دانلود مقاله فناوری‌های امنیت اطلاعات: با یک دیدگاه طبقه‌بندی

مهم‌ترین مزیت و رسالت شبکه‌های رایانه‌ای، اشتراک منابع سخت‌افزاری و نرم‌افزاری و دستیابی سریع و آسان به اطلاعات است.

کنترل دستیابی و نحوه استفاده از منابعی که به اشتراک گذاشته شده‌اند، از مهم‌ترین اهداف یک نظام امنیتی در شبکه است.

با گسترش شبکه‌های رایانه‌ای (خصوصاً اینترنت)، نگرش نسبت به امنیت اطلاعات و سایر منابع به اشتراک گذاشته شده، وارد مرحله جدیدی گردیده است.

در این راستا لازم است که هر سازمان برای حفاظت از اطلاعات ارزشمند، به یک راهبرد خاص پایبند باشد و براساس آن، نظام امنیتی را اجرا نماید.

نبود نظام مناسب امنیتی، بعضاً پیامدهای منفی و دور از انتظاری را به دنبال دارد.

توفیق در ایمن‌سازی اطلاعات، منوط به حفاظت از اطلاعات و نظام‌های اطلاعاتی در مقابل حملات است؛ بدین منظور از سرویس‌های امنیتی متعددی استفاده می‌گردد.

مقاله حاضر با توجه به این رویکرد به طبقه‌بندی فناوری‌های امنیت اطلاعات، براساس دو ویژگی خواهد پرداخت: مرحله خاصی از زمان که در هنگام تعامل فناوری با اطلاعات، عکس‌العمل لازم در برابر یک مشکل امنیتی، ممکن است کنشی یا واکنشی باشد، و سطوح پیاده‌سازی نظام‌های امنیتی در یک محیط رایانه‌ای.

اطلاعات در سازمان‌ها، مؤسسات پیشرفته و جوامع علمی، شاهرگ حیاتی محسوب می‌گردد.

دستیابی به اطلاعات و عرضه مناسب و سریع آن، همواره مورد توجه سازمان‌هایی است که اطلاعات در آن‌ها دارای نقش محوری و سرنوشت‌ساز است.

سازمان‌ها و مؤسسات باید یک زیرساخت مناسب اطلاعاتی برای خود ایجاد کنند و در جهت سازماندهی اطلاعات در سازمان خود حرکت نمایند.

اگر می‌خواهیم ارائه‌دهنده اطلاعات در عصر اطلاعات، و نه صرفاً مصرف‌کننده اطلاعات باشیم، باید در مراحل بعد، امکان استفاده از اطلاعات ذیربط را برای متقاضیان محلی و جهانی در سریع‌ترین زمان ممکن فراهم نماییم.
سرعت در تولید و عرضه اطلاعات ارزشمند، یکی از رموز موفقیت در سازمان‌ها، مؤسسات و جوامع علمی در عصر اطلاعات است.

پس از سازماندهی اطلاعات باید با بهره‌گیری از شبکه‌های رایانه‌ای، زمینه استفاده قانونمند و هدفمند از اطلاعات را برای دیگران فراهم کرد.

به موازات حرکت به سمت یک سازمان پیشرفته و مبتنی بر فناوری اطلاعات، باید تدابیر لازم در رابطه با حفاظت از اطلاعات نیز اندیشیده شود.

مهم‌ترین مزیت و رسالت شبکه‌های رایانه‌ای، اشتراک منابع سخت‌افزاری و نرم‌افزاری و دستیابی سریع و آسان به اطلاعات است.

با گسترش شبکه‌های رایانه‌ای خصوصاً اینترنت، نگرش به امنیت اطلاعات و دیگر منابع به اشتراک گذاشته شده، وارد مرحله جدیدی گردیده است.

در این راستا لازم است که هر سازمان برای حفاظت از اطلاعات ارزشمند، به یک راهبرد خاص پایبند باشد و براساس آن، نظام امنیتی را پیاده‌سازی و اجرا نماید.
نبود نظام مناسب امنیتی، ممکن است پیامدهای منفی و دور از انتظاری را به دنبال داشته باشد.

توفیق در ایمن‌سازی اطلاعات منوط به حفاظت از اطلاعات و نظام های اطلاعاتی در مقابل حملات است؛ بدین منظور از سرویس های امنیتی متعددی استفاده می‌شود.

سرویس‌های انتخابی باید پتانسیل لازم در خصوص ایجاد یک نظام حفاظتی مناسب، تشخیص بموقع حملات، و واکنش سریع را داشته باشند.

بنابراین می توان محور راهبردی انتخاب شده را بر سه مؤلفه حفاظت، تشخیص، و واکنش استوار نمود.

حفاظت مطمئن، تشخیص بموقع و واکنش مناسب، از جمله مواردی هستند که باید همواره در ایجاد یک نظام امنیتی رعایت کرد (مدیریت شبکه شرکت سخا روش، 1382).

خوشبختانه پژوهش‌های زیادی در زمینه امنیت رایانه و شبکه‌ها در رابطه با فناوری‌های امنیتی پیشگیرانه (کنشی) و نیز مواجهه با مشکلات امنیتی (واکنشی) صورت گرفته است.

مقاله حاضر در صدد بیان، تعدادی از فناوری‌های موجود در رابطه با امنیت اطلاعات با یک دیدگاه طبقه‌بندی است.
فناوری‌های امنیت اطلاعات: با یک دیدگاه طبقه‌بندیچکیده مهم‌ترین مزیت و رسالت شبکه‌های رایانه‌ای، اشتراک منابع سخت‌افزاری و نرم‌افزاری و دستیابی سریع و آسان به اطلاعات است.

مقدمه اطلاعات در سازمان‌ها، مؤسسات پیشرفته و جوامع علمی، شاهرگ حیاتی محسوب می‌گردد.

اگر می‌خواهیم ارائه‌دهنده اطلاعات در عصر اطلاعات، و نه صرفاً مصرف‌کننده اطلاعات باشیم، باید در مراحل بعد، امکان استفاده از اطلاعات ذیربط را برای متقاضیان محلی و جهانی در سریع‌ترین زمان ممکن فراهم نماییم.

سرعت در تولید و عرضه اطلاعات ارزشمند، یکی از رموز موفقیت در سازمان‌ها، مؤسسات و جوامع علمی در عصر اطلاعات است.

در این راستا لازم است که هر سازمان برای حفاظت از اطلاعات ارزشمند، به یک راهبرد خاص پایبند باشد و براساس آن، نظام امنیتی را پیاده‌سازی و اجرا نماید.

نبود نظام مناسب امنیتی، ممکن است پیامدهای منفی و دور از انتظاری را به دنبال داشته باشد.

خوشبختانه پژوهش‌های زیادی در زمینه امنیت رایانه و شبکه‌ها در رابطه با فناوری‌های امنیتی پیشگیرانه (کنشی) و نیز مواجهه با مشکلات امنیتی (واکنشی) صورت گرفته است.

مقاله حاضر در صدد بیان، تعدادی از فناوری‌های موجود در رابطه با امنیت اطلاعات با یک دیدگاه طبقه‌بندی است.

تعاریف: فناوری‌های امنیت اطلاعات «امنیت اطلاعات»( Information security) به حفاظت از اطلاعات (Maiwald & Sieglein، 2002) و به ‌حداقل‌رساندن خطر افشای اطلاعات در بخش های غیرمجاز اشاره دارد (King, Dalton, & Osmanoglu، 2001).

امنیت اطلاعات مجموعه‌ای از ابزارها برای جلوگیری از سرقت، حمله، جنایت، جاسوسی و خرابکاری (هاشمیان، 1379) و علم مطالعه روش‌های حفاظت از داده‌ها در رایانه‌ها و نظام‌های ارتباطی در برابر دسترسی و تغییرات غیرمجاز است (عبداللهی،‌ 1375).

با توجه به تعاریف ارائه شده، امنیت به مجموعه‌ای از تدابیر، روش‌ها و ابزارها برای جلوگیری از دسترسی و تغییرات غیرمجاز در نظام‌های رایانه‌ای و ارتباطی اطلاق می‌شود.

«فن آاوری» به کاربرد علم، خصوصاً برای اهداف صنعتی و تجاری (Lexico Publishing Group ، 2002) یا به دانش و روش‌های مورد استفاده برای تولید یک محصول گفته می‌شود.

بنابراین «فناوری امنیت اطلاعات» به بهره‌گیری مناسب از تمام فناوری‌های امنیتی پیشرفته برای حفاظت از تمام اطلاعات احتمالی روی اینترنت اشاره دارد (INFOSEC، 2002).

طبقه‌بندی(INFOSEC) طبقه‌بندی، دسته‌بندی اشیا است در یک فهرست سازمان یافته یا در قالب یا روابط سلسله‌مراتبی که روابط طبیعی بین اشیا را نشان می‌دهد (Conway & Sliger، 2002).

طبقه‌بندی به عنوان یک فرایند، عبارت است از ایجاد نظامی منطقی از رتبه‌ها که در آن، هر رتبه از تعدادی اشیا تشکیل شده، به گونه‌ای که در صورت نیاز می‌توان به آسانی به اجزای آن دسترسی پیدا کرد.

طبقه‌ بندی ارائه‌ شده در مقاله حاضر از فناوری‌های امنیت اطلاعات، در وهله اول براساس دو ویژگی پایه‌گذاری شده: 1.

براساس مرحله خاصی از زمان: بدین معنا که در زمان تعامل فن آوریفناوری با اطلاعات، عکس‌ العمل لازم در برابر یک مشکل امنیتی می‌ تواند کنشگرایانه (کنشی)(Proactive) یا واکنشی (Reactive) باشد (Venter & Eloff، 2003).

غرض از «کنشگرایانه»، انجام عملیات پیشگیرانه قبل از وقوع یک مشکل خاص امنیتی است.

در چنین مواردی به موضوعاتی اشاره می گردد که ما را در پیشگیری از وقوع یک مشکل کمک خواهد کرد ( چه کار باید انجام دهیم تا ...؟).

غرض از «واکنشی» انجام عکس‌العمل لازم پس از وقوع یک مشکل خاص امنیتی است.

در چنین مواردی به موضوعاتی اشاره می‌گردد که ما را در مقابله با یک مشکل پس از وقوع آن، کمک خواهند کرد (اکنون که ...

چه کار باید انجام بدهیم؟).

2.

براساس سطوح پیاده‌سازی نظام‌ های امنیتی در یک محیط رایانه‌ای: فناوری امنیت اطلاعات را، خواه از نوع کنشی باشد یا واکنشی، می‌توان در سه سطح – سطح شبکه(Network Level )، سطح میزبان(Host Level)، سطح برنامه کاربردی(Application Level)- پیاده‌سازی کرد.

(Venter & Eloff، 2003).

بدین منظور می‌توان نظام امنیتی را در سطح شبکه و خدمات ارائه شده آن، در سطح برنامه کاربردی خاص، یا در محیطی که شرایط لازم برای اجرای یک برنامه را فراهم می نماید (سطح میزبان) پیاده کرد.

شکل 1 فناوری‌های امنیت اطلاعات را براساس دو ویژگی یاد شده ترسیم می‌نماید.

توصیف مختصری از هریک از فن آوریفناوری ها در بخش‌های بعد ارائه خواهد شد.

شکل 1.

فناوری‌های امنیت اطلاعات با دیدگاه طبقه‌بندی (اقتباس از Venter &Eloff ، 2003) الف.

فناوری‌های امنیت اطلاعات کنشگرایانه 1.

رمزنگاری (Cryptography) به بیان ساده، رمزنگاری به معنای «نوشتن پنهان»، و علم حفاظت، اعتمادپذیری و تأمین تمامیت داده‌ها است (McClure, Scambray, & Kurtz، 2002).

این علم شامل اعمال رمزگذاری، رمزگشایی و تحلیل رمز است.

در اصطلاحات رمزنگاری، پیام را «متن آشکار»(plaintext or cleartext)می‌نامند.

کدگذاری مضامین را به شیوه‌ای که آن‌ها را از دید بیگانگان پنهان سازد، «رمزگذاری»(encryption)یا «سِرگذاری» ( encipher)می‌نامند* .

پیام رمزگذاری شده را «متن رمزی»(ciphertext)، و فرایند بازیابی متن آشکار از متن رمزی را رمزگشایی( decryption)یا «سِّرگشایی»(decipher)می نامند.

الگوریتم‌هایی که امروزه در رمزگذاری و رمزگشایی داده‌ها به کار می‌روند از دو روش بنیادی استفاده می کنند: الگوریتم‌های متقارن، و الگوریتم‌های نامتقارن یا کلید عمومی.

تفاوت آن‌ها در این است که الگوریتم‌های متقارن از کلید یکسانی برای رمزگذاری و رمزگشایی استفاده می‌کنند، یا این که کلید رمزگشایی به سادگی از کلید رمزگذاری استخراج می‌شود (مثل: DES(Data Encryption Standard)، CCEP(The Commercial Comsec Endoremment Program)، IDEA(International Data Encryption Algoritm)، FEAL ).

در حالی که الگوریتم‌های نامتقارن از کلیدهای متفاوتی برای رمزگذاری و رمزگشایی استفاده می‌کنند و امکان استخراج کلید رمزگشایی از کلید رمزگذاری وجود ندارد.

همچنین کلید رمزگذاری را کلید عمومی، و کلید رمزگشایی را کلید خصوصی یا کلید محرمانه می‌نامند (مثل: RSA ، LUC).

تجزیه و تحلیل رمز(cryptanalysis)، هنر شکستن رمزها و به عبارت دیگر، بازیابی متن آشکار بدون داشتن کلید مناسب است؛ افرادی که عملیات رمزنگاری را انجام می‌دهند، رمزنگار(cryptographer)نامیده می‌شوند و افرادی که در تجزیه و تحلیل رمز فعالیت دارند رمزکاو(cryptanalyst)هستند.

رمزنگاری با تمام جوانب پیام‌رسانی امن، تعیین اعتبار، امضاهای رقومی، پول الکترونیکی و نرم افزارهای کاربردی دیگر ارتباط دارد.

رمزشناسی(cryptology)شاخه‌ای از ریاضیات است که پایه‌های ریاضی مورد استفاده در شیوه‌های رمزنگاری را مطالعه می‌کند ("آشنایی با ..."، 1383).

رمزنگاری یک فناوری امنیت اطلاعات از نوع کنشگرایانه است، زیرا اطلاعات را قبل از آن که یک تهدید بالقوه بتواند اعمال خرابکارانه انجام دهد، از طریق رمزگذاری داده‌ها ایمن می‌سازند.

به علاوه، رمزنگاری در سطوح متنوع، به طوری که در طبقه‌بندی شکل 1 بیان شد، در سطوح برنامه‌های کاربردی و در سطوح شبکه قابل پیاده‌سازی است.

امضاهای رقومی (digital signatures) امضاهای رقومی، معادل «امضای دست‌نوشت» و مبتنی بر همان هدف هستند: نشانه منحصر به فرد یک شخص، با یک بدنه متنی (Comer، 1999، ص.

191).

به این ترتیب، امضای رقومی مانند امضای دست‌نوشت، نباید قابل جعل باشد.

این فناوری که با استفاده از الگوریتم رمزنگاری ایجاد می‌شود، تصدیق رمزگذاری‌شده‌ای است که معمولاً به یک پیام پست الکترونیکی یا یک گواهی‌نامه ضمیمه می‌شود تا هویت واقعی تولیدکننده پیام را تأیید کند.

امضای رقومی یک فناوری امنیت اطلاعات از نوع کنشگرایانه است، زیرا قبل از وقوع هر تهدیدی، می‌توان با استفاده از آن فرستنده اصلی پیام و صاحب امضا را شناسایی کرد.

به علاوه این فناوری در سطح یک برنامه کاربردی قابل پیاده‌سازی است.

در این سطح، امضای رقومی در یک برنامه کاربردی خاص و قبل از آن که به یک گیرنده خاص فرستاده شود، ایجاد می‌گردد.

3.

گواهی‌های رقومی(Digital certificates) گواهی‌های رقومی به حل مسئله «اطمینان» در اینترنت کمک می‌کنند.

گواهی‌های رقومی متعلق به «سومین دسته اطمینان»(trusted third parties)هستند و همچنین به «متصدی‌های گواهی» اشاره دارند (Tiwana، 1999).

متصدی‌های گواهی، مؤسسات تجاری هستند که هویت افراد یا سازمان‌ها را در وب تأیید، و تأییدیه‌هایی مبنی بر درستی این هویت‌ها صادر می‌کنند.

برای به دست‌آوردن یک گواهی، ممکن است از فرد خواسته شود که یک کارت شناسایی (مانند کارت رانندگی) را نشان دهد.

بنابراین گواهی‌های رقومی، یک شبکه امن در میان کاربران وب، و مکانی برای تأیید صحت و جامعیت یک فایل یا برنامه الکترونیکی ایجاد می‌کنند.

این گواهی‌ها حاوی نام فرد، شماره سریال، تاریخ انقضا، یک نسخه از گواهی نگاهدارنده کلید عمومی (که برای رمزگذاری پیام‌ها و امضاهای رقومی به کار می‌رود) می‌باشند** (Encyclopedia and learning center، 2004).

گواهی‌های رقومی، فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا از این فناوری برای توزیع کلید عمومی از یک گروه ارتباطی به گروه ارتباطی دیگر استفاده می‌شود.

همچنین این روش، قبل از آن که هر ارتباطی بین گروه‌ها اتفاق بیفتد، اطمینان ایجاد می‌کند.

این فناوری در سطح برنامه کاربردی قابل پیاده‌سازی است؛ مثلاً قبل از آغاز هر ارتباط مرورگر وب، تأیید می‌کند که آن گروه خاص قابل اطمینان می‌باشد.

4.

شبکه‌های مجازی خصوصی( virtual private networks) فناوری شبکه‌های مجازی خصوصی، عبور و مرور شبکه را رمزگذاری می‌کند.

بنابراین این فناوری برای تضمین صحت و امنیت داده‌ها، به رمزنگاری وابسته است.

این شبکه بسیار امن، برای انتقال داده‌های حساس (از جمله اطلاعات تجاری الکترونیکی) از اینترنت به عنوان رسانه انتقال بهره می‌گیرد.