اولین آزمون جامع لایتک سال 1395 ،23 اردیبهشت ماه برگزار خواهد شد.
علاقه مندان به شرکت درآزمون می توانند با مراجعه به سایت لایتک در آزمون ثبت نام نمایند.
لینک اعلام پروژه های آزمون وب مقدماتی ، وب پیشرفته، برنامه نویسی اندروید بر روی سایت لایتک قرار گرفت:
http://laitec.ir/posts/show/GEjbkLVdKO/%D8%A7%D8%B9%D9%84%D8%A7%D9%85-%D9%85%D9%88%D8%B6%D9%88%D8%B9%D8%A7%D8%AA-%D9%BE%D8%B1%D9%88%DA%98%D9%87-%D8%A8%D8%B1%D8%A7%DB%8C-%D8%A2%D8%B2%D9%85%D9%88%D9%86
https://telegram.me/laitecparavid

Top 10 tenets of a System Administrator

#آموزش
امن سازی Linux در سطح Server

فصل اول
مروری بر مباحث امنیتی (Overview of Security Topics)

امنیت کامپیوتری چیست؟

امنیت کامپیوتری یک اصطلاح کلی است که گسترده وسیعی از پردازش اطلاعات را پوشش می دهد.
صنایعی که به شبکه ها و سیستم های کامپیوتری برای انجام امور روزانه کسب و کار خود وابسته اند و به اطلاعات حیاتی خود روزانه دسترسی پیدا می کنند، داده های خود بخش مهمی از دارایی های خود محسوب می کنند. چند اصطلح و معیار در فرهنگ واژگان کسب و کار روزانه ما رایج شده است که از جمله آنها کل هزینه مالکیت (TCO/Total Cost of Ownership)، بازگشت سرمایه (ROI/Return Of Investment)و کیفیت خدمات (QoS/Quality of Service) است. با استفاده از این معیارها، صنایع می توانید جنبه های مختلفی مانند تمامیت داده ها(Data Integrity) و دسترس پذیری بالا (HA/High Availabitliy) را به عنوان بخشی از هزینه های برنامه ریزی و مدیریت فرآیند خود محاسبه کند.

@informationsec
اصول امنیت

امنیت اطلاعات بر اساس سه اصل محرمانگی(Confidentiality)، تمامیت(Integrity) و دسترس‌پذیری(Availability) داده‌ها استوار است که به آن به اختصار CIA ‌گویند.
• محرمانگی(Confidentiality): محرمانگی یعنی جلوگیری از افشای اطلاعات به افراد غیرمجاز.
• یکپارچگی (Integrity): یکپارچگی یعنی جلوگیری از تغییر داده‌ها به طور غیرمجاز و تشخیص تغییر در صورت دست‌کاری غیرمجاز اطلاعات.
• دسترس‌پذیری (Availability): اطلاعات باید زمانی که مورد نیاز توسط افراد مجاز هستند در دسترس باشند.


کنترل های امنیتی(Security Controls)

امنیت کامپیوتر اغلب با سه دسته اصلی که معمولا به عنوان کنترل شناخته می شود، تقسیم می گردد:

• فیزیکی(Physical)
• فنی(Technical)
• اداری و مدیریتی(Administrative)

کنترل های امنیتی ابزارهای نیل به اهداف مورد نظر در امنیت اطلاعات است.
این سه دسته اهداف اصلی اجرای امنیت مناسب را تعریف می کند. این کنترلها زیر مجموعه هایی دارند که جزئیات بیشتری در مورد آنها و نحوه پیاده سازی هریک را تشریح می کند.
@informationsec
کنترل های فیزیکی(Physical Controls)

کنترل فیزیکی پیاده سازی سنجه های امنیتی در یک ساختار تعریف شده است که برای جلوگیری و یا ممانعت از دسترسی غیر مجاز به منابع حساس می باشد. نمونه هایی از کنترل های فیزیکی عبارتند از:
• Closed-circuit surveillance cameras
• Motion or thermal alarm systems
• Security guards
• Picture IDs
• Locked and dead-bolted steel doors
• Biometrics (includes fingerprint, voice, face, iris, handwriting, and other automated methods used to recognize individuals)
@informationsec

کنترل های فنی(Technical Controls)

کنترل های فنی از فناوری به عنوان پایه و مبنای کنترل دسترسی و بکار گیری اطلاعات حساس از طریق یک ساختار فیزیکی و بر روی یک شبکه استفاده می کند. کنترل فنی گستره وسیعی دارند و شامل انواع فناوری ها می شوند. به عنوان مثال می توان به موارد زیر اشاره نمود:
• Encryption
• Smart cards
• Network authentication
• Access control lists (ACLs)
• File integrity auditing software

کنترل های اداری و مدیریتی(Administrative Controls)

کنترل های اداری عوامل انسانی امنیت را تعریف می کند. این عوامل شامل تمام سطوح کارکنان یک سازمان می شود و تعیین کننده دسترسی کاربران به منابع و اطلاعات مورد نیاز با ابزارها و روشهای زیر است:
• آموزش و آگاهی(Training and awareness)
• طرح های آمادگی و بازیابی فاجعه(Disaster preparedness and recovery plans)
• استراتژی های استخدام و رهایی پرسنل(Personnel recruitment and separation strategies)
• ثبت نام و حسابرسی پرسنل (Personnel registration and accounting)

#امن_سازی_Linux_در_سطح_Server_بخش_اول
#امن_سازی_Linux #linux #linux_hardening
@informationsec

#آموزش
امن سازی Linux در سطح Server(بخش دوم)
ادامه فصل اول
تهدیدات امنیتی (Security Threats)


تهدیدات امنیت شبکه (Threats to Network Security)

شیوه های بد در هنگام پیکربندی(configuration) بخشها و جنبه های مختلف یک شبکه می تواند خطر حمله را افزایش دهد که در ادامه به آنها اشاره می کنیم.

معماری های نا امن(Insecure Architectures)

پیکربندی نادرست شبکه(misconfigured network) یکی از اصلی ترین راههای ورود کاربران غیر مجاز است. ااتصال یک شبکه محلی آسیب پذیر به اینترنت، که ذاتا بسیار نا امن است مانند باز کردن یک درب در محله ای جرم خیز است. در این شرایط ممکن است برای مدتی هیچ اتفاقی نیفتد اما در نهایت کسی از این فرصت، سوء استفاده خواهد کرد.
@informationsec

شبکه های Broadcast(Broadcast Networks)

راهبران(administrators) سیستم اغلب اهمیت سخت افزارهای شبکه را در طرح های امنیتی خود درک نمی کنند. سخت افزار ساده، مانند هاب و مسیریاب، بر اساسbroadcast یا non-switched کار می کنند. در این شرایط هر زمان که گره ای در شبکه اقدام به انتقال داده به گره دیگری کند، هاب یا مسیریاب تا زمانی که گیرنده، داده ها را دریافت و پردازش کند، بسته های داده را broadcast می کند. جعل ARP و یاMAC Address توسط مهاجمان خارج از شبکه و یا کاربران غیر مجاز سیستم های محلی از آسیب پذیری های این سیستم ها محسوب می شود.

تمرکزserverها (Centralized Servers)

یکی دیگر از چالشهای بالقوه شبکه استفاده از قدرت پردازشی متمرکز(centralized computing) است. یک روش رایج برای کاهش هزینه در بسیاری از کسب و کار ها، متمرکز کردن همه خدمات در یک ماشین پردازشی قدرتمند است. سهولت مدیریت و کاهش قابل توجه هزینه ها به نسبت به کار گیری serverهای متعدد، تمرکز را کاملا توجیه پذیر می کند. در عین حال، یک server متمرکز یک single point of failure در شبکه است و چنانچه server مرکزی در معرض خطر قرار گیرد، ممکن است شبکه کاملا به درد نخور و یا حتی بدتراز آن امکان دستکاری یا سرقت داده ها را فراهم کند. در این شرایط، یک server مرکزی دروازه ای می شود که اجازه دسترسی به کل شبکه را فراهم می کند.

#امن_سازی_Linux_در_سطح_Server_بخش_دوم
#امن_سازی_Linux #linux #linux_hardening
@informationsec

#آموزش
امن سازی Linux در سطح Server(بخش سوم)
ادامه فصل اول
تهدیدات امنیتی (Security Threats)

تهدیدات امنیت server (Threats to Server Security)

از آنجا که serverها اغلب حاوی حجم زیادی از اطلاعات حیاتی یک سازمان هستند، امنیت server به اندازه امنیت شبکه مهم است. اگر یک server به خطر بیافتد، تمام محتویات آن ممکن است در دسترس سرقت و یا دستکاری قرار گیرد. در ادامه به بخش هایی از مسائل اصلی آن می پردازیم.

پورت های باز و سرویسهای اضافی (Unused Services and Open Ports)

نصب کامل یک توزیع مثل Red Hat Enterprise Linux 7 شامل بیش از 1000 کتابخانه و بسته نرم افزاری است. با این حال، بسیاری از راهبران Server ها در هنگام نصب به انتخاب تک تک بسته ها اقدام نمی کنند و نصب پایه(Base) با تعداد زیادی از برنامه های کاربردی Server را ترجیح می دهند. دلایل زیادی برای محدود کردن تعداد بسته های نصب شده وجود دارد که بعدا به آن خواهیم پرداخت.

یک اتفاق رایج در میان راهبران سیستم ها نصب سیستم عامل بدون توجه به برنامه های در حال نصب است. با این رویکرد ممکن است سرویسهای غیر ضروری نصب، با تنظیمات پیش فرض پیکربندی و احتمالا فعال خواهد بود که خود منشأ مشکلات بزرگی می تواند باشد. سرویس های ناخواسته، مانندTelnet، DHCP و یا DNS روی Server و یا ایستگاه کاری ممکن است بدون اطلاع راهبر آن اجرا شود. در چنین حالتی می تواند ترافیک ناخواسته ای به سمت Server هدایت می شود و یا حتی می تواند مسیری برای نفوذ به سیستم باشد. در ادامه با تقصیل بیشتری به این مباحث خواهیم پرداخت.

سرویسهای Patch نشده(Unpatched Services)

اکثر برنامه های کاربردی server که در یک نصب پیش فرض گنجانده شده است قبلا تست شده و قابل اطمینان است. در محیط های عملیاتی سال ها بکار گرفته شده، کدهایشان به طور کامل اصلاح و بسیاری از اشکالات شناسایی و رفع شده است.
@informationsec

با این حال، چیزی به عنوان نرم افزار کامل وجود ندارد و همیشه جایی برای اصلاح بیشتر وجود دارد. علاوه بر این، نرم افزار جدیدتر اغلب با دقتی که مورد انتظار است مورد آزمایش قرار نمی گیرد که دلیل آن جدید بودن در محیط های عملیاتی و یا محبوبیت کمتر آنها در مقایسه با سایرنرم افزارهای server است.

توسعه دهندگان و راهبران سیستم اغلب اشکالات قابل بهره برداری را در برنامه های کاربردی server پیدا می کنند و اطلاعات مربوط به ردیابی اشکال را در وب سایت های امنیتی مربوط منتشر می کنند مانند لیست پستی BUGTRAQ (http://www.securityfocus.com) و یا وب سایت CERT (http://www.cert.org).

اگر چه این ساز و کارها یک راه موثر برای هشدار در مورد آسیب پذیری های امنیتی است اما این راهبران سیستم ها هستند که بایستی سیستم ها را در اسرع وقت Patch کنند. از سویی نفوذگران نیز به همان خدمات ردیابی آسیب پذیری دسترسی دارند و از این اطلاعات در هرجا که بتوانند برای نفوذ به سیستمهای دارای آسیب پذیری اصلاح نشده، استفاده می کنند. راهبری خوب و مناسب سیستم نیازمند هوشیاری، ردیابی دائمی اشکالات، تعمیر و نگهداری و بروز رسانی مناسب سیستم برای اطمینان از امنیت بهتر یک محیط پردازشی است.
@informationsec

راهبری اهمال گرایانه(Inattentive Administration)

راهبرانی که سیستم های خود را Patch نمی کنند یکی از بزرگترین تهدیدات امنیت server می باشند. براساس SysAdmin, Audit, Network, Security Institute (SANS)، علت اصلی آسیب پذیری امنیتی کامپیوتری "سپردن تأمین امنیت به افراد آموزش ندیده و عدم آموزش و یا تأمین زمان کافی برای یادگیری و انجام کاراست". ⁠ راهبران خودسر و بی انگیزه سیستم ها نیز به اندازه راهبران بی تجربه در امنیت server تهدید محسوب می شوند.

برخی از راهبران، server ها و ایستگاه های کاری خود را Patch نمی کنند و برخی نیز log های هسته سیستم(kernel) و یا ترافیک شبکه را باز بینی نمی کنند که هر دو مصداقی از راهبری اهمال گرایانه است.

خطای متداول دیگر زمانی است که از کلمات عبور پیش فرض و یا کدها و کلیدهای امنیتی اولیه درون سرویسها استفاده می شود. برای مثال، برخی پایگاه های داده کلمات عبور پیش فرضی دارند. توسعه دهندگان آن فرض می کند راهبر سیستم بلافاصله پس از نصب و راه اندازی این کلمه عبور را تغییر می دهد. اگر یک راهبر پایگاه داده، این رمز عبور را تغییر ندهد، حتی یک نفوذگر بی تجربه هم می تواند از رمز عبور پیش فرضی که برای عموم شناخته شده است برای دسترسی راهبری به پایگاه داده استفاده کند. اینها تنها چند مثال از عواقب بی توجهی و اهمال در راهبری امنیت server است که می تواند منجر به بروز خطرهای امنیتی در server گردد.

#امن_سازی_Linux_در_سطح_Server_بخش_سوم
#امن_سازی_Linux #linux #linux_hardening
@informationsec

#خبر
117 میلیون رمز عبور سرقت شده‌ LinkedIn


چهار سال پیش، حدود ۶.۵ میلیون رمز عبور شبکه اجتماعی LinkedIn راه خود را به سمت یک انجمن روسی باز کرد. این حادثه یک شرمساری بزرگ برای LinkedIn بود، چرا که رمزهای عبور درهم‌سازی شده و ناخوانا نبودند و بنابراین به راحتی ممکن بود، شکسته شوند.
@informationsec
اگرچه LinkedIn هرگز تعداد حساب‌هایی را که ممکن است سرقت شده باشند، تأیید نکرد، اما به طور کلی میزان این حملات تا این حد برآورد شد. اکنون به نظر می‌رسد که مشکل اندکی بیشتر شده است، در واقع بهتر بگوییم که ۱۸ برابر شدیدتر است. وبگاه Motherboard گزارش داده است که یک نفوذگر با نام Peace پیشنهاد فروش ۱۶۷ میلیون حساب کاربری را که از آن میان ۱۱۷ میلیون مورد شامل رمزهای عبور است، به قیمت نازل ۲۲۰۰ دلار (۵ بیت‌کوین) داده است. در حال حاضر تصور می‌شود که این داده‌ها واقعی هستند.

وبگاه LeadedSource ادعا کرده است که این داده‌ها را در اختیار دارد و در یکی از ارسال‌های وبلاگ خود نوشته است: «تنها ۱۱۷ میلیون حساب کاربری دارای رمز عبور هستند و ما گمان می‌کنیم که سایر کاربران از طریق فیس‌بوک و شبکه‌های مشابه آن عضو شده‌اند».

تحلیلی که بر روی این رمزهای عبور انجام شده است، نشان می‌دهد که رمز عبور «۱۲۳۴۵۶» بیشترین استفاده را داشته است (۷۵۳۳۰۵ بار)، و چهار بار بیشتر از دومین رمز عبور مورد استفاده یعنی (۱۷۲۵۲۳) به کار رفته است.

جنبه نگران کننده‌ی این قضیه این است که LinkedIn این رمزهای عبور را هنگام رخ دادن این نفوذ درهم‎سازی و ناخوانا نکرده بود. رمزهای عبوری که درهم و ناخوانا نشده باشند، می‌توانند به راحتی شکسته شوند، مخصوصا اگر که این رمزهای عبور ساده و ضعیف نیز باشند. وبگاه Motherboard گزارش داده است: «یکی از افراد فعال در LeakeSource به این وبگاه گفته است که در یک گفتگوی اینترنتی به او گفته شده ۹۰ درصد از این رمزهای عبور در ظرف مدت ۷۲ ساعت شکسته شده‌اند».
@informationsec

ما می‌توانیم فرض کنیم که همه‌ی این رمزهای عبور در مدت چهار سال از زمان سرقت توسط این نفوذگران شکسته شده‌اند. در این حالت، وضعیت خیلی نگران کننده نیست، چرا که LinkedIn در آن زمان تنظیم مجدد رمز عبور را اجباری کرد و قابلیت ناخوانا شدن را نیز به رمزهای عبور افزود. با این حال، جمله‌بندی دقیق LinkedIn در تشریح این وضعیت عبارتست از: «کاربرانی که حساب‌ها و رمزهای عبور آنها به خطر افتاده است، باید متوجه باشند که رمزهای عبور این حساب‌ها دیگر معتبر نیستند». دست‎کم به‎طور کلی تلاش شده است که ۶.۵ میلیون از حساب‌های کاربری که می‌دانستند سرقت شده، تنظیم مجدد شوند.
@informationsec
به طور رسمی LinkedIn هرگز نگفته که چه تعداد رمز عبور سرقت شده است. یا اینکه این شرکت می‌داند که خیلی بیشتر از ۶.۵ میلیون حساب کاربری سرقت شده و تلاش کرده است تا همه‌ی این رمزهای عبور را بازنشانی کند و یا اینکه صد میلیون کاربر هستند که به اشتباه تصور می‌کرده‌اند، حساب‌های کاربری آنها ظرف چهار سال گذشته در امنیت بوده است.
امروز در یکی از جدیدترین اظهارات ارائه شده توسط Cory Scott (مدیر ارشد امنیت(CISO) LinkedIn) گفته شده است که در سال ۲۰۱۲، «ما به همه‌ی کاربران LinkedIn توصیه کرده‌ایم که رمز عبور خود را تغییر دهند». آنچه واقعاً می‌توان گفت این است که تغییر منظم رمز عبور یک شیوه‌ی خوب برای مقابله با این مشکلات است.

در ادامه‌ی این اظهارات گفته شده است: «دیروز ما آگاه شده‌ایم که در پی سرقت سال ۲۰۱۲، افرادی ادعا کرده‌اند که در ادامه مجموعه‌ی دیگری از داده‌های منتشر شده بیش از صد ملیون حساب کاربری و رمز عبور را در اختیار دارند. ما در حال اقدامات فوری برای بی‌اعتبار کردن رمزهای سرقت شده از این حساب‌های کاربری هستیم و با دارندگان این حساب‌های کاربری تماس گرفته‌ایم تا رمزهای عبور خود را بازنشانی کنند. ما هیچ نشانه‌ای از آن نیافته‌ایم که این کار در نتیجه‌ی یک نفوذ امنیتی جدید بوده است».

همین نظر که در سال ۲۰۱۲ عنوان شد، بی‌اعتبار کردن رمزهای عبور به سرقت رفته، نشان می دهد که بسیاری از حساب‌های کاربری به سرقت رفته در سال ۲۰۱۲، در ظرف چهار سال گذشته در حال استفاده‌ی مداوم بوده‌اند، مگر اینکه کاربران خود رمزهای عبور را تغییر داده باشند.

شاید این یک پیشنهاد خوب برای همه‌ی کاربران LinkedIn باشد تا رمزهای عبور فعلی خود را با یک رمز عبور قوی در اسرع وقت جایگزین کنند، چه اینکه آنها یک هشدار از LinkedIn دریافت کنند و چه نکنند.

انتظار از کاربران برای استفاده از احراز هویت دو عامله خوب است اما واقع‌گرایانه نیست. اما یک درس دیگر نیز از این داستان می‌توان گرفت که نمی‌توان از آن چشم‌پوشی کرد. برای چهار سال مداوم نفوذگران به صد میلیون حساب کاربری بدون اینکه عموم مردم بدانند، دسترسی داشته‌اند. مجرمان سایبری امروز کاملاً قادر هستند که یک بازی طولانی و صبورانه را در تلاش برای کسب درآمد به راه بیاندازند و کار هنوز تمام نشده است.

مدیر تحقیقات امنیتی شرکت Rapid7 آقای Tod Beardsley توضیح می‌دهد: «با ارزش‌ترین داده‌هایی که در LinkedIn مورد حمله قرار گرفتند، ابتدا رمزهای عبور نبودند، بلکه رایانامه‌های ثبت شده متصل به این متخصصان کاری بودند. ارسال هرزنامه‌ها بر پایه‌ی نشانی‌های دقیق و فعال رایانامه است و قیمت پایین ۵ بیت‌کوین (تقریبا ۲۲۰۰ دلار) به احتمال زیاد علاقه‌ی قابل‌توجهی را در صنعت هرزنامه‌های امروزی برمی‌انگیزاند. در حالی‎که رمزهای عبور مردم می‌توانند و باید به طور معمول تغییر پیدا کنند، نشانی‌های رایانامه و نام‌های کاربری سال‌ها بدون هیچ مکانیزمی برای تغییر آنها ثابت باقی می‌مانند».

@informationsec
#عمومی
#117_میلیون_رمز_عبور_سرقت_شده_LinkedIn
#LinkedIn

منبع
https://news.asis.io
http://www.securityweek.com/scrub-65-million-it-was-117-million-passwords-stolen-linkedin-2012