برگزاری پنجمین رویداد سالانه امنیتی باگدشت از تاریخ هشتم تا هفدهم مرداد ماه 1403
سازمان
گــزارش
متخـــصص
میزان دسترسی که متخصصین امنیتی باگ‌بانتی به سامانه دارند دقیقا مشابه دسترسی مشتریان معمول آن سامانه است با این تفاوت که آنها تخصص امنیت اطلاعات داشته و می‌توانند مشکلات امنیتی را شناسایی نمایند. مساله اصلی در باگ بانتی، تحلیل باگها و تسریع در ایمن‌سازی آنها می‌باشد. باگهای جدید یک سناریو تست جدید برای توسعه‌دهندگان سامانه‌ها محسوب می‌شود. باگ‌بانتی بر حسب میزان حساسیت سامانه، به دو دسته عمومی و اختصاصی قابل انجام است.
هدف از اجرای تست‌نفوذ یا ارزیابی امنیتی شناسایی آسیب‌پذیرهای احتمالی منطبق بر استاندارد است. تست نفوذ روشی است که توسط آن قادر خواهیم بود تا آسیب‌پذیریهای موجود در سامانه‌ها را شناسایی کرده و امنیت سامانه‌ها را افزایش دهیم. علاوه بر گزارش آسیب‌پذیری امنیتی شناسایی شده، ویدیو نحوه شناسایی آنها و راهکار ایمن‌سازی به سازمان ارائه می‌گردد. پس از ایمن‌سازی موارد توسط تیم سازمان، تست مجدد مسائل امنیتی به منظور اطمینان از رفع آنها صورت می‌پذیرد.
خدمات امنیتی یک تیم CSIRT بنابر ممیزی سطح بلوغ سازمان اولویت‌بندی خواهد شد. طراحی و پیاده‌سازی فرآیندها، سیستمها و ابزارهای مورد نیاز، آزمایشگاه امنیتی و پیاده‌سازی کنترلهای امنیتی یک تیم آبی انجام و با ارائه آموزش کارگاهی تحویل می‌گردد. تیم CSIRT سازمان می‌تواند، امور مربوط به بررسی و تحلیل بیشتر شواهد امنیتی بر روی سیستم قربانی یا حمله کننده را به متخصصین باگدشت ارجاع نماید. لذا فارنزیک سیستم‌های مختلف از خدمات باگدشت محسوب می‌گردد.
تیم قرمز با شبیه سازی حملات مختلف میزان پتانسیل کنترلهای پیاده سازی شده در سازمان را بررسی می‌کند. بهره برداری از تیم قرمز برای سازمانهایی توصیه می‌شود که حداقل کنترلهای امنیت سایبری را رعایت کرده‌اند و نیازمند امتحان کردن المانهای امنیتی خود در حد بالاتر هستند. در این خدمت امنیتی تیم قرمز با شبیه‌سازی حملات بر اساس سناریوهای MITRE به بررسی میزان نفوذپذیری سازمان می‌پردازد و گزارش خود را در خصوص نتایج اجرای سناریوها در سازمان را ارائه می‌دهد.
ارزیابی امنیتی شبکه در قالب ارزیابی تجهیزات و سامانه‌های مختلف شبکه سازمان شامل سیستم‌عامل، تجهیزات شبکه، تجهیزات امنیتی و سرویس‌دهنده‌های سازمان می‌باشد. این خدمت توسط کارشناسان باگدشت در قالب ترکیبی از کنترلهای امنیتی CIS و NIST s800 بر اساس شرایط شبکه سازمان و شناخت ایجاد شده بصورت وایت باکس صورت می‌گیرد. با بررسی امنیتی وضعیت حال حاضر شبکه و شناسایی آسیب‌پذیریها، راهکارهای جایگزین برای بهبود معماری شبکه پیشنهاد خواهد شد.
اجرای پروژه های ایمن‌سازی مختلف توسط باگدشت؛ مبنای مناسبی جهت ارائه خدمات مشاوره ایمن‌سازی را مهیا نموده است. مهمترین اقدامات در خدمات مشاوره امنیتی، ارائه مشاوره کدنویسی امن سامانه‌ها، تهیه اسناد توسعه، تدوین نقشه راه امنیت سازمان، نظارت بر پروژه‌ها و مشاوره پیاده‌سازی هریک از خدمات امنیتی است تا سازمان بتواند به نتیجه مطلوب و قابل اطمینان دست یابد. در این سطح از خدمات، باگدشت به عنوان تیم برون سپاری شده امنیت، اقدام به ارائه خدمات مشاوره امنیت می‌پردازد.
برگزاری دوره تخصصی امنیتی در دو سطح کارکنان کسب و کار و همچنین در سطح پیشرفته از دیگر خدمات باگدشت می‌باشد. دوره‌های مذکور شامل دوره‌های عمومی برای ارتقا سطح آگاهی امنیتی کارکنان سازمان و کاهش رخنه‌های امنیتی داخلی و همچنین دوره تخصصی مختص تیمهای برنامه نویسی، زیرساخت و امنیت می‌باشد. دوره‌ها بر اساس سرفصلهای استاندارد بین‌المللی بصورت کارگاهی و بر اساس سناریوهای کاربردی اجرا می‌گردد.
با دسترسی به خدمات این سامانه، سازمانها می‌توانند با پایش مستمر امنیت داراییهای خود در فضای وب، سطح بلوغ امنیتی خود را بسنجند و وضعیت عملکرد امنیتی خود را در مقایسه با دیگر سازمانها شناسایی نمایند. هر سازمان بصورت مستمر، بدون ارائه دسترسی به سامانه سونار، آسیب‌پذیریهای امنیتی خود را شناسایی نموده و وضعیت امنیتی خود را از دیدگاه یک مهاجم بیرونی شناسایی می‌نماید. همچنین سازمانها، به پایگاه دانش تهدیدات امنیتی ملی و بین المللی دسترسی خواهند داشت.
به نظر میرسد تعدد اخبار هک شدن کسب و کارها و نبود قانونی قاطع در زمینه حمایت از داده‌های کاربران باعث نوعی بی‌تفاوتی در میان کسب و کارها شده است. تعدد نهادهای ناظر امنیتی باعث شده است شرکتهای دولتی و استارت‌‌آپی، مجبور شوند نیروی انسانی زیادی برای نوشتن گزارش‌ها و پاسخگویی به رگولاتورها تخصیص دهند، بدون اینکه این اقدامات به بهبود عملکرد واقعی امنیت سازمان کمک کند.
پنجمین رویداد امنیتی CTB با حمایت شرکتهای خدمات ارتباطی ایرانسل، دیجیکالا، سفرهای علی‌بابا، تپسی، بانک توسعه و تعاون و رسانه پیوست از هشتم تا هفدهم مرداد ماه برگزار شد.
در این مقاله خلاصه صحبتهای انجام شده توسط مجموعه کارکسب به عنوان یک مجموعه متمرکز بر بهبود کسب و کارهای کشور و خانم دکتر رویا دهبسته مدیرعامل باگدشت ارائه شده است. موضوع این صحبت، امنیت سامانه‌ها، روال اجرای آن در سازمانها، تاثیر آن در موفقیت کسب و کار و چالش‌های روبرو در سازمانها می‌باشد
پنل اختصاصی این رویداد با موضوع "امنیت داده در استارتاپ‌ها" با راهبری جناب آقای احمدرضا صادقی(مدیراجرایی نیک‌ونچرز و عضو هیات اجرایی کارایا) با حضور آقایان سهراب بهروزیان"مدیر ارشد زیرساخت و امنیت دیجیکالا" ، مجتبی مددخانی"مدیر انفورماتیک شرکت فناوری اطلاعات هلو" صابر غفاری مقدم "کارشناس رسمی قوه قضاییه" و سرکار خانم رویا دهبسته "مدیرعامل پلتفرم خدمات امنیتی باگدشت" برگزار گردید و به پرسش و پاسخ و گفتگو پرداختند
در این گزارش به بررسی مصاحبه صورت گرفته با خانم رویا دهبسته مدیرعامل شرکت باگدشت، در خصوص روند کارآفرینی در حوزه امنیت سایبری و همچنین دغدغه‌های حوزه منابع انسانی می‌پردازیم.
اپلیکیشن‌های تحت وب برای شناسایی و تعامل با کاربرهای احراز هویت شده از نشست (Session) استفاده می‌کنند. درصورتی‌که احراز هویت کاربر و مدیریت نشست به‌درستی پیکربندی نشده باشد، مهاجمان ممکن است بتوانند رمزهای عبور، کلیدها یا توکن‌های نشست را به دست بیاورند تا از این طریق به حساب‌های کاربران دسترسی پیدا کنند و هویت آنها جعل کنند.
وقتی صحبت از هک و نقص امنیتی می‌شود، اولین چیزی که اغلب به ذهن شنونده میرسد لورفتن رمز عبور است. درصورتی‌که کاربرها از ترکیب ایمیل یا نام کاربری به همراه رمز عبور یکسان برای ثبت‌نام استفاده کرده باشند، هکرها می‌توانند داده‌های رمز عبور را برای دسترسی به سایر حساب‌های کاربری در وب‌سایت‌های مختلف استفاده کنند.
اگر امنیت سایبری چیزی به ما یاد داده باشد، این است که همیشه در سیستمها نقص، هک و آسیب‌پذیری وجود خواهد داشت. امنیت سایبری به‌عنوان یک مسیر شغلی، زمینه‌ای است که همیشه در حال تغییر است؛ بنابراین با ظهور فناوری‌های جدید و تکنیک‌های جدید هک، باید به طور مداوم دانش خود را ارتقا دهید.
باگدشت "سامانه ارائه خدمات امنیتی" یا SECaaS است که هدف آن افزایش سطح امنیت و ایمن‌سازی سامانه‌های فناوری اطلاعات و ارتباطات سازمانها می‌باشد. شرکت دانش‌بنیان تحلیلگران امن آریانا، با ایجاد سامانه ارائه خدمات امنیتی باگدشت از سال 1397 بصورت عملیاتی، منجربه ایجاد کارآفرینی نیروی متخصص امنیتی کشور به روشی جدید، استفاده از پتانسیل آنها و اجرای پروژه‌های امنیتی شده است و سازمانهای کشور به خدمات متنوع امنیتی سامانه دسترسی دارند.
