پاکت هدیه
ولادت حضرت فاطمه (س) و روز مادر مبارک 
بازارسال شده از
سیر یک حملهی سایبری
قبل از شروع بحث، یک تعریف ساده از حملهی سایبری ارائه بدهیم:«حملهی سایبری یعنی هر گونه اقدام عمدی برای نفوذ، اختلال یا سوءاستفاده از یک سیستم دیجیتال.»
هر حملهی سایبری، فارغ از نیت و هدف مهاجم، معمولا از یک مسیر نسبتا مشخص عبور میکندمهاجم ابتدا راهی برای ورود به سیستم پیدا میکند؛سپس تلاش میکند حضور خود را در سیستم حفظ کند و از حذفشدن جلوگیری کند.در ادامه، محیط اطراف را بررسی میکند تا سیستمها و نقاط حساستر را بشناسد.بعد، بهتدریج دامنهی دسترسی خود را گسترش میدهد تا توان بیشتری به دست بیاورد.و در نهایت، زمانی که شرایط را مناسب دید، ضربهی اصلی را وارد میکند.
نکتهی مهم این است که آنچه ما معمولا میبینیم، مرحلهی آخر این مسیر است، نه آغاز آن.نکتهی دیگر این است که این مسیر میتواند تکرار بشود و از یک حمله، مسیری برای حملهای جدید ایجاد کند.
سیدعلی علوی@IranAlavi
قبل از شروع بحث، یک تعریف ساده از حملهی سایبری ارائه بدهیم:«حملهی سایبری یعنی هر گونه اقدام عمدی برای نفوذ، اختلال یا سوءاستفاده از یک سیستم دیجیتال.»
هر حملهی سایبری، فارغ از نیت و هدف مهاجم، معمولا از یک مسیر نسبتا مشخص عبور میکندمهاجم ابتدا راهی برای ورود به سیستم پیدا میکند؛سپس تلاش میکند حضور خود را در سیستم حفظ کند و از حذفشدن جلوگیری کند.در ادامه، محیط اطراف را بررسی میکند تا سیستمها و نقاط حساستر را بشناسد.بعد، بهتدریج دامنهی دسترسی خود را گسترش میدهد تا توان بیشتری به دست بیاورد.و در نهایت، زمانی که شرایط را مناسب دید، ضربهی اصلی را وارد میکند.
نکتهی مهم این است که آنچه ما معمولا میبینیم، مرحلهی آخر این مسیر است، نه آغاز آن.نکتهی دیگر این است که این مسیر میتواند تکرار بشود و از یک حمله، مسیری برای حملهای جدید ایجاد کند.
سیدعلی علوی@IranAlaviبازارسال شده از
چرا حملهها دیر فهمیده میشوند؟
یکی از پرسشهای رایج بعد از هر حادثهی سایبری این است:«چطور کسی متوجه نشد؟»پاسخ کوتاه این است کهبیشتر حملههای سایبری، از ابتدا شبیه خرابی نیستند.
در بسیاری از موارد، مهاجم بعد از ورود به سیستم عجلهای برای تخریب ندارد؛و کاربران سیستم را خاموش نمیکندو تلاش میکند رفتاری عادی داشته باشد.
در نتیجه،سیستم کار میکند،خدمات در دوجه اتفاق خاصی نمیشوند.
نشانههای اولیهی حمله معمولاکوچک، پراکندهو شبیه خطاهای روزمرهاند؛کندی مقطعی،یا رفتاری که «بعدا درست میشود».
به همین دلیل است کهاغلب زمانی متوجه حمله میشویمکه ضربهی اصلی وارد شده است.
در واقع، تاخیر در شناسایی حملهبیشتر نتیجهی طبیعت آرام و تدریجی بسیاری از حملات سایبری است،و درست همین ویژگی است که جنگ سایبری را خطرناک میکند.
سیدعلی علوی@IranAlavi
یکی از پرسشهای رایج بعد از هر حادثهی سایبری این است:«چطور کسی متوجه نشد؟»پاسخ کوتاه این است کهبیشتر حملههای سایبری، از ابتدا شبیه خرابی نیستند.
در بسیاری از موارد، مهاجم بعد از ورود به سیستم عجلهای برای تخریب ندارد؛و کاربران سیستم را خاموش نمیکندو تلاش میکند رفتاری عادی داشته باشد.
در نتیجه،سیستم کار میکند،خدمات در دوجه اتفاق خاصی نمیشوند.
نشانههای اولیهی حمله معمولاکوچک، پراکندهو شبیه خطاهای روزمرهاند؛کندی مقطعی،یا رفتاری که «بعدا درست میشود».
به همین دلیل است کهاغلب زمانی متوجه حمله میشویمکه ضربهی اصلی وارد شده است.
در واقع، تاخیر در شناسایی حملهبیشتر نتیجهی طبیعت آرام و تدریجی بسیاری از حملات سایبری است،و درست همین ویژگی است که جنگ سایبری را خطرناک میکند.
سیدعلی علوی@IranAlaviبازارسال شده از
تبعات حملات سایبری: از کار انداختن خدمات
یکی از رایجترین تبعات جنگ سایبری، اختلال یا توقف عمدی خدماتی است که زیرساخت زندگی روزمره را تشکیل میدهند؛ از برق و اینترنت گرفته تا بانک و دولت الکترونیک.
در ابتدای سال ۲۰۱۵، یک ایمیل به یکی از ادارههای برق اوکراین ارسال شد که ظاهرا از طرف وزارت نیرو بود و یک فایل اکسل به آن پیوست شده بود. یکی از کارکنان اداره فایل را باز کرد، در حالی که این ایمیل در واقع از وزارت نیرو ارسال نشده بود و آدرس فرستنده جعلی بود. همین اشتباه ساده، راه نفوذ مهاجمان را به شبکههای اداری و سپس صنعتی برق باز کرد.
پس از این نفوذ اولیه، مهاجمان بلافاصله دست به تخریب نزدند. آنها حدود ۹ ماه بهصورت پنهان در سیستمها و شبکههای برق اوکراین باقی ماندند، محیط را شناسایی کردند و بهتدریج دامنهی دسترسی خود را گسترش دادند تا کنترل بخشهای حساستری از زیرساخت را به دست آورند.
در مرحلهی نهایی، مهاجمان با تخریب برخی تجهیزات، تغییر فِرمویر (Firmware) تعدادی از دستگاهها و مختلکردن امکان کنترل از راه دور، حملهی اصلی را اجرا کردند. نتیجهی این اقدام، قطع برق حدود ۲۲۵ هزار مشترک برای چندین ساعت بود. برخی از تجهیزات بهگونهای آسیب دیدند که دیگر قابل استفاده نبودند و کارکنان ادارهی برق مجبور شدند در سرمای زمستان، بهصورت حضوری به محلها مراجعه کنند و دستگاههایی را که معمولا از راه دور کنترل میشدند، به شکل دستی راهاندازی کنند.
حال تصور کنید در دسامبر ۲۰۱۵ و در اوج سرما، برق صدها هزار مشترک، از خانهها گرفته تا مراکز حساس و حتی بیمارستانها، برای چندین ساعت قطع شده باشد. همهی این اتفاقات، تنها بهدلیل سهلانگاری یک کارمند و باز کردن یک ایمیل آلوده رخ داد؛ اشتباهی که اثر واقعی آن، ماهها بعد و در قالب یک بحران جدی خود را نشان داد.
این فیلم، لحظهی اجرای حمله و اقدام مهاجمان برای خاموشکردن پست برق را نشان میدهد؛ اقدامی که بهطور کامل از راه دور انجام شد. همانطور که دیده میشود، سیستم اپراتور برق از خارج کنترل میشود و خودِ اپراتور عملا هیچ کنترلی بر آن ندارد.
سیدعلی علوی@IranAlavi
یکی از رایجترین تبعات جنگ سایبری، اختلال یا توقف عمدی خدماتی است که زیرساخت زندگی روزمره را تشکیل میدهند؛ از برق و اینترنت گرفته تا بانک و دولت الکترونیک.در ابتدای سال ۲۰۱۵، یک ایمیل به یکی از ادارههای برق اوکراین ارسال شد که ظاهرا از طرف وزارت نیرو بود و یک فایل اکسل به آن پیوست شده بود. یکی از کارکنان اداره فایل را باز کرد، در حالی که این ایمیل در واقع از وزارت نیرو ارسال نشده بود و آدرس فرستنده جعلی بود. همین اشتباه ساده، راه نفوذ مهاجمان را به شبکههای اداری و سپس صنعتی برق باز کرد.
پس از این نفوذ اولیه، مهاجمان بلافاصله دست به تخریب نزدند. آنها حدود ۹ ماه بهصورت پنهان در سیستمها و شبکههای برق اوکراین باقی ماندند، محیط را شناسایی کردند و بهتدریج دامنهی دسترسی خود را گسترش دادند تا کنترل بخشهای حساستری از زیرساخت را به دست آورند.
در مرحلهی نهایی، مهاجمان با تخریب برخی تجهیزات، تغییر فِرمویر (Firmware) تعدادی از دستگاهها و مختلکردن امکان کنترل از راه دور، حملهی اصلی را اجرا کردند. نتیجهی این اقدام، قطع برق حدود ۲۲۵ هزار مشترک برای چندین ساعت بود. برخی از تجهیزات بهگونهای آسیب دیدند که دیگر قابل استفاده نبودند و کارکنان ادارهی برق مجبور شدند در سرمای زمستان، بهصورت حضوری به محلها مراجعه کنند و دستگاههایی را که معمولا از راه دور کنترل میشدند، به شکل دستی راهاندازی کنند.
حال تصور کنید در دسامبر ۲۰۱۵ و در اوج سرما، برق صدها هزار مشترک، از خانهها گرفته تا مراکز حساس و حتی بیمارستانها، برای چندین ساعت قطع شده باشد. همهی این اتفاقات، تنها بهدلیل سهلانگاری یک کارمند و باز کردن یک ایمیل آلوده رخ داد؛ اشتباهی که اثر واقعی آن، ماهها بعد و در قالب یک بحران جدی خود را نشان داد.این فیلم، لحظهی اجرای حمله و اقدام مهاجمان برای خاموشکردن پست برق را نشان میدهد؛ اقدامی که بهطور کامل از راه دور انجام شد. همانطور که دیده میشود، سیستم اپراتور برق از خارج کنترل میشود و خودِ اپراتور عملا هیچ کنترلی بر آن ندارد.
سیدعلی علوی@IranAlaviبازارسال شده از
تبعات حملات سایبری: تخریب دادهها در برخی از حملات سایبری، مهاجمان به دنبال خاموشکردن خدمات یا ایجاد اختلال موقت نیستند؛ هدف اصلی آنها نابودکردن دادهها و ازکارانداختن سازمان در بدترین سطح ممکن است. این نوع حملات که به آنها Wiper گفته میشود، نه بهدنبال سرقت اطلاعاتاند و نه گرفتن باج؛ بلکه مأموریتشان «پاککردن ردپای یک سازمان از دنیای دیجیتال» است.یکی از مشهورترین نمونههای این نوع حملات، حملهی Shamoon بود؛ بدافزاری که در سال ۲۰۱۲ به یکی از بزرگترین شرکتهای نفتی جهان نفوذ کرد و تنها در چند ساعت، دهها هزار رایانه را از کار انداخت.
ماجرا از یک نفوذ اولیه ساده آغاز شد؛ یک رایانهی سازمانی که به شبکه داخلی دسترسی داشت، آلوده شد و مهاجمان از همان نقطه، بهتدریج مسیر خود را به سمت سایر سیستمها گسترش دادند. Shamoon ماهها در شبکه بهصورت خاموش باقی ماند، محیط را شناسایی کرد، فهرست سیستمها را جمعآوری کرد و منتظر لحظهی مناسب ماند.
در زمان اجرای حمله، بدافزار شروع به پاککردن فایلها، جدولهای سیستمی و رکوردهای حساس کرد و بهصورت همزمان، نسخههای پشتیبان متصل به شبکه را نیز هدف قرار داد. در نهایت، اطلاعات و فایلهای واقعی با فایل تصویر پرچم آتش گرفتهی آمریکا جایگزین شد و بسیاری از رایانهها دیگر حتی قابل راهاندازی مجدد نبودند.
نتیجهی حمله، نابودی کامل اطلاعات حدود ۳۰ هزار سیستم اداری و عملیاتی بود. تیمهای فناوری اطلاعات مجبور شدند بسیاری از رایانهها را فیزیکی تعویض کنند و برای بازیابی عملیات، از ابتدا زیرساخت جدیدی راهاندازی شود. آنچه این حادثه را خطرناکتر میکرد این بود که سازمان نهتنها خدماتش را از دست داده بود، بلکه هیچ دسترسی معتبری به دادهها و سوابق داخلی خود نیز نداشت.
در چنین شرایطی، بحران فقط فنی نیست؛
تصمیمگیری مدیریتی مختل میشود فرآیندهای مالی و اداری متوقف میشوند اعتماد سازمانی و اعتباری بهشدت آسیب میبیندو همهی اینها در حالی رخ میدهد که حمله تنها چند ساعت اجرا شده، اما اثر آن ممکن است ماهها یا حتی سالها باقی بماند.
حملهی رژیم صهیونیستی به بانک سپه در طول جنگ ۱۲ روزه، نمونهی دیگری از تخریب گستردهی دادهها بود که شاهرگ مالی نیروهای مسلح را هدف قرار داد و قطعا اختلالات گستردهای در نظام مالی آنها ایجاد کرد.
در دنیای سایبر هدف مهاجم میتواند تخریب اطلاعات حیاتی یک سازمان باشد و از این طریق سرویس دهی را مختل کند. مرجع
سیدعلی علوی@IranAlaviبازارسال شده از
تبعات حملات سایبری: سرقت گستردهی مالی یکی از مهمترین تبعات حملات سایبری، ضربه مستقیم مالی به سازمانهاست؛ در اینجا دیگر هدف مهاجم نه تخریب سیستمهاست و نه از کار انداختن خدمات، بلکه سرقت گستردهی پول از بانکماجرای Carbanak نمونه خیلی خوبی از همین نوع حمله است. یک ایمیل به ظاهر عادی اداری به همراه یک فایل ضمیمه به دست یکی از کارکنان بانک میرسد. کارمند ایمیل را باز میکند، فایل را اجرا میکند، و همه چیز مثل روال معمول ادامه پیدا میکند. هیچ چیزی خراب نمیشود، سیستم قطع نمیشود، و کسی به مخرب بودن فایل مشکوک نمیشود.
اما با همین یک کلیک ساده، در عمل به مهاجمان اجازهی ورود به شبکهی بانک داده شده است.
مهاجمها عجله نکردند. نه چیزی پاک شد، نه سیستمی قفل شد. آنها مدتها در شبکه بدون فعالیت خاصی ماندند و با حوصله نظارهگر فعالیتهای کارکنان بودند و کمکم فهمیدند هر بخش چطور کار میکند: چه کسی تراکنش ثبت میکند، پولها چطور جابهجا میشود، چه سیستمهایی حساسترند و کدام کارها به نظر عادی میرسد.
بعد از مدتی، دسترسیهای خود را گسترش دادند و به سیستمهای حساستر رسیدند. نقطه مهم ماجرا این بود که مهاجمها سعی نکردند رفتار غیرعادی انجام دهند؛ بلکه یاد گرفتند درست مثل کارکنان بانک کار کنند. یعنی حمله، شبیه تخلف داخلی یا اشتباه انسانی دیده میشد، نه نفوذ خارجی.
در مرحله نهایی، تراکنشهایی ثبت شد که ظاهرا قانونی و معمولی به نظر میرسید، اما مقصد واقعی آنها حسابهایی بود که مهاجمها کنترل میکردند. در بعضی موارد حتی دستگاههای خودپرداز طوری تنظیم شده بود که در زمان مشخص، بدون کارت و بدون حضور اپراتور، پول خارج کند و افراد مهاجم فقط کنار دستگاه میایستادند و پول را جمع میکردند (ATM Jackpotting).
در نهایت، طی چند سال و اندک اندک، دهها بانک در کشورهای مختلف متحمل خسارت مالی شدند.
ریشه ماجرا هم چند ضعف ساده اما تکراری بود:آموزش ناکافی کارکنان، اعتماد بیش از حد به روندهای داخلی، مانیتورینگ ناکامل رفتار کاربران، و نبود کنترل دقیق روی دسترسیها.
در ظاهر، کاربران فقط یک فایل را باز کردند، اما واقعیت این است که نبود چند لایه دفاعی و مدیریتی، باعث شد یک اشتباه کوچک، به یک آسیب مالی بزرگ میلیارد دلاری تبدیل شود.
در بسیاری از حملات سایبری، ممکن است دستگاهی یا دادهای خراب نشود و هیچ سیستم مهمی از کار نمیافتد، اما ضربهای که به اعتماد، اعتبار و منابع مالی سازمان وارد میشود، میتواند بسیار عمیقتر و جدیتر باشد.(عکس: کشورهای مورد حملهی Carbanak)
سیدعلی علوی@IranAlaviبازارسال شده از
EternalBlue
EternalBlue نام یک اکسپلویت (سوءاستفاده از آسیبپذیری) بود که توسط آژانس امنیت ملی آمریکا (NSA) به منظور نفوذ به سیستمهای قربانیهای خود توسعه داده شده بود. این ابزار بر پایه یک آسیبپذیری روز صفر در سیستمعامل ویندوز کار میکرد. مهاجم با سوءاستفاده از این باگ میتوانست بدون احراز هویت، به سیستمهای داخل شبکه نفوذ کرده و کدهای خود را در آن اجرا کند.
NSA سالها از وجود این آسیبپذیری خبر داشت، آن را به مایکروسافت گزارش نکرد و از آن بهعنوان ابزار عملیات تهاجمی سایبری استفاده میکرد.
گروهی به نام Shadow Brokers موفق شدند مجموعهای از ابزارهای هکری NSA از جمله EternalBlue را سرقت کنند. آنها ابتدا تلاش کردند این ابزارها را به مزایده بگذارند، اما وقتی خریدار یدا نشد، بسته ابزارها را به شکل عمومی منتشر کردند.
مایکروسافت پیش از افشای عمومی مطلع شده بود و به سرعت وصله امنیتی منتشر کرد؛ اما با این وجود، تعداد زیادی از سیستمها آلوده شدند.
سیدعلی علوی@IranAlavi
EternalBlue نام یک اکسپلویت (سوءاستفاده از آسیبپذیری) بود که توسط آژانس امنیت ملی آمریکا (NSA) به منظور نفوذ به سیستمهای قربانیهای خود توسعه داده شده بود. این ابزار بر پایه یک آسیبپذیری روز صفر در سیستمعامل ویندوز کار میکرد. مهاجم با سوءاستفاده از این باگ میتوانست بدون احراز هویت، به سیستمهای داخل شبکه نفوذ کرده و کدهای خود را در آن اجرا کند.
NSA سالها از وجود این آسیبپذیری خبر داشت، آن را به مایکروسافت گزارش نکرد و از آن بهعنوان ابزار عملیات تهاجمی سایبری استفاده میکرد.گروهی به نام Shadow Brokers موفق شدند مجموعهای از ابزارهای هکری NSA از جمله EternalBlue را سرقت کنند. آنها ابتدا تلاش کردند این ابزارها را به مزایده بگذارند، اما وقتی خریدار یدا نشد، بسته ابزارها را به شکل عمومی منتشر کردند.
مایکروسافت پیش از افشای عمومی مطلع شده بود و به سرعت وصله امنیتی منتشر کرد؛ اما با این وجود، تعداد زیادی از سیستمها آلوده شدند.
سیدعلی علوی@IranAlaviبازارسال شده از
تبعات حملات سایبری: باجگیری و اخاذی سایبری؛ میخوام گریه کنم!حدود یک ماه بعد از افشای EternalBlue، حمله معروف باجافزاری WannaCry رخ داد.
تعداد زیادی از سازمانها و شرکتها، با وجود انتشار وصله امنیتی مایکروسافت، هنوز سیستمهای قدیمی و وصلهنشده داشتند. مهاجمان از همان آسیبپذیری که توسط EternalBlue قابل بهرهبرداری بود استفاده کردند و اینبار آن را به یک باجافزارِ خودانتشار وصل کردند.
خودانتشار یعنی چی؟یعنی کافی بود فقط یک سیستم آلوده شود، بدافزار به صورت خودکار باقی سیستمهای متصل به شبکه را هم آلوده میکرد.
وقتی WannaCry وارد سیستم قربانی میشد، فایلها را رمز میکرد و روی صفحه، پیغامی ظاهر میشد که برای بازگشت اطلاعات باید مبلغی را به صورت بیتکوین پرداخت کنید. بدتر از آن این بود که آلودگی بهصورت زنجیرهای و سریع پخش میشد و عملا از کنترل مدیران فناوری اطلاعات خارج بود.
چند نمونه از تبعات این بدافزار:
چند بیمارستان در انگلستان برای ساعتها مختل شدند. چند خط تولید و کارخانه متوقف شدند تعدادی از شرکتها و سازمانهای دولتی در چندین کشور عملا از کار افتادندو همه اینها صرفا به خاطر یک سیستم قدیمی وصلهنشده و همچنین عدم استفاده از آنتیویروس و ضدباجافزار بود.
سیدعلی علوی@IranAlaviپاکت هدیه
ولادت امیرالمؤمنین حضرت علی (ع) و روز پدر مبارک باد