X
دعوت به همکاری - گوینده
انتشارات و موسسه فرهنگی نوین پندار از علاقه مندان به گویندگی دعوت به همکاری مینماید. جهت کسب اطلاعات بیشتر به صفحه همکاری با ما مراجعه نمایید.
:: :: :: :: :: اطلاعیه :: :: :: :: ::
 
 
 
width: px
height: px

زیرخط امنیت؛ اتفاقات مهم امنیتی هفته‌ی گذشته

14:21   |   شنبه 27 دی ماه 93   |   تعداد بازدید : 10907
زیرخط امنیت؛ اتفاقات مهم امنیتی هفته‌ی گذشته,امنیت، امنیت اطلاعات، اتفاقات امنیتی، خط امنیت، رویدادهای امنیتی، مشکلات امنیتی، امنیت سایبری، وزارت امنیت، پچ امنیتی، اصلاحیه امنیتی، مایکروسافت، DHS، BYOD، گجت، لپ‌تاپ، تبلت، شبکه‌های اداری، کارشناس امنیت، امنیت شبکه، اشتراک، سرور سازمان، دیتابیس، سیستم ایمیل، کاربر اندروید، WebView، کامپوننت، فایرفاکس، کروم، اندروید، تبلت اندرویدی، باگ، Debugging، Skeleton، Key، دایرکتوری، اکتیو دایرکتوری، بدافزار، احراز هویت، کلاینت، vpn، ضعف امنیتی، Patch، به‌روزرسانی مایکروسافت، Telent، اینترنت اکسپلورر، اینترنت اکسپلورر 11، LinkedIn، حملات سایبری
امنیت، امنیت اطلاعات، اتفاقات امنیتی، خط امنیت، رویدادهای امنیتی، مشکلات امنیتی، امنیت سایبری، وزارت امنیت، پچ امنیتی، اصلاحیه امنیتی، مایکروسافت، DHS، BYOD، گجت، لپ‌تاپ، تبلت، شبکه‌های اداری، کارشناس امنیت، امنیت شبکه، اشتراک، سرور سازمان، دیتابیس، سیستم ایمیل، کاربر اندروید، WebView، کامپوننت، فایرفاکس، کروم، اندروید، تبلت اندرویدی، باگ، Debugging، Skeleton، Key، دایرکتوری، اکتیو دایرکتوری، بدافزار، احراز هویت، کلاینت، vpn، ضعف امنیتی، Patch، به‌روزرسانی مایکروسافت، Telent، اینترنت اکسپلورر، اینترنت اکسپلورر 11، LinkedIn، حملات سایبری


به زیرخط امنیت این هفته خوش آمدید. در این مقاله قصد داریم تمامی اتفاقات و رویدادهای مهم امنیتی اعم از گزارش‌ها، قصورها و مشکلات امنیتی هفته‌ی گذشته را موردبررسی قرار دهیم.
در این هفته به مباحثی چون: عدم امنیت سایبری در وزارت امنیت داخلی ایالات‌متحده آمریکا، قصور گوگل در ارائه‌ی یک پچ امنیتی برای حدوداً 1 میلیارد کاربر، انتشار ناگهانی یک اصلاحیه‌ی امنیتی جدید از سوی مایکروسافت و ... می‌پردازیم. با ما همراه باشید:

وزارت امنیت داخلی ایالات‌متحده آمریکا امنیت سایبری ندارد!
طبق گزارش جدیدی از فدرال ارزشیابی وزارت امنیت داخلی ایالات‌متحده آمریکا یا DHS پس 12 سال از تأسیس این موسسه نشان از عدم امنیت سایبری در زیرساخت آن دارد. بر اساس این گزارش، رویکردها و تمهیدات در زمینه‌ی برقراری امنیت سایبری DHS بسیار ضعیف بوده، بطوریکه حتی نتوانسته‌اند در برابر مشکلات امنیتی ساده تاب آورند و به نظر نمی‌رسد بتواند شهروندان و دولت را در آینده آن‌طور که باید محافظت نمایند.

BYOD در سال 2015 به نقطه‌ی عطف خود خواهد رسید!
پس از نمایشگاه  CES 2015 شرکت AT&T اعلام کرد BYOD در سال جاری میلادی به نقطه‌ی عطف خود خواهد رسید. اصطلاح BYOD مخفف واژگان Bring Your Own Device است و آوردن ابزارهای شخصی، گجت‌های متصل بە شبکه، لپ‌تاپ و تبلت شخصی بە محل کار را معنی می‌دهد. واضح است که به کار بردن BYOD در سازمان چندان هم ساده نیست و نیازمند یک برنامه‌ریزی دقیق است BYOD .در صورتی می‌تواند برای سازمان شما مفید باشد که در استراتژی سازمان شما قطعیتی جهت اینکه می‌توانید بیشتر از مزایای BYOD استفاده کنید و بر چالش‌هایش غلبه کنید، وجود داشته باشد.
فرهنگ ورود ابزارها و گجت‌های شخصی و اتصال آن‌ها بە شبکه‌های اداری گاهی معضل نامیده شده است و گاهی فرصت. از دید کارشناسان امنیت شبکه ورود هر نوع ابزار و اتصال آن‌ها بە پوشه‌های بە اشتراک گذاشته‌شده در شبکه معادل یک خطر کنترل نشده است.  فایل سرورهای سازمان، دیتابیس سازمان، سیستم ایمیل و چت داخلی سازمان و هر نوع اطلاعات اداری می‌تواند از این راه مورد سوءاستفاده قرار گیرد. به همین خاطر بعضی شرکت‌های امنیتی برای این اصطلاح، معضل چاره‌های امنیتی تعریف کرده کە بە‌عنوان سیاستی جدید در سازمان موردنظر پیاده‌سازی می‌کنند. اما با ورود خدمات زیرساخت ابری ، ممکن است تمام سخت‌‌افزار و اپلیکیشن‌ها در سازمان بە صورت فیزیکی نصب نشده باشد، بنابراین مدیر اجرایی و مدیر آی.تی میزان خطر را با کلود بە حداقل رسانده باشند. پس فرقی ندارد کارمند اداره از خانه یا کافی‌شاپ یا از اداره بە دیتابیس وصل شود چرا کە اپلیکیشن‌ها و دیتا روی کلود بوده و در فضایی ثانوی موجود است. حالا با این اوصاف بسیار از مدیران ترجیح می‌دهند پول برق و انرژی ناشی از رک‌های غول‌پیکر ندهند و دیتاهای حیاتی خورد را روی کلود و در سازمانی دیگر بیاورند تا آوردن ابزار و لپ‌تاپ توسط کارمند و تکنسین دردسرساز نباشد.
 
بی‌توجهی گوگل به مشکلات امنیتی نزدیک به 1 میلیارد کاربر اندرویدی!
یکی از کارشناسان شرکتی که در ارتباط با امنیت اطلاعات فعالیت دارد، اظهار داشته که یک باگ بسیار جدی در کامپوننت WebView اندروید ۴.۳ و نسخه‌های قدیمی‌تر یافته که ازجمله باگ‌های بسیار جدی بوده و (لازم به ذکر است که کامپوننت WebView مسئول باز کردن پنجره‌ای در اپ های اندرویدی است که از آن طریق می‌توان صفحات وب را بدون نیاز به سایر اپ ها مثل فایرفاکس، کروم و ... مشاهده نمود.) سازوکار این حفره امنیتی به این شکل است که کاربر بلافاصله پس از باز کردن یک صفحه سایت که توسط کامپوننت WebView طراحی‌شده باشد، این امکان را به مجرمین سایبری خواهد داد تا به بخش‌های ابزار هوشمند دست پیدا کنند.
البته نسخه‌های ۴.۴ و ۵ اندروید تحت تأثیر این باگ قرار نخواهند گرفت، درحالی‌که بسیاری از کاربران که از گوشی‌ها و تبلت های اندرویدی استفاده می‌کنند، نسخه‌های قدیمی‌تر سیستم‌عامل اندروید را برای دستگاهشان مورداستفاده قرار می‌دهند (حدود ۶۰ درصد کاربران که تقریباً شامل ۱ میلیارد کاربر اندرویدی می‌شود.)
متأسفانه شرکت گوگل اعلام کرده که هیچ اقدامی در جهت رفع این باگ اتخاذ نخواهد کرد و فرایند Debugging را به شرکت‌های تولیدکننده ابزارهای هوشمند واگذار خواهد کرد تا با ارائه آپدیت‌های امنیتی، مشکل نسخه‌های قدیمی‌تر اندروید را رفع کنند.  

Skeleton Key؛ آسیب‌پذیری که می‌تواند احراز هویت سامانه اکتیو دایرکتوری را دور بزند
محققان امنیتی بدافزار جدیدی با نام Skeleton Key را شناسایی کردند که می‌تواند احراز هویت سامانه اکتیو دایرکتوری را دور بزند.  بنا بر گزارش این محققان، بدافزار Skeleton Key به هکرها اجازه می‌دهد تا از سامانه اکتیو دایرکتوری عبور کنند. مشکل اکتیو دایرکتوری تنها  استفاده از یک روش احراز هویت است. به‌بیان‌دیگر اکتیو دایرکتوری تنها از رمز عبور برای تأمین امنیت استفاده می‌کند.
Skeleton Key روی سیستم کلاینتی شناسایی شد که از رمز عبور برای دسترسی به ایمیل و سرویس vpn استفاده می‌کرد. هنگامی‌که بدافزار در حافظه اکتیو دایرکتوری مستقر می‌شود، به هکر دسترسی نامحدود به سرویس‌های از راه دور می‌دهد و می‌تواند به داده‌های شخصی کاربران و کارمندان دسترسی پیدا کند.  بدافزار مذکور همچنین امکان ارائه‌ی سرویس‌ها را بدون هرگونه اختلالی برای کاربران فراهم می‌آورد که این امر امکان شناسایی این بدافزار را به حداقل می‌رساند.

درگیری مایکروسافت و گوگل بر سر افشای یک ضعف امنیتی در ویندوز
طبق گزارش رویترز، چند روز پیش گوگل رخنه‌ی امنیتی تازه‌ای در سیستم‌عامل ویندوز ۸.۱ ، مایکروسافت را پیش از اینکه اصلاحیه‌ای از جانب این کمپانی ارائه گردد، افشا نمود و حالا به نظر می‌رسد این اقدام موجب شده تا ردموندی ها از شرکت رقیب بسیار ناخشنود شده و رفتار اهالی مانتین ویو درباره‌ی اطلاع‌رسانی، ضعف موردبحث را غیراخلاقی و غیرحرفه‌ای توصیف نمایند.
طبق  این گزارش، مقامات مایکروسافت، در حال ارائه‌ی اصلاحیه یا به‌اصطلاح Patch جدیدی برای رفع این نقص امنیتی بوده‌اند و این اقدام گوگل به‌طور بالقوه کاربران را در معرض خطرات امنیتی قرار داده است.
گوگل البته ساکت نمانده و در پاسخ ادعا کرده که تیم Project Zero کمپانی مایکروسافت را از وجود این نقص مطلع کرد و حالا ۹۰ روز از آن زمان می‌گذرد. بر اساس اعلام مقامات گوگل، این آسیب‌پذیری در تاریخ 13 دسامبر یعنی چیزی حدود ۹۰ روز پیش به اطلاع مایکروسافت رسیده اما این کمپانی تا به امروز هیچ اقدامی برای حل این مشکل انجام نداده است. این غول جستجوگر اعتقاد دارد که یک بازه‌ی زمانی ۹۰ روزه برای حل این مشکل توسط مایکروسافت یا هر کمپانی دیگر فعال در این صنعت کافی است.
این در حالی است که کریس بتز (Chris Betz) ، یکی از مدیران اجرایی مایکروسافت پستی روی وبلاگ این شرکت آورده است که گوگل علاوه بر این موضوع که مایکروسافت در حال آماده‌سازی یک وصله امنیتی برای رخنه موجود و ارائه‌ به کاربران در روز سه‌شنبه بوده آگاهی داشته، هرچند آن‌ها تصمیم گرفته‌اند به دلایلی نامشخص این موضوع را دو روز پیش از عرضه پچ به‌صورت عمومی اعلام نمایند.
بتز در ادامه افزوده است که واکنش نسبت به یک ضعف امنیتی در سیستم‌عاملی همچون ویندوز در برخی مواقع نیازمند زمان و البته بررسی‌های متعدد است و گوگل باید در چنین مواردی تعامل بیشتری با سایر کمپانی‌ها نشان داده و در مورد این‌گونه ضعف‌ها منعطف‌تر عمل نماید.
وی همچنین اعلام کرد که افشای عمومی رخنه‌های امنیتی بی‌توجهی به مردمی بوده که در نتیجه‌ی افشای این نقص، موردتهاجم سایبری قرارگرفته‌اند.

نخستین به‌روزرسانی مایکروسافت در سال جدید میلادی 2015، منتشر شد!
روز سه‌شنبه ۲۳ دی‌ماه، شرکت مایکروسافت اولین اصلاحیه‌های امنیتی ماهانه خود را در سال جدید میلادی ۲۰۱۵ طبق اعلام شرکت مایکروسافت، برای ماه میلادی ژانویه، هشت اصلاحیه   MS15-001 الی MS15-008 منتشرشده که فقط یک اصلاحیه دارای درجه اهمیت " حیاتی " است و بقیه اصلاحیه‌ها فقط درجه " مهم " دارند.
اغلب اصلاحیه‌های امنیتی این ماه مربوط به سیستم‌عامل Windows هستند و شامل نسخه‌های Windows 7/8/8.1/RT و همچنین Windows Server 2003/2008/2012  می‌شوند. تنها اصلاحیه " حیاتی " ماه ژانویه، اصلاحیه MS15-002  است که نقطه‌ضعفی را در پودمان Telent برطرف می‌کند. سوءاستفاده موفق از این نقطه‌ضعف می‌تواند دسترسی غیرمجاز از راه دور به سیستم آسیب‌پذیر فراهم آورد.
این شرکت همچنین اصلاحیه‌ای برای مرورگر اینترنت اکسپلورر خود ارائه کرده درحالی‌که نسخه‌ی توکار نرم‌افزار Adobe Flash Player در اینترنت اکسپلورر 11 را نیز به‌روزرسانی کرده است.

اسکم فیشینگ با سوءاستفاده از نقص امنیتی LinkedIn کاربران، منجر به افشای اطلاعات محرمانه  و شخصی آنان می‌گردد
ساتنام نارانگ  (Satnam Narang) یکی از محققان امنیتی در شرکت Symantec می‌گوید مهاجمان سایبری موفق شدند با سوءاستفاده از یک نقص امنیتی در شبکه‌ی اجتماعی LinkedIn کاربران را فریب داده و به افشای اطلاعات شخصی‌شان وادارند.
هنوز جزئیاتی از چگونگی این حملات در دسترس نیست.

جان‌ مک‌آفی عاملان حملات سایبری سونی پیکچرز را شناسایی کرده است!
جان‌ مک‌آفی، مؤسس شرکت امنیتی مک‌آفی ، ادعا می‌کند که می‌داند عاملان حملات انجام‌شده در برابر سونی پیکچرز چه کسانی هستند. او می‌گوید اگرچه هنوز موفق به شناسایی تمامی افراد گروه نشده اما اطمینان می‌دهد که کره‌ی شمالی نقشی در این حملات نداشته است.
طبق اظهارات مک آفی او موفق شده با این افراد ارتباط داشته باشد اما جزئیات چگونگی این امر را فاش نکرده است.



:: تبلیغات

NP Antivirus Collection 2016 - V15

سایر خبرهای این گروه ...
 
بحث ها و نظرها
0
نظر
برای شرکت در بحث و تبادل نظر در سایت Login نموده، یا ثبت نام کنید.


:: تبلیغات
NP Antivirus Collection 2016 - V15
با ما در تلگرام همراه باشید



 
 
تمامي كالاها و خدمات اين فروشگاه، حسب مورد داراي مجوزهاي لازم از مراجع مربوطه مي‌باشند و فعاليت‌هاي اين سايت تابع قوانين و مقررات جمهوري اسلامي ايران است.
Copyright © 1998 - 2016 NovinPendar Co. Ltd. All rights reserved.