در نشست هم افزایی فعالان فضای مجازی مطرح شد؛

وضعیت تاب آوری امنیتی زیرساخت های فضای مجازی چگونه است

فعالان فضای مجازی پاک (فمپ) وضعیت تاب آوری امنیتی زیرساخت های فضای مجازی کشور را مورد بررسی قرار دادند. در این نشست اعلام شد که ۴۳ درصد حملات سایبری در دنیا به سمت زیرساخت های ایران است.

کد خبر: ۱۳۸۱۹۶

تاریخ: ۰۷ آبان ۱۳۹۹ - ۱۷:۴۰

به گزارش خبرنگار مهر، سی‌امین محفل آنلاین هم افزایی فعالان فضای مجازی پاک (فمپ) که توسط جمعیت توسعه گران فضای مجازی پاک برگزار می شود این هفته به بررسی وضعیت تاب آوری زیرساخت های حیاتی فضای مجازی کشور پرداخت.

ابوالقاسم صادقی معاون امنیت سازمان فناوری اطلاعات در این نشست با اشاره به رخدادهای اخیر سایبری به برخی زیرساخت های حیاتی کشور گفت: رخدادهای سایبری را می توان در دو گروه طبقه بندی کرد و مورد بررسی قرار داد. برخی حملات به معنای واقعی و توسط گروههایی که فعالیت های مخرب و هدفمند انجام می دهند، براساس یک نقطه ضعف در یک شبکه صورت می گیرد و به آن به اصطلاح APT گفته می شود. گروه دوم مربوط به رخدادهایی می شود که عامل مخرب شروع کننده آن نیست بلکه سهل انگاری ها و بی توجهی ها باعث این اتفاقات ناخواسته شده و لطماتی را به بار می آورد.

وی ادامه داد: از اسفندماه سال ۹۸ تاکنون که با فراز و نشیب های بسیاری در زمینه رخدادهای اخیر سایبری مواجه بودیم برآوردهای ما نشان داد که اغلب این رخدادها در طبقه بندی دوم انجام گرفته و به بیان دیگر ما از سهل انگاری های خودمان بیشتر لطمه خوردیم تا اتفاقات مخرب تیم های منسجم و هدفمند.

اغلب رویدادها از نوع سهل انگاری است

صادقی با اشاره به اینکه از لحاظ حجم کمی نیز ارزیابی ما نشان می دهد که اغلب رویدادها از نوع سهل انگاری است و خسارت افشای اطلاعات را به وجود آورده است، ریشه این رخدادها را به دلیل وجود خلاهای قانونی عنوان کرد و گفت: در کنار این خلاهای قانونی، یک سری خلاهای عملیاتی، نقصان های ابزاری و دانشی نیز وجود دارد اما شدت خلاهای قانونی بیشتر است.

وی گفت: اگرچه کوتاهی ها و تخلفات در حوزه امنیت در سازمان ها را نباید جرم تلقی کرد اما برای مسئولیت حفظ اطلاعات در هر دستگاه ضمانت اجرایی وجود ندارد و در این زمینه مصوبه شورای عالی فناوری اطلاعات که هر دستگاه مسئول صیانت از امنیت خود است، رعایت نمی شود.

صادقی با اشاره به یادآوری ها، پیگیری ها و تذکرات امنیتی که از سوی مرکز ماهر به دستگاهها و سازمان ها ارائه شده است، افزود: از ابتدای امسال تاکنون بالغ بر ۲ هزار هشدار امنیتی در خصوص آسیب پذیری ها و انواع حملات در این حوزه منتشر کرده ایم.

وی با بیان اینکه از اسفند ۹۸ تاکنون بحث اسکن در فضای مجازی کشور را نیز در دستور کار قرار دادیم، ادامه داد: مرکز ماهر سامانه اختصاصی خود برای رصد فضای آلوده کشور را دارد و در این زمینه به یک سری از دیتابیس های باز و حفاظت نشده روی فضای اینترنت دست یافتیم. این موضوع را به صاحبان دیتابیس ها اطلاع رسانی کردیم و مواردی را که صاحبان آنها مشخص نبودند به دادستانی و پلیس فتا و ضابطان قضایی برای پیگیری اعلام کردیم.

معاون امنیت سازمان فناوری اطلاعات گفت: شاید درصد رخدادهای سایبری در کشور ما که از نوع APT صورت می گیرد نسبت به برخی کشورهای پیشرو بالاتر نباشد اما درصد اشتباهات ما بیشتر است. از سوی دیگر می توان گفت که ما نسبت به متوسط دنیا در زمینه حملات هدفمند در یک تراز هستیم و اتفاقات ویژه تری نیز برای ما رخ نمی دهد و حتی شاید زیرساختهای بزرگ آنها بیشتر مورد هدف قرار می گیرند.

وی در خصوص نبود الزامات امنیتی برای زیرساخت های حیاتی کشور تاکید کرد: در انتهای سال ۹۷ مرکز افتای ریاست جمهوری دستورالعمل الزامات امنیتی را زیرساختهای حیاتی تدوین و به تمامی دستگاهها ابلاغ کرد. اگرچه ما در آن زمان نسبت به این دستورالعمل نقد داشتیم و پیش بینی کردیم که این سند با این شرایط قابلیت اجرا پیدا نخواهد کرد اما با این وجود، چارچوب ها و الزامات برای همه دستگاهها ابلاغ شده است و ما معتقدیم که اساسا در حوزه امنیت نیاز به دستورالعمل نیست.

صادقی با بیان اینکه مادام نباید به سازمانها توصیه کرد که یوزر و پسورد خود را به روزرسانی کرده و یا فایروال داشته باشند، ادامه داد: اغلب حملات متعارف توسط تیم های زیرزمینی خیلی متوسط صورت می گیرد و اگر سازمانی با تکنیک های زیر متوسط مورد حمله قرار می گیرد یا سطح دانش فنی آن به نحو آزاردهنده ای پایین است و یا از لحاظ انگیزشی و مادی در آن سازمان اختلالی وجود دارد و نمی توان روی این نقصان، اسم حمله گذاشت.

وی با انتقاد از اینکه نظام ملی پیشگیری و مقابله با حوادث فضای مجازی با وجود آنکه تمام مخاطبان با سطوح مختلف کسب و کارهای خصوصی و شهروندان را دربرمی گیرد اما برچسب محرمانه دارد، در مورد معماری مقوله امنیت در سطح کشور گفت: حوزه امنیت سایبری خیلی شلوغ و پر از بازیکنان ستاره و پرقدرت در نفوذ و جایگاه است اما این ارکان در کنار اصطکاک ایجاد می کنند و هدررفت های این حوزه زیاد می شود و باید برای آن کاری کرد.

معاون سازمان فناوری اطلاعات مشکل فعلی در آسیب پذیری ها سایبری در کشور را اقتصاد امنیت عنوان کرد و گفت: باید به این سوال پاسخ داده شود که چه میزان تامین مالی برای صنعت امنیت در کشور صورت می گیرد؟ پس از آن باید سطح انتظارات خود را در همین حد تامین مالی قرار دهیم. چرا که صنعت بومی امنیت در کشور ما در حد متوسط است اما توقع رقابت با صنایع خارجی را داریم. در این زمینه دچار یک چرخه منفی ناتمام شده ایم که نتیجه آن آسیب به صنعت بومی، خرید محصولات خارجی و از بین رفتن انگیزه نیروهای داخلی می شود.

وی گفت: ما در سازمان فناوری اطلاعات رفع چالش اقتصاد امنیت را با دو طرح به صورت همزمان پیش می بریم. نخست اینکه در حوزه خریدهای خارجی با هماهنگی مرکز افتا مصوبه ای به کمیسیون تنظیم مقررات ارتباطات ارائه داده ایم تا تمامی دستگاههای دولتی از خرید تجهیزات خارجی زیرساختی امنیت از مسیری که پیش بینی شده، منع شده و کنترل خرید محصولات امنیتی به صورت اتوماتیک از این مسیر انجام شود.

صادقی ادامه داد: راهکار دوم این است که با یک ادبیات غیر تحکم آمیز با ایجاد چند آزمایشگاه، محصولات بومی و خارجی را ارزیابی عملکردی کنیم. ما معتقدیم که تست های فعلی ناقص است. چرا که صرفا مجوز تست امنیت در حوزه آسیب پذیری صورت می گیرد اما مشکل این است که باید محصول خارجی و بومی را با هم از نظر عملکردی مقایسه کرد. در این زمینه ما باید زیرساخت بنچ مارکینگ را در محصولات امنیت ایجاد کنیم . این موضوع در سازمان فناوری اطلاعات آغاز شده و راه اندازی آزمایشگاه عیارسنجی به عنوان یکی از اجزای برنامه های شبکه ملی اطلاعات در شاخص امنیت در دستور کار قرار دارد. این می تواند یک معیار حرفه ای برای مقایسه با محصول بومی و داخلی باشد که ضعف محصولات بومی را نیز رفع می کند. منوط به این که شرکت های داخلی ما مزیت ریالی را روی قیمت های تمام شده محصولاتشان اعمال کنند.

وی تاکید کرد: این روزها نسل های جدید حملات دیداس (DDOS ) رو به افزایش است و حملات پروتکلی با اینترفیس چالش بزرگی محسوب می شود که باید روی آن کار کرد. اخیرا نیز ردپاهایی در کشور دیده می شود که برخی حملات منشا داخلی شده و تعجب برانگیز است. در این زمینه نیز ما براساس ترندهای بین المللی به کمک مراکز آپا و هم براساس نظارتهایی که داریم در حال طراحی راهکار و معماری هستیم.

وضعیت کشور در تاب آوری زیرساختهای امنیتی در حد متوسط رو به بالا است

رسول جلیلی عضو حقیقی شورای عالی فضای مجازی نیز در این نشست در خصوص انتقاداتی که به نبود ضمانت اجرایی مصوبات شورای عالی فضای مجازی در خصوص امنیت سایبری وارد است توضیح داد و گفت: در زمینه امنیت سایبری وجود قانون ضروری است و به همین دلیل شورای عالی فضای مجازی در نظام مقابله با حوادث فضای مجازی تکلیف دستگاهها برای امور مختلف را مشخص کرده است. دسته بندی خوبی در نظام پیشگیری ایجاد شده و تکلیف زیرساختهای حیاتی، غیر حیاتی، بخش خصوصی و آحاد جامعه مشخص شده است. طبق این نظام، مرکز افتا ، مرکز ماهر، پلیس فتا و غیره حیطه وظایفشان را می دانند.

وی با بیان اینکه هر قانونی هرچقدر محکم و با خط و مرز مشخص باشد اما باز هم به مواردی برخورد می کنیم که با کاستی و اشکال احتمالی مواجه است و میانگین  اجرای قوانین در هیچ کجای دنیا به ۱۰۰ درصد نمی رسد، افزود: عملکرد شورای عالی فضای مجازی در حوزه امنیت خوب بوده است اما با این حال نسبت به نیازمان به قوانین با کاستی مواجه هستیم.

عضو حقیقی شورای عالی فضای مجازی در مورد نیاز کشور به دانشگاهها در حوزه امنیت و کمکی که دانشگاهها می توانند برای ارتقای تاب آوری زیرساختها داشته باشند، تاکید کرد: در بحث امنیت سایبری نیازی به تحصیلات دانشگاهی نداریم بلکه نیازمند آموزش حرفه ای و تک درسی و چند درسی هستیم. کما اینکه قبلا گرایش رایانش امن در مقطع کارشناسی وجود داشت و ۲۰ واحد درسی نیز به آن اختصاص می یافت. اما در ۶ سال اخیر با تلفیق گرایش ها، دانشجویان کارشناسی کامپیوتر تنها ۳ واحد امنیت داده و شبکه  می خوانند. این موضوع اثر ویژه ای در افزایش توانمندی آنها در حوزه امنیت ندارد و تنها من باب آشنایی است. این واحدهای دانشگاهی هیچ آمادگی را برای کارشناسان سازمان ها ایجاد نمی کند.

وی گفت: در حوزه کارشناسی ارشد نیز در گرایش رایانه امن ۱۵ واحد دانشگاهی از مبانی رمزنگاری تا امنیت نرم افزار تدریس می شود که باز هم کفایت نمی کند؛ دانش این حوزه باید حرفه ای باشد و توسط یک سری آموزشگاهها که از سازمان پدافند غیرعامل، مرکز ماهر و افتا مجوز می گیرند باید آموزش داده شود.

جلیلی با اشاره به اینکه درحوزه پژوهش نیز اقداماتی که در حال انجام است در این سطح امنیت نیست، ادامه داد: پرورش نیرو وظیفه دانشگاهها است اما یک گستره ای از دانش وجود دارد که باید منطبق با هر نیاز کافرما، آموزش داده شود. سیستم آموزشی ما منطبق با دنیا است اما دانشگاه نمی تواند یک کارشناس ضد حمله برای آماده رزم در فضای مجازی آموزش دهد. بلکه نیاز به آموزش و دوره دارد.

وی در مورد اینکه نمره ما در تاب آوری زیرساختها چند است، افزود: در  همه جای دنیا بحث آسیب پذیری زیرساخت های حیاتی مطرح از درون و بیرون وجود دارد. ما نیز در مجموع در وضع متوسط به بالا از نظر تاب آوری قرار داریم. با توجه به شرایط تحریم های موجود از طریق فضای مجازی این آسیب پذیری ها متصور است. مبدا این حملات ممکن است از طریق برخی کشورهای منطقه و خصومت ها یا رقابت ها باشد. به این دلیل نمی توان نمره تاب آوری کشور را با یک سری کشورهایی که دشمن ندارند، قیاس کرد.

عضو شورای عالی فضای مجازی با بیان اینکه در زمینه توان مغزافزاری ما از بهره هوشی و مغزافزاری دنیا سهم داریم و آمادگی پدافندی و افندی نیز در کشور وجود دارد، در مورد نقش سازمان های بین المللی در خصوص حملات سایبری گفت: در سطح بین المللی خیلی از کشورها قوانین حملات سایبری در محدوده حمله سرزمینی دارند و ستاد نیروهای مسلح کشور ما نیز بیانیه ای در این خصوص داده که در حد قانون است. به این معنی که حریم فضای مجازی ما به مثابه حریم هوایی ما محسوب می شود. در این زمینه سازمان ملل تا به حال به موضوع حریم امنیت سایبری کشورها ورود نکرده است و شاید منتظر هستند که جنگ جهانی بعدی در فضای مجازی اتفاق بیافتد.

۴۳ درصد حملات سایبری دنیا به مقصد ایران صورت می گیرد

اسماعیل باقری اصل کارشناس امنیت صنعتی نیز در این نشست آنلاین با اشاره به وجود برخی نقصان ها در برخی زیرساختهای سایبری کشور، گفت: بررسی ها نشان می دهد که ما در حوزه حاکمیتی امنیت سایبری شاهد ضعف های قانونگذاری، نبود دانش کافی و تحریم ها هستیم. به این دلیل شبکه ای که پیاده سازی می شود در آن بحث امنیت به صورت جدی پیگیری نمی شود.

وی با اشاره به اینکه موارد متعدد نشت اطلاعات پیامدهای زیادی برای جامعه دارد و این ناامنی اگر مداوم باشد تبعات اجتماعی به همراه خواهد داشت، در مورد وضعیت زیرساخت های حیاتی کشور و اینکه ناامنی این زیرساخت ها در چه سطحی است، گفت: زیرساخت های حیاتی بیشتر در تامین تجهیزات متمرکز هستند و با توجه به مقوله تحریم ها، شاهد هستیم که به روزرسانی یک سری از فیچرهای امنیتی سخت تر شده است. از سوی دیگر شاهد ضعف در ارائه الزامات امنیتی هستیم و سازمان های بزرگ ما در کشور سند الزامات امنیتی را رعایت نمی کنند.

باقری اصل با تاکید بر اینکه استراتژی های امنیتی در کشور جدی گرفته نشده و به صدمات این حوزه توجه نمی شود، گفت: طراحی شبکه هم گاها ضعف های خیلی ساده دارد. برای مثال در یکی از رخدادهای صورت گرفته علیه یکی از سازمان های کشور، چندین سرور در یک پورت قرار داده شده بود و هیچ جداسازی در امنیت شبکه انجام نشده بود. از سوی دیگر شاهد نقصان ابزارهای دانشی هستیم.

وی در مورد وضعیت تاب آوری زیرساخت های امنیتی گفت: آمارهای مراکز تحقیقاتی امنیتی مانند NOD۳۲ نشان می دهد که ایران در حوزه حملات بدافزارهای موبایل، رتبه اول دنیا را دارد و کسپرسکی در این زمینه رتبه سوم را به ایران اختصاص داده است. این درحالی است که ۴۳ درصد از حملات سایبری در دنیا به سمت ایران صورت می گیرد. این مساله نشان می دهد که کشورهای متخاصم سعی در نفوذ به کشور ما دارند و طبیعی است که کشور ما را مورد هدف و هجوم قرار دهند.

این کارشناس نبود ساختار مشخص در مدیریت دسترسی را از جمله نقصان های فعلی عنوان کرد و افزود: نبود مدیریت دسترسی داده های دیجیتال و نبود ساختار حوزه مسئولیت،  می تواند به قانون گریزی کمک کند. در این حوزه امکان اثبات جرم و تخلف وجود ندارد و نیاز داریم به سمت بلوغ برویم. حیطه های مربوط به داده ها را مشخص کنیم تا مسئولیت پذیری برای هر فرد مشخص شود.

وی تاکید کرد: در بحث قانونگذاری نیز مجلس باید ورود کند و نهادهای حاکمیتی مانند شورای عالی فضای مجازی و نیز مراکز افتا، ماهر و پدافند غیرعامل و وزارت ارتباطات نیز اگر نقصی در حوزه وجود دارد را باید اعلام کنند. از سوی دیگر باید در کشور پیمایش امنیت زیرساخت های حیاتی با دقت بیشتری پیگیری شود.