دستورالعمل اقدامات پیشگیرانه از نشت اطلاعات سازمان ها منتشر شد - وبلاگ پوشه

به گزارش وبلاگ پوشه، هفته گذشته فعالان امنیت سایبری از افشای پایگاه اطلاعات هویتی کاربران برخی سازمان ها و شرکت های دولتی و خصوصی خبر دادند که این اطلاعات در فضای مجازی در حال خرید و فروش است. در همین حال اواسط فروردین ماه نیز نشت اطلاعات شناسنامه ای 80 میلیون کاربر ایرانی از طریق سرورهای سازمان ثبت احوال و وزارت بهداشت، افشای بانک اطلاعاتی حاوی اطلاعات شمار زیادی از کاربران ایرانی تلگرام و شماری از کاربران یکی از بازارهای ایرانی نرم افزارهای آیفون، خبرساز شده بود.

در این راستا مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای گفت: در هفته های اخیر، موارد متعددی از نشت اطلاعات مختلف از پایگاه های داده شرکت ها و سازمان های دولتی و خصوصی در فضای مجازی منتشر شد. این موارد در کنار سایر نمونه هایی که به طور خصوصی و مسئولانه به این مرکز گزارش می شوند و یا در رصدهای مداوم کارشناسان مرکز ماهر شناسایی می شوند، عمدتا متاثر از فهرست مشترکی از خطاها و ضعف های امنیتی در پیاده سازی و تنظیمات است.

این ضعف ها باعث می شوند در برخی موارد دسترسی به داده های سازمان ها و کسب و کارها حتی نیاز به دانش پایه ای هک و نفوذ نداشته باشد و با یکسری بررسی ها و جستجوهای ساده داده ها افشا می شوند.

بیانیه مرکز ماهر درباره افشای داده های شهروندان

مرکز ماهر پیرو پرسش هایی که در خصوص اخبار مربوط به افشاء داده های شهروندان مطرح شده با انتشار بیانیه ای به نکات زیر اشاره کرد:

- ارتقا هر سیستمی، از جمله امنیت و حفاظت از داده های شهروندان نیازمند دریافت بازخوردها و تصحیح آن سیستم است. همچنین مطالبه گری صحیح، نقطه آغازین بهبود و اصلاح هر سیستمی است.

- مطابق بند 5-1 نظام ملی مقابله با حوادث فضای مجازی کشور، مسئولیت پیشگیری و مقابله با حوادث فضای مجازی هر دستگاه، بر عهده بالاترین مقام آن دستگاه خواهد بود. به این ترتیب مسئولیت اصلی در پاسخ به سوالات امنیت بانک های داده و اطلاعات، در وهله اول بر عهده بالاترین مسئول دستگاه است.

- مرکز ماهر بر اساس چارچوب های قانونی و ماموریت های محوله، گزارش خود را در خصوص حوادث، صرفا برای مقامات مسئول ارسال می کند؛ هر چند پس از اتمام بحران این مرکز این حق را برای خود قائل است تا به تدوین گزارش هایی عمومی (با حفظ امنیت و حریم خصوصی داده ها) اقدام کند؛ تا به عنوان وظیفه ذاتی هر جزء از سیستم، با ارائه بازخوردهای مناسب گامی جهت ارتقاء و بهبود نظام حکمرانی داده بردارد.

- مرکز ماهر به این اصل اعتقاد دارد که مقابله با آن دسته از حوادث فضای مجازی کشور که منجر به افشاء داده های شهروندان می شود، باید به صورت متمرکز و کاملا تخصصی، صرفا به یک مرکز مستقل دولتی واگذار شود تا امکان بررسی مستقل، بدون جانبداری، همراه با واکنش سریع و همچنین ایجاد زمینه مناسب برای اطلاع رسانی به موقع و باکیفیت همراه با انباشت دانش امنیت داده برای حفظ منافع ملی فراهم آید.

- مرکز ماهر بر اساس وظایف ذاتی و قانونی خود موارد متعددی از این دست را همواره کشف و یا از افراد دلسوزی که به صورت مسئولانه و صادقانه اطلاع رسانی می کنند دریافت می کند. تمام این موارد پس از بررسی های فنی جهت راستی آزمایی و استخراج شواهد و راه چاره مقابله بر اساس چارچوب های قانونی به صورت محرمانه به صاحبان سرویس ها و داده ها اطلاع رسانی می شود و تلاش دارد تا در صورت نیاز برای مقابله با آن اقدام عملیاتی مناسب انجام دهد.

- دعوت همیشگی مرکز ماهر از تمام متخصصان و کارشناسان امنیت سایبری این است که در صورت مشاهده هرگونه افشاء غیرمجاز یا آسیب پذیری در سامانه های بومی آن را از طریق کانال های ارتباطی مرکز ماهر اطلاع رسانی کنند. طبیعتا اعلام عمومی یک داده افشا شده یا یک آسیب پذیری امنیتی از طریق رسانه و شبکه های اجتماعی بدون اطلاع قبلی به خود قربانی یا به نهادهای مسئول مانند مرکز ماهر یا مرکز افتای ریاست جمهوری، حرکت سازنده و همراه با مسئولیت اجتماعی محسوب نمی شود.

- به سازمان ها و دستگاه های مختلف یادآور می شود که سکوت، پاسخ گویی مناسب نیست؛ بلکه تنها سرمایه اجتماعی را کاهش می دهد؛ هرچند شهروندان و مطالبه گران از مرجع پاسخ گویی آگاهی نداشته باشند.

دستورالعمل اقدامات پیشگیرانه از نشت اطلاعات در فضای مجازی

در همین حال این مرکز با انتشار دستورالعمل اقدامات پایه ای جهت پیشگیری از نشت اطلاعات سازمان ها و کسب و کارها در فضای مجازی و ارتقای سطح امنیت و حفاظت از حریم خصوصی سامانه ها، به نکات زیر تاکید کرده است:

- عدم اتصال مستقیم پایگاه های داده به صورت مستقیم به شبکه اینترنت

تا حد امکان لازم است دسترسی مستقیم به پایگاه های داده از طریق اینترنت برقرار نشود.

یکی از مواردی که باعث این اشتباه بزرگ می شود روال پشتیبانی شرکت های ارائه دهنده راه چارههای نرم افزاری کاربردی است که برای انجام پشتیبانی 24*7، مشتریان خود را الزام به برقراری دسترسی مستقیم راه دور از بستر اینترنت به بانک های اطلاعاتی می کنند. در صورت اجبار شرکت ها و سازمان ها به این مساله، این دسترسی حتما باید روی یک بستر امن و با استفاده از VPN ایجاد شود.

- دقت در راه اندازی پایگاه های داده به ویژه انواع پایگاه های داده NoSQL و اطمینان از عدم وجود دسترسی حفاظت نشده

لازم به توجه است بسیاری از موارد نشت اطلاعات مربوط به پایگاه های داده ای است که به طور موقت و جهت انجام فعالیت های موردی و کوتاه مدت راه اندازی شده است. لازم است اهمیت و حساسیت این نوع پایگاه های داده هم تراز پایگاه های اصلی درنظر گرفته شود.

- بررسی و غیبرطرفال سازی قابلیت Directory Listing غیرضروری در سرویس دهنده های وب جهت جلوگیری از دسترسی به فایل ها

دقت در شرایط دسترسی به دایرکتوری های محل بارگذاری داده ها و اسناد توسط کاربران وبسایت نظیر دایرکتوری های uploads و temp و ... .علاوه بر لزوم کنترل دسترسی ها و غیبرطرفالسازی قابلیت directory listing، لازم است تا حد امکان این اسناد به محل دیگری منتقل شده و از دسترس خارج شوند.

- سرویس دهنده رایج و پرکاربرد Microsoft Exchange و Microsoft Sharepoint و Zimbra با توجه به انتشار عمومی آسیب پذیری های حیاتی و اکسپلویت های مربوطه طی یکسال گذشته مورد سواستفاده جدی قرار گرفته اند. در صورت استفاده از این سرویس دهنده ها لازم است نسبت به بروز بودن آنها و نصب تمام وصله های امنیتی منتشر شده اطمینان حاصل شود.

- از عدم دسترسی مستقیم از طریق اینترنت به هرگونه سرویس مدیریتی نظیر RDP، iLO، کنسول مدیریت vCenter و ESX، کنسول مدیریت فایروال و ... اطمینان حاصل کنید.

این دسترسی ها لازم است از طریق سرویس VPN اختصاصی و یا بر اساس آدرس IP مبدا مجاز محدود شوند.

- از نگهداری هرگونه نسخه پشتیبان از سیستم ها روی سرور وب خودداری کنید

- جهت اطمینان از عدم وجود دسترسی به سرویس ها و سامانه ها به صورت ناخواسته، نسبت به اسکن ساده سرویس های فعال روی بلوک های IP سازمان خود به صورت مداوم اقدام کرده و سرویس های مشاهده شده غیرضروری را از دسترسی خارج کنید

این موارد به هیچ عنوان جایگزین فرآیندهای کامل امن سازی و ارزیابی امنیتی نبوده و صرفا برطرف کننده شماری از ضعف های جدی مشاهده شده هستند.

مرکز ماهر اظهار امیدواری کرده است که صاحبان بانک های اطلاعاتی که داده ها و اطلاعات شخصی مردم به صورت امانت در اختیار آنها است، نه تنها نسبت به حفظ این امانت و حریم خصوصی شهروندان، هم بر اساس قانون و هم بر اساس مسئولیت اجتماعی، حساسیت لازم را داشته باشند و با پاسخ گویی مناسب بتوانند امنیت روانی عمومی را نیز فراهم آورند.