برگزاری چهارمین رویداد سالانه امنیتی باگدشت از تاریخ دهم تا هجدهم مرداد ماه 1402
سازمان
گــزارش
متخـــصص
میزان دسترسی که متخصصین امنیتی باگ‌بانتی به سامانه دارند دقیقا مشابه دسترسی مشتریان معمول آن سامانه است با این تفاوت که آنها تخصص امنیت اطلاعات داشته و می‌توانند مشکلات امنیتی را شناسایی نمایند. مساله اصلی در باگ بانتی، تحلیل باگها و تسریع در ایمن‌سازی آنها می‌باشد. باگهای جدید یک سناریو تست جدید برای توسعه‌دهندگان سامانه‌ها محسوب می‌شود. باگ‌بانتی بر حسب میزان حساسیت سامانه، به دو دسته عمومی و اختصاصی قابل انجام است.
هدف از اجرای تست‌نفوذ یا ارزیابی امنیتی شناسایی آسیب‌پذیرهای احتمالی منطبق بر استاندارد است. تست نفوذ روشی است که توسط آن قادر خواهیم بود تا آسیب‌پذیریهای موجود در سامانه‌ها را شناسایی کرده و امنیت سامانه‌ها را افزایش دهیم. علاوه بر گزارش آسیب‌پذیری امنیتی شناسایی شده، ویدیو نحوه شناسایی آنها و راهکار ایمن‌سازی به سازمان ارائه می‌گردد. پس از ایمن‌سازی موارد توسط تیم سازمان، تست مجدد مسائل امنیتی به منظور اطمینان از رفع آنها صورت می‌پذیرد.
خدمات امنیتی یک تیم CSIRT بنابر ممیزی سطح بلوغ سازمان اولویت‌بندی خواهد شد. طراحی و پیاده‌سازی فرآیندها، سیستمها و ابزارهای مورد نیاز، آزمایشگاه امنیتی و پیاده‌سازی کنترلهای امنیتی یک تیم آبی انجام و با ارائه آموزش کارگاهی تحویل می‌گردد. تیم CSIRT سازمان می‌تواند، امور مربوط به بررسی و تحلیل بیشتر شواهد امنیتی بر روی سیستم قربانی یا حمله کننده را به متخصصین باگدشت ارجاع نماید. لذا فارنزیک سیستم‌های مختلف از خدمات باگدشت محسوب می‌گردد.
تیم قرمز با شبیه سازی حملات مختلف میزان پتانسیل کنترلهای پیاده سازی شده در سازمان را بررسی می‌کند. بهره برداری از تیم قرمز برای سازمانهایی توصیه می‌شود که حداقل کنترلهای امنیت سایبری را رعایت کرده‌اند و نیازمند امتحان کردن المانهای امنیتی خود در حد بالاتر هستند. در این خدمت امنیتی تیم قرمز با شبیه‌سازی حملات بر اساس سناریوهای MITRE به بررسی میزان نفوذپذیری سازمان می‌پردازد و گزارش خود را در خصوص نتایج اجرای سناریوها در سازمان را ارائه می‌دهد.
ارزیابی امنیتی شبکه در قالب ارزیابی تجهیزات و سامانه‌های مختلف شبکه سازمان شامل سیستم‌عامل، تجهیزات شبکه، تجهیزات امنیتی و سرویس‌دهنده‌های سازمان می‌باشد. این خدمت توسط کارشناسان باگدشت در قالب ترکیبی از کنترلهای امنیتی CIS و NIST s800 بر اساس شرایط شبکه سازمان و شناخت ایجاد شده بصورت وایت باکس صورت می‌گیرد. با بررسی امنیتی وضعیت حال حاضر شبکه و شناسایی آسیب‌پذیریها، راهکارهای جایگزین برای بهبود معماری شبکه پیشنهاد خواهد شد.
اجرای پروژه های ایمن‌سازی مختلف توسط باگدشت؛ مبنای مناسبی جهت ارائه خدمات مشاوره ایمن‌سازی را مهیا نموده است. مهمترین اقدامات در خدمات مشاوره امنیتی، ارائه مشاوره کدنویسی امن سامانه‌ها، تهیه اسناد توسعه، تدوین نقشه راه امنیت سازمان، نظارت بر پروژه‌ها و مشاوره پیاده‌سازی هریک از خدمات امنیتی است تا سازمان بتواند به نتیجه مطلوب و قابل اطمینان دست یابد. در این سطح از خدمات، باگدشت به عنوان تیم برون سپاری شده امنیت، اقدام به ارائه خدمات مشاوره امنیت می‌پردازد.
برگزاری دوره تخصصی امنیتی در دو سطح کارکنان کسب و کار و همچنین در سطح پیشرفته از دیگر خدمات باگدشت می‌باشد. دوره‌های مذکور شامل دوره‌های عمومی برای ارتقا سطح آگاهی امنیتی کارکنان سازمان و کاهش رخنه‌های امنیتی داخلی و همچنین دوره تخصصی مختص تیمهای برنامه نویسی، زیرساخت و امنیت می‌باشد. دوره‌ها بر اساس سرفصلهای استاندارد بین‌المللی بصورت کارگاهی و بر اساس سناریوهای کاربردی اجرا می‌گردد.
با دسترسی به خدمات این سامانه، سازمانها می‌توانند با پایش مستمر امنیت داراییهای خود در فضای وب، سطح بلوغ امنیتی خود را بسنجند و وضعیت عملکرد امنیتی خود را در مقایسه با دیگر سازمانها شناسایی نمایند. هر سازمان بصورت مستمر، بدون ارائه دسترسی به سامانه سونار، آسیب‌پذیریهای امنیتی خود را شناسایی نموده و وضعیت امنیتی خود را از دیدگاه یک مهاجم بیرونی شناسایی می‌نماید. همچنین سازمانها، به پایگاه دانش تهدیدات امنیتی ملی و بین المللی دسترسی خواهند داشت.
اپلیکیشن‌های تحت وب برای شناسایی و تعامل با کاربرهای احراز هویت شده از نشست (Session) استفاده می‌کنند. درصورتی‌که احراز هویت کاربر و مدیریت نشست به‌درستی پیکربندی نشده باشد، مهاجمان ممکن است بتوانند رمزهای عبور، کلیدها یا توکن‌های نشست را به دست بیاورند تا از این طریق به حساب‌های کاربران دسترسی پیدا کنند و هویت آنها جعل کنند.
وقتی صحبت از هک و نقص امنیتی می‌شود، اولین چیزی که اغلب به ذهن شنونده می‌رسد لورفتن رمز عبور است. درصورتی‌که کاربرها از ترکیب ایمیل یا نام کاربری به همراه رمز عبور یکسان برای ثبت‌نام استفاده کرده باشند، هکرها می‌توانند داده‌های رمز عبور را برای دسترسی به سایر حساب‌های کاربری در وب‌سایت‌های مختلف استفاده کنند.
اگر امنیت سایبری چیزی به ما یاد داده باشد، این است که همیشه در سیستمها نقص، هک و آسیب‌پذیری وجود خواهد داشت. امنیت سایبری به‌عنوان یک مسیر شغلی، زمینه‌ای است که همیشه در حال تغییر است؛ بنابراین با ظهور فناوری‌های جدید و تکنیک‌های جدید هک، باید به طور مداوم دانش خود را ارتقا دهید.
رویداد شناسایی باگهای امنیتی «CTB» یا «Capture The Bug» برای چهارمین سال پیاپی توسط مجموعه باگدشت در مرداد ماه ۱۴۰۲ برگزار شد. هدف اصلی از برگزاری این رویداد، فرهنگ‌سازی و ایجاد همکاری میان متخصصان امنیتی و سازمانهای کشور است.
امروزه در دنیا وابستگی کسب‌وکارها. سازمانها به نرم‌افزار و سیستم‌های کامپیوتری روزبه‌روز بیشتر می‌شود، ازاین‌رو انتشار اپلیکیشن‌های ایمن به اولویت اصلی توسعه‌دهندگان تبدیل شده است. خبر خوب این است که با نوشتن کد منبع (surce code) بهتر و ایمن‌تر می‌توان از بسیاری از سوءاستفاده‌ها و حملات بالقوه جلوگیری کرد.
در این مقاله به ارائه‌ی چهارمین گزارش عملکردی سالیانه‌ی سامانه‌ی خدمات امنیتی باگدشت می‌پردازیم. مهمترین رویداد‌های سال مربوط به باگدشت، برخی از آمار‌های عملکردی سال گذشته، حضور باگدشت در رسانه‌های تخصصی، برخی از همراهان ما و تحلیل باگدشت از چالش‌های امنیت سازمانها در این مقاله ذکر خواهد شد.
در سالی که گذشت، باگدشت توانست با حمایت و همراهی سازمانها و متخصصین گرامی، سومین رویداد امنیتی سالانه CTB را برگزار کند. در این مقاله مروری بر این رویداد خواهیم داشت.
از آن‌جا که در بسیاری از رخدادهای امنیتی، ناآگاهی کارمندان از مفاهیم و تهدیدهای امنیتی موجب ایجاد امکان نفوذ در سامانه‌ها می‌شود، در این مقاله به ضرورت آموزش و آگاهی‌رسانی به کارمندان می‌پردازیم.
باگدشت "سامانه ارائه خدمات امنیتی" یا SECaaS است که هدف آن افزایش سطح امنیت و ایمن‌سازی سامانه‌های فناوری اطلاعات و ارتباطات سازمانها می‌باشد. شرکت دانش‌بنیان تحلیلگران امن آریانا، با ایجاد سامانه ارائه خدمات امنیتی باگدشت از سال 1397 بصورت عملیاتی، منجربه ایجاد کارآفرینی نیروی متخصص امنیتی کشور به روشی جدید، استفاده از پتانسیل آنها و اجرای پروژه‌های امنیتی شده است و سازمانهای کشور به خدمات متنوع امنیتی سامانه دسترسی دارند.
