🔷قدمدوم: زیرساخت مشترک
🔹بخشی از زیرساخت دیتاسنترهای نظامی آمریکا توسط شرکتهای مایکروسافت و آمازون فراهم شده و از طریق برنامه JWCC برای بخشهای نظامی/اطلاعاتی قابل خرید میباشد.
🔹بخش دیگری از این دیتاسنترها توسط خود نیروها بالا آورده شده و مدیریت میشوند مثلا Cloud One نیرویهوایی یا Neptune نیروی دریایی و مدیریت، امنیت و مقیاسپذیری آنها به طور متمرکز انجام میشود تا هزینهها کاهش یابند.
🔹بخش نهایی هم دیتاسنترهای خارج از خاک آمریکا هستند که با نام OCONUS Cloud بالا آورده شده و نگهداری میشوند.
🔹علاوه بر زیرساخت مشترک، IaaS, PaaS, SaaS های متنوعی نیز برای تسهیلکردن فرآیند توسعه، کاهش هزینهها، و همچنین افزایش امنیت و مقیاسپذیری بالا آورده شده، به عنوان مثال نیرویهوایی تحت برنامه Platform One از کوبرنتیز امنشده و رجیستری حاوی کانتینرهای امنشده تا ابزارهای مختلف توسعه امننرمافزار را ارائه میدهد.
🔹حتیابزارهای جانبی همانند ایمیل و ورد و غیره نیز ذیل برنامه DEOS و کاملا امنشده و منطبق با استانداردهای مورد نیاز به صورت مشترک ارائه میشوند.
AnotherOne
@Partisan2015
🔹بخشی از زیرساخت دیتاسنترهای نظامی آمریکا توسط شرکتهای مایکروسافت و آمازون فراهم شده و از طریق برنامه JWCC برای بخشهای نظامی/اطلاعاتی قابل خرید میباشد.
🔹بخش دیگری از این دیتاسنترها توسط خود نیروها بالا آورده شده و مدیریت میشوند مثلا Cloud One نیرویهوایی یا Neptune نیروی دریایی و مدیریت، امنیت و مقیاسپذیری آنها به طور متمرکز انجام میشود تا هزینهها کاهش یابند.
🔹بخش نهایی هم دیتاسنترهای خارج از خاک آمریکا هستند که با نام OCONUS Cloud بالا آورده شده و نگهداری میشوند.
🔹علاوه بر زیرساخت مشترک، IaaS, PaaS, SaaS های متنوعی نیز برای تسهیلکردن فرآیند توسعه، کاهش هزینهها، و همچنین افزایش امنیت و مقیاسپذیری بالا آورده شده، به عنوان مثال نیرویهوایی تحت برنامه Platform One از کوبرنتیز امنشده و رجیستری حاوی کانتینرهای امنشده تا ابزارهای مختلف توسعه امننرمافزار را ارائه میدهد.
🔹حتیابزارهای جانبی همانند ایمیل و ورد و غیره نیز ذیل برنامه DEOS و کاملا امنشده و منطبق با استانداردهای مورد نیاز به صورت مشترک ارائه میشوند.
AnotherOne
@Partisan2015
🔷قدمسوم: Zero Trust
🔹با توجه به نوع داده مورد استفاده و اهمیت آنها از شبکههای مختلف ارتباطی که زیرساخت مجزایی (ماهوارهها و فیبرنوری) از اینترنت دارند استفاده میشود.
▪️در پایینترین سطح NIRPNET که اطلاعات غیر محرمانه ولی خاص منظوره مربوط به لجستیک و برنامه ریزی در آن رد و بدل می شود.
▪️در سطح بعدی SIRPNET که داده های طبقه بندی شده یا محرمانه در آن رد و بدل می شود( همان شبکه ای که چلسی منینگ دیتایش را به ویکی لیکس لو داد)
▪️و در نهایت JWICS که عمدتا داده های سری و فوق سری در آن رد و بدل می شود.
🔹این جداسازی شبکهها از ماهواره و فیبرنوری مجزا تا سوییچ و روترها با رنگ متفاوت و حتی داخل سیستمعامل با رنگ پنجره متفاوت مشخص شدهاند تا کاربر هیچوقت اشتباها دیتای را به شبکه غیرامن منتقل نکند.
🔹در کنار این موضوع برای دسترسی به این شبکهها نیاز به سختافزار خاصمنظوره، توکن سختافزاری میباشد و بعد از اتصال تمامی دسترسیها تحت نظارت بوده و ذخیره میشوند و در صورت عدم تطابق استفاده کاربر با نیاز او هشدار برای مقامات امنیتی جهت بررسی موضوع ارسال میشود.
AnotherOne
@Partisan2015
🔹با توجه به نوع داده مورد استفاده و اهمیت آنها از شبکههای مختلف ارتباطی که زیرساخت مجزایی (ماهوارهها و فیبرنوری) از اینترنت دارند استفاده میشود.
▪️در پایینترین سطح NIRPNET که اطلاعات غیر محرمانه ولی خاص منظوره مربوط به لجستیک و برنامه ریزی در آن رد و بدل می شود.
▪️در سطح بعدی SIRPNET که داده های طبقه بندی شده یا محرمانه در آن رد و بدل می شود( همان شبکه ای که چلسی منینگ دیتایش را به ویکی لیکس لو داد)
▪️و در نهایت JWICS که عمدتا داده های سری و فوق سری در آن رد و بدل می شود.
🔹این جداسازی شبکهها از ماهواره و فیبرنوری مجزا تا سوییچ و روترها با رنگ متفاوت و حتی داخل سیستمعامل با رنگ پنجره متفاوت مشخص شدهاند تا کاربر هیچوقت اشتباها دیتای را به شبکه غیرامن منتقل نکند.
🔹در کنار این موضوع برای دسترسی به این شبکهها نیاز به سختافزار خاصمنظوره، توکن سختافزاری میباشد و بعد از اتصال تمامی دسترسیها تحت نظارت بوده و ذخیره میشوند و در صورت عدم تطابق استفاده کاربر با نیاز او هشدار برای مقامات امنیتی جهت بررسی موضوع ارسال میشود.
AnotherOne
@Partisan2015
🔷قدمچهارم: اطمینان از امنیت سیستمها
🔹در وهله اول آموزش افراد برای توسعهامن نرمافزار، مواجهه با فیشینگ و … برای تمامی افراد به طور رایگان و به عنوان بخشی از ساعات اداری آنها فراهم میشود تا پایه امنیتی مناسبی برای آنها فراهم شود.
🔹در قدم بعدی تمامی بخشهایی از توسعه که قابل اتومات کردن هستند از امنیت کد(SAST, SCA, DAST, Supply Chain Security, Container Scanning,Fuzzing) تا امنسازی زیرساختها(که در قدم دوم توضیح دادیم به صورت خودکار زیرساخت امنشده در اختیار قرار داده میشود) انجام میشود.
🔹بعد از دیپلوی نیز از Vulnerability Assessment و CVE Alerting تا پنتست در اختیار توسعهدهندگان قرار میگیرد تا از نتایج آن استفاده کنند.
🔹تمامی موارد( از تنظیم بوتامن تا مثلا استفاده امن از (istio در اختیار قرار گرفته و انطباق آن با کمک SCA Modules فراهم میشود تا توسعهدهنده با کمترین هزینه امنترین محصول را تحویل دهد.
🔹برای مقابله با تهدیدات پیشرفتهتر نیز از NGFو XDR گرفته تا HoneyPotو ابزارهای Cyber Deception بدر اختیار این نیروها برای مقابله با تهدیدات قرار میگیرد.
AnotherOne
@Partisan2015
🔹در وهله اول آموزش افراد برای توسعهامن نرمافزار، مواجهه با فیشینگ و … برای تمامی افراد به طور رایگان و به عنوان بخشی از ساعات اداری آنها فراهم میشود تا پایه امنیتی مناسبی برای آنها فراهم شود.
🔹در قدم بعدی تمامی بخشهایی از توسعه که قابل اتومات کردن هستند از امنیت کد(SAST, SCA, DAST, Supply Chain Security, Container Scanning,Fuzzing) تا امنسازی زیرساختها(که در قدم دوم توضیح دادیم به صورت خودکار زیرساخت امنشده در اختیار قرار داده میشود) انجام میشود.
🔹بعد از دیپلوی نیز از Vulnerability Assessment و CVE Alerting تا پنتست در اختیار توسعهدهندگان قرار میگیرد تا از نتایج آن استفاده کنند.
🔹تمامی موارد( از تنظیم بوتامن تا مثلا استفاده امن از (istio در اختیار قرار گرفته و انطباق آن با کمک SCA Modules فراهم میشود تا توسعهدهنده با کمترین هزینه امنترین محصول را تحویل دهد.
🔹برای مقابله با تهدیدات پیشرفتهتر نیز از NGFو XDR گرفته تا HoneyPotو ابزارهای Cyber Deception بدر اختیار این نیروها برای مقابله با تهدیدات قرار میگیرد.
AnotherOne
@Partisan2015
🔷قدمپنجم: کار از محکمکاری عیب نمیکند
🔹برای اطمینان از آمادگی نیروها و تمهیدات چیده شده وزارت دفاع با شرکتهای خصوصی تاییدشده برای انجام red teaming و assumed breach قرار داد میبندد و در کنار آن برنامه باگبانتی برگزار میکند و به هکرها برای کشف آسیبپذیری جایزه میدهد.
🔹 سازمانهایی مثل NSA همواره در حال کشف و خرید zero day و گاها تست آن روی سازمانهای داخلی برای اطمینان از امنیت داخلی هستند.
🔹تعاملات دیجیتال افراد داخل سازمان تحت مانیتور قرار میگیرند و اسناد سازمان به کمک DLP و یا با استفاده از File Beacon و Hidden Signatures امن شدهاند تا در صورت لو رفتن منبعی که لو داده مشخص باشد.
🔹به افراد با توجه به دسترسی آنها درجه اهمیت داده میشود و زندگی شخصی، وضعیت مالی، اعتیاد و مشکلات خانوادگی افراد تحت بررسی است تا ریسک آنها مشخص شده و از Insider Threat ضربه نخورند.
🔹و تمهیدات بیشتر که بعدا درباره آنها صحبت خواهیم کرد.
AnotherOne
@Partisan2015
🔹برای اطمینان از آمادگی نیروها و تمهیدات چیده شده وزارت دفاع با شرکتهای خصوصی تاییدشده برای انجام red teaming و assumed breach قرار داد میبندد و در کنار آن برنامه باگبانتی برگزار میکند و به هکرها برای کشف آسیبپذیری جایزه میدهد.
🔹 سازمانهایی مثل NSA همواره در حال کشف و خرید zero day و گاها تست آن روی سازمانهای داخلی برای اطمینان از امنیت داخلی هستند.
🔹تعاملات دیجیتال افراد داخل سازمان تحت مانیتور قرار میگیرند و اسناد سازمان به کمک DLP و یا با استفاده از File Beacon و Hidden Signatures امن شدهاند تا در صورت لو رفتن منبعی که لو داده مشخص باشد.
🔹به افراد با توجه به دسترسی آنها درجه اهمیت داده میشود و زندگی شخصی، وضعیت مالی، اعتیاد و مشکلات خانوادگی افراد تحت بررسی است تا ریسک آنها مشخص شده و از Insider Threat ضربه نخورند.
🔹و تمهیدات بیشتر که بعدا درباره آنها صحبت خواهیم کرد.
AnotherOne
@Partisan2015
Partisan / پارتیزان
🔹تصویری از تانک آلمانی «Pz.Kpfw. V Ausf.G» یا «Panther نسخه G» که به دستگاه دید در شب «Sperber FG 1250» بر روی جایگاه فرمانده مجهز شده. ▪️مرکز تست دایملر-بنز آلمان، سپتامبر 1944. Tupolev @Partisan2015
🔹تصاویری از نسخههای دیگر دید در شب های توسعه یافته توسط کشورهای آلمان، آمریکا و شوروی و سعی برای استفاده از آن در دهههای 30 و 40 میلادی.
🔹نمونهی آمریکایی بر روی اسلحه M1 Carbine نصب میشد و M3 Infrared نام داشت که در نبرد اوکیناوا استفاده شد و همچنین در جنگ کره توسعه بیشتری پیدا کرده و برد موثر نسخهی ارتقا یافته آن به حدود 100متر رسیده بود.
🔹نمونهی آلمانی نیز ZG 1229 نام داشته که به خونآشام هم معروف بوده و روی STG44 و MG34/42 نصب و از اواخر سال 1944 در جبهه شرقی استفاده میشد، جرم دستگاه هم بدون حسب سلاح حدود 15 کیلوگرم بوده.
🔹این تجهیزات نسل صفر دید در شبها را تشکیل می دهند و یکی از خصوصیات آنها استفاده از فناوری فروسرخ می باشد که باعث می شد نورافکن فروسرخ به همراه داشته باشند.
▪️توضیحی درباره نحوه کارکرد فناوری فروسرخ: این فناوری شامل دو بخش میشود، نورافکن فروسرخ که نور نامرئی را میتاباند و خود دوربین که نور نامرئی فروسرخ را برای چشم انسان مرئی میکند، در کل به صورت ساده مانند این میماند که چراغقوهای روشن کنید ولی نتوان آن را با چشمان غیرمسلح دید.
Tupolev/FND
@Partisan2015
🔹نمونهی آمریکایی بر روی اسلحه M1 Carbine نصب میشد و M3 Infrared نام داشت که در نبرد اوکیناوا استفاده شد و همچنین در جنگ کره توسعه بیشتری پیدا کرده و برد موثر نسخهی ارتقا یافته آن به حدود 100متر رسیده بود.
🔹نمونهی آلمانی نیز ZG 1229 نام داشته که به خونآشام هم معروف بوده و روی STG44 و MG34/42 نصب و از اواخر سال 1944 در جبهه شرقی استفاده میشد، جرم دستگاه هم بدون حسب سلاح حدود 15 کیلوگرم بوده.
🔹این تجهیزات نسل صفر دید در شبها را تشکیل می دهند و یکی از خصوصیات آنها استفاده از فناوری فروسرخ می باشد که باعث می شد نورافکن فروسرخ به همراه داشته باشند.
▪️توضیحی درباره نحوه کارکرد فناوری فروسرخ: این فناوری شامل دو بخش میشود، نورافکن فروسرخ که نور نامرئی را میتاباند و خود دوربین که نور نامرئی فروسرخ را برای چشم انسان مرئی میکند، در کل به صورت ساده مانند این میماند که چراغقوهای روشن کنید ولی نتوان آن را با چشمان غیرمسلح دید.
Tupolev/FND
@Partisan2015