امنیت و حفاظت شبکه
امنیت و حفاظت شبکه
با توجه به اینکه اکثر خدمات مورد نیاز جامعه بصورت اینترنتی ارائه شده و در بیشتر موارد اطلاعات مهمی همچون نامه های اداری ، مشخصات فردی ، صورت حساب بانکی و ... در حال رد و بدل است لذا امنیت و حفاظت از شبکه ها امری ضروری و اجتناب ناپذیر می باشد .
و باید دانست که با گسترش امکانات اینترنتی ، حملات اینترنتی نیز در جهت دسترسی غیر مجاز و یا تخریب اطلاعات ، در حال رشد می باشد.
جهت تامین امنیت در یک شبکه داخلی همچون دانشگاه ، لازم است کلیه کاربران ، اطلاعات لازم در این خصوص را کسب نموده و خود به حفظ امنیت کامپیوتر شخصی خود ، بپردازند زیرا که برای داشتن شبکه ای ایمن ، باید تک تک کامپیوترهای شبکه ایمن گردد.
مرکزفناوری اطلاعات و ارتباطات، امکانات و اطلاعات امنیتی لازم را ، جهت بکارگیری توسط کاربران شبکه داخلی دانشگاه ، در سایت مربوط به این مرکز قرار داده است.
هشدار در خصوص دریافت اطلاعات محرمانه و بخصوص کلمات عبور کاربران
یکی از راههای دریافت اطلاعات محرمانه افراد و یا سازمان و بخصوص کلمات عبور کاربران شبکه و یا سیستمهای یک سازمان ، این است که فرد مذکور در قالب و کسوتی قابل اعتماد بصورت حضوری ، تلفنی و یا ارسال پست الکترونیک با کاربران سازمان تماس گرفته و با ارائه دلایلی خاص ، درخواست تکمیل فرمهایی را از سوی کاربر می نمایند که به این نوع روش برای کسب اطلاعات و کلمات عبور "مهندسی اجتماعی" می گویند.
در مرحله ای حساس تر نوعی حمله با نام فیشینگ (Phishing) در مبحث تجارت الکترونیک وجود دارد که از طریق ارسال یک لینک و یا یک فرم، کاربر را متقاعد می کنند تا رمز حسابهای الکترونیکی خود را وارد کند.
وظایف کاربران در این خصوص :
در صورتی که نام و یا آدرس پست الکترونیک فرستنده را نمی شناسید ، به چنین پیامها پاسخی ندهید و هرگز لینکهای ارسال شده را باز ننمایید.در صورتیکه نام ذکر شده و یا آدرس پست الکترونیک فرستنده آشناست لازم است با فرد یا مرکز مذکور تماس گرفته و از ارسال ایمیل توسط آنها مطمئن گردید.در هر صورت درخواست ارسال کلمه عبور از طریق پست الکترونیک امری غیر معقول است که هرگز از طرف مرکز ارائه دهنده سرویسهای اینترنتی سازمان ، انجام نمی شود.
سیستم خودکار نصب ضد ویروس : پس از به روزرسانی سیستم عامل ، نصب ضد ویروس همچنین به روز رسانی آن و ویروس یابی مستمر از جمله کارهای مهم جهت حفاظت کامپیوتر و درنهایت شبکه ، از ورود ویروسهای مخرب می باشد. کامپیوترهایی که به سرور مرکزی آنتی ویروس دانشگاه متصل می گردند بدون نیاز به صرف زمان توسط کاربر، طبق زمان بندی تعریف شده و بدون نیاز به اینترنت به روز خواهند شد.
بروز رسانی خودکار سیستمهای عامل
سیستم خودکار بروزرسانی سیستمهای عامل(خانواده ویندوز)
ضرورت بروزرسانی :
پس از تولید و انتشار یک نرم افزار و استفاده عموم مردم از آن، شرکت تولید کننده متوجه اشکالاتی در برنامه نویسی آن نرم افزار می گردد و تلاش می کند تا آن را ترمیم نماید. از آن جهت نرم افزارهای کوچکتری برای اصلاح نرم افزار قبلی ارائه می شود . به این نرم افزارهای کوچک Patch یا وصله امنیتی می گویند . کاربرانی که از نرم افزار قبلی استفاده می نمایند باید این وصله های امنیتی را از سایت مرتبط با این نرم افزار دانلود کرده و برروی سیستمهای خود نصب نمایند که اصطلاحاً می گوییم آن نرم افزار را بروز نمایند و آخرین ورژن مربوطه را نصب کنند.
از جمله مهمترین این نرم افزارها که بایستی بطور مستمر بروز شود و وصله های امنیتی آن نصب گردد سیستم عامل ویندوز می باشد. در صورتی که این کار انجام نشود هکرها می توانند با همان اشکال موجود در برنامه نویسی ویندوز، به کامپیوتری که از این سیستم عامل استفاده می کند حمله نمایند.
خط مشی امنیتی شبکه
ـ تعاریف و اصطلاحات
امکانات اطلاع‌رسانی : هر نوع تجهیزات کامپیوتری، نرم‌افزار، شبکه و تسهیلات مربوطه که توسط دانشگاه تأمین شده باشد و اجازه دسترسی به آن توسط دانشگاه صادر گردد.
مسئولین فناوری اطلاعات واحدها : اشخاصی که تحت نظارت مرکز فناوری اطلاعات و ارتباطات متصدی مدیریت و نگهداری اطلاعات فناوری اطلاعات واحدها می باشند.
مدیر سیستم : شخصی که مجوز دسترسی کامل به امکانات یک سیستم فناوری اطلاعات (مثل پست الکترونیکی، وب، اتوماسیون اداری و...) را برای اداره یا نگهداری آن داشته‌باشد و از طرف مرکز فناوری اطلاعات و ارتباطات منصوب می‌گردد.
کاربر : شخصی که به هر طریق ممکن از امکانات دانشگاه استفاده می‌کند.
۱ـ هدف
هـدف اصلـی از ایجاد خط‌مشی امنیت اطلاعات و سیستمهای اطلاعاتی، محافظت از دارائیهای دانشگاه و فراهـم کردن محیط امن بـرای دسترسی به اطلاعات و بهره برداری از امکانات سیستمهای اطلاعاتی اعضـای دانشگاه می‌باشد.خط مشی امنیت اطلاعات متضمن تامین اهداف زیر است:
۱-۱- محرمانگی، صحت، اصالت و قابلیت دسترسی به اطلاعات دانشگاه در سطوح مختلف تامین گردد.
۱ـ۲ـ دارائیها و امکانات فن آوری اطلاعات دانشگاه در مقابل دستبرد، اختلال و دسترسی غیر مجازمصون بماند.
۱ـ۳ـ استفاده غیر مجاز و خلاف قانون از امکانات فناوری اطلاعات دانشگاه صورت نپذیرد.
۲ـ حوزه خط مشی
خط مشی امنیت اطلاعات دانشگاه در بر گیرنده موارد زیر است:
۲ـ۱ـ تمام سیستمهای رایانه‌ای و متعلقات آنها اعم از دستگاههای جانبی، نرم‌افزارها، اطلاعات، داده‌های متعلق به دانشگاه (حتی اگر از نظر فیزیکی در محل دیگری واقع شده باشد) و یا در داخل دانشگاه باشد.
۲ـ۲ـ سیستمهای اطلاعاتی که متعلق به دانشگاه نیستند اما کاربرد آنها بر تجهیزات متعلق به دانشگاه یا در داخل شبکه دانشگاه تأثیر می‌گذارد.
۲ـ۳ـ بستر شبکه، شبکه دانشگاه اعم از شبکه‌های محلی و شبکه‌ی گسترده‌ی دانشگاه.
۲ـ۴ـ کلیه کاربران سیستمهای اطلاعاتی دانشگاه .
۲-۵- سایر دارائیهای دانشگاه که ممکن است به علت استفاده نادرست از سیستمهای اطلاعاتی در معرض تهدید قرار گیرند.
۳ـ مسئولیتها
۳ـ۱ـ مسئولیت ایجاد قوانین و معیارهای امنیتی :
مسئولیت وضع قوانین و دستورالعمل‌های امنیتی دانشگاه و همچنین بررسی مجدد و تجدید نظر در آنها بعهده شورای فناوری اطلاعات دانشگاه خواهد بود. این شورا همچنین عالیترین مرجع قضاوت در موردمسائل و مشکلات امنیت اطلاعات دانشگاه می‌باشد.
۳ـ۲ـ مسئولیت اجرای خط مشی امنیتی :
مسئولیت اجرای خط مشی امنیتی در مورد حفاظت فیزیکی، حفاظت شبکه، نرم‌افزارها و اطلاعات از سیستمهای‌اطلاعاتی در هر واحد دانشگاه بعهده مسئول آن واحد خواهد بود. ضمنا هر سیستم اطلاعاتی بایـد دارای مدیریـت مستقلی تحت نظارت مسئول واحد باشد که مجوز دسترسی کامـل (به منظوراداره و نگهداری) به آن سیستـم را خواهـد داشت. وظایف مدیریـت سیستـم‌‌ها در بخش ۵ ذکرخواهد شد.
۳ـ۳ـ مسئولیت نظارت بر اجرای خط مشی امنیتی :
مسئولیت نظارت بر اجرای خط‌مشی‌های امنیتی دانشگاه بر عهده مرکز محاسبات و فناوری اطلاعات دانشگاه خواهد بود. در این راستا، در صورتی که هر یک از واحدها نتواند خط مشی‌های امنیتی دانشگاه را بنحو مطلوب اجرا نماید، مرکز محاسبات و فناوری اطلاعات موظف است کلیه اقدامات لازم و قابل قبول را بـرای تأمین امنیت و جلوگیری از استفاده نادرست از امکانات فناوری اطلاعات دانشگاه به عمل آورد.
۳ـ۴ـ مسئولیت آموزش خط مشی امنیتی :
مرکز فناوری اطلاعات و ارتباطات دانشگاه موظف است تدابیر لازم را برای آموزش سیاست امنیت اطلاعات‌به مسئولین واحدهای مختلف دانشگاه، اتخاذ نماید. پس از طی این مرحله، مسئولیت آموزش اعضای هر واحد، بر عهده مسئول آن واحد خواهد بود.
تبصره ۱: تمام اعضای دانشگاه (اعم از اساتید، دانشجویان و کارکنان) بعنوان استفاده کننده از امکانات فناوری اطلاعات دانشگاه، موظف به رعایت معیارهای امنیتی مندرج در سیاست امنیت می باشند.
۴ـ قوانین
۴ـ۱ـ استفاده از کلیه امکانات فناوری اطلاعات تنها در صورت داشتن مجوز لازم، مجاز شمرده می‌شود.استفاده غیر مجاز از امکانات فوق می‌تواند منجر به ارائه گزارش به مراجع ذیصلاح دانشگاه گردد. دانشگاه این حق را برای خود محفوظ می‌دارد که از دسترسی افراد مظنون به استفاده غیر مجاز ازامکانات فناوری اطلاعات بطور موقت جلوگیری به عمل آورد.
۴ـ۲ـ استفاده از امکانات فن‌آوری اطلاعات دانشگاه برای اهداف زیر قابل قبول است:
۴ـ۲ـ۱ـ تدریس و یادگیری
۴ـ۲ـ۲ـ پژوهشهای علمی
۴ـ۲ـ۳ـ افزایش دانش شخصی
۴ـ۲ـ۴ـ انجام امور مشاوره‌‌ای برای مؤسسات طرف قرارداد دانشگاه
۴ـ۲ـ۵ـ ایجاد ارتباطات برای دستیابی به اهداف فوق
تبصره ۱: هر گونه فعالیت شخصی در حد متعارف در صورتیکه مرتبط با اهداف تجاری نباشد قابل قبول است‌و مرجع تشخیص متعارف بودن مصرف، مرکز فناوری اطلاعات و ارتباطات دانشگاه می‌باشد .
تبصره ۲: کلیـه استفاده‌های فـوق باید در چارچـوب قوانین جـاری کشور و با رعـایت حقوق سایر افراد صورت پذیرد.
تبصره ۳: در مورد فعالیتهایی که در فهرست فوق قرار نمی‌گیرند، صدور مجوز بعهده مکز فناوری اطلاعات و ارتباطات و در صورت لزوم شورای فناوری اطلاعات دانشگاه خواهد بود.
۴ـ۳ـ فعالیتهای زیر در سیستم غیر قابل قبول تلقی می‌گردد و کاربران باید از انجام آنها اجتناب ورزند:
۴ـ۳ـ۱ـ تلاش برای دسترسی غیر مجاز به داده‌ها، اطلاعات و امکانات فناوری دانشگاه
۴ـ۳ـ۲ـ استفاده نادرست از امکانات سیستم
۴ـ۳ـ۳ـ برنامه‌نویسی با مقاصد بدخواهانه
۴ـ۳ـ۴ـ عرضه یا اجرای برنامه با مقاصد بدخواهانه
۴ـ۳ـ۵ـ سرقت نرم‌افزار و یا استفاده غیر مجاز از نرم‌افزارها
۴ـ۳ـ۶ـ استفاده از امکانات فناوری اطلاعات (نظیر پست الکترونیکی) برای ایجاد مزاحمت
۴ـ۳ـ۷ـ آسیب‌رسانی و یا ایجاد تداخل در شبکه و سیستمهای اطلاعاتی
۴ـ۳ـ۸ـ تلاش برای شکستن و یا کشف گذر واژه‌ها یا سایر اطلاعات محرمانه
۴ـ۴ـ هیچ گونه مجموعه اطلاعاتی (اعم از نامه الکترونیکی، متن، تصویر و...) که باعث آسیب‌رسانی شود، نباید از طریق امکانات شبکه و سیستمهای دانشگاه ارسال، دریافت و یا پردازش شود.
۴ـ۵ـ مدیران سیستم تنها در صورت لزوم و با رعایت مفاد آیین نامه‌های استفاده از پست الکترونیکی و اینترنت دانشگاه می‌توانند به اطلاعات کاربران دسترسی پیدا کنند و یا جریان‌اطلاعات در شبکه را بررسی نمایند.
۴ـ۶ـ تمام استفاده کنندگان از سیستمهای فناوری اطلاعات دانشگاه از جمله کارکنان و راهبران سیستم‌ها باید اصل خصوصی بودن اطلاعات در شبکه و حفظ حریم خصوصی افراد را رعایت نمایند.
۴ـ۷ـ هر شخصی که به شبکه دانشگاه متصل شود، بطور ضمنی مقررات و خط مشی‌های امنیتی دانشگاه را پذیرفته است.
۴ـ۸ـ هر قراردادی که میان دانشگاه و طرف دیگری (اعم از حقیقی و حقوقی) منعقد گردد که متضمن استفاده آن طرف از امکانات فن‌آوری اطلاعات دانشگاه شود، باید شامل ماده‌ای باشد که در آن لزوم رعایت مقررات و خط‌مشی‌های امنیتی شبکه و سیستمهای اطلاعاتی دانشگاه در آن تصریح گردد.
۴ـ۹ـ مسئولین فناوری اطلاعات هر واحد فناوری اطلاعات موظفند از رویه‌های مشخص ثبت نام اعطای مجوزهای دسترسی و دریافت خدمات به کاربران تبعیت نمایند.
۴ـ۱۰ـ تمام کاربران واحدهای مختلف مسئول فعالیتهای خود هستند حتی اگر محدودیت خاصی از جانب مسئول فناوری اطلاعات آن واحدها برای آنها قرار داده نشده باشد.
۴ـ۱۱ـ نصب هر گونه امکانات فناوری اطلاعات برای ارائه خدمات به خارج از دانشگاه به نحوی که کاربران خارج از دانشگـاه بتوانند به آن دسترسی پیدا کنند، صرفـاً با مجـوز مرکـز فناوری اطلاعات و ارتباطات مجاز می‌باشد.
۵ ـ وظایف و مسئولین سیستمهای فناوری اطلاعات واحدها
۵ـ۱ـ مسئولین واحدهای دانشگاه موظفند اشخاصی که می‌توانند از خدمات مختلف اطلاع‌رسانی آن‌واحد استفاده کنند و نوع این خدمات را بطور مشخص تعریف نمایند.
۵ـ۲ـ مسئولین فناوری اطلاعات موظفند اطمینان حاصل کنند که مجوز دسترسی اشخاص به سیستم با عوض شدن نقش یا موقعیت آنها و یا قوانین دانشگاه بهنگام بماند و شناسه‌های کاربران سابق در سیستم غیرفعال یا خذف شود.
۵ـ۳ـ مسئولین فناوری اطلاعات موظفند نحوه‌‌ی استفاده از سیستم را تا آنجائی که امکان دارد ثبت و برای یک زمان مشخص نگهداری نمایند.
۵ـ۴ـ مسئولین فناوری اطلاعات واحدها موظفند مشکلات جدی امنیتی را هر چه سریعتر به همراه کلیه شواهد و مدارک به‌مرکزفناوری اطلاعات و ارتباطات دانشگاه گزارش نمایند.
۵ـ۵ـ اگر یکی از خدمات فناوری اطلاعات در هر واحد، به دلیل بروز مشکلات امنیتی متوقف گردد، مسئولین فناوری اطلاعات آن واحد موظف است در طی یک زمان مشخص(که باید از قبل تعریف شده باشد)، مسأله را بررسی کرده، نتیجه را اعلام نمایند.
۵ـ۶ـ در مواردی که مجوز دسترسی شخصی، بدلیل مظنون بودن به استفاده غیر قابل قبول از سیستم،به حال تعلیق در آمده باشد،مسئولین فناوری اطلاعات موظفند طی یک زمان مشخص (که از قبل تعریف شده‌است) درباره آن تحقیق کرده و وضعیت آنرا روشن نمایند.
۵ـ۷ـ تمام اعضاء و کارکنان فناوری اطلاعات واحدها که بدلیل مسئولیت شغلی خود، مجوز دسترسی به‌اطلاعات کاربران را دارند، باید اصل محرمانه و خصوصی بودن اطلاعات و مسئولیت خود را دراین زمینه بپذیرند.
۵ـ۸ـ با توجـه به اینکه سطح امنیـت و محرمانگی اطلاعات در هر سیستم فناوری اطلاعات متفاوت است، مسئولیـن هر سیستم موظفند سطح امنیت و محرمانگی اطلاعات را در سیستم خودمشخص نمایند.
۵ـ۹ـ مسئولین فناوری اطلاعات موظفند برنامه‌هایی برای ایجاد فایلهای پشتیبان، مقابله با ویروسهای کامپیوتری‌و حفاظت فیزیکی از دستگاهها، تدوین نمایند.
۵ـ۱۰ـ دسترسی کاربران به امکانات‌فناوری اطلاعات نباید در شرایط معمول بدون اعلام قبلی، قطع گردد.
۵ـ۱۱ـ مسئولین فناوری اطلاعات موظفند سیستمهای خود را از نظر امنیتی ارتقاء دهند و مشکلات آنرا با نصب‌برنامه‌های تکمیلی رفع نمایند.
۵ـ۱۲ـ مسئولین فناوری اطلاعات بسته به نوع سیستم عامل دستگاه خود، موظفند فهرستی از موارد لازم برای‌پیکربندی یک سیستم جدید (یا فعلی) را فراهم نمایند.
۵ـ۱۳ـ مسئولین فناوری اطلاعات موظفند کاربران خود را در جریان مسائل و مشکلات کلی امنیتی (تا جایی که‌مسائل محرمانه نباشند) قرار دهند.
وظایف کاربران شبکه داخلی دانشگاه
۱- برای کامپیوتر و اکانت هایی که برای شما ،جهت استفاده از سیستمهای نرم افزاری تحت شبکه، مثل پست الکترونیکی ایجاد شده است، کلمه عبور مناسب و طولانی انتخاب کنید. و در حفاظت از آن بکوشید.
خصوصیات کلمه عبور مناسب:
- حاوی حروف و ارقام باشد
- بیش از ۸ کاراکتر باشد
- حاوی کلمات معمولی و قابل حدس مثل نام شما ، نباشد.
۲- برای Screen Saver کامپیوتر خود کلمه عبور قرار دهید تا با طولانی شدن عدم حضور شما پشت سیستم ، کامپیوتر شما از دسترسی کاربران دیگر محفوظ بماند.
جهت این مهم ، بر روی Desktop کلیک راست کرده و Properties را انتخاب نمایید. در منوی نمایش یافته قسمت Screen Saver ا انتخاب کرده و با انتخاب زمان مناسب (طولانی نباشد) گزینه زیر را تیک بزنید:
On resume password protect
۳- کامپیوتر خود را مجهز به ضد ویروس نمایید و از بروز بودن آن اطمینان حاصل نمائید.
۴- سیستم عامل خود را با اتصال به "سیستم بروزرسانی خودکار سیستمهای عامل " بروز نمایید.
۵- از به اشتراک گذاشتن پوشه های کاری خود بر روی شبکه بپرهیزید .
۶- از باز کردن و دانلود فایلهای الحاقی ایمیلهایی که فرستنده آن را نمی شناسید بپرهیزید.
۷- از اجرای نرم افزارهایی که در مورد آنها هیچ شناختی ندارید بپرهیزید.
۸-در صورت مشاهده هر گونه مشکل در زمینه امنیت شبکه با مدیر شبکه خود تماس حاصل فرمایید.