طبقه‌بندی(INFOSEC)
طبقه‌بندی، دسته‌بندی اشیا است در یک فهرست سازمان یافته یا در قالب یا روابط سلسله‌مراتبی که روابط طبیعی بین اشیا را نشان می‌دهد (Conway & Sliger، 2002). طبقه‌بندی به عنوان یک فرایند، عبارت است از ایجاد نظامی منطقی از رتبه‌ها که در آن، هر رتبه از تعدادی اشیا تشکیل شده، به گونه‌ای که در صورت نیاز می‌توان به آسانی به اجزای آن دسترسی پیدا کرد.
طبقه‌ بندی ارائه‌ شده  در مقاله حاضر از فناوری‌های امنیت اطلاعات، در وهله اول براساس دو ویژگی پایه‌گذاری شده:
1. براساس مرحله خاصی از زمان: بدین معنا که در زمان تعامل فن آوریفناوری با اطلاعات، عکس‌ العمل لازم در برابر یک مشکل امنیتی می‌ تواند کنشگرایانه (کنشی)(Proactive) یا واکنشی (Reactive) باشد (Venter & Eloff، 2003).
غرض از «کنشگرایانه»، انجام عملیات پیشگیرانه قبل از وقوع یک مشکل خاص امنیتی است. در چنین مواردی به موضوعاتی اشاره می گردد که ما را در پیشگیری از وقوع یک مشکل کمک خواهد کرد ( چه کار باید انجام دهیم تا ...؟).
غرض از «واکنشی» انجام عکس‌العمل لازم پس از وقوع یک مشکل خاص امنیتی است. در چنین مواردی به موضوعاتی اشاره می‌گردد که ما را در مقابله با یک مشکل پس از وقوع آن، کمک خواهند کرد (اکنون که ... چه کار باید انجام بدهیم؟).
2. براساس سطوح پیاده‌سازی نظام‌ های امنیتی در یک محیط رایانه‌ای: فناوری امنیت اطلاعات را، خواه از نوع کنشی باشد یا واکنشی، می‌توان در سه سطح – سطح شبکه(Network Level )، سطح میزبان(Host Level)، سطح برنامه کاربردی(Application Level)- پیاده‌سازی کرد. (Venter & Eloff، 2003). بدین منظور می‌توان نظام امنیتی را در سطح شبکه و خدمات ارائه شده آن، در سطح برنامه کاربردی خاص، یا در محیطی که شرایط لازم برای اجرای یک برنامه را فراهم می نماید (سطح میزبان) پیاده کرد.
شکل 1 فناوری‌های امنیت اطلاعات را براساس دو ویژگی یاد شده ترسیم می‌نماید. توصیف مختصری از هریک از فن آوریفناوری ها در بخش‌های بعد ارائه خواهد شد.

شکل 1. فناوری‌های امنیت اطلاعات با دیدگاه طبقه‌بندی (اقتباس از Venter &Eloff ، 2003)

الف. فناوری‌های امنیت اطلاعات کنشگرایانه
1. رمزنگاری (Cryptography)
به بیان ساده، رمزنگاری به معنای «نوشتن پنهان»، و علم حفاظت، اعتمادپذیری و تأمین تمامیت داده‌ها است (McClure, Scambray, & Kurtz، 2002). این علم شامل اعمال رمزگذاری، رمزگشایی و تحلیل رمز است. در اصطلاحات رمزنگاری، پیام را «متن آشکار»(plaintext or cleartext)می‌نامند. کدگذاری مضامین را به شیوه‌ای که آن‌ها را از دید بیگانگان پنهان سازد، «رمزگذاری»(encryption)یا «سِرگذاری» ( encipher)می‌نامند* . پیام رمزگذاری شده را «متن رمزی»(ciphertext)، و فرایند بازیابی متن آشکار از متن رمزی را رمزگشایی( decryption)یا «سِّرگشایی»(decipher)می نامند.
الگوریتم‌هایی که امروزه در رمزگذاری و رمزگشایی داده‌ها به کار می‌روند از دو روش بنیادی استفاده می کنند: الگوریتم‌های متقارن، و الگوریتم‌های نامتقارن یا کلید عمومی. تفاوت آن‌ها در این است که الگوریتم‌های متقارن از کلید یکسانی برای رمزگذاری و رمزگشایی استفاده می‌کنند، یا این که کلید رمزگشایی به سادگی از کلید رمزگذاری استخراج می‌شود (مثل: DES(Data Encryption Standard)، CCEP(The Commercial Comsec Endoremment Program)، IDEA(International Data Encryption Algoritm)، FEAL ). در حالی که الگوریتم‌های نامتقارن از کلیدهای متفاوتی برای رمزگذاری و رمزگشایی استفاده می‌کنند و امکان استخراج کلید رمزگشایی از کلید رمزگذاری وجود ندارد. همچنین کلید رمزگذاری را کلید عمومی، و کلید رمزگشایی را کلید خصوصی یا کلید محرمانه می‌نامند (مثل: RSA ، LUC).
تجزیه و تحلیل رمز(cryptanalysis)، هنر شکستن رمزها و به عبارت دیگر، بازیابی متن آشکار بدون داشتن کلید مناسب است؛ افرادی که عملیات رمزنگاری را انجام می‌دهند، رمزنگار(cryptographer)نامیده می‌شوند و افرادی که در تجزیه و تحلیل رمز فعالیت دارند رمزکاو(cryptanalyst)هستند.
رمزنگاری با تمام جوانب پیام‌رسانی امن، تعیین اعتبار، امضاهای رقومی، پول الکترونیکی و نرم افزارهای کاربردی دیگر ارتباط دارد. رمزشناسی(cryptology)شاخه‌ای از ریاضیات است که پایه‌های ریاضی مورد استفاده در شیوه‌های رمزنگاری را مطالعه می‌کند ("آشنایی با ..."، 1383).
رمزنگاری یک فناوری امنیت اطلاعات از نوع کنشگرایانه است، زیرا اطلاعات را قبل از آن که یک تهدید بالقوه بتواند اعمال خرابکارانه انجام دهد، از طریق رمزگذاری داده‌ها ایمن می‌سازند. به علاوه، رمزنگاری در سطوح متنوع، به طوری که در طبقه‌بندی شکل 1 بیان شد، در سطوح برنامه‌های کاربردی و در سطوح شبکه قابل پیاده‌سازی است.
2. امضاهای رقومی (digital signatures)
امضاهای رقومی، معادل «امضای دست‌نوشت» و مبتنی بر همان هدف هستند: نشانه منحصر به فرد یک شخص، با یک بدنه متنی (Comer، 1999، ص. 191). به این ترتیب، امضای رقومی مانند امضای دست‌نوشت، نباید قابل جعل باشد. این فناوری که با استفاده از الگوریتم رمزنگاری ایجاد می‌شود، تصدیق رمزگذاری‌شده‌ای است که معمولاً به یک پیام پست الکترونیکی یا یک گواهی‌نامه ضمیمه می‌شود تا هویت واقعی تولیدکننده پیام را تأیید کند.
 امضای رقومی یک فناوری امنیت اطلاعات از نوع کنشگرایانه است، زیرا قبل از وقوع هر تهدیدی، می‌توان با استفاده از آن فرستنده اصلی پیام و صاحب امضا را شناسایی کرد. به علاوه این فناوری در سطح یک برنامه کاربردی قابل پیاده‌سازی است. در این سطح، امضای رقومی در یک برنامه کاربردی خاص و قبل از آن که به یک گیرنده خاص فرستاده شود، ایجاد می‌گردد.
3. گواهی‌های رقومی(Digital certificates)
گواهی‌های رقومی به حل مسئله «اطمینان» در اینترنت کمک می‌کنند. گواهی‌های رقومی متعلق به «سومین دسته اطمینان»(trusted third parties)هستند و همچنین به «متصدی‌های گواهی» اشاره دارند (Tiwana، 1999). متصدی‌های گواهی، مؤسسات تجاری هستند که هویت افراد یا سازمان‌ها را در وب تأیید، و تأییدیه‌هایی مبنی بر درستی این هویت‌ها صادر می‌کنند. برای به دست‌آوردن یک گواهی، ممکن است از فرد خواسته شود که یک کارت شناسایی (مانند کارت رانندگی) را نشان دهد. بنابراین گواهی‌های رقومی، یک شبکه امن در میان کاربران وب، و مکانی برای تأیید صحت و جامعیت یک فایل یا برنامه الکترونیکی ایجاد می‌کنند. این گواهی‌ها حاوی نام فرد، شماره سریال، تاریخ انقضا، یک نسخه از گواهی نگاهدارنده کلید عمومی (که برای رمزگذاری پیام‌ها و امضاهای رقومی به کار می‌رود) می‌باشند**  (Encyclopedia and learning center، 2004).
گواهی‌های رقومی، فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا از این فناوری برای توزیع کلید عمومی از یک گروه ارتباطی به گروه ارتباطی دیگر استفاده می‌شود. همچنین این روش، قبل از آن که هر ارتباطی بین گروه‌ها اتفاق بیفتد، اطمینان ایجاد می‌کند. این فناوری در سطح برنامه کاربردی قابل پیاده‌سازی است؛ مثلاً قبل از آغاز هر ارتباط مرورگر وب، تأیید می‌کند که آن گروه خاص قابل اطمینان می‌باشد.
4. شبکه‌های مجازی خصوصی( virtual private networks)
فناوری شبکه‌های مجازی خصوصی، عبور و مرور شبکه را رمزگذاری می‌کند. بنابراین این فناوری برای تضمین صحت و امنیت داده‌ها، به رمزنگاری وابسته است. این شبکه بسیار امن، برای انتقال داده‌های حساس (از جمله اطلاعات تجاری الکترونیکی) از اینترنت به عنوان رسانه انتقال بهره می‌گیرد. شبکه‌های مجازی خصوصی، فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا داده‌ها قبل از آن که در شبکه عمومی منتشر شوند، با رمزگذاری محافظت می‌شوند و این باعث می‌گردد که تنها افراد مجاز قادر به خواندن اطلاعات باشند. به علاوه این فناوری در سطح شبکه قابل پیاده‌سازی است، و از فناوری رمزگذاری بین دو میزبان شبکه مجازی خصوصی، در مرحله ورود به شبکه و قبل از آن که داده‌ها به شبکه عمومی فرستاده شود، استفاده می‌گردد.
5. نرم‌افزارهای آسیب‌نما( vulnerability scanners)
نرم‌افزارهای آسیب‌نما برنامه‌هایی برای بررسی نقاط ضعف یک شبکه یا سیستم یا سایت هستند. بنابراین نرم‌افزارهای آسیب‌نما یک نمونه خاص از نظام آشکارساز نفوذی از فناوری امنیت اطلاعات هستند (Bace، 2000، ص 4-3). همچنین این نرم‌افزارها به یک پویش فاصله‌مدار اشاره دارند؛ بدین معنا که میزبان‌های روی شبکه را در فواصل خاص و نه بطور پیوسته، پویش می‌کنند. به مجرد این که یک نرم‌افزار آسیب‌نما بررسی یک میزبان را خاتمه داد، داده‌ها در درون یک گزارش، نمونه‌برداری می‌شوند، که به یک «عکس فوری»(snapshot) شباهت دارد (مثل: cybercop scanner، cisco secure scanner، Net Recon).
 نرم‌افزارهای آسیب‌نما، فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا از آن‌‌ها برای کشف عامل‌های نفوذی قبل از آن که بتوانند با عملیات‌های خرابکارانه یا بدخواهانه از اطلاعات سوء استفاده کنند، استفاده می‌شود. نرم‌افزارهای آسیب‌نما  در سطح میزبان قابل پیاده‌سازی هستند.
6. پویشگرهای ضد ویروس(Anti- virus scanner)
در دهه‌های گذشته ویروس‌های رایانه‌ای  باعث تخریب عظیمی در اینترنت شده‌اند. ویروس رایانه‌ای یک قطعه مخرب نرم‌افزاری است که توانایی تکثیر خودش را در سراسر اینترنت، با یک بار فعال‌شدن، دارد (McClure et al، 2002). پویشگرهای ضد ویروس، برنامه‌های نرم‌افزاری هستند که برای بررسی و حذف ویروس‌های رایانه‌ای، از حافظه یا دیسک‌ها طراحی شده‌اند. این برنامه‌ها از طریق جستجوی کدهای ویروس رایانه‌ای، آن‌ها را تشخیص می‌دهند. اگرچه برنامه‌های حفاظت از ویروس نمی‌توانند تمام ویروس‌ها را نابود کنند، اما اعمالی که این برنامه‌ها انجام می‌دهند عبارت‌اند از: 1) ممانعت از فعالیت ویروس، 2) حذف ویروس، 3) تعمیر آسیبی که ویروس عامل آن بوده است، و 4) گرفتن ویروس در زمان کنترل و بعد از فعال‌شدن آن (Caelli, Longley, & Shain ، 1994).
پویشگر ضدویروس، یک فناوری امنیت اطلاعات از نوع کنشگرایانه است. این پویشگرها در سطوح متنوع، و به طوری که در طبقه‌بندی بیان شده در سطح برنامه‌های کاربردی و در سطح میزبان، قابل پیاده‌سازی هستند.
7. پروتکل‌های امنیتی(security protocols)
پروتکل‌های امنیتی مختلفی مانند «پروتکل امنیت اینترنت»( Internet Protocol Security (IPsec)) و «کربروس»(kerberos)که در فناوری‌های امنیت اطلاعات طبقه‌بندی می‌شوند، وجود دارند. پروتکل‌ها فناوری‌هایی هستند که از یک روش استاندارد برای انتقال منظم داده‌ها بین رایانه‌ها استفاده می‌کنند، یا مجموعه‌ای از مقررات یا قراردادها هستند که تبادل اطلاعات را میان نظام‌های رایانه‌ای، کنترل و هدایت می‌کنند.
پروتکل‌های امنیتی، یک فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا برای حفاظت از اطلاعات حساس از یک پروتکل خاص امنیتی، قبل از آن که اطلاعات به وسیله خرابکاران به دست آید، استفاده می‌کنند. این فناوری در سطوح مختلف _ سطح برنامه کاربردی و سطح شبکه- قابل پیاده‌سازی است. مثلاً پروتکل «کربروس»، پروتکل و سیستمی است که از آن در تعیین اعتبار سیستم‌های اشتراکی استفاده می‌شود. «کربروس» برای تعیین اعتبار میان فرآیندهای هوشمند (نظیر از خدمت‌گیرنده به خدمت‌دهنده، یا ایستگاه کاری یک کاربر به دیگر میزبان‌ها) مورد استفاده قرار می‌گیرد و این تعیین اعتبار در سطح برنامه کاربردی و شبکه، قابل پیاده‌سازی است.
8. سخت افزارهای امنیتی(Security hardware)
سخت افزار امنیتی به ابزارهای فیزیکی که کاربرد امنیتی دارند، اشاره می‌کندٍ؛ مانند معیارهای رمزگذاری سخت‌افزاری یا مسیریاب‌های سخت‌افزاری.
ابزارهای امنیت فیزیکی شامل امنیت سرورها، امنیت کابل‌ها، سیستم‌های هشداردهنده امنیتی در زمان دسترسی غیرمجاز یا ذخیره فایل‌ها بعد از استفاده یا گرفتن فایل پشتیبان هستند.
این فناوری یک فناوری امنیت اطلاعات از نوع کنشگرایانه است، زیرا داده‌ها را قبل از آن که تهدید بالقوه‌ای بتواند تحقق یابد، حفاظت می‌کنند. مثلاً از رمزگذاری داده‌ها به‌منظور جلوگیری از اعمال خرابکارانه و جرح و تعدیل ابزار سخت‌افزاری استفاده می‌شود. این فناوری در سطح شبکه قابل پیاده‌سازی است. مثلاً یک کلید سخت‌افزاری می‌تواند در درون درگاه میزبان برای تعیین اعتبار کاربر، قبل از آن که کاربر بتواند به میزبان متصل شود به کار رود، یا معیارهای رمزگذاری سخت‌افزار روی شبکه، یک راه حل مقاوم به دستکاری را فراهم آورد و در نتیجه ایمنی فیزیکی را تأمین نماید.
9. جعبه‌های توسعه نرم‌افزار امنیتی(security software development kits (SDKs))
جعبه‌های توسعه نرم‌افزار امنیتی، ابزارهای برنامه‌نویسی هستند که در ایجاد برنامه‌های امنیتی مورد استفاده قرار می‌گیرند. «Java security manager» و «Microsoft.net SDKs» نمونة‌ نرم‌افزارهایی هستند که در ساختن برنامه‌های کاربردی امنیتی (مانند برنامه‌های تعیین اعتبار مبتنی بر وب) به کار می‌روند. این جعبه‌ها شامل سازنده صفحه تصویری، یک ویراستار، یک مترجم، یک پیونددهنده، و امکانات دیگر هستند. جعبه‌های توسعه نرم‌افزار امنیتی، فناوری امنیت اطلاعات از نوع کنشگرایانه هستند، زیرا از آن‌ها در توسعه نرم افزارهای متنوع برنامه‌های کاربردی امنیتی (که داده‌ها را قبل از آن که تهدید بالقوه تحقق یابد، حفاظت می‌کنند) استفاده می‌شوند. به‌علاوه این فناوری در سطوح متنوع- سطح برنامه‌های کاربردی، سطح میزبان، سطح شبکه- قابل پیاده‌سازی است.
ب. فناوری‌های امنیت اطلاعات واکنشی
1. دیوار آتش( firewalls)
دیوار آتش در اینترنت یک ابزار نرم‌افزاری، خصوصاً روی یک رایانه پیکربندی‌شده می‌باشد که به عنوان مانع، فیلتر یا گلوگاه بین یک سازمان داخلی یا شبکه امین و شبکه غیرامین یا اینترنت، نصب می‌شود (Tiwana، 1999). هدف از دیوار آتش جلوگیری از ارتباطات غیرمجاز در درون یا بیرون شبکه داخلی سازمان یا میزبان است (Oppliger، 1998، ص. 58). دیوار آتش به عنوان اولین خط دفاعی در تلاش برای راندن عامل مزاحم، مورد توجه قرار می‌گیرد. اگرچه فناوری رمزگذاری به حل بسیاری از مشکلات ایمنی کمک می‌کند، به یک فناوری ثانوی نیز نیاز داریم. فناوری معروف به دیوار آتش اینترنت کمک می‌کند تا رایانه‌ها و شبکه‌های یک سازمان را از ترافیک نامطلوب اینترنت محافظت کنید. این فناوری برای پرهیز از مشکلات ایجاد شده در اینترنت یا گسترش آن‌ها به رایانه‌های سازمان طراحی می‌گردد. دیوار آتش بین نظام‌های سازمان و اینترنت قرار می‌گیرد. شکل 2 این مفهوم را نشان می‌دهد (امنیت شبکه...، 1383).
دیوار آتش یک فناوری امنیت اطلاعات از نوع واکنشی است و مهم‌ترین ابزار امنیتی مورد استفاده برای کنترل ارتباطات شبکه‌ای بین دو سازمان که به یکدیگر اعتماد ندارند، می‌باشد. با قراردادن یک دیوار آتش روی هر ارتباط خارجی شبکه، سازمان می‌تواند یک دایره امنیتی تعریف نماید که از ورود افراد خارجی به رایانه‌های سازمان جلوگیری می‌کند. علاوه بر آن، دیوار آتش می‌تواند مانع نفوذ افراد خارجی به منابع موجود در رایانه‌های سازمان و گسترش نامطلوب روی شبکه سازمان شود. این فناوری در سطوح میزبان و در سطح شبکه قابل پیاده‌سازی است.

شکل 2. تصویری از یک دیوار آتش برای حفاظت سازمان در مقابل نفوذ غیرمجاز به شبکه
2. کنترل دسترسی(access control)
کنترل دسترسی به مجموعه سیاست‌ها و اقدامات مربوط به دادن اجازه یا ندادن اجازه برای دسترسی یک کاربر خاص به منابع، یا محدودکردن دسترسی به منابع نظام‌های اطلاعاتی برای کاربران، برنامه‌ها، پردازه‌ها یا دیگر سیستم‌های مجاز اطلاق می‌شود. هدف از این فناوری، حصول اطمینان است از این که یک موضوع، حقوق کافی برای انجام عملیات‌های خاص روی سیستم را دارد (King et al.، 2001). این موضوع ممکن است کاربر، یک گروه از کاربران، یک خدمت، یا یک برنامه کاربردی باشد. موضوعات در سطوح مختلف، امکان دسترسی به اشیای خاصی از یک سامانه را دارند. این شیء ممکن است یک فایل، راهنما، چاپگر یا یک فرایند باشد. کنترل دسترسی ابزاری است که امنیت شبکه را از طریق تأمین کاراکترهای شناسایی و کلمه عبور تضمین می‌کند و فناوری امنیت اطلاعات از نوع واکنشی است، زیرا دسترسی به یک نظام را به محض این که یک درخواست دسترسی صورت گیرد، مجاز می‌شمارد یا غیرمجاز. این فناوری در سطوح متنوع- در سطح برنامه کاربردی، در سطح میزبان و در سطح شبکه- قابل پیاده‌سازی است.
3.کلمات عبور(passwords)
کلمه عبور، یک کلمه، عبارت یا حروف متوالی رمزی است که فرد برای به‌دست آوردن جواز دسترسی به اطلاعات (مثلاً یک فایل، برنامه کاربردی یا نظام رایانه‌ای) باید وارد نماید (Lexico Publishing Group ، 2002). این کلمه برای شناسایی و برای اهداف امنیتی در یک نظام رایانه‌ای به کار می‌رود. به هر کاربر مجموعه معینی از الفبا و عدد اختصاص داده می‌شود تا به تمام یا قسمت‌هایی از نظام رایانه‌ای دسترسی داشته باشد. کلمه عبور، فناوری امنیت اطلاعات از نوع واکنشی است، زیرا به‌منظور گرفتن مجوز و دسترسی به نظام، به محض این که یک فرد یا فرایند بخواهد به یک برنامه کاربردی، میزبان یا شبکه متصل شود، به کار می‌رود. این فناوری در سطوح متنوع- در سطح برنامه کاربردی، سطح میزبان، سطح شبکه- پیاده‌سازی می‌شود.
4. زیست‌سنجی(biometrics)
زیست‌سنجی، علم و فناوری سنجش و تحلیل‌داده‌های زیستی است. در فناوری اطلاعات، زیست‌سنجی معمولاً به فناوری‌هایی برای سنجش و تحلیل ویژگی‌های بدن انسان (مانند اثر انگشت، قرنیه و شبکیه چشم، الگوهای صدا، الگوهای چهره، و اندازه‌های دست) خصوصاً به‌منظور تعیین اعتبار اشاره دارد. یکی از ویژگی‌های ذاتی علم زیست‌سنجی این است که کاربر باید با یک الگوی مرجع مقایسه شود. اثر انگشت، چهره یا داده‌های زیست‌سنجی دیگر را می‌توان جایگزین کارت هوشمند نمود و کاربران می‌توانند هم از کارت هوشمند و هم از اثر انگشت یا چهره خود برای تعیین اعتبار در امور بازرگانی، بانک‌ها یا ارتباط تلفنی استفاده نمایند (Encyclopedia and learning center، 2004).
زیست‌سنجی فناوری امنیت اطلاعات از نوع واکنشی است، زیرا از آن می‌توان با استفاده از هندسه بخشی از بدن کاربر برای گرفتن مجوز یا برای جلوگیری از دسترسی به نظام، به محض این که کاربر بخواهد به یک برنامه کاربردی، میزبان یا شبکه متصل شود، استفاده نمود. به‌علاوه این فناوری در سطوح متنوع، با توجه به طبقه‌بندی بیان‌شده، قابل پیاده‌سازی است.
5. نظام‌های آشکارساز نفوذی(intrusion detection systems (IDS))
نظام‌های آشکارساز نفوذی، یک نظام تدافعی است که فعالیت‌های خصمانه را در یک شبکه تشخیص می‌دهد. بنابراین نکته کلیدی در نظام‌های آشکارساز نفوذی، تشخیص و احتمالاً ممانعت از فعالیت‌هایی است که ممکن است امنیت شبکه را به خطر بیندازند. یکی از ویژگی‌های مهم این نظام‌ها، توانایی آن‌ها در تأمین نمایی از فعالیت‌های غیرعادی، و اعلام هشدار به مدیران نظام‌ها و مسدود نمودن ارتباط مشکوک است. نظام‌های آشکارساز نفوذی فرایندی برای شناسایی و تقابل با فعالیت‌های مشکوک است که منابع رایانه‌ای و شبکه‌ها را هدف قرار داده‌اند. علاوه بر این، ابزارها و تجهیزات این نظام می‌توانند بین تهاجم‌های داخلی از داخل سازمان (کارمندان یا مشتریان) و تهاجم‌های خارجی (حملاتی که توسط هکرها انجام می‌شود) تمایز قایل شوند (مثل Snort IDS، ISS Real Secure، Cisco IDS) (سیستم‌های شناسایی...،1383). این فناوری، فناوری امنیت اطلاعات از نوع واکنشی است، زیرا از آن برای کنترل میزبان‌های روی شبکه، آشکارسازی، ثبت گزارش، و متوقف ساختن هر نوع حمله و استفاده غیرقانونی استفاده می‌شود. این فناوری در سطوح میزبان و شبکه، قابل پیاده‌سازی است.
6. واقعه‌نگاری(logging)
واقعه‌نگاری به ثبت اعمال یا تراکنش‌های انجام‌شده توسط کاربر یا یک برنامه، تولید سابقه، و ثبت نظام‌مند رویدادهای مشخص به ترتیب وقوع آن‌ها برای فراهم‌کردن امکان تعقیب و پیگیری داده‌ها در تحلیل‌های آتی اطلاق می‌شود. واقعه‌نگاری، فناوری امنیت اطلاعات از نوع واکنشی است، زیرا به علت‌جویی حوادث امنیتی بعد از وقوع می‌پردازد. این فناوری در سطوح برنامه کاربردی، میزبان و شبکه قابل پیاده‌سازی است.
7. دسترسی از راه دور(remote accessing)
«دسترسی از راه دور» به دسترسی به یک سیستم یا برنامه، بدون نیاز به حضور فیزیکی در محل توجه دارد. با این حال معمولاً دسترسی به خدمات از راه دور، کنترل‌شده نیستند، زیرا ممکن است دسترسی به یک خدمت از راه دور به طور ناشناس صورت بگیرد که در این مورد دسترسی به خدمت، خطر جعل هویت را به همراه دارد. در این زمینه با توجه به شرایط و امکانات، باید ایمن‌ترین پروتکل‌ها و فناوری‌ها را به خدمت گرفت. مثلاً تعدادی از نظام‌ها ممکن است به غلط برای مجوزگرفتن اتصال، به صورت ناشناس با یک پیش‌فرض پیکربندی کنند، در حالیکه اتصال ناشناس بر طبق خط‌مشی امنیتی سازمان نباید اجازه یابد که وارد نظام شود. دسترسی از راه دور، فناوری امنیت اطلاعات از نوع واکنشی است، زیرا یک فرد یا فرایند برای اتصال از راه دور، قادر به دستیابی بر طبق امتیازات دسترسی می‌باشد. این فناوری در سطح میزبان قابل پیاده‌سازی می‌باشد.
نتیجه‌گیری
اگر چه اغلب سازمان‌ها تمایل به داشتن شبکه‌های ایمن دارند، ارائه تعریفی واحد از امنیت که همه نیازهای شبکه را تأمین نماید ممکن نیست. در عوض هر سازمان باید ارزش اطلاعات خود را ارزیابی کند و سپس یک خط‌مشی امنیتی برای مواردی که باید مورد حفاظت قرار گیرند مشخص نماید. مثلاً روش‌های تعیین اعتبار زیست‌سنجی از نظر قدرت و در دسترس بودن، در حال بهبود هستند، اما در حال حاضر با نوعی تردید با آن‌ها برخورد می‌شود و این تردید ناشی از هزینه‌های نسبتاً بالا و مشکلات مرتبط با دغدغه‌های حفظ حریم خصوصی می‌باشد. البته نظراتی وجود دارند که به موجب آن‌ها می‌توان از ترکیب فناوری‌های متنوع امنیتی، برای تشکیل فناوری‌های امنیتی قوی در زمینه امنیت اطلاعات استفاده نمود.  مثلاًً در آینده نزدیک با ترکیب دیوار آتش، نظام‌های آشکارساز نفوذی و فناوری‌های پویشگرهای ضد ویروس، به تشکیل یک فناوری نیرومند در زمینه امنیت اطلاعات خواهیم رسید.
برای یک سازمان، شناختن فناوری‌های امنیت اطلاعات قابل دسترس، مهم است، تا از آن برای تدوین خط‌مشی‌های امنیتی با توجه به نوع و حساسیت اطلاعات سازمان خود، استفاده نمایند. به علاوه، ارائه این طبقه‌بندی از فناوری‌ها، زمینه‌ساز پژوهش جدیدی خواهد بود.
 

فصلنامه علوم اطلاع‌رسانی

مریم اسدی
کارشناس ارشد کتابداری و اطلاع‌رسانی

به نظر شما نیازمندی‌های امنیتی چیست و آیا می‌توان این نیازمندی‌ها را پاسخ گفت؟

تفاوت‌های میان نیازمندی‌های یک دانشگاه و یک سازمان نظامی که کارهای رمزنگاری انجام می دهد را در نظر بگیرید. تفاوت اصلی در نحوه به اشتراک گذاشتن اطلاعات است. دانشگاه نتایج پژوهش‌ها را در اختیار عموم قرار می دهد. از طرف دیگر سازمان نظامی به محرمانگی اهمیت ویژه ای می دهد. نه‌تنها سازمان مایل به افشای نحوه شکستن الگوریتم‌های رمز نیست، بلکه حتی نمی خواهد دیگران از شکسته ‌شدن الگوریتم رمز آگاه شوند. بنابراین امنیت معنای ثابتی ندارد و این نیاز به تعریف امنیت را گوشزد می کند.

هنگامی که سازمانی بخواهد سیستم‌های خود را امن کند باید نخست نیازمندی‌ها را مشخص کند. دانشگاه نیاز به حفاظت از سلامت داده ها و تا حدی محرمانگی آن‌ها دارد. ضمنا ممکن است نیاز به دسترس پذیر بودن سیستم از طریق اینترنت برای دانشجویان و استادان داشته باشد. در مقابل سازمان نظامی به محرمانگی کلیه کارهای خود تاکید دارد. سیستم‌های آن نباید از طریق شبکه در دسترس باشند. سلامت داده ها نیز مهم است ولی نه به اندازه محرمانگی آن‌ها. یک سازمان نظامی معمولا ترجیح می دهد داده ها از بین بروند تا اینکه افشا شوند.

این مثال نشان می‌دهد که نیازمند‌های امنیتی تا چه اندازه با یکدیگر متفاوتند و به‌همین خاطر شرکت‌های عرضه‌کننده محصولات امنیتی و کامپیوتری مجبورند برای پاسخ‌گویی به هر یک از این نیازها، آن‌ها را به‌صورت جداگانه و منفصل در نظر بگیرند و بررسی کنند. این طور که امروزه مشخص شده، بیشتر نیازمندی‌هایی که در زمینه امنیت وجود دارد از میان برداشته شده و به‌همین خاطر کاربران با آرامش خاطر بیشتری این روزها از کامپیوتر و اینترنت استفاده می‌کنند.

آیا در زمینه امنیت نیز سیاست‌های خاصی وجود دارد؟ این سیاست‌ها چگونه تعیین می‌شود؟

نیازمندی‌های امنیتی مجاز بودن برخی اعمال و حالت‌های سیستم را دیکته کرده و بقیه را غیرمجاز می¬دانند. یک سیاست امنیتی بیان خاصی است از موارد مجاز و غیرمجاز. اگر همیشه سیستم در حالت‌های مجاز باقی بماند و کاربران تنها اعمالی را که مجاز هستند بتوانند انجام دهند، آن‌گاه سیستم امن است. اگر سیستم بتواند به یک حالت غیرمجاز وارد شود یا کاربر بتواند عمل غیرمجازی را با موفقیت انجام دهد، سیستم ناامن خواهد بود. این ناامنی می‌تواند مشکلات جبران‌ناپذیری را برای کاربران به‌دنبال داشته باشد و علاوه بر اختلال در سیستم‌مرکزی کامپیوتر، موجبات بروز خسارات مالی فراوان را فراهم آورد.

تعیین سیاست‌های امنیتی که می‌تواند حالت جهان‌شمول داشته باشد و همه کاربران جهانی را دربر بگیرد، معمولا توسط شرکت‌های بزرگ کامپیوتری و مراکز اصلی قانون‌گذاری فناوری در جهان صورت می‌گیرد و طی آن تمامی کشورها موظف به انجام این قبیل قوانین می‌شوند و باید همه سیاست‌های تعیین شده را به مرحله اجرا برسانند.

راهکارهای امنیتی چیست و چگونه عملی می‌شود؟

راهکارهای امنیتی سیاست امنیتی را اجرا می¬کنند که هدف اصلی از آن‌ها این است که از ورود سیستم به حالت‌های غیرمجاز جلوگیری شود. راهکارها ممکن است فنی یا عملیاتی باشند. به‌عنوان مثال فرض کنید سازمان نظامی سندهای طبقه بندی نشده و سندهای فوق‌سری دارد. کاربرانی که حق دسترسی به اسناد فوق‌سری را ندارند نمی توانند به آن‌ها دسترسی پیدا کنند.

راهکارهای فنی برای برخی سیاست‌ها مناسب نیستند. برای مثال دانشگاه می خواهد دانشجویان را از داشتن فایل‌های موزیک روی کامپیوترشان منع کند. جهت انجام این کار راهبران سیستم قادرند کامپیوترها را برای یافتن موزیک جست‌وجو کنند، ولی دانشجویان باهوش می توانند فایل‌های موسیقی را به‌صورت متنی کدگذاری کنند. ولی راهکار عملیاتی که دانشجویان را از قرار دادن فایل موسیقی منع می کند در کنار تنبیه در صورت تخلف، خیلی مناسب‌تر و موثرتر از راهکار فنی می‌تواند باشد.

اینکه کل راهکارهای اتخاذ شده به‌درستی سیاست امنیتی را پیاده سازی می کند پرسشی مربوط به اطمینان یا تضمین است. برای مثال فایروال‌ها سیستم‌هایی محسوب می‌شوند که واسطه اتصال سیستم یا شبکه داخلی به اینترنت هستند. فایروال می تواند تلاش‌های اتصال به شبکه داخلی از اینترنت را بلوکه کند. با این حال اگر نرم افزار فایروال به‌درستی نوشته نشده باشد، ممکن است برخی اتصال‌ها که سیاست امنیتی اجازه نداده را بلوکه نکند.

در ادامه دو مثال این مورد را بیشتر توضیح می دهند. اول فرض کنید سیاست سازمان آن است که از شبکه های خارجی نقطه‌به‌نقطه(Point to Point) استفاده نشود. ساده ترین راه آن است که فایروال به گونه ای پیکربندی شود که پیام‌های خارجی درگاه مربوطه را نپذیرد. با این حال اگر فایروال به‌خوبی پیکربندی نشده باشد، ممکن است پیامی حتی اگرچه سیاست امنیتی آن را منع کرده باشد، بپذیرد. بنابراین راهکار مورد نظر برای اجرای سیاست امنیتی شکست می خورد.

دوم فرض کنید دانشگاه یک سایت اینترنتی برای اسنادی که قرار است در دسترس پژوهشگران بیرونی باشند دارد. سیاست امنیتی سیستم آن است که فایل‌های موجود در دایرکتوری‌های کارگزار وب برای اجرای این سیاست پیکربندی شوند. متاسفانه کارگزار یک خطای نرم افزاری دارد که با فرستادن یک URL خاص می توان به هر فایل روی سیستم دسترسی پیدا کرد. در این جا راهکار نه به‌علت پیکربندی نادرست، بلکه به‌علت خطای نرم افزاری شکست می خورد.

تضمین‌های امنیتی تا چه اندازه می‌تواند در افزایش اطمینان خاطر کاربر در کامپیوتر و اینترنت مفید واقع شود؟

اینکه چقدر سیاست‌های امنیتی نیازمندی‌ها را می پوشانند و راهکارها سیاست‌ها را پیاده سازی می کنند، در قلمروی بحث تضمین امنیتی قرار می گیرد. متدولوژی‌های مختلفی برای اندازه گیری تضمین یا اطمینان امنیتی وجود دارند. متدولوژی می تواند به‌عنوان بخشی از فرآیند مهندسی نرم‌افزار باشد، با این حال هیچ متدولوژی نمی تواند به‌طور مطلق امن بودن سیستم را تضمین کند، ولی متدولوژی‌های مختلف درجه های مختلفی از امنیت را فراهم می کنند. روش‌های مختلف ارزیابی میزان تضمین امنیت نه‌تنها به سیستم، بلکه به محیط ارزیابی و فرآیند تولید سیستم نیز بستگی دارند.

تضمین حتی به نیروهای انسانی نیز بستگی دارد. اینکه راهبران فنی چقدر از سیاست امنیتی را درک کرده اند؟ آیا سیاست گذاران افراد را برای پرسش موارد مبهم تشویق می کنند؟ آیا پاسخ‌ها گویا و مفید است؟ و بسیاری موارد دیگر.

این پرسش‌ها اهمیت آموزش افراد متخصص امنیت را یادآور می¬شوند. آموزش خود در دو جایگاه می تواند متجلی شود. این دو جایگاه شامل آموزش دانشگاهی و آموزش حرفه ای می‌شود که هر یک اهداف خاص خود را دارند.

مولفه های امنیت کدامند و چه فایده‌ای دارند؟

به‌طور کلی امنیت سه مولفه دارد: نیازمندی‌ها، سیاست و راهکارها. نیازمندی‌ها اهداف امنیت را تعریف می کنند. آن‌ها به این پرسش که "از امنیت چه انتظاری دارید؟" پاسخ می دهند. سیاست معنای امنیت را تعریف می کند و به پرسش "چه گام‌هایی برای رسیدن به اهداف بالا برمی دارید؟" پاسخ می دهد. راهکارها سیاست را اعمال می کنند. به این پرسش پاسخ می دهند که آن‌ها "از چه ابزارها و روال‌هایی برای اطمینان از طی‌ شدن این گام‌ها استفاده می کنند؟" از یک دید امنیت از دو مقوله امن‌ بودن یا امن نبودن سیستم کار خود را انجام می‌دهد. با این حال ارزیابی امنیت با این روش مفید نیست. به‌طور کلی میزان امنیت یک سایت با میزان پوشش دادن نیازمندی‌ها سنجیده می‌‌شود. بنابراین یک سازمان که از قابلیت‌های امنیتی فعال شده بسیاری استفاده می کند، ممکن از سازمان مشابه دیگری که از امکانات امنیتی کمتری استفاده می کند امنیت کمتری داشته باشد.

امنیت در اینترنت و فضاهای مجازی چگونه است و شما چطور می‌توانید تضمین کنید که یک فرد پس از ورود به شبکه اینترنت می‌تواند بدون بروز هرگونه مشکل به فعالیت‌های خود بپردازند؟

در خصوص شبکه‌های اطلاع‌رسانی و به‌خصوص اینترنت مبحث امنیت را می‌توان از دو جنبه مورد بررسی قرار داد که این دو جنبه شامل امنیت سرویس‌دهندگان(Servers Security) و امنیت کاربران(Client Security) می‌شود که در هر دو مورد با تهدیدهای بسیار جدی از سوی مهاجمان و مخربین مواجه هستیم. با توجه به گسترش زمینه‌های گوناگون استفاده از اینترنت به‌خصوص تبادلات بازرگانی و فعالیت‌های اقتصادی و علاقه‌مندی شدید مهاجمان به این نوع از تخریب‌ها، در قدم اول سعی بر آن است تا از نفوذ هکرها به این بخش جلوگیری شود. طی چند ماه اخیر مطالعات فراوانی در مورد سطح امنیت اینترنت شده که نتایج بسیاری از آن‌ها نگرانی کاربران این ابزار ارتباطی مدرن را به‌دنبال داشته است. متاسفانه این تحقیقات نشان می‌دهد اینترنت آن‌قدرها هم که برخی تصور می‌کنند، ایمن نیست و به هنگام استفاده از آن باید خیلی دقت کرد. البته اگر هم‌چنین گزارش‌هایی منتشر نمی‌شد، نتیجه چندان تفاوتی نمی‌کرد، زیرا بسیاری از کاربران اینترنت خود به‌طور مستقیم بارها و بارها آلوده شدن سیستم‌های رایانه‌ای خود به ویروس‌ها، کرم‌ها، تروجان‌ها و نرم‌افزارهای جاسوسی را تجربه کرده‌اند. همه ما با هرزنامه‌های اینترنتی آشنایی داریم و شاید چندین هزرنامه الکترونیکی از این دست را دریافت کرده باشیم.

حفره‌های امنیتی و اشکالات نرم‌افزارها و سیستم‌عامل‌های مختلفی که به هنگام اتصال به اینترنت مورد استفاده قرار می‌گیرند نیز معمولا از سوی هکرهای حرفه‌ای و ویروس‌نویسان مورد سوءاستفاده قرار می‌گیرد و آنان از این طریق ضمن مطلع ‌شدن از هویت برخی کاربران، خود را به جای آنان جا زده و در فضای مجازی جولان می‌دهند. نقص‌های مذکور که برخی از آن‌ها بسیار جدی هستند همچنین امکان اجرای انواع نرم‌افزارهای مخرب را روی کامپیوترهای شخصی فراهم می‌آورند و چه‌بسا موجب شوند که هکر به اطلاعات شخصی حساسی مانند کلمات عبور، شماره‌های کارت‌های اعتباری و دیگر جزئیات مربوط به حساب‌های بانکی دست یابد.

رویداد امنیتی در فضای سایبر چیست و چگونه رویکرد امنیت لایه‌بندی ‌شده در مقابل تهدیدها و حملات معمول از شبکه سایبر محافظت می‌کند؟

برای تامین امنیت روی یک شبکه، یکی از بحرانی‌ترین و خطیرترین مراحل تامین امنیت دسترسی و کنترل تجهیزات شبکه است. تجهیزاتی چون مسیریاب، سوئیچ یا فایروال‌ها که هر کدام از آن‌ها در جایگاه خود اهمیت ویژه‌ای دارد. اهمیت امنیت تجهیزات به دو علت بسیار مهم تلقی می‌شود:

الف – عدم وجود امنیت تجهیزات در شبکه به نفوذگران به شبکه اجازه می‌دهد که‌با دست‌یابی به تجهیزات امکان پیکربندی آن‌ها را به گونه‌ای که تمایل دارند آن سخت‌افزارها عمل کنند داشته باشند. از این طریق هرگونه نفوذ و سرقت اطلاعات و یا هر نوع صدمه دیگری به شبکه، توسط نفوذگر امکان‌پذیر خواهد شد.

ب – برای جلوگیری از خطرهای DoS (Denial of Service) تامین امنیت تجهیزات روی شبکه الزامی است. توسط این حمله‌ها نفوذگران می‌توانند سرویس‌هایی را در شبکه از کار بیندازند که از این طریق در برخی موارد امکان دسترسی به اطلاعات با دور زدن هر یک از فرآیندهای AAA فراهم می‌شود.

هر زمان که به اینترنت متصل می‌شوید و پست الکترونیکی ارسال می‌کنید و یا اطلاعات شخصی خود را در یک وب‌سایت ثبت می‌کنید، آدرس اینترتنی(IP) شما در تمام اینترنت منتشر می‌شود و با این آدرس هر شخصی بلافاصله می‌تواند شروع به هک‌ کردن شما کند. این امر می‌تواند مشکلات عدیده‌ای را برای شما به‌وجود آورد که مهم‌ترین آن‌ها شامل به سرقت رفتن شماره کارت اعتباری و اطلاعات شخصی، خوانده‌ شدن پست الکترونیکی، مستقر شدن یک ویروس یا کرم اینترنتی، پاک‌ شدن اطلاعات از روی کامپیوتر و ... شود.

برحسب قوانین موجود اطلاعات اشخاصی که هر مرکز یا سازمانی به آن دسترسی دارند طبقه‌بندی می‌شوند و هر شخص برحسب کار خود به یک سری اطلاعات از پیش تعیین‌ شده دسترسی پیدا می‌کند. حال اگر شخصی سعی به دسترسی به اطلاعات در محدوده‌هایی غیر از محدوده خود کند به این عمل دسترسی غیرمجاز می‌گویند. باید توجه داشته باشیم که هکرها و سارقان اینترنتی از جمله کسانی هستند که معمولا از دسترسی‌های غیرمجاز استفاده می‌کنند. اصطلاح هکر معمولا به کسانی اطلاق می‌شود که از نفوذ به سیستم و دسترسی به اطلاعات قصد بدی نداشته و صرفا جهت اطلاع از وضعیت امنیتی و اعلان خطر به مدیر سیستم دست به این کار می‌زنند و خود از متخصصان شبکه و کامپیوتر هستند. سارقان الکترونیکی نیز در واقع بیشتر سعی در سرقت و دسترسی به اطلاعات و سوءاستفاده از آن دارند. این اطلاعات می‌تواند خانوادگی، تجاری، سیاسی و یا نظامی باشد. بیشتر این اشخاص اقدام به ربودن رمز عبور کارت‌های اعتباری و شماره‌حساب‌های بانکی اشخاص می‌کنند.

این روزها برخی روزنامه‌نگاران سایبر فکر می‌کنند ما با فضاسازی سعی در معرفی اینترنت به مثابه پدیده‌ای ضدامنیتی داریم. مسؤولان سیاست‌گذاری اینترنتی به استراتژی تلفیقی آمریکایی- چینی در حوزه اینترنت معتقد هستند. ایالات متحده در سال 2000 در بیانه استراتژی امنیت ملی در قرن جدید اینترنت را هم به‌عنوان تهدید امنیتی و هم به‌عنوان بزرگ‌ترین فرصت ملی تلقی کرد و چین هم رسما اعلام کرد که به‌دنبال برقراری توازن میان جریان آزاد اطلاعات و صیانت از فرهنگ و ارزش‌های اجتماعی خود است. اگر در اخبار رسانه به جاسوسی سایبر اهمیت داده می‌شود، وجه تهدید امنیتی اینترنت بارز شده است و این به مثابه تهدید نیست.

امنیت شبکه چیست و چگونه تامین می‌شود؟

وقتی بحث امنیت شبکه پیش می‌آید مباحث زیادی قابل طرح و ارایه هستند، موضوعاتی که هر کدام به‌تنهایی می‌توانند جالب، پرمحتوا و قابل درک باشند. اما وقتی صحبت کار عملی به میان می‌آید قضیه پیچیده می‌شود، زیرا ترکیب علم و عمل احتیاج به تجربه دارد و نهایت هدف یک علم هم به‌کار آمدن آن است.

همیشه در امنیت شبکه لایه‌های دفاعی موضوع داغی است که نظرات مختلفی در مورد آن وجود دارد. عده‌ای فایروال را اولین لایه دفاعی می‌دانند، بعضی‌ها Access List را در این زمینه اول می‌دانند و ...، اما واقعیت پنهان این است که هیچ کدام از این‌ها نخستین لایه دفاعی نیستند. اولین لایه دفاعی در امنیت شبکه و حتی امنیت فیزیکیPolicy است. بدون این مقوله لیست کنترل، فایروال و هر لایه دیگر بی‌معنی خواهد شد و اگر بدون policy شروع به ایمن کردن شبکه شود، محصول نتیجه‌ای در پی نخواهد داشت.

برای ایمن کردن شبکه‌ها باید پنج مرحله ما باید پنج مرحله بازرسی،‌حفاظت، ردیابی، واکنش و بازتاب مورد توجه قرار گیرد. در طول مسیر از این پنج مرحله عبور می‌کنیم، ضمن اینکه ایمن‌ کردن شبکه به این شکل احتیاج به تیم امنیتی دارد و یک نفر به‌تنهایی نمی‌تواند این فرآیند را طی کند و اگر هم بتواند‌، مدت‌زمان زیادی طول می‌کشد و قانون حداقل زمان ممکن را نقض می‌کند. باید توجه داشت که امروزه امنیت شبکه یک مسئله مهم برای ادارات و شرکت‌های دولتی و سازمان‌های کوچک و بزرگ است. تهدیدهای پیشرفته از سوی تروریست‌های فضای سایبر، کارمندان ناراضی و هکرها رویکردی سیستماتیک را برای امنیت شبکه می‌طلبد. در بسیاری از صنایع، امنیت به شکل پیشرفته یک انتخاب نیست بلکه یک ضرورت است.

متخصصان امنیت شبکه از اصطلاحی با عنوان ضریب عملکرد(work factor) استفاده می‌کنند که مفهومی مهم در پیاده‌سازی امنیت لایه‌بندی است. ضریب عملکرد به‌عنوان میزان تلاش مورد نیاز توسط یک نفوذگر به‌منظور تحت تاثیر قرار دادن یک یا بیشتر از سیستم‌ها و ابزار امنیتی تعریف می‌شود که باعث رخنه‌ کردن در شبکه خواهد شد. یک شبکه با ضریب عملکرد بالا به سختی مورد دستبرد قرار می‌گیرد، درحالی ‌که یک شبکه با ضریب عملکرد پایین می‌تواند نسبتا به‌راحتی مختل شود. اگر هکرها تشخیص دهند که شبکه شما ضریب عملکرد بالایی دارد، احتمالا شبکه شما را رها می‌کنند و به سراغ شبکه‌هایی با امنیت پایین‌تر می‌روند و این دقیقا همان چیزی است که شما می‌خواهید.

سید میثم لطفی

هاله عباسی باویل

Email: trinity.scorpio@gmail.com

دانشجوی کارشناسی ناپیوسته مهندسی کامپیوتر_نرم افزار

دانشگاه جامع علمی کاربردی مرکز تراکتورسازی تبریز

چکیده:
امروزه به علت اهمیت روز افزون اطلاعات و تمایل افراد به امنیت بیشتر اطلاعات مخصوصا در Internet، ابزارهای قدیمی مانند استفاده از Password به تنهایی جوابگو و قابل اعتماد نمی باشد، خصوصا با ایجاد تجارت الکترونیک و خرید و فروش اینترنتی مسئله امنیت نه تنها برای شرکتها وبانکها بلکه برای عموم افراد مهم شده است.بنابرین متخصصین به دنبال راه هایی مطمئن تر می گردند یکی از موفق ترین راه های یافته شده استفاده از علم Biometricاست.
در این مقاله در مورد علم Biometric ودلایل ایجاد آن و انواع آن بحث خواهیم کردونقاط ضعف و قدرت آنها را شناسا یی خواهیم کرد و در پایان کارتهای شناسایی بیومتریکBiometric ID Card مورد بحث قرار خواهد گرفت ودر پایان مقاله پیشنهادی در مورد امنیت در انتخابات الکترونیک.
کلید واژه ها:امنیت ، biometric ،انتخابات الکترونیک

مقدمه:
خطوطی که بر روی سرانگشتان همه انسانها نقش بسته از دیر باز مورد توجه همه بوده است،این خطوط نقشهای مختلفی دارند،یکی از این وظایف ایجاد اصطکاک بین سر انگشتان و اشیاء متفاوت است مانند قلم که با استفاده از این اصطکاک می توانیم اشیاء را برداریم ،بنویسیم،یا لمس کنیم.
از سوی دیگر این خطوط برای هر شخص منحصر به فرد است ،از سالها پیش از اثر انگشت افراد در جرم شناسی استفاده می شود،و امروزه در علم بیومتریک نیز از آن استفاده می شود. مانند تمام دیگر اعضاء بدن DNA های هر شخصی الگوی ساخت این خطوط را دارا هستند و در واقع DNA های هرشخص نیز کاملا منحصر به فردند و این قضیه تقریبا در مورد تمام دیگر اعضاء بدن صادق اند. با وجود hacker ها و دزدی های اینترنتی Password ها ابزار قابل اعتمادی نیستند.بیومتریک علم شناسایی افراد از طریق مشخصات انسانی اوست که شامل اثر انگشت،کف دست ،صورت ، امضاء ، دست خط ،اسکن عنبیه و شبکیه ، صدا است. در علم بیومتریک اعضایی از بدن مورد توجه قرار گرفته که استفاده از آنها راحتتر و کم ضرر تر باشد. هر کدام از روشهای مورد استفاده دارای نقاط ضعف و قدرتی هستند که با ترکیب آنها با دیگر روشهای امنیتی می توان ضعفهای موجود را از بین برد.
هیچ فردی نمی خواهد هنگام چک کردن موجودی خود از طریق شبکه های online بانکها متوجه شود که مو جودیش خالی شده ، در بسیاری از موارد به علت معنی دار بو دن Passwordها افرادی که تا حدی ما را می شناسند میتوانند آنها را حدس بزنند و با فهمیدن شماره ما در بانک به راحتی با استفاده از شبکه onlineبانک وارد حساب ما شده موجودی ما را خالی کنند.
با توجه به سرعت رشد قابل توجه تجارت جهانی و اهمیت تجارت نمی توان از سیستمهای قدیمی دستی یا حضوری برای مدت زمان طولانی استفاده کرد، از طرف دیگر استفاده از این روشهای قدیمی با عث اتلاف انرژی و زمان زیاد شده و در مدت زمان طولانی کار کمتری انجام می شود. بنابرین در تجارت ، به موضوع تجارت الکترونیکی نیاز احساس می شود و موضوع بسیار مهمی که امروزه مورد توجه است مسئله امنیت وsecurityاست. Biometric با استفاده از روشهای قابل اعتماد میتواند تا حد زیادی جوابگوی مشکلا تی از این قبیل باشد. علمBiometric نه تنها در مورد تجارت الکترونیک بلکه در موارد بسیار دیگری نیز کاربرد دارد. به عنوان مثال در آزمایشگاهای مهم و حساس یا ورودیها ی ساختمانهایی که در مورد ورود و خروج از آنها حساسیم یا می توانیم از قفلهایی که روی آنها صفحه کلید نصب شده استفاده کنیم و به افراد مورد نظر اسم رمز عبور بدهیم تا هنگام ورود از آن استفاده کرده داخل شوند ولی این روش نیز زیاد قابل اعتماد نیست با لو رفتن کلمه عبور دیگر این کار به درد نخور خواهد شد. ولی زمانیکه از اثر انگشت یا کف دست یا ... برای شناسایی و اجازه ورود استفاده شود دیگر این مسائل ایجاد نخواهد شد. بعد از شرح اهمیت این موضوع به بررسی Biometric می پردازیم.
در تمام مواردی که ذکر خواهد شد ابتدا با استفاده از وسایل مخصوص آن روش معمولا تا 3 بار الگوی اولیه گرفته می شود و بعد از بدست آوردن بهترین الگو ، ذخیره می شود و موقع شناسایی با این الگو مقایسه انجام می گیرد.

در Biometric از مشخصا ت فیزیکی و رفتاری برای شناسایی افراد استفاده میشود، مشخصات فیزیکی مانند:اثر انگشت، اسکن دست ، صورت وچشم که خود به دو دسته اسکن عنبیه و شبکیه تقسیم می شود. مشخصات رفتاری مانند:صدا، امضاء، تایپ.

اثر انگشت:
برای استفاده از اثر انگشت از اسکنرهای مخصوصی استفاده می شود این اسکنرها انواع متفاوتی دارند بعد از اینکه انگشت روی صفحه اسکنر قرار گرفت، بسته به نرم افزار استفاده شده، اثر انگشت اسکن شده و نقاط کلیدی آن تعیین شده و با الگوی اولیه تطبیق داده می شود .البته با توجه به اینکه زمان مقایسه بعد از مدتی که حجم مقایسات زیادشد ،بالا میرود و برای کمتر کردن این زمان، ابتدا نقاطی را به عنوان نقاط کلیدی برای دسته بندی اسکن های موجود استفاده می کنیم و در زمان انطباق از همین کلیدها استفاده کرده و زمان مقایسه را پایین می آوریم. هر چند که تحلیل اثر انگشت بعضی از افراد مانند کارگرانی که کارهای سخت با دستهای خود انجام می دهند یا افراد معتاد مشکل است ولی در کل در بسیاری از موارد از اثر انگشت استفاده های موفقی انجام شده.
امروزه این اسکنرها نه تنها در ادارات پلیس بلکه در روی صفحه کلیدها و حتی موش واره ها وجود دارند و از انها در موارد متفاوتی استفاده میشود ، مثلا میتوان با استفاده از امکانات نرم افزاری کامپیوتر را قفل کنیم و در صورتی سیستم کامپیوتری قفل را باز کند که اثر انگشت شما را روی صفحه اسکنر خود اسکن کند.
در آینده شاید بتوان از اسکن اثر انگشت به جای تایپ Password در چک کردن پست های الکترونیکیمان استفاده کنیم ، یا در تجارت الکترونیک یا تغییر موجودی در بانکهای online از آن استفاده ببریم.

اسکن دست:
برای اسکن سطح کف دست از اسکنرهایی با صفحه اسکنی که برای درست قرار گرفتن دست هنگام اسکن مهره هایی برروی آن قرار گرفته استفاده می شود مانند اثر انگشت اسکنر بعد از اسکن کرئن با توجه به قابلیتهای نرم افزار و سخت افزار استفاده شده مقایسه انجام می شودکه در صورت تطبیق هویت شخص تایید می شود.
جغرافیای کف دست بعد از مدتی با گذشت سال و با بالا رفتن سن تغییر می کند و نیز جراحات نیز باعث عوض شدن شکل کف دست می شود ، بنابرین در استفاده از این روش باید اسکن به دست آمده در مواقع لزوم و نیز بعد از یک دوره زمانی به روز شود و اسکن جدیدی برای شناسایی افراد ایجاد شود. بنابرین استفاده از این روش در مواردی مفید است که به طور مستمر مورد استفاده قرار گیرد و افراد مورد شناسایی با این روش در دسترس باشند. البته این روش به علت اینکه سطح بزرگی را مورد مقایسه قرار می دهند دارای ضریب اطمینان بالایی هستند.

صورت:
اسکن از صورت به طرزی متفاوت از موارد دیگر صورت می گیرد در این روش نمونه بدست آمده باید به صورت 3D باشد برای این منظور از 3 دور بین که نسبت به هم زاویه 90 درجه می سازند یا از یک دوربین متحرک که بصورت یک نیم دایره که مرکز آن صورت شخص مورد نظر قرار گرفته استفاده کرد و به وسیله نرم افزار مر بوطه یک تصویر3D بدست آورد در تصویر بدست آمده نقاط قرار گیری ابروها ، چشمها، بینی، دهان ،چانه و طول چانه و پیشانی همچنین فاصله چشمها و ابرو ها و ... ثبت و سپس با نمونه های ذخیره شده مقایسه می شوند.
این روش به علت استفاده از سخت افزار و نرم افزارهای گران قیمت هزینه زیادی دارد ولی قابلیت اعتماد بالایی دارد. در این روش نیز مانند روش اسکن کف دست نیاز به بروز شدن اطلاعات وجود دارد.

چشم:
اسکن چشم به دو صورت است:
اسکن شبکیه:
در اسکن شبکیه با استفاده از دوربین مخصوص الگوی رگ های خونی اسکن می شود برای این کار از لیزر مادون قرمز کم قدرت استفاده میشود. برای بدست اوردن یک تصویر با کیفیت خوب و متمرکز باید چشمها نزدیک دوربین قرار گیرد و این موضوع و اینکه از اشعه لیزر استفاده می شود باعث شده افراد زیادی به این روش علاقه نشان ندهند. درضمن بر خلاف تصور اینکه شبکیه تغییر نمی کند تحقیقات پزشکی نشان داده که برخی از بیماریها روی شبکیه تاثیر می گذارند و آن را تغییر می دهند.

اسکن عنبیه:
در اسکن عنبیه دوربین مخصوص رگه های عنبیه را اسکن میکند وبا توجه به اینکه تعدادی زیادی از ویژگیها مورد اسکن و مقایسه قرار می گیرند روش مطمئنی ایجاد میشود، در ضمن این روش با لنز ها و عینک ها نیز تطبیق داده شده ونیز مشکل نز دیک بودن دوربین به چشم نیز حل شده و کاربر باید چشم خود را در فاصله حدوداً 30 سانتی متری از دوربین قرار دهد .
 

امضاء:
برای ثبت امضا از یک اسکنر بخصوص استفاده می شود ، این اسکنر نه تنها شکل امضاء را اسکن می کند بلکه طرز امضاء کردن را هم می سنجد، به این مفهوم که مناطقی را که قلم را فشار دادید یا تند حرکت دادید ویا برعکس مناطقی از امضا را که خط نازک کشیده اید یا با دقت و آرامش بیشتری کشیده اید را ثبت و مقایسه می کند و با استفاده از این روش جعل امضاء غیر ممکن می شود. البته این روش بهتر است که در مواردی استفاده شود که افراد زیاد از امضاء خود استفاده می کنند در غیر این صورت این روش نیز احنیاج به به روز شدن پیدا می کند. از این روش در امضا کرئن قرار داد های مهم که در فواصل دور انحام می گیرد و همچنین در بانکها میتوان استفاده کرد.

صدا:
ضبط صدا از طریق یک دستگاه ضبط کننده صدا انجام می گیرد و سپس با سخت افزار و نرم افزار مربوطه مورد تحلیل قرار می گیرد با توجه به امکانات در دسترس میتوان مکث ها و بالا و پایین رفتن تون صدا را به صورت یک الگوی صوتی در اورد و با الگوهای ذخیره شده مورد مقایسه قرار داد. نمونه وسایل ساخته شده از این روش قفل در است که با چک کردن صدا و کلمه گفته شده ومعنی جمله ساخته شده کار می کند. به این صورت که کلمه ای یا جمله ای از قبل تعیین شده و به کاربر گفته می شود.

الگوی تایپ:
شاید این کمی عجیب به نظر برسد ولی الگوی تایپ افراد نیز کاملا با دیگران متفاوت است، در این مورد نیز جمله ای در نظر گرفته می شود و کاربر جمله را در شرایط یکسان با نمونه اولیه تایپ می کند و مقایسه صورت می گیرد، در این نوع نیز تفاوت زمانی ما بین تایپ کلمات ، سرعت تایپ و ... تعیین شده با الگوهای قبلی مقایسه می شود. این روش نیز نیاز به به روز شدن و استفاده مستمر دارد در غیر این صورت مثمر ثمر نخواهد بود.

کارتهای شناسایی بیومتریک:
کارتهای شناسایی بیومتریک یا Biometric ID Cards ترکیبی از کارتهای شناساشی معمولی و یک یا چند مشخصه بیومتریک هستند. این کارتها کاملا مورد اعتماد هستند و تقلب در آنها و سوء استفاده از آنها تقریبا غیر ممکن است. این کارتها شامل نوع کارت ،مانند :کارت رانندگی ، کارت ماشین و... هستند و سپس مشخصات دارنده کارت مانند :نام ، نام خانوادگی و ... ویک عکس مربوط به دارنده کارت تمام مشخصا ت بعد از ورود به همراه اسکن عکس و تعیین پیکسلهاِی عکس با توجه به یک الگوی مخصوص رمز گذاری که برای آن سازمان در نظر گرفته شده رمز گذاری شده و در قسمت زیر عکس به صورت کد (bar code) ذخیره می شود، سپس هنگام تشخیص عکس و تمام مشخصات ثبت شده برروی کارت خوانده شده و به وسیله الگوی رمز گذاری برای آن سازمان رمز گذاری میشود و سپس bar code بوسیله دستگاه خوانده شده و رمز حاصل از آن با رمز بدست آمده از رمز گذاری مقایسه میشود و در صورت تطبیق هویت فرد تایید می شود.
در این روش چون هم رمز و هم مشخصات بر روی کارت ثبت می شود دیگر نیازی به اطلاعات حجیم نمی باشد و فقط الگوهای رمز گذاری باید مشخص باشد و این در مقایسه با حجم بسیار زیاد الگوهای ذخیره شده ناچیز است.
اگر در این کارتها یک مشخصه بیومتریک نیز مانند اثر انگشت ثبت شود نه تنها از قانونی بودن کارت اطمینان حاصل می شود بلکه از اینکه کارت به شخص تعلق دارد نیز می توان مطمئن شد.

نتیجه:
Biometric روشهای قابل اطمینان و غیر قابل جعل یا کپی برداری را ارائه می دهد ، مخصوصا در مواردی که اطلاعات حیاتی است مانند اطلاعات تجاری مربوط به یک شرکت ویا حسابهای بانکی این روشها بسیار موفق است .
بعضی از روشهای گفته شده امروزه مورد توجه بسیاری از سازمانهاست، به عنوان مثال امروزه در بعضی ادارات و ساختمانها از چک کردن اثر انگشت به همراه شماره پرسونلی برای ثبت ساعات ورود و خروج کارمندان استفاده می شود.از این روشها می توان در انتخابات الکترونیک نیز بهره جست.

منابع:

Web site: www.howstuffwork.com
Fingerprint basics

Website: www.opticsreport.com
http://www.opticsreport.com/content/article.php?article_id=1014&page=1

Website: www.wisegeek.com 
What is Biometric Face Recognition

Website: www.sciencenews.org
Website: www.ircert.com

  جدول 1. مقایسه تهدیدات امنیتی در لایه های چهارگانه TCP/IP

جدول 2. اهراف امنیتی در منابع شبکه

جدول 3. سرویس های امنیتی در لایه های مختلف TCP/IP

جدول 4. مکانیزم های امنیتی مربوط به لایه های مختلف TCP/IP

جدول 5. مقایسه تجهیزات امنیتی در لایه های چهارگانه TCP/IP

کارشناس واحد اطلاع رسانی کتابخانه مرکزی دانشگاه شهید بهشتی