VulNert

گذری بر مفاهیم پایه امنیت سایبری

توسط با بدون دیدگاه مدل سازی تهدیدات و حملات

در حوزه امنیت سایبری به کرات شاهد این هستیم که متاسفانه واژگان کلیدی، تهدید(Threat)، رویداد(Event)، حادثه امنیتی(Security Incident )، حادثه امنیتی غیرتهاجمی(Non-Attack Security Incident) و حمله(Attack) به اشتباه به جای یکدیگر به کار می روند.در این مقاله قصد داریم به اختصار، براساس یکی مقاله منتشر شده از تیم امان در ژورنال IJCIP با عنوان Industrial control system security taxonomic framework with application to a comprehensive incidents survey این تعاریف را به زبان فارسی ارائه کنیم . لازم به ذکر است که این مفاهیم همراه با مثال از طریق فیلم آموزشی رایگان فارسی منتشر شده نیز قابل فراگیری است.

  • تهدید امنیتی: به‌طور عمومی به مجموعه عواملی در سامانه اطلاق می‌شود که پتانسیل واردکردن آسیب و ضرر به دارایی‌های سامانه را دارند؛  تهدید هر نقض بالقوه امنیت است. البته تعریف تهدید در منابع مختلف با تفاوت‌هایی همراه است به‌عنوان نمونه طبق استاندارد ISO/IEC 13335-و ISO / IEC 27000  تهدید به کلیه عواملی بالقوه اطلاق می‌شود که ممکن است به بروز آن‌ها به لطمه دیدن سامانه یا سازمان منجر شود.طبق استاندارد ANSI/ISA–99  (نسخه جدید آن با عنوان ISA/IEC-62443  ارائه‌شده است) هرگونه رویداد یا عملی که پتانسیل نقض امنیت، ایجاد رخنه و یا واردکردن صدمه را داشته باشد تهدید نامیده می‌شود.
  • رویداد: پارامتر رویداد، شامل مبدأ رویداد (مبدأ می‌تواند هرگونه حادثه طبیعی، مهاجمین، کارمندان، پیمانکاران و غیره باشد.)، عمل (که می‌تواند به‌انحاءمختلف مقداردهی شود مثلاً  مقادیر کاوش (Probe)، پویش(Scan)، کپی کردن، تغییر و غیره را برای آن در نظر گرفته است.)، هدف رویداد و تأثیر آن است. همان‌طور که در شکل ذیل مشاهده می‌کنید از زاویه دید امنیتی رویدادها به دو بخش حوادث امنیتی و غیرامنیتی تقسیم می‌شوند. حوادث غیرامنیتی به رویدادهایی نظیر حوادث طبیعی، خرابی تجهیزات و برخی حوادث نظیر انفجار در اثر سهل‌انگاری در انبار کارخانه و افتادن نیرو از ارتفاع گفته می‌شود که در آن‌ها به‌طور قاطع می‌توان اظهارنظر نمود که هیچ موضوع امنیتی مطرح نبوده است. 

 

  • حادثه امنیتی: حادثه امنیتی رویدادی است که توسط عامل (عامل‌هایی) عامدانه یا سهوی، بدخواهانه(Malicious) یا غیربدخواهانه انجام‌شده است و تأثیرات آن موجب نقض حداقل یکی از سه اصل محرمانگی(Confidentiality)، صحت(Integrity) و دسترس‌پذیری داده یا خدمات(Availability) شده و این حادثه طبیعتاً می‌تواند ریشه‌ای در یک یا چند آسیب‌پذیری داشته باشد.
  • حادثه امنیتی غیرتهاجمی: حوادث امنیتی غیرتهاجمی توسط عاملی تحقق می‌یابند که قصد بدخواهانه و عمدی ندارد؛ این عامل می‌تواند یک کارمند ناآگاه یا پیمانکار بی‌توجه باشد. قابل‌توجه است که در برخی موارد می‌تواند مبدأ یک رویداد حادثه‌ای طبیعی باشد اما چنانچه به هر نحوی ما از زاویه‌ی امنیتی به آن بنگریم و تأثیری بر روی هر یک از این سه اصل امنیتی بگذارد، در این تعریف ما آن را حادثه امنیتی غیرتهاجمی در نظر می‌گیریم.
  • حمله: حمله نوعی حادثه امنیتی است که به شکل عمدی و بدخواهانه با تکنیک‌ها و اهدافی مشخص انجام‌شده است. بر اساس این زیرساخت تعریفی، هر حمله نوعی حادثه امنیتی و هر حادثه امنیتی یک رویداد است اما عکس آن صحیح نیست.
https://bayanbox.ir/view/3216995250568699206/Ahmadian-Taxonomy-Persian2.jpg

طبقه‌بندی تهدیدات، حملات و حوادث امنیتی، به سازمان ها، دولت ها و افراد و کارشناسان اجازه می‌دهد تا تهدیدات امنیتی را به‌صورت مشخص شناسایی و موردبررسی قرار دهند و متناسب با هر تهدید بتواند حملات پیش رو و آسیب‌پذیری‌های مرتبط را مورد تحلیل و موشکافی قرار دهند. آن‌ها بر این اساس می توانند تا حد بسیار قابل‌توجهی منشأ تهدیدات حملات و حوادث و درنتیجه عوامل تأثیرگذار بر آن‌ها را شناسایی نمایند و درنتیجه بر اساس میزان اهمیت منابع مورد تهدید و حساسیت آن‌ها و میران خساراتی که برآورد می‌شود شاخص‌های متعدد مفیدی ازجمله شاخص تحلیل مخاطرات  را محاسبه نماید. جهت مطالعه بیشتر در این حوزه توصیه می کنم به اصل مقاله یا ارائه فارسی آموزشی  در این حوزه از طریق لینک های ذیل اقدام نمایید.

  1. لینک فیلم آموزشی رایگان در آپارات
  2. دانلود مقاله در سایت ژورنال
  3. لینک به اسلایدها

 جهت مشاهده و دریافت اصل مقاله می‌توانید از طریق اطلاعات و این لینک به محتوای کامل آن دسترسی پیدا کنید:

Mohammad Mehdi Ahmadian , Mehdi Shajari , Mohammad Ali Shafiee , Industrial Control System Security Taxonomic Framework with Application to a Comprehensive Incidents Survey, International Journal of Critical Infrastructure Protection (2020), doi:https://doi.org/10.1016/j.ijcip.2020.100356

در ادامه لیست برخی آموزش‌ها، سمینار‌ها و دور‌ه‌های امنیت سایبری تقدیم می‌گردد که برای دریافت پروپوزال هر یک از آن‌ها و اطلاع از جزئیات کمی و کیفی آن‌ها می‌توانید با شرکت پیشگامان امن آرمان(امان) تماس حاصل فرمایید. با کلیک بر روی هر عنوان از فهرست ذیل می‌توانید نمونه دوره‌های برگزار شده یا سوابق مرتبط با موضوع ذکر شده را مشاهده نمایید.