|
1- تهديدات امنيتي
تهديدات امنيتي ويژگيهاي مهم اطلاعات، از جمله محرمانه بودن (Confidentiality)، صحت و درستي (Integrity) و در دسترس بودن (Availability) را مخدوش مي كند. انواع مختلف اين تهديدات عبارتند از:
 قطع – Interruption
در اين نوع حملات، هدف اصلي ممانعت از دستيابي سازمان گيرنده به اطلاعات براي مختل كردن و يا به تعويق انداختن تصميم گيري در سازمان گيرنده است.
دسترسي غيرمجاز – Interception
دراين نوع حملات، نفوذ در شبکه و دستيابی به آدرس های پست الکترونيکی، اطلاعات ذخيره شده در بانک های اطلاعاتی و ساير اطلاعات حساس سازماني هدف اصلی می باشد، كه توانايي تحليل فرآيندهاي سازماني، اهداف و برنامه هاي تحقق اهداف را به افراد برون سازماني مي دهد.
دستكاري دادهها – Modification
دسته ديگري از تهديدات، به دستكاري دادههاي درون سيستمهاي رايانهاي مربوط ميشود, اين دستكاري ميتواند عامل انحراف اهداف سازماني شده و حتي آنها را در جهت تحقق اهداف رقبا و يا ديگر سازمانها سوق دهد.
ايجاد پيغام - Fabrication
در صورت ايجاد پيغام، كاربران درمحيط هاي مختلف نمي توانند از هويت فرستنده يا توليدكننده اطلاعات مطمئن باشند. اين امر امكان سوء استفاده از طرف هاي تجاري ، ايجاد سازمان در سايه و... را فراهم مي كند.
2- سرويس هاي امنيتي مورد نياز
همانطور كه ذكر گرديد؛ هدف از ارائه سرویسهای امنیتی، حفاظت از اطلاعات داخلی شركتها و سازمانها در مقابل تهديدات امنيتي است. اين سرويسها عبارتنداز:
محرمانگي تبادل اطلاعات(رمزنگاري خطوط ارتباطي)
مراقبت از داده ها به نحوي كه براي افرادغيرمجاز قابل دسترسي و استفاده نباشد. در اين صورت مشكل دسترسي غيرمجاز رفع خواهد شد.
احراز هويت(تصديق هويت)
روشي كه كاربر بتواند از هويت توليدكننده و فرستنده اطلاعات مطمئن گردد. بدين ترتيب مساله ايجاد پيغام حل شده و كاربر مي تواند پيغام هايي را كه توسط اشخاص ثالث توليد و ارسال شده اند، شناسايي نمايد.
جامعيت
اين سرويس مي تواند كاربر را مطمئن سازد كه اطلاعات توسط اشخاص غيرمجاز دستكاري نشده و يكپارچگي داده ها از بين نرفته است.
انكارناپذيري
فرض كنيد كه يك نامه الكترونيكي كه محتواي آن شامل يك سفارش و قرارداد از سمت طرف تجاري شماست، به صندوق پستي الكترونيكي تان ارسال شده است وشما با استفاده از يك مكانيزم خاص از ارسال نامه توسط شخص مورد نظر و همچنين صحت محتويات نامه مطمئن شده ايد. درصورتي كه فرستنده بنا به دلايلي تعهدات خود را انجام ندهد و يا ارسال و توليد داده را انكار نمايد اين مكانيزم مي تواند مشكل را حل نمايد.
3- راه كار امنيتي در سازمان الكترونيك بريد
سرويس هاي مذكور با استفاده از مكانيزم هاي زير در سازمان الكترونيك بريد پياده سازي شده است:
زيرساخت
شركت بريد سامانه نوين، اقدام به پياده سازي زير ساخت كليد عمومي(PKI) در نگارش 2.3 سيستم سازمان الكترونيك نموده است. بدين منظور براي سازماندهي و مديريت كليدهاي كاربران با همكاري شركت سامانه هاي امن نرم افزار صدور گواهي ديجيتال پياده سازي شده است. اين نرم افزار ضمن مديريت كليد عمومي و خصوصي كاربران و درج آن در گواهي ديجيتال، زوج كليد هر كاربر را در يك توكن (Token) سخت افزاري (غير قابل كپي) ثبت مي نمايد. توكن هاي مذكور از طريق پورت استاندارد USB به رايانه كاربر متصل شده و استاندارد PKCS11 را پشتيباني مي نمايند.
احراز هويت
كاربراني كه براي آنها گواهي ديجيتال صادر شده است، براي ورود به سيستم و احراز هويت نياز به استفاده از توكن اختصاصي خود و كلمه عبور براساس پروتكل چالش/پاسخ دارند. در اين سرويس به نحوي عمل مي شود كه حتي در صورت افشاء آنچه كاربر مي داند(رمز عبور) امكان دسترسي نفوذگر به سيستم عملي نباشد. براي اين كار روش احراز هويت دوعاملي(Two Factor Authentication) استفاده مي شود كه علاوه بر آنچه كاربر مي داند نيازمند آنچه كاربر دارد نيز مي باشد، ضمن اينكه اين امكان در سيستم قرار داده شده است تا استفاده كاربران را محدود به يك يا چند رايانه خاص نمايد.
كنترل دسترسي
بعد از احراز اصالت كاربران مجاز، بايستي سطوح دسترسي هر كاربر به اطلاعات موجود در سيستم تعيين و اعمال شود به نحوي كه هر كاربر بر اساس مجوزهايي كه دارد بتواند به اطلاعات و اشياء تعريف شده دسترسي پيدا كند. تعيين حدود اختيارات كاربران و كنترل دسترسي آنها با استفاده از زير سيستم مديريت سازمان قابل انجام است. بخشي از سياست هاي كلي اجرايي و امنيتي را نيز مي توان در اين زير سيستم اعمال نمود.
رديابي وقايع
وجود روشهايي براي ثبت، نگداري و مديريت رخدادها در سيستم هاي اتوماسيون اداري از اهميت زيادي برخوردار است از اين رو بايستي مكانيزمهاي ثبت و مديريت وقايع در سطوح مختلف كاربرد، سيستم عامل، پايگاه داده و زير سيستم امنيتي وجود داشته باشد. براي نشان دادن اينكه بر روي چه داده اي، در چه زماني، كدام كاربر چه عملياتي را انجام داده، در سيستم رويدادنگاري خودكار گنجانده شده است. اين مكانيزم هيچ محافظتي در قبال حملات امنيتي انجام نداده و تنها براي آناليز تخلفات انجام شده بكار مي روند.
رمزنگاري
براي اطمينان از محرمانگي اطلاعات و عدم شنود، انتقال داده ها بر روي شبكه ارتباطي بين ايستگاه هاي كاري كاربران و سرويس دهنده مركزي بصورت رمز شده انجام مي گيرد.
امضاء ديجيتال
در برخي مواقع لازم است كه كاربر گيرنده اطلاعات، از هويت فرستنده اطلاعات اطمينان حاصل نمايد. بدين منظور در بخش ارسال پيام و ايجاد پيش نويس بنابراختيار كاربر امكان امضاء الكترونيكي تعبيه شده است. لازم به يادآوري است كه امضاء الكترونيكي فراتر از درج تصوير امضاء كاربر است و براي هر مرحله از ارسال پيام يا پيش نويس قابل استفاده است.
بازگشت
|