفل‌های رمزدار استفاده وسیعی در روش‌های کنترل دسترسی دارند. این ابزار‌ها بسیار قابل اطمینان و ساده هستند. اما امنیت آنان با به اشتراک‌گذاری و همچنین توجه به این مسئله که کلمات رمز قابل حدس زدنند، محدود می‌گردد.
این تجهیزات صفحه‌کلیدی همچون گوشی‌های تلفن دارند که کاربر با استفاده از آنان رمز مورد نظر خود را وارد می‌کند. چنانچه کدهای اختصاص یافته به هر کاربر منحصربه‌فرد باشد، به آن Personal Access Code) PAC) یا Personal Identification Number) PIN) گفته می‌شود. معمولاً از صفحات کلید می‌توان برای وارد کردن چندین کد استفاده نمود (هر کاربر یک کد).
قفل‌های رمزی یا coded locks نیز عموماً به ابزاری اطلاق می‌گردد که تنها با یک کد باز می‌شوند و تمام افراد مجاز، لازم است همان یک کد را به خاطر سپرده و استفاده کنند.
سطح امنیتی صفحه‌کلید‌ها و قفل‌های رمزدار را می‌توان با تعویض دوره‌ای رمز‌ها افزایش داد. این‌کار به سیستمی برای اطلاع‌رسانی به کاربران و همچنین مکانیزمی برای توزیع کدهای جدید احتیاج دارد. همانند کارت‌ها، امنیت این ابزار نیز می‌تواند با به کارگیری آن به‌طور همزمان به همراه یک سیستم بیومتریک افزایش یابد.
▪ بیومتریک: «که هستید؟»
فناوری بیومتریک با سرعت زیادی در حال توسعه و پیشرفت است و سمت و سوی این حرکت نیز به سمت بهتر شدن و ارزان‌تر شدن این تکنیک است. تصدیق هویت با استفاده از تکنیک‌های بیومتریک قابلیت اطمینان بسیار بالایی دارد. این روش (مخصوصاً تأیید اثر انگشت) در حال تبدیل به یکی از اساسی‌ترین راه حل‌های امنیتی است و بسیاری از فروشندگان اقدام به عرضه طیف وسیعی از ابزارهای بیومتریک نموده‌اند.
چنانچه این روش با یکی از روش‌های سنتی، مانند «چه چیزی به همراه دارید؟» و «چه چیزی می‌دانید؟» ترکیب شود، با توجه به معیارهای امنیتی موجود، می‌تواند به یکی از بهترین ابزار‌های کنترل دسترسی مبدل گردد.
در طراحی‌ سیستم‌های بیومتریک، معمولاً استراتژی کلی این‌گونه نیست که این دستگاه‌ها به تنهایی به کار روند. بلکه از این متدها به صورت ترکیبی و به همراه روش‌های مبتنی بر «چه چیزی به همراه دارید؟» یا «چه چیزی می‌دانید؟» استفاده می‌شود.
به عنوان مثال، ابتدا یک کارت با رمز PIN و سپس اسکنر اثرانگشت نتیجه کار را مشخص می‌سازند. با بالارفتن کارایی و افزایش اطمینان به فناوری‌های بیومتریک، امکان دارد این روش‌ها در آینده‌ای نه چندان دور به عنوان تنها روش تأیید هویت، کاربران را از به همراه داشتن هرگونه کارت یا هر وسیله دیگری بی‌نیاز سازند.
به طور کلی دو دسته عمده خطا در روش‌های تأیید هویت وجود دارد:
▪ False Rejection: اشتباه در شناسایی یک کاربر مجاز. با این‌که ممکن است بروز این خطا با تأکید بر لزوم حصول اطمینان از تأمین حفاظت کافی از نواحی حساس توجیه شود، در هر حال بروز این خطا برای کاربران مجازی که به علت اشتباه در تشخیص از سوی اسکنر موفق به عبور از پست‌های امنیتی نشده‌اند، امری تحمل‌ناپذیر خواهد بود.
▪ False Acceptance: شناسایی نادرست. این خطا یا به شکل اشتباه گرفتن یک کاربر با کاربر دیگر یا به صورت پذیرش یک نفوذگر به عنوان یک کاربر مجاز اتفاق می‌افتد.
میزان خطا با تنظیم آستانه دقت و پذیرش (تعیین میزان تطابق قابل قبول) قابل کنترل است. اما پایین آوردن میزان یک خطا موجب افزایش بروز خطاهایی از نوع دیگر خواهد گردید. ملاحظاتی که برای انتخاب یک روش بیومتریک در نظر گرفته می‌شوند، عبارتند از:
هزینه تجهیزات، میزان خطا (Rejection) و (acceptance) و پذیرش از جانب کاربران. مورد اخیر یعنی قبول روش از جانب کاربران به این بستگی دارد که استفاده از تجهیزات نصب شده از دید کارکنان تا چه اندازه دشوار، همراه با مزاحمت و حتی خطرناک جلوه می‌کند.
برای مثال، جهت استفاده از دستگاه اسکنر شبکیه چشم، کاربران مجبورند چشم خود را در فاصله‌ای حدود یک تا دو اینچ از اسکنر قرار داده و پرتو مستقیم یک LED را که از این فاصله آن هم به‌طور مستقیم به چشم تابانده می‌شود، تحمل نمایند.
● دیگر اجزای سیستم‌های امنیتی‌
طراحی سیستم‌های امنیتی، بر ساخت دستگاه‌هایی که وظیفه شناسایی و بررسی هویت افراد را در نقاط ورودی برعهده دارند، تمرکز می‌کند. حسن انجام این وظیفه که به آن «کنترل دسترسی» ‌(access control) می‌گویند، متضمن اعتماد صددرصد به عملیات تشخیص هویت، قابلیت اعتماد به نیت پرسنل سازمان و همچنین کیفیت فیزیکی دیوارها، درها، پنجره‌ها، قفل‌ها و سقف‌ها خواهد بود. جهت احتراز از شکست‌های امنیتی ناشی از نفوذ غیرمجاز یا خرابکاری، سیستم‌های امنیتی معمولاً از روش‌های تکمیلی دیگری نیز برای حفاظت، نظارت و ترمیم خطا استفاده می‌کنند.
▪ طراحی ساختمان‌
هنگام ساخت بنای جدید یا بازسازی بنایای قدیمی، امنیت فیزیکی باید از همان مراحل اولیه کار و در مشخصات معماری و عمرانی بنا رعایت شود تا تهدیدات امنیتی را ضعیف یا به کلی عقیم سازد. عموماً ملاحظات امنیتی در اسکلت و زیربنای ساختمان بستگی مستقیم به نحوه طراحی و قرارگیری راه‌های ورودی و خروجی، نحوه دسترسی به نقاط حساس ساختمان مانند قسمت برق فشار قوی و جعبه‌های کابل های برق، و نهایتاً وجود فضاها و مکان‌های مناسب برای اختفای مهاجمان و نفوذگران، دارد.
▪ Piggybacking و Tailgating؛ راه‌حلی به نام Mantrap
یکی از رایج‌ترین حفره‌ها و نقاط کور موجود در سیستم‌های کنترل دسترسی، امکان عبور افراد غیرمجاز از نقاط بازرسی از طریق متابعت یکی از کارکنان مجاز است. چنانچه این‌کار با همکاری و همدستی فرد مجاز صورت بگیرد، به آن piggybacking می‌گویند (مانند باز نگهداشتن در پس از عبور و برای رد شدن فرد غیرمجاز). حال اگر فرد غیرمجاز بی سروصدا و بدون جلب توجه این‌کار را انجام بدهد، به آن tailgating گفته می‌شود.
راه‌حل سنتی جلوگیری از این‌کار، استفاده از فضای کوچکی به نام Mantrap است که در نقاط ورودی و خروجی به کار گرفته می‌شود. ساختار Mantrap بدین‌گونه است که در نقطه مورد نظر از دو در استفاده می‌شود که حجم فضای میان آن‌ها تنها به اندازه یک نفر است.
از این روش‌ می‌توان در طراحی دستگاه‌های کنترل دسترسی و در نقاط ورودی و خروجی یا فقط در نقاط خروجی استفاده نمود. در حالتی که خروج فرد ناموفق باشد، سیستم امنیتی ضمن قفل کردن درها، اقدام به پخش آژیر اخطار می‌نماید و اعلام می‌کند که فرد مهاجم در تله Mantrap گرفتار شده است. روش دیگر جلوگیری از چنین مواردی، استفاده از کفپوش‌های مخصوصی است که با ثبت جای پای فرد، سیستم را از عبور تنها یک نفر در آن واحد مطمئن می‌سازد.
در فناوری جدیدی که برای حل این مشکل به کار گرفته شده است، با استفاده از یک دوربین حساس به حرکت‌ (Motion Sensor) که در بالای اتاق نصب می‌شود، عبور افراد به طور خودکار تحت نظر گرفته می‌شود و چنانچه بیش از یک نفر در آن واحد در حال عبور باشند، سیستم امنیتی را فعال می‌سازد.
▪ نظارت ویدیویی‌
دوربین‌های ویدیویی که زمانی برای انجام نظارت مستقیم به کار گرفته می‌شدند، امروزه و با پیشرفت فناوری‌های جدید، روش‌های تازه‌ای را در پیش روی متخصصان قرار داده‌اند.
مواردی همچون استفاده از دوربین در نقاط ورودی برای ضبط خودکار پلاک خودروها یا استفاده از دوربین به همراه کفپوش‌های حساس به فشار برای ضبط تصاویر افراد در نواحی حفاظت شده، مثال‌هایی از این دست به شمار می‌روند.
دوربین‌های مداربسته ‌(CCTV) (چه به صورت پنهان و چه به صورت آشکار) قابلیت نظارت را در هر دو محیط‌های داخلی و خارجی فراهم می‌آورند. این ابزار علاوه بر وظایف نظارتی، خصایص بازدارندگی نیز دارند که مورد اخیر از بسیاری از تهدیدات بالقوه جلوگیری می‌نماید.
انواع مختلف دوربین‌ها شامل دوربین‌های ثابت، دوربین‌های گردان و دوربین‌های کنترل از راه دور است. نکاتی که باید در زمان نصب یک دوربین مد نظر قرار گیرند، عبارتند از:
-‌ آیا شناسایی هویت فردی که تصویر آن توسط دوربین ثبت می‌شود، ضروری است؟
-‌ آیا فقط مشخص شدن حضور افراد در یک فضا کافی خواهد بود؟
-‌ آیا نظارت بر دارایی‌ها و اثاثیه مستقر در یک اتاق مد نظر می‌باشد؟
-‌ آیا نصب این دوربین تنها با هدف بازدارندگی صورت می‌گیرد؟
چنانچه سیگنال‌های رسیده از یک CCTV ثبت و ضبط می‌شوند، موارد ذیل باید رعایت گردند:
-‌ نحوه علامتگذاری و بایگانی نوارها برای مراجعه آسان در آینده‌
-‌ انتخاب محل مناسب جهت نگهداری نوارها در داخل یا بیرون سایت‌
-‌ مشخص کردن افراد مجاز به دسترسی به آرشیو فیلم‌های ضبط شده‌
-‌ تهیه رویه و دستورالعمل قانونی برای دسترسی به نوارها
-‌ تعیین حداکثر مدت زمان لازم برای نگهداری نوارها پیش از نابودی آن‌ها
فناوری‌های جدید در حال پیشرفتند و یکی از مهم‌ترین اهداف آن‌ها، خودکارسازی مشاغلی است که پیش از این به‌طور سنتی و توسط انسان انجام می‌شد. در این حوزه نیز هدف از ایجاد متدهای جدید، جایگزین نمودن روش‌هایی مانند خیره‌شدن مأموران امنیتی به مانیتور با نرم‌افزاری است که هر گونه حرکت را روی صفحه نمایشگر تشخیص می‌دهد.
▪ مأموران امنیتی‌
با وجود تمام دستاوردهای جدید تکنولوژیکی که در حوزه امنیت فیزیکی صورت می‌پذیرد، متخصصان عقیده دارند که هنوز هم افسران حراست زبده و با تجربه، بالاتر از هرگونه روش حفاظتی و سیستم‌های خودکار قرار دارند. مأموران گارد در برخورد با موارد مشکوک، غیرمعمول و خطرناک، علاوه بر حواس پنجگانه انسانی، با داشتن قابلیت تحرک و امکان استفاده از هوش و ذکاوت، ظرفیت‌های بالایی از توانایی انسانی را به نمایش می‌گذارند.
بنیاد بین‌المللی افسران حفاظتی International Foundation for Protection Officers) IFPO) که یک سازمان غیرانتفاعی است، با هدف تسهیل در استانداردسازی آموزش و تأیید مأموران حراست تأسیس گردید. «راهنمای آموزش نظارت امنیتی» این بنیاد، مرجع معتبری برای استفاده افسران حراست و کارفرمایانشان است.
▪ آلارم‌ها و حسگرها
همگی با سیستم‌های سنتی زنگ منازل و سنسورها آشناییم. در منازل امروزی انواع حسگرهای مختلف، از حسگرهای حرکتی گرفته تا حسگرهای حرارتی، حسگرهای لمسی (جهت اعلام بسته بودن درها یا پنجره‌های منازل) و نمونه‌های دیگر مورد استفاده قرار می‌گیرند.
سیستم‌های آلارم در مراکز داده ممکن است از همین نمونه‌های سنتی در کنار موانع پرتو لیزر، حسگرهای کفپوش، حسگرهای حساس به تماس و حسگرهای لرزشی استفاده نمایند. همچنین ممکن است این مراکز دارای نقاطی باشند که استفاده از آلارم‌های صامت بر استفاده از آلارم‌های صوتی ارجحیت داشته باشد. مواردی که دستگیری مرتکبین در حین انجام عمل مدنظر است، از مصادیق چنین وضعیت‌هایی می‌باشند.
چنانچه حسگرهای مورد استفاده، قابلیت کار در شبکه را نیز داشته باشند، می‌توان آن‌ها را به وسیله سیستم‌های مدیریتی، از راه‌دور کنترل و بررسی نمود. این سیستم‌ها این قابلیت را نیز دارند که اطلاعات مربوط به تردد افراد را هم از ابزارهای کنترل دسترسی دریافت دارند.
▪ بازدیدکنندگان‌
پیش‌بینی بازدیدکنندگان یکی از آیتم‌های مهمی است که در زمان طراحی یک سیستم امنیتی باید به آن توجه زیادی شود. راه‌حل‌های نمونه شامل مواردی هستند که در آن‌ها کارت‌ها یا نشانه‌های موقتی را برای عبور و مرور در نواحی که از لحاظ امنیتی از اهمیت کمتری برخوردارند، به بازدیدکننده تسلیم می‌کنند و وی بدون مشایعت مأمور امنیتی می‌تواند به تنهایی در این نواحی تردد نماید. وجود Mantrap در نقاط ورودی و خروجی (که باعث می‌گردد تا تنها یک نفر در آن واحد از دروازه ورودی یا خروجی عبور کند) موجب می‌گردد در موارد عبور یک بازدیدکننده به‌طور موقت و موردی، نظارت سیستم لغو یا برای بازدیدکننده مورد نظر یک اعتبار موقت ایجاد شود.
● عوامل انسانی‌
فناوری به خودی خود و به تنهایی نمی‌تواند همه کارها را انجام دهد، مخصوصاً زمانی که ما وظایفی را توقع داریم که ذاتاً تکالیفی انسانی هستند. مانند تشخیص هویت و قصد و نیت افراد. با این‌که اشخاص، خود پیچیده‌ترین بخش مشکلات امنیتی محسوب می‌گردند، خود نیز بخشی از راه‌حل خواهند بود. توانایی‌ها و متقابلاً، خطاپذیر بودن انسان باعث می‌شود تا نه فقط ضعیف‌ترین حلقه، بلکه قوی‌ترین پشتیبان این مقوله نیز به حساب بیاید.
▪ انسان؛ ضعیف‌ترین حلقه این زنجیره‌
در کنار اشتباهات و حوادث، یک ویژگی ذاتی در گرایش‌های طبیعی انسان وجود دارد و آن، حس تمایل به مساعدت، یاری و اطمینان به هم‌نوع است. یک فرد آشنا که قدم به یک ساختمان می‌گذارد، می‌تواند یک کارمند ناراضی یا یک فرد خیانتکار به سازمان باشد.
وسوسه سرپیچی از قوانین و سرباز زدن از دستورالعمل‌ها در قبال یک چهره آشنا، می‌تواند نتایج فاجعه‌آمیزی به دنبال داشته باشد. اصولاً یکی از مقوله‌های مهم در نقض امنیت، «خرابکاری داخلی» یا inside job است. حتی افراد غریبه نیز می‌توانند در برخی موارد موفقیت‌های غافلگیرکننده‌ای در مغلوب ساختن سیستم‌های امنیتی داشته باشند.
این قابلیت که افراد غریبه، اما باهوش، بتوانند با استفاده از حیله‌ها و فریب‌های معمولی به مکان‌ها و اطلاعات حساس دسترسی پیدا کنند، به قدری عمومیت یافته است که موجب پیدایش یک اصطلاح به نام Social Engineering یا مهندسی اجتماعی گردیده است. تمام اشخاصی که حفاظت و حراست از مکان های حساس را برعهده دارند، علاوه بر آموزش‌های عملیاتی و پروتکل‌های امنیتی، باید بیاموزند که چگونه در برابر تکنیک‌های خلاقانه مهندسی اجتماعی مقاومت کنند و در تله آن گرفتار نشوند.
▪ انسان؛ قوی‌ترین پشتیبان‌
حفاظت در برابر شکست امنیتی معمولاً با آشنایی و شناخت عوامل ناشناخته قوی‌تر و مستحکم‌تر می‌گردد. افزایش مقاومت در برابر دستکاری، میان‌برها و حضور انسانی، ارمغان پرارزشی برای فناوری است.
علاوه بر پرسنلِ گوش‌به‌زنگ و هشیار که مجهز به مواهب بی‌نظیری همچون قدرت بینایی، قدرت شنوایی، توانایی تعقل و قدرت تحرک هستند، وجود افراد تعلیم دیده به عنوان عناصر اختصاصی در طرح‌های امنیتی داشته‌ای ارزشمند برای هر سازمان به حساب می‌آید.
وجود نگهبانان در نقاط ورودی و نگهبانان گشتی در محوطه‌ها و در داخل ساختمان، گرچه موجب بالا رفتن هزینه‌ها خواهد گردید، اما در زمان بروز مشکلاتی از قبیل بروز ایراد یا خرابکاری عمدی در سیستم امنیتی، ارزش بالای خود را نشان خواهند داد. واکنش سریع به علایم اخطاری در زمان مشکل ممکن است در مواردی به عنوان آخرین سد دفاعی بر علیه تهدیدات و خطرات امنیتی به کار آید.
برای محافظت در برابر خطرات تصادفی و تعمدی، سهم انسان به اندازه سهم ماشین در نظر گرفته می‌شود: هوشیاری دایم و اطاعت صریح از پروتکل‌ها و دستورالعمل‌ها، دور نگهداشتن کلیه اشخاص جز آن‌هایی که حضورشان در ارتباط با وظایف سازمان است، به کارگیری کارکنان کارآزموده و پیروی از دستورالعمل‌ها و شیوه‌های تأیید شده، آخرین سدهای دفاعی یک سیستم امنیتی مؤثر خواهند بود.
● انتخاب بهترین روش؛ ریسک در برابر هزینه‌
یک سیستم امنیتی مناسب، یافتن یک توازن خوب بین ریسک و آسیب‌های بالقوه‌ای است که به شکل مزاحمت برای افراد و همچنین هزینه‌های بالای این سیستم‌ها متوجه مدیران می‌باشند.
▪ هزینه پنهانِ یک نقض امنیتی‌
با این‌که هر دیتاسنتری نقاط ضعف و ویژگی‌ها و خصوصیات خاص خود را دارد، معمولاً هر یک از آن‌ها حداقل شامل یکی از ایرادات زیر هستند:
ـ خسارت فیزیکی: مستعد برای وارد آمدن آسیب به اتاق‌ها و تجهیزات از طریق حادثه، خرابکاری یا سرقت آشکار
ـ تهدید: IT بازماندن کارکنان از انجام وظایف اصلی به واسطه خرابی یا نیاز به جایگزینی تجهیزات، احیای اطلاعات یا رفع مشکلات سیستم‌
ـ خسارت به خاطر وضعیت سازمان: اختلال در کار به خاطر زمان‌های خواب (Downtime) ‌
ـ خسارت اطلاعاتی: فقدان، خرابی یا سرقت اطلاعات‌
ـ خطر ناشی از اعتبار و حسن‌نیت مشتریان: پیامد‌های ناشی از آسیب‌های جدی و مکرر امنیتی، خسارت‌های کاری، کاهش ارزش سهام و شکایت‌های حقوقی از این دسته هستند.
▪ ملاحظات لازم در طراحی سیستم‌های امنیتی‌
طراحی یک سیستم امنیتی می‌تواند به مسئله‌ای غامض با متغیرهای فراوان مبدل گردد. از آنجایی که شناخت استراتژی‌های خاص در طراحی سیستم‌های امنیتی هدف این مقاله است، موارد مهمی که در قبال اغلب طراحی‌ها صادقند، به شرح ذیل دسته‌بندی می‌شوند:
ـ هزینه تجهیزات: ‌مشکلا‌ت مالی معمولاً باعث می‌شود استفاده وسیع از تجهیزات شناسایی مطمئن و کارآمد، با محدودیت روبه‌رو گردد. روش معمول در این گونه موارد، گسترش طیفی از روش‌های کم‌هزینه به سطوح مختلف امنیتی است.
ـ ترکیب فناوری‌ها: قابلیت اعتماد به کارکرد صحیح سیستم در سطوح متفاوت، با ترکیب روش‌های کم‌هزینه‌تر با یکدیگر، افزایش خواهد یافت. چنانچه طراحی یک سیستم امنیتی به صورت هم‌مرکز صورت پذیرد، در این‌حالت لایه‌های درونی نیز از مزیت حفاظت لایه‌های بیرونی بهره‌مند خواهند گردید.
ـ پذیرش از جانب کاربران (Nuisance): سهولت استفاده و قابلیت اطمینان عوامل مهم و تأثیرگذاری در جلوگیری از عقیم ماندن سیستم و وسوسه خرابکاری خواهند بود.
ـ مقیاس‌پذیری: آیا طراحی یک سیستم این قابلیت را دارد در صورت لزوم و با در نظر گرفتن فاکتورهایی همچون سرمایه و میزان اطمینان، از فناوری‌های مورد نیاز به صورت پلکانی استفاده نماید؟
ـ سازگاری برعکس: آیا طراحی جدید با سیستم قدیمی سازگار است؟ نگهداری تمام یا بخشی از سیستم موجود، صرفه‌جویی قابل ملاحظه‌ای را در کاهش هزینه‌های بسط و گسترش سیستم به همراه خواهد داشت.
● نتیجه‌گیری‌
با ازدیاد تعداد دیتاسنترها و سایت‌های میزبانی وب، امنیت فیزیکی این مکان‌ها به اندازه امنیت دیجیتالی محتوایی که نگهداری می‌کنند، اهمیت پیدا کرده است. نفوذگران می‌توانند با جعل هویت یا پنهان نمودن نیت خود سبب بروز خسارت‌های عظیم شده و با از کار انداختن تجهیزات حساس، مقدمات یک حمله نرم‌افزاری را فراهم آورند.
حتی اشتباهات معمولی که از جانب پرسنل روی می‌دهند نیز می‌توانند به عنوان خطرات روزمره، سازمان را با بحرانی جدی روبه‌رو کنند. به همین دلیل و برای کاهش این خطر باید دسترسی به مناطق حساس را تنها منحصر به افراد متخصص و مجاز نمود.
امروزه فناوری به خوبی جای خود را باز نموده است و روز به روز هزینه آن هم پایین‌تر می‌آید. به همین خاطر و برای پیاده‌سازی طیف وسیعی از راه‌حل‌های جدید شناسایی اشخاص که بر اساس اصول پایه‌ای «چه در اختیار دارید ؟»، «چه چیزی می‌دانید؟» و «که هستید؟» طراحی می‌شوند، می‌توان از فناوری‌های جدید بهره لازم را برد.
با ترکیب «سنجش ریسک» و «تحلیل ملزومات دسترسی و فناوری‌های در دسترس» می‌توان به یک طراحی مناسب برای سیستم امنیتی دست یافت تا تعادل منطقی میان امنیت و هزینه به دست آید.

ذخیره کردن اطلاعات حساس با استفاده از ASP.NET

ذخیره کردن اطلاعات حساس با استفاده از ASP.NET

گاهی اوقات در برنامه ASP.NET نیاز پیدا می کنید که از اطلاعات بسیار حساس استفاده کنید. مثلا ممکن است برای وصل شدن به یک دیتابیس نیاز به یک نام کاربری و رمز عبور داشته باشید و یا یوزرنیم و پسوردهای مشتری هایتان را در دیتابیس ذخیره کنید. با استفاده از secure socket layer یا SSL می توانید اطالاعات را هنگام جابجایی درون شبکه و یا هنگام ذخیره شدن بر روی سرور و کلاینت رمزگذاری کنید. در این مقاله چند را ه حل کلی برای ذخیره سازی اطلاعات حساس را ارایه می دهیم.

تا جایی که امکان دارد از ذخیره اطلاعات حساس خودداری کنید

بهترین راه برای محافظت از اطلاعات حساس این است که آن ها را ذخیره نکنیم. جاهایی که اطلاعات حساس ذخیره می شوند را به حداقل برسانید. از ذخیره کردن اطلاعات حساس در cookie یا یک کنترل که در مرورگر باقی می ماند خودداری کنید. اطلاعات حساس را در منطق برنامه تان ذخیره نکنید. به جای این ها، اطلاعات حساس را از یک مکان امن و یا از کلاینت بگیرید.

اطلاعات حساس را رمزگذاری کنید

زمانی که اطلاعات حساس را ذخیره می کنید، آن ها را به زبان انسان یا با رمزهای ساده (مانند Base64) ذخیره نکنید. به جای آن اطلاعات را رمزنگاری کنید تا اگر روزی یک هکر به اطلاعاتتان دسترسی پیدا کرد، نتواند به راحتی از محتوای آن با خبر شود.

اگر تنها لازم است که اطلاعات حساس بازبینی شوند و نیازی به رمزگشایی و تبدیل به زبان انسان ندارید، اطلاعات حساس را با استفاده از روش های hash یک طرفه رمزگذاری کنید. پس از این، هربار که نیاز داشتید که اطلاعات حساس را بازبینی کنید، مقدار را hash کنید و در بازبینی از آن استفاده کنید. برای مثال اگر برای احراز هویت کاربران از ASP.NET Membership and Forms Authentication استفاده می کنید، فرمت پسوردها را hashشده انتخاب کنید تا با استفاده از hash یک طرفه در دیتابیس ذخیره شوند یا مورد بازبینی قرار گیرند.

برای ذخیره سازی اطلاعاتی حساس مانند connection stringها، اطلاعات کاربری، یا کلیدهای رمزنگاری در فایل web.config ، قسمت های حساس فایل web.config را با استفاده از protected configuration رمزنگاری کنید.

نویسنده: پویا فضلعلی
منبع: انجمن تخصصی فناوری اطلاعات ایران
هرگونه نشر و کپی برداری بدون ذکر نام منبع و نویسنده دارای اشکال اخلاقی می باشد. 

هوشمندسازی اسناد

بر خلاف تصور موجود در مورد کاغذ به عنوان یک انتقال دهنده قدیمی و پرهزینه اطلاعات شرکت ها هنوز دوست دارند از آن استفاده کنند. کاغذ قابل لمس، متداول و در بسیاری موارد نشانگر اولین راهی است که شرکتها با کارمندان، شرکا و مشتریان همکاری متقابل دارند. با این همه مشکلات طبیعی در دنبال کردن ذخیره سازی وارد کردن مجدد اطلاعات و جابجایی کاغذ خسارات مالی عظیمی بر شرکت ها تحمیل می کند. حتی اسنادی که به فرمت الکترونیکی تبدیل شده اند معمولا به طور عمده ثابت هستند. اگر اسناد شرکت بتوانند در فرایندهایی که با آن مواجه می شوند فعال گردند و طبق نیاز متناسب گردند برای راندمان شرکت چه معنایی ممکن است داشته باشد؟ اما اگر آنها بتوانند هوشمند شوند چطور؟
اگر اسناد الکترونیکی هنوز برای انجام تمام کارهایمان آماده نیستند، برخی از آنها حداقل کم کم وارد میدان می شوند. اسناد هوشمند که اسناد «فعال» هم خوانده می شوند محتویاتی فعال هستند که از کد کار گذاشته شده و قابل اجرا جهت مشارکت در فرایندهای تجاری استفاده می نمایند. 
اسناد هوشمند اساسا از XML استفاده می کنند که می تواند نشانگر انواع داده ها باشد و قابلیت انتقال بالایی دارد. این اسناد می توانند فرایندها را از طریق راه اندازی جریان کار انتقال داده ها به دیتابیس های back-end و بالعکس و به روزرسانی خودشان همانگونه که قوانین شرکت تعیین می نمایند کارآمدتر سازند. مدافعان معتقدند که اسناد فعال شیوه کنترل اطلاعات توسط شرکت ها و چگونگی تعامل کاربران با آن را به صورت تسهیل همه امور از فعالیت های کارآمدتر و همکاری بیشتر تا پذیرش نظارتی بهتر را تغییر خواهند داد. اما در حالیکه برخی از شرکت ها می توانند بازگشت سرمایه را از طریق اتوماتیک کردن یک فرایند پرهزینه به وسیله یک اینترفیس سند هوشمند محقق سازند، مثلا ثبت مزایای بیمه یا تغییرات ناشی از کسر حقوق، کار طراحی درست جهت مهندسی مجدد فرایندها، ترسیم جریانات کاری وتعیین طرح های کلی XML برای تعیین دوباره هدف XML می تواند پیچیده باشد.Intelligent Document Platform شرکت Adobe یک معماری سرویس گرا است که طراحی فرم ها و اجزای جریان کار و نیز کلاینت Acrobat Reader فراگیرش (که اکنون Acrobat Reader نامیده می شود) و Portable Document Format یا PDF را شامل می شود. در همین حین مایکروسافت پشتیبانی گسترده ای برای XML و سرویس های وب درون مجموعه Office۲۰۰۳ خود تعبیه نموده است و Infopath یک طراحی فرم های الکترونیکی و محصول مسیریاب را ارائه می نماید. 
● سرویس دهی به مشتریان داخلی
شرکت Bright Horizons Family Solutions یک ارائه دهنده خدمات نگهداری کودک و آموزش مقدماتی که از طرف کارفرما پشتیبانی مالی می شود، از فرصت استفاده از فرم های الکترونیکی برای اتوماتیک سازی فرایندهای تغییر در موقعیت کارمند بهره برد.
Tim Young معاون بخش IT می گوید Bright Horizons با ۱۶۰۰۰ کارمند در بیش از ۵۰۰ نقطه سراسر دنیا دریافت که فرایندهای مبتنی بر کاغذ برای تغییرات کارمندان بسیار وقت گیر و در معرض اشتباه بودند. Watertown، شرکتی واقع در ماساچوست از Adobe Intelligent Document Platform استفاده می نماید. Bright Horizons در حال اتوماتیک سازی فرایندهای فرم مزایا و حقوق پرداختی کارمندان است و درصدد می باشد همین کار را برای فرم های ساعات کار و هزینه های سرمایه ای نیز انجام دهد. Young می گوید: ما می خواستیم به کارمندان بهتر خدمت کنیم و هزینه های فعالیت را کاهش دهیم. اکنون تمام این موارد به کمک هوشمندی تجاری در پس فرم ها برای ما شکل گرفته اند. بنابراین اگر نیاز به تایید باشد درون جریان کار تعبیه شده است. Bright Horizons از طریق پر کردن فیلدهای فرم از قبل در هزینه ها صرفه جویی کرده است. تیم شرکت این کار را از طریق استخراج اطلاعات از یک بانک اطلاعاتی SQL Server هنگامی که کارمندان وارد اینترانت شرکت می شوند انجام می دهد که بدین نحو کمک هدایت شده را از طریق منوهای drop-down فراهم ساخته و از هوشمندی تجاری روشی که فیلدها پر می شوند را به اجرا در می آورد استفاده می کند. 
پس از اینکه یک فرم کامل می شود تبدیل به یک سند PDF می گردد و از طریق سرور جریان کار Adobe به طور خودکار به مدیران مربوطه و سپس به سیستم پرداخت حقوق شرکت ارسال می شود. Grant.gov ورودی که افراد می توانند از موقعیت های مالی موجود از آژانس فدرال امریکا مطلع شده و به طور الکترونیکی آنها را درخواست کنند از نرم افزاری از Victoria Solutions PureEdge واقع در British Columbia استفاده می نماید. این مدخل یکی از ابتکار دولت الکترونیکی است که Office of Management and Budget آغاز نموده است. Rebecca Spitzgo مدیر برنامه Grants.gov می گوید Department of Health and Human serrices امریکا به عنوان واسطه بین آژانس های اعطا کننده و متقاضیان باید به دقت از سیستم های بکار گرفته شده توسط کلاینت ها در هر دو طرف پشتیبانی نماید. برای مثال به جای ملزم ساختن شهروندان به استفاده از ارتباطات dial-up جهت پرکردن یک فرم کمک مالی به صورت آن لاین آژانس pureEdge را مستقر نمود تا بسته های برنامه کاربردی را قابل download نماید.
Spitzgo می گوید کاربران جهت مشاهده و تکمیل فرم ها یک کلاینت قابل download را اجرا می نمایند.Grants.gov از PureEdge جهت ساختن فرمت های ادیت درون فیلدهای داده ها استفاده می کند تا اطمینان حاصل گردد بار اول آنها به درستی پر می شوند و نیز محاسبات را انجام می دهد. وقتی کاربران یک فرم را کامل می کنند روی کلیدی کلیک می کنند تا آن را تحویل دهند. Grants.gov سپس فرم دریافتی را به یک فایل Acrobat PDF تبدیل می نماید یک فایل داده فرمت شده XML می سازد و هر دو را به آژانس مربوطه می فرستد. Spitzgo می گوید: Gravts.govآنچه آژانس ها با داده های XML انجام می دهند را تعیین نمی کند اما اکثریت از آن جهت جلوگیری از ورود مجدد داده ها استفاده می کنند. کارمندان Grants.gov یک طرح XML کلی برای بخش هایی از قبیل صفحه اول فرم کمک مالی طراحی کرده اند تا آژانس ها بتوانند مجدد از آن استفاده نمایند.
● XML نشانه جایگاه مورد نظر است
امروزه، XML در ایجاد اسناد هوشمند عامل اصلی است. XML به تعیین اجزای سند از قبیل صفحه بندی کمک می کند، به محتوا امکان جداشدن از بخش معرفی را می دهد و اینکه طبق نیاز مورد استفاده و انتخاب مجدد قرار می گیرد.Joshua Duhl تحلیلگر IDC در فرامینگهام ماساچوست می گوید اسناد هوشمند معمولا از ساختارهای سرویس های وب برای فراخوانی و دریافت مقادیر داده استفاده می کنند. سرویس های وب به طور روزافزون دورتا دور سیستم های اصلی شرکت از قبیل حسابداری دیتابیس های مدیریت فهرست و محتوا را جهت انتقال داده ها احاطه می کنند. 
او می گوید: شما برای انواع خاصی از برنامه های کاربردی با به روزرسانی های فراوان- برنامه های کاربردی زنجیره تدارکات فرایندهای مراقبت بهداشتی- یک سند فعال می خواهید. 
در یک آزمایش نرم افزار فرم های الکترونیکی Liquid Office از سوی Verity واقع در کالیفرنیا از XML جهت تایید انجام محاسبات و ورود پیشاپیش اطلاعات کاربر درون انواع مختلفی از فرم ها استفاده خواهد نمود.Bill Roach هماهنگ کننده EDMS شرکت CRM فرمانداری ایالتی می گوید: XML فرصت هایی که مدت های طولانی به دنبالش بودیم را فراهم می کند: حذف ورودی اطلاعات و بازشماری آن. وقتی ما در XML اطلاعات داریم، می توانیم آن را جمع و جور کرده و به طور خودکار به برنامه های کاربردی بفرستیم. XML می تواند یک تصویر یا یک PDF برای ما بسازد یا آن را در فرمت اصلی اش ذخیره سازد و فقط آن را به درون یک سیستم حفظ رکوردها بفرستد.Liquid Office فقط بخشی از زیر بنای EDMS یا Electronic Document Management System (سیستم مدیریت اسناد الکترونیکی) بسیار بزرگتر ایالت است که شامل FileNet Content Manager ,Verity Teleform و محصولات روند کاری شرکت Knowledgelakeمی باشد. John Gouryrell یک تحلیلگر پروژه در Soumd Trabsit واقع در سیاتل انتظار دارد قابلیت های گسترده XML در Infopath و مجموعه Office ۲۰۰۳ مایکروسافت تسهیم داده ها با سیستم های back-end از قبیل نرم افزار PeopleSoft ERP خود را آسان سازد. سیستم انتقال منطقه ای از Infopath جهت تبدیل یک فرایند پرداخت حقوق مبتنی بر کاغذ که یک ماه طول می کشید کامل شود به یک فرایند فرم های الکترونیکی که چهار تا هشت ساعت زمان می برد استفاده نمود.
Gartrell می گوید Sound Transit هنوز استفاده از XML را آغاز نکرده است اما ما در حال ادغام Infopath با دیتابیس SQL Server ۳۰۰۰ خود هستیم ضمن اینکه Infopath تمام XML را کنترل می کند.Duhl می گوید همچنان نقش اسناد فعال در شرکت گسترش می یابد باید قابلیت های جدیدتر از قبیل امضای دیجیتالی را بهتر پشتیبانی نمایند. به دلیل نیازهای پذیرش نظارتی مثل آنهایی که در Sarbanes-Oxley Act هستند فروشندگان نیز باید مطمئن شوند که اسناد الکترونیکی می توانند دقیقا به همان صورت که روی کاغذ هستند ارائه گردند. Duhl می گوید PDF های Adobe در این زمینه گوی سبقت را ربوده اند. در همین حین شرکت ها باید به مسایل زیربنایی و فرایند متعددی جهت استفاده از مزایایی که اسناد متناسب شونده می توانند به دنبال داشته باشند بپردازند.Duhl می گوید: در حالیکه اسناد فعال یک ایده و اینترفیس بسیار خوبی هستند حتی در سطح فرم ها فرایندهای تجاری را در سطحی بسیار اساسی تحت تاثیر قرار می دهند. این فراتر از تکنولوژی می رود و بر شیوه فعالیت افراد اثر می گذارد. 
● سه گونه اصلی اسناد فعال
▪ فرم های فعال 
این فرم ها با کاربران و فرایندهای مبتنی بر فرم ها از قبیل بیمه برنامه های پرداخت حقوق و مزایا تعامل دارند. فرم های فعال با استفاده از قوانین تجاری مطمئن می شوند که فیلدها بدرستی پر می گردند و اینکه آنها می توانند خود را با اطلاعات کاربر از سیستم های back-end پر نمایند. پس از تعامل آنها می توانند یک روند کاری را راه بیاندازند که آنها را به اشخاص مربوط هدایت می کند و دیتابیس های مناسب را به روز می رساند. 
▪ اسناد فعال
این اسناد غیر مرتبط به فرم ها که تاحدودی با توانایی شان در صفحه بندی شدن شناخته می شوند ممکن است دفترچه های راهنمای فنی طرح های تنظیم شده یا گزارشات شخصی ۴۰۱(K) را در بر گیرند که به محض تغییر داده های back-end و ورود اطلاعات جدید روی front end خود را Update می کنند. برای مثال اسناد فنی مربوط به یک هواپیما ممکن است به یک مکانیک امکان دهد به عنوان مرحله ای در یک فرایند زنجیره تدارکات روی لینکی کلیک کند تا قطعات را سفارش دهد ضمن اینکه هنگامی که قطعات جدید نصب شوند سند خود را Update می نماید. 
▪ تصاویر گرافیکی فعال
اینها که معمولا بخشی از اسناد فعال بزرگتر هستند از اجزای گرافیکی مبتنی بر XML از قبیل تصاویر گرافیکی برداری قابل اندازه گیری تشکیل می شوند که با متن و کاربر در ارتباطند. یک تصویر گرافیکی فعال ممکن است مونتاژ یک موتور را به تصویر بکشد و به کاربر امکان دهد تا درون ساختار به حرکت درآید. ضمن اینکه وقتی سند بزرگتر تغییر می کند خود را Update می کند.

موضوعات مرتبط: سیستم.بهره وری.حساسیت.ردیابی.اطلاعات.نگهداری.سالن ، جاسوسی صنعتی.سازمانی.سیستم.هشدار.نفوذ.کامپیوتر.امن ، سرقت اطلاعات.امنیت.کنترل اطلاعات.مدیریت.نگهداری ، کنترل صنعتی.ویروس.شناسایی.ip.سرور.کنترل اتصال. 
برچسب‌ها: اسناد وجلوگیری از خرابکاری , جاسوسی , خسارت و دزدی , ذخائر , مسئولیت 

راه های افزایش امنیت کامپیوتر و جلوگیری از هک شدن

می خواهم درباره اینکه چگونه امنیت کامپیوتر خود را بالا ببرید تا از هک شدن شما جلوگیری شود صحبت کنم. 

۱) اولین حقه ای که افراد به سراغ آن می روند روش مهندسی اجتماعی است که کوین میتنیک هکر سابق مشهور جهان در این زمینه تخصص زیادی داشت و در این مورد کتابی نوشته است .روش مهندسی اجتماعی یکی از روشهای سخت و آسان است که اگر شما خودتون اطلاعاتتان را کمی بالا ببرید این روش حتی برای شخص هکر نیز دشوار خواهد شد.

۲) تا جایی که ممکن است در انتخاب پسوردها دقت کافی به خرج دهید زیرا بعضی افراد شماره تلفن ، ش ش ، ت ت و … را برای پسورد خود انتخاب می کنند زیرا به قول خودشان پسوردها را زود فراموش می کنند . همیشه از کلیدهای Alt و Space و … با طول زیاد انتخاب کنید ابن روش فقط هک شدن شما را کاهش می دهد.

۳) یکی از روشهایی که افراد هنوز از آن استفاده می کنند دزدیدن پسورد از روی حرکت دستهای شماست هنگامی که پسوردتان را وارد می کنید مراقب چشمهای اطرافتان باشید و یا بدون رودربایستی از صاحبان چشمها بخواهید که جایشان را تغییر دهند.

۴) افراد حرفه ای همچنین رو به سرقت Cookie آورده اند این کلوچه های خوشمزه اطلاعات حیاتی را نگه می دارند البته به صورت کد ولی با کمی تکاپو میتوان آن را از حالت کد شده در آورد تا اطلاعات مفیدی به فرد بدهد.

۵) سعی کنید تا جایی که امکان دارد پسوردهایتان را ذخیره نکنید از جمله پسوردهای یاهو و…

۶) هنگام وارد شدن به ایمیل و یاهو مسنجر تیک کنار گزینه My ID… Rememher را بردارید و حتما هنگام خارج شدن Logout کنید تا از سرور یاهو خارج شوید .همچنین بعد از Logout کردن یک یوزر و پسورد الکی وارد کنید زیرا از ریجستری می شود ای دی و پسورد شخص قبل را آشکار کرد.

۷) هنگامی که می خواهید وارد Mail Box خود شوید بعد از وارد کردن یوزر نیم و پسورد روی لینک Secure در پایین Sign in کلیک کنید با اینکار اطلاعات شما به صورت رمز شده به سرور یاهو فرستاده می شود واگر کسی از Sniffing در بین انتقال اطلاعات استفاده کند نمی تواند اطلاعات شما را به سرقت برد.

۸) تروجان ها یکی از روشهای متداول هک بین کاربران است هرگز از شخصی در اتاق های چت عکس یا فایل دریافت نکنید اگر کسی خواست عکسش را برایتان بفرستد به او بگویید که عکسش را در پروفایلش بگذارد.

۹) هنگام دانلود کردن برنامه ها سعی کنید از سایت های معتبر، برنامه هایتان را دانلود کنید و اگر هم ممکن نبود حتما از سایت موردنظر اطمینان پیدا کنید و بعد از دانلود فایل ها را ویروس یابی کنید .

۱۰) همچنین مراقب ویروس وکردجان باشید چرا که بعضی سایتها آلوده به این ویروس هستند و بدون اطلاع فرد وارد کامپیوتر وی می شوند.

۱۱) اگر نیازی به اطلاعات History ندارید هر از چند گاهی آن را پاک کنید مخصوصا موقعی که در کافی نت و یا خانهء دوستتان هستید.

۱۲) کیلاگر برنامه های جاسوسی هستند که می توانند اطلاعات شما را ضبط و ثبت کنند و بیشتر آنها این قابلیت را دارند که اطلاعات ثبت شده را هر چند روز یکبار به ایمیل شخص بفرستند .از نصب کیلا گرها نمی توان به طور ۱۰۰درصد آگاه شد پس حتما مواظب خود باشید . مثلا دوست شما روی سیستم خودش ممکن است کیلاگر نصب کند و اگر شما هم امنیت را رعایت نکنید شخص میتواند بدون هیچ گونه زحمتی به خود اطلاعات شما را به سرقت ببرد در ضمن ویروس یاب ها هم کاری به کیلاگرها ندارند .

۱۳) هرگز برای اطلاعات مهم خود از کامپیوترهای عمومی استفاده نکنید . بعضی از افراد همین که اینترنت رایگان در جایی پیدا می کنند بدون هیچ گونه درنگی شروع به وارد کردن اطلاعات خود می کنند.

۱۴) در انتخاب کافی نت ها دقت کافی به خرج دهید ممکن است با یک اشتباه اطلاعاتتان به سرقت رود.

۱۵) از یک ویروس یاب update شده استفاده کنید اگر ویروس یاب شما به روز نباشد شاید ضربهء جبران ناپذیری بخورید.

۱۶) حتما از یک فایروال در سیستم خود استفاده کنید ویروس یاب Zone Alarm وBit Defendr فایروال های خوبی هستند.

۱۷) ویندوز خود رو همیشه به روز کنید و سرویس پک های آن را میتوان از سایت مایکروسافت دانلود کنید

۱۸) برنامه های خود رو همیشه update کنید مخصوصا برنامه هایی که زیاد با اینترنت سرو کار دارند.

۱۹) پورت های سیستم خود را چک کنید که یه موقع پورت تورجانی و …. روی سیسیتم شما باز نباشد با دستور netstat و سوئیچ های مختلف آن

۲۰) همیشه Task Maneger را نگاه کنید تا اگر برنامه مشکوکی را دیدید آن را از حافظه خارج کنید.

۲۱) بیشتر حملات امروزه از طریق مرورگرهای وب هست و IE خود رو همیشه به روز نگه دارید و تاجایی که ممکن است از مرورگرهای دیگری مثل opera استفاده کنید که هم کمتر باگ دارند و هم سرعت زیادی نسبت به رقیب خود IE دارند.

۲۲) از یک Trojan Remover آپدیت شده استفاده کنید

۲۳) امن ترین ابزارها نمیتوانند جای خود شخص رو بگیرند همان طور که اسکنرها هک نمکنند پس ابزارها زیاد نمیتوانند ما رو هک کنند این ماییم که با دست خودمان، خودمان رو هک میکنیم.

۲۴) اگر کسی میخواست از سیستم شما استفاده کند حتما یوزر Guest رو فعال کنید تا دوست شما از این یوزر استفاده کند.

۲۵) در هنگام وارد کردن یوزر نیم و پسورد خود در یاهو مسنجر از روش کپی و پیست و یا از صفحه کلیدمجازی ویندوز استفاده کنید با این ترتیب درصد هک شدن شما کاهش پیدا میکند.

۲۶) هنگام ثبت نام کردن در سایتهایی مثل یاهو و …. سوالی مبنی بر این که اگر روزی پسورد خود رو فراموش کردید و یا تاریخ تولد را از شما سوال میکند این مشخصات و به دقت به خاطر بسپارید تا در موقع ضروری بتوانید از آنها استفاده کنید.

۲۷) ایمیلهایی که حاوی پسورد و یوزرنیم شما در سایتهای متفاوت هست (هنگام ریجستر کردن معمولا بعضی از سایتها برای شما میفرستند) را حتما پاک کنید اگر شما شما این کار رو نکنید اگر یه روزی ID شما هک شود هکر با یک تیر دو نشون رو میزند.

۲۸) هنگامی که در محل کار یا خانه هستید و اطلاعات مهمی روی صفحه مانیتورتون هست کامپیوترتان رو ترک نکنید ابتدا از تمام برنامه ها Logout کنید و خارج شوید زیرا ممکن است شخصی در همین حین اطلاعات مهم شما رو به سرقت ببرد.