آموزش شبکه و سرور - مجازی سازی - نصب انواع سیستم عامل
آموزش نصب انواع سیستم عامل ، شبکه ، سرویس هاست ، مجازی سازی و غیره...

به نام خدا

ساختار سیگنالینگIMS SIP

پروتکلSIP جزو سیگنالینگ‌های کنترلی در معماری IMS می‌باشد. احراز هویت مبدا و مقصد در یک ارتباط و احراز هویت یک ارتباط و پشتیبانی از ثبت‌نام، اصلاح اطلاعات موقعیت‌های کاربران، محرمانگی در سیگنالینگ مکالمه‌ها و جریان‌های داده از وظایف این سیگنالینگ است. استاندارد3GPP TS24.229  استانداردهای مربوط به اجرایSIP درIMS را توضیح داده است. تمام سیگنالینگ SIP در دامنه سوییچ بسته ای و سطح کاربر درIMS مبادله می‌شوند. سیگنالینگSIP مطابق با IETF RFC 3261 دارای دو حالت درخواست و پاسخ می‌باشد. پیام‌های درخواست نظیر invite, bye به منظورایجاد تغییرات در یک اتصال ارسال می‌شوند، در حالی که پیام‌های پاسخ‌ نظیرOk برای توجه دادن به نتایج ناشی از ارسال درخواست می‌باشد. پیام‌های درخواست شامل شش درخواست invite bye, ack, options, cancel, register می‌باشند و پیام‌های پاسخ شامل سه دسته پیام1xx, 2xx.3xx,4xx,5xx,6xx می‌باشند. این مشخصه ها در پست های قبلی امنیت تشریح شده است.

ویژگی‌ها و مکانیزم‌های امنیتی IMS 

دسترسی امن کاربران به شبکه IMS با ابعاد امنیتی احراز هویت کاربر وشبکه، حفاظت از محرمانگی ارتباط، حفاظت از یکپارچگی ارتباط برقرار می‌شود. موارد ذکر شده ویژگی‌هایی می‌باشد که ارتباط یک کاربر با شبکه IMS دارا می‌باشد. در ادامه این ویژگی‌ها مورد بررسی قرار می‌گیرد.

شناسه ISIM

کلیدهای احراز هویت و توابع کاربر درون UICC ذخیره شده است. شناسه ارتباطی این شبکهISIM نامیده می‌شود. داده‌های امنیتی IMS و توابع آن درونUICCذخیره شده است. کاربران شبکهIMS نمی‌توانند تغییر و اصلاحی در نام دامنه شبکه خانه را در سیم کارت خود انجام دهند[g]. در ایجاد ارتباط کاربر با شبکهIMS، شناسه ISIM درونUICC امکان انتخاب مکانیزم‌های امنیتی متفاوتی را برای شبکه فراهم می‌نماید. یکی از این انتخاب ها بین شبکه و کاربر توافق شده و ارتباط امن ایجاد خواهد شد. انتخاب ها شامل موارد زیر می‌باشند:

  • هیچ تابع امنیتی و یا داده‌ای به اشتراک گذاشته نمی‌شود.
  • تنها الگوریتم‌ها به اشتراک گذاشته می‌شوند.
  • کلید احراز هویت، مکانیزم چک شماره ترتیبی به اشتراک گذاشته می‌شوند.
  • کلید احراز هویت، توابع احراز هویت و مکانیزم چک شماره ترتیبی به اشتراک گذاشته می‌شوند.

این انتخاب‌ها در شبکهUSIM وجود ندارد و در آن شبکه کلید احراز هویت، توابع احراز هویت و مکانیزم چک شماره ترتیبی در تمام ارتباط‌های کاربر با شبکه به اشتراک گذاشته خواهد ش و کاربر مجاز به انتخاب این موارد و توافق بر سر آن‌ها با شبکه نمی‌باشد

 

احراز هویت

یک کاربر IMS دارای مشخصه‌های مخصوص خود در HSS می‌باشند که شامل اطلاعات و داده‌های مختص کاربر است و در استاندارد3GPP TS 23.228 تعیین شده است. در زمان ثبت نام کاربر، سرور S-CSCF توسط I-CSCSF به کاربر معرفی می‌شود.  مشخصه‌های کاربر توسط واسط ارتباطیCx  از HSSبه S-CSCF منتقل می‌شود. پروتکل احراز هویت استفاده شده در شبکهUMTS با نام IMS AKA در شبکهIMS مورد بهره‌برداری قرار می‌گیرد. این دو پروتکل کاملا شبیه هم هستند. تنها در IMS AKA پاسخی(RES) که کاربر برای احراز هویت خود به شبکه ارسال می‌نماید به صورت رمز شده منتقل می‌شود در حالی که پاسخ ارسال شده کاربر در UMTS AKA  به صورت متن رمز نشده و کاملا آشکار ارسال می‌شود و امکان شنود آن بیشتر می‌باشد. توضیحات بیشتر در زمینه احراز هویت در بخش‌های بعدی خواهد آمد.

محرمانگی

امکان محافظت از محرمانگی سیگنالینگSIP در شبکه ‌IMS ارتباط بین کاربر و سرور P-CSCF را برقرار می‌نماید. تجهیزات کاربر الگوریتم‌های رمز‌نگاری برای استفاده در نشست را برای P-CSCF ارسال می‌نماید.  این سرور تصمیم می‌گیرد الگوریتم مورد استفاده کدام باشد و با الگوریتم مورد نظر شبکه نیز تطابق داشته باشد. توافق شبکه و کاربر در این زمینه، شامل کلیدهای رمزنگاری مورد استفاده در حفظ محرمانگی نیز می‌شود. مکانیزم مبتنی بر IMS AKA می‌باشد. مکانیزم محرمانگی در ارتباط امن بین سرورهای CSCFها به مکانیزم‌های امنیتی مشخص شده در امنیت دامنه شبکه و در  TS33.210تعیین شده است.

یکپارچگی

محافظت از یکپارچگی ارتباط بین کاربر و سرورP-CSCF برای محافظت از سیگنالینگSIP برقرار می‌شود. الگوریتم و کلیدهای استفاده شده در یکپارچگی بین کاربر و شبکه مورد توافق قرار می‌گیرد. با این مکانیزم، حملات تکرار محدود خواهند شد. مکانیزم یکپارچگی در ارتباط امن بین سرورهای  CSCFها به مکانیزم‌های امنیتی مشخص شده در امنیت دامنه شبکه و در TS33.210 تعیین خواهد شد. مطابق با RFC3261، پشتیبانی از پروتکلTLS توسط سرورهایSIP اجباری می‌باشد. برای محافظت از محرمانگی و یکپارچگی ارتباط بین سرورها، این پروتکل در لایه بالای IPSec قابل اجرا می‌باشد و مشخصه‌های Session ID, IP address, port No.در اتصالTLS وجود دارد. در صورتی که پروتکلTLS بر روی سرور قابل ارایه باشد، می‌تواند احراز هویت تشریح شده در TS33.310 را مورد استفاده قرار داد.

شاد و امیدوار باشین.




طبقه بندی: امنیت شبکه، 
برچسب ها: ساختار سیگنالینگIMS SIP، امنیت شبکه، شبکه، آموزش شبکه، امنیت در شبکه،
ارسال توسط پیمان کوره پز
مرتبه
تاریخ : یکشنبه 8 مرداد 1391


به نام خدا

Intrusion Detection System

در جلسه های قبل راجع به حملات رایج شبکه‌های کامپیوتری بحث نمودیم. در ادامه به راه کارهای مقابله می پردازیم.................

شناسایی حمله در مکانیزم های دفاعی برای پیشگیری از وقوع حمله مهم است. IDS:Intrusion Detection System از ابزاری است که در شبکه به این منظور استفاده  می شود.

سیستم IDS به صورت یک ابزار در شبکه(به عنوان مسیریاب- سوییچ...) با نرم افزاری که کار مونیتورینگ ترافیک عبوری را انجام می‌دهد، نصب می‌شود. معمولا دیوار آتش به همراه IDS کار تشخیص حمله را انجام می‌دهند. اگر از درون یک LAN به سمت بیرون حرکت کنید ابتدا به IDS سپس به دیوار آتش می‌رسید و پس از آن به شبکه بیرونی(اینترنت) می‌رسید. زیرا دیوار آتش یا از عبور بسته ممانعت می نماید و یا بسته را عبور می دهد. بنابراین ترافیک گسیل شده از شبکه بیرون در صورتی که از دیوار آتش عبور نمود توسط IDS بررسی می شود تا در مورد مشکوک بودن رفتار آن تصمیم‌گیری شود. در عمل این دو ابزار در یک آدرس IP می‌توانند پیاده‌سازی شوند. به علت منحرف نمودن توجه مهاجم از وجود ابزار امنیتی در شبکه، معمولا سیستم‌های امنیتی را در غالب یک مسیریاب، سوییچ در شبکه قرار می‌دهیم.

 یک IDS کار مونیتور نمودن ترافیک شبکه  و سرکشی به فایلهایlog راانجام میدهد. به این ترتیب هرگونه تخلف از سیاستهای امنیتی معمول شبکه را تشخیص می‌دهد.

انواع متفاوتی از این سیستم تعریف شده است. سیستم هایی که بر مبنای رفتار ترافیک شبکه، تنظیمات پورت‌ها، بر اساس نشانه‌ها و رفتار یک حمله که در منبع سیستم IDS ذخیره شده است و تغییر ترافیک با این الگو تطابق داده می‌شود، بر اساس تخطی از الگوی رفتاری معمول یک کاربر و یا سایر مشخصه ها به تشخیص یک حمله می‌پردازد و هشداری مبنی بر احتمال حمله را می‌دهد.  سیستمIDS کار مقابله با حمله و سد آن را نیز عهده دار می‌باشد.

سیستم‌های IDS‌ای که رفتار آماری غیر عادی را تشخیص می‌دهند(behavior-based) وسیستم‌هایی که بر روی سگمنت‌های شبکه و ترافیک آنها به صورت بلادرنگ شنود و تحلیل می‌نمایند، سیستمهای مبتنی بر شبکه می‌باشند که در واقع نشانه‌ها را تشخیص می‌دهند . این سیستمها شامل یک برنامه لایه کاربرد به همراه NIC می‌باشند. ترافیک بقیه سگمنتهای آن شبکه و یا بقیه خطوط ارتباطی همانند خطوط تلفن مونیتور نمی شوند.

سیستم‌های کارآمد باید بتوانند هر نوع حمله‌ای را با ترکیبی از این روش‌ها و بدون تلف نمودن منابع سیستم، داده‌های بلادرنگ و قابل اعتمادی از شبکه را بدست‌ آورند. این سیستم ها برای مقابله با حمله DOS کاربرد دارند.

می توان IDS را کنار سوییچ‌ها نصب نمود و با استفاده از پورت‌های  خاص این ابزار که  خاصیت یک هاب را دارند، ترافیک عبوری از سوییچ را به IDS فرستاد (forward نمود) به این ترتیب یک سیستم محافظتی خاموش در شبکه قرار داده‌ایم.

سیستم هایIDS  مشکلاتی نیز دارند:

 برخی هکرها حوصله زیادی در عملی نمودن حمله خود دارند. برخی حمله‌ها بر اساس تغییرات بسیار کند ترافیک عبوری و با گذشت زمان زیاد به وقوع می پیوندند و این یعنی سیستم IDS باید نمونه‌های زیادی از اطلاعات را در  پایگاه داده ذخیره  و تحلیل نماید! و تشخیص حمله نیازمند هزینه فضای حافظها و تحلیل رفتاری طولانی مدت شبکه است.

در مواردی مشخصه‌ها و شناسه‌هایی که در بخش کاربرد سیستم IDS تنظیم می‌شوند مانند نوع سیستم عامل و شماره نسخه آن و platform مربوطه باعث می‌شود حملاتی که به صورت موردی و یا با فرمت جدید انجام می شود از دید دور بماند. این نوع سیستمIDS به شدت به سیستم عامل و منابع خود وابسته است و برای داشتن شبکه سالم به پشتیبانی و به روز شدن مداوم نیازمند است تا شناسایی آسیب‌پذیری‌های جدید و هماهنگی با آنها را به خوبی انجام دهد. در واقع داشتن دید سازگار با تغییرات نوع حمله ها نیازمند همراهی با تغییرات کاربردها و امکانات مهاجمان می‌باشد.

در مورد سیستم‌های IDS که بر اساس رفتار ترافیک عبوری تصمیم‌گیری می‌نمایند، به روز شدن و پشتیبانی ضرورت کمتری دارد. آنها بر اساس تحلیل ترافیک به تصمیم‌گیری می‌پردازند.

گاهی سیستم آنقدر حساس تنظیم شده  است که با کوچکترین تغییر و تحولی در شبکه هشدار می‌دهد و این موقع‌هاست که مدیر شبکه شاکی از این ابزار محافظتی ترجیح می‌دهد خود با ترفندهای دستی همانند بستن پورت ICMP، کنترل دسترسی به ترافیک و برخی محدودیت های دیگر، خود به trace شبکه برای مقابله با حملات بپردازد.

نرم‌افزارهایی open source در شبکه با هسته Linux, Unix تعریف می‌شوند که ادعا می‌نمایند به scan پورتها‌ می‌پردازند و به ما در کنترل شبکه کمک می‌نمایند. این نرم‌افزارها گاهی از طریق Back door های تعریف شده به شنود ترافیک مشغولند.

نرم‌افزاری مانند snort که در عمل به همراه یک موتور IDS میتواند یک سیستم تشخیص نفوذ را ایجاد کند توسط مهاجم برای استراق سمع بسته های مربوط به دیگران استفاده می شود.

 سیستم‌های محافظتی دیگری بجز IDS همانند دیوار آتش و ... نیز وجود دارند. بقیه مطالب در پست آینده.

شاد باشین...




طبقه بندی: امنیت شبکه، 
برچسب ها: امنیت شبکه، امنیت در شبکه، برقراری امنیت در شبکه، سیستم‌های محافظتی، سیستم‌های IDS،
ارسال توسط پیمان کوره پز
مرتبه
تاریخ : یکشنبه 1 مرداد 1391
بُعد احراز هویت، در مورد تشخیص درست بودن هویت فردی است که می­خواهد از امکانات شبکه استفاده نماید.
احراز هویت  این اطمینان را می ­دهد که موجودیتی که در ارتباط شبکه­ ای شرکت کرده است،  مجاز می باشد. این موجودیت می­ تواند شخص، ابزار، سرویس و یا کاربرد نصب شده در شبکه باشد.
 
یکی بودن هویت کاربر با چیزی که ادعا می­کند, به معنی مجاز شناخته شدن آن کاربر است. تنها از این طریق است که کاربر میتواند سرویس­ها را از شبکه دریافت نماید.
در حمله ­هایی که در شبکه رخ می­دهد حمله­ کننده، با استفاده از مشخصه­ های عناصر مجاز همانند آدرس IP، آدرس MAC ، مشخصه­ های شناسه کاربری و کلمه عبور و غیره، خود را عنصر مجاز معرفی نموده و به شبکه وارد می­شود.
 
محافظت از این بخش­ها و جلوگیری از افشای این مشخصه­ ها باعث در امان ماندن شبکه از حمله­ های افراد غیرمجاز می­گردد.
 
بُعد کنترل دسترسی و احراز هویت با یکدیگر ارتباط نزدیک دارند و ما می­توانیم با دادن شناسه کاربری متفاوت به افراد و تعیین سطح دسترسی هر شناسه،  باعث شویم تا افراد بتوانند به سرویس­های شبکه دسترسی یابند و امکاناتی همانند اصلاح و تغییر داده­ ها، حذف و یا تغییر مکان و مسیر ذخیره دادها را داشته باشند.
 
بالاترین سطح دسترسی، با دسترسی به شناسه­ ها و کلمه عبور admin به دست می­ آید و بالاترین امکان تغییر داده را داراست. در این مورد فرد غیر مجاز، با بالاترین سطح دسترسی به امکانات و دارایی­ های شبکه، آسیب رسانی را انجام می­دهد.
 
همان طور که می­دانید، محافظت از شناسه­ های عبور, از اولویت­های مهم امنیتی است و افشای هر شناسه باعث افشای اطلاعات با سطح دسترسی مربوطه برای عموم خواهد بود.
 
فرد غیر مجاز می­تواند با شناسه سرقت شده وارد شبکه گشته، اطلاعات لازم را کپی و یا اطلاعات انحرافی را وارد شبکه نموده و بدون جاگذاشتن اثری خارج شده و به اهداف خود برسد. اطلاعات تقلبیِ وارد شده به جای اطلاعات اصلی پردازش شده و بر اساس آنها تصمیم­ گیری انجام گردد.
 
راه دیگری که امنیت اطلاعات را بالا می برد، رمز نمودن آنهاست تا در صورتی که شناسه­ های عبور افشا شدند، اطلاعات رمز شده قابل سواستفاده نباشد. رمزنگاری داده­ ها با اهداف مختلف انجام می­گردد و در جلسه بعدی به آن می­پردازیم.
 



طبقه بندی: امنیت شبکه، 
برچسب ها: احراز هویت، Authentication چیسن، Authentication در شبکه، آدرس IP، آدرس MAC، کنترل دسترسی، امنیت در شبکه،
ارسال توسط پیمان کوره پز
کنترل دسترسی از امکان استفاده غیرمجاز منابع شبکه جلوگیری می نماید. بعد کنترل دسترسی نشان می­دهد که تنها افراد ویا ابزار مجاز، اجازه دسترسی به المان های شبکه، جریان داده­ها و استفاده از سرویس ها و کاربردها و نیز ذخیره و اصلاح اطلاعات را دارند.
 
همچنین کنترل دسترسی سطوح متفاوت دسترسی به شبکه را تعریف می نماید. سطوح متفاوت دسترسی به بخشهای دسترسی به منابع، کاربردها، استفاده از عملگرها، استفاده از اطلاعات ذخیره شده و جریان داده­ها تقسیم­بندی شود و بر اساس درصد مجاز بودن هرکس، هر کدام از آنها، قابل استفاده باشد. در این صورت اجازه دسترسی تنها در همان سطحی که تعریف شده است، داده خواهد شد و امکان اصلاح و تغییر اطلاعات و تنظیمات سایر بخشها وجود ندارد.

تعریف کنترل دسترسی در شبکه در لایه­های مختلف انجام می­شود.تعریف دیواره­های آتش در همه هفت  لایه OSI میسر می باشد. دیوار آتش از منابع موجود در داخل شبکه در مقابل حملات بیرونی محافظت کرده و به کاربران داخل شبکه طبق سیاست­های امنیتی، اجازه دسترسی به شبکه خارجی را می­دهد. تنظیم و یا مسدود نمودن پورت­ها در لایه هفت، امکان مدیریت دسترسی به برخی برنامه ها و کاربردها همانند messengerها را امکان پذیر می نماید.کنترل دسترسی در لایه های پایین تر همانند تنظیماتی که در پورتهای سوییچها و دست­های مسیریابها انجام می­پذیرد، امکان مدیریت ترافیک را تا لایه سه مهیا می سازد.دسترسی بر اساس نام کاربری، کلمه عبور، شماره پورت مبدا، مقصد (،ftp و telnet)، نوع پروتکل شبکه­ای مورد استفاده (،UDP،TCP)، آدرس مبدا، مقصد و موقعیت درخواست­کننده فراهم می­شود و بر اساس این تنظیمات، فیلتر کردن بسته­ها در لایه­های سه تا هفت صورت می‌گیرد. امروزه دیوار آتش علاوه بر مدیریت در ترافیک عبوری، سرویس­های امنیتی متنوعی ارایه می­دهد. به عنوان مثال می توان از( VPN (Virtual Private Networkو یا از  NAT  Server و همین طور تعدیل بار ، ویروس­یاب و سیستمهای تشخیص نفوذ نام برد.

انواع متفاوت دیوار آتش مانند ثابت، پویا، کاربردی، بسته­ای، مداری و غیره وجود دارد. دیوار آتش سطح کاربرد، امنیت بالاتری دارد. در این نوع مکانیزم تنها درخواست سرویس­هایی پاسخ داده می­شود که مجاز باشند مثلا تنها سرویس­های http،ftp اجازه عبور دارند و بقیه فیلتر می­شوند.

ابعاد امنیتی کنترل دسترسی و احراز هویت وابستگی نزدیکی به هم دارند زیرا با احراز هویت یک کاربر، اجازه دسترسی کاربر به منابع و اطلاعات صادر می شود به این ترتیب سطح دسترسی معلوم شده است.

در قسمت های بعدی به بعد امنیتی احراز هویت می پردازیم.





طبقه بندی: امنیت شبکه، 
برچسب ها: بعد امنیتی کنترل دسترسی، کنترل دسترسی، استفاده غیرمجاز منابع شبکه، امنیت در شبکه،
ارسال توسط پیمان کوره پز
آخرین مطالب
شبکه اجتماعی فارسی کلوب | Buy Website Traffic