امنیت سایبری چیست و چرا مهم است؟
امنیت سایبری، عمل محافظت از سیستم‌ها، شبکه‌ها و برنامه‌ها در برابر حملات دیجیتال است. حملات سایبری معمولاً با هدف دسترسی، تغییر یا از بین بردن اطلاعات حساس، اخاذی از کاربران و وقفه در فرایند کسب و کارها انجام می‌شود.
اجرای اقدامات موثر امنیت سایبری مخصوصاً در دنیای امروز چالش برانگیز است؛ زیرا تعداد دستگاه‌ها از افراد بیشتر است و مدام به روز رسانی می‌شوند.
در دنیای متصل امروزی، همه از برنامه‌های دفاع سایبری پیشرفته سود می‌برند. در سطح فردی، یک حمله‌ی سایبری می‌تواند منجر به بسیاری از آسیب‌ها شود؛ از سرقت هویت و تلاش برای اخاذی، تا از دست دادن داده‌های مهم مانند عکس‌ها و اطلاعات.
مهندسی اجتماعی در امنیت سایبری
این عبارت در سال 1894 برای اولین بار استفاده شد. معنی آن تا مدت‌های طولانی فقط در رشته‌های علوم اجتماعی وجود داشت. بعد از گذشت سال‌ها، مهندسی اجتماعی به مرور وارد حوزه‌های دیگری نیز شد که یکی از مهم‌ترین این حوزه‌ها، حوزه‌ی امنیت است.
مهندسی اجتماعی در امنیت سایبری را می‌توان این‌گونه تعریف کرد: اصطلاحی که برای طیف وسیعی از فعالیت‌های مخرب حاصل از تعاملات انسانی به کار می‌رود. در این روش از فریب دادن کاربران در جهت انجام اشتباهات امنیتی یا دادن اطلاعات حساس استفاده می‌کنند. در اصل مهندسی اجتماعی سوء استفاده از اطمینان و یا فریب عوامل انسانی برای رسیدن به اطلاعات و در مرحله‌ی بعدی سوء استفاده از این اطلاعات است.
بگذارید با یک داستان جذاب، مفهوم مهندسی اجتماعی را برایتان روشنتر کنیم. در زمان جنگ تروآ، هنگامی که یونانیان ده سال پشت دروازه‌های شهر تروجان از پیشروی بازمانده بودند، یکی از جنگجویان زیرک به نام ادیسه نقشه‌ای ریخت تا همرزمانش، نه به زور بلکه با کمک خود تروجان‌ها به داخل شهرشان راه پیدا کنند. آن‌ها اسب چوبی غول پیکری ساختند و درون آن مخفی شدند. بعد عده‌ای از لشگریان یونان با کشتی تروجان را ترک کردند که آن‌ها فکر کنند یونانیان در حال عقب‌نشینی هستند. در همین حین یکی از سربازان کنار اسب چوبی در کنار دروازه ماند و به اهالی تروجان گفت که این اسب پیشکش یونانیان به خدایان است تا جان آن‌ها را در بازگشت به خانه حفط کنند و به این دلیل بزرگ ساخته شده که مردم نتوانند آن را به خانه‌های خود ببرند.
بالاخره تروجان‌ها فریب حرف‌های سرباز یونانی را خوردند و بررای نفرین یونانیان پذیرفتند که اسب از دروازه‌ها عبور کند و وارد شهر شود؛ غافل از آن‌که سربازهای یونانی داخل اسب در انتظار به آتش کشیدن شهر بودند. به خاطر این مهندسی اجتماعی هوشمندانه، یونانی‌ها جنگ باخته را بُردند.
در اصل فلسفه‌ی مهندسی اجتماعی این است: تو چیزی داری که من آن را می‌خواهم و تو را قانع می‌کنم که آن را به من بدهی یا کاری که می‌خواهم را انجام دهی حتی اگر به ضرر تو باشد.
تکنیک‌های حمله‌ی مهندسی اجتماعی
- طعمه گذاری (baiting)
در حمله‌ی طعمه‌ای، مهاجم چیزی را ارائه می‌دهد که قربانی معتقد به مفید بودن آن است. در اصل او از یک عامل تحریک کننده برای کنجکاوی قربانی و سپس سرقت اطلاعاتش استفاده می‌کند.
یکی از جدیدترین انواع طعمه، استفاده از رسانههای فیزیکی برای پراکندن بد افزارها می‌باشد. فرض کنید مهاجم یک فلش مموری که روی آن نوشته شده «لیست حقوق و دستمزد شرکت» را در مکانی که قربانی احتمالی حتماً آن را می‌بیند _مانند آسانسور شرکت یا پارکینگ شرکت_ ، می‌گذارد؛ قربانی آن فلش را از روی کنجکاوی برداشته و آن را به کامپیوتر وصل می‌کند و در نتیجه بد افزار به صورت خودکار روی سیستم نصب می‌شود.
- ابزار ترسناک (scareware)
در این روش مهاجم از هشدارهای دروغ و یا تهدیدات ساختگی استفاده می‌کند تا قربانی تصور کند که سیستم به بد افزار آلوده شده؛ در نتیجه قربانی مجبور به نصب نرم افزار مورد نظر مهاجم می‌شود.
متدوال‌ترین مثال این روش، باز شدن پاپ آپ‌هایی با ظاهر قانونی و با محتوای ” هشدار آلوده شدن سیستم ” است که در مرورگر ظاهر می‌شوند. در این حالت قربانی را به نصب نرم افزاری جهت محافظت از برنامه‌های خود تشویق می‌کنند که یا حاوی بد افزار است و یا او را به سایت مخربی هدایت می‌کند.
- بهانه دادن (pretexting)
در این روش، غالباً مهاجم وانمو می‌کند که نیاز به اطلاعات مهمی دارد تا با آن‌ها یک کار حیاتی انجام دهد. در اصل او می‌خواهد از طریق دروغ‌های هوشمندانه‌ای به دست بیاورد. معمولاً مهاجم یک هویت جعلی ایجاد می‌کند (مانند یک همکار، پلیس، مقامات بانکی و…) و به این صورت اعتماد قربانی را جلب می‌کند؛ سپس سوالاتی را مطرح می‌کند که در ظاهر برای تایید هویت قربانی لازم است و به این ترتیب اطلاعات مورد نیاز خود را جمع می‌کند.
- فیشینگ (phishing)
یکی از محبوب‌ترین انواع حملات مهندسی اجتماعی می‌باشد که شامل ایمیل و پیام‌های متنی، با هدف ایجاد حس اضطرار، کنجکاوی و ترس در قربانی می‌شود سپس او را به سمت افشای اطلاعات مهم، کلیلک روی سایت‌های مخرب و یا باز کردن ضمیمه‌های حاوی بد افزار هدایت می‌کند.
مثلاً ایمیلی برای کاربران یک سرویس آنلاین ارسال شده که به آن‌ها درمورد نقش خط مشی هشدار می‌دهد که لازم است فوراً یک اقدام فوری مثل تغییر پسورد انجام دهند. به این ترتیب توسط یک لینک به سایت‌های مخرب که ظاهر قانونی دارند هدایت می‌شوند و پسورد خود را در اختیار مهاجم می‌گدارند.
با توجه به این که در کمپین‌های فیشینگ پیام‌های یکسانی برای تمام کاربران ارسال می‌شود، شناسایی و مسدود کردن آن‌ها برای سرورهایی که به پلتفرم‌های به اشتراک گذاری تهدیدات دسترسی دارند، کار ساده‌ای است.
سوال:
چگونه می‌توانیم از فریب خوردن و هک شدن اکانت‌ها جلوگیری کنیم؟
- به ایمیل ها مشکوک باشید
بسیاری از حملات سایبری به وسیله‌ی ایمیل‌های ساده اما مخرب شکل می گیرند. ایمیل یک ابزار مفید برای ارتباط است اما این مزیت می‌تواند خطرساز نیز باشد و موجب ریسک امنیتی بالایی شود. برای مثال، همان‌طور که در بالا گفته شد در عمل فیشینگ، ایمیل‌های به ظاهر بی ضرری به قربانیان ارسال شده و آن‌ها را به وب سایت هایی تقلبی جهت آپدیت کردن اطلاعات شخصی شان فرا می خوانند.
بهترین راه برای جلوگیری از فریب خوردن توسط ایمیل‌های ساختگی آن است که چک کنید آیا فرستنده همانی است که شما فکر می‌کنید یا خیر. ابتدا آدرس ایمیل او را چک کنید و با اطلاعات قبلی خود تطبیق دهید تا از صحت آن مطمئن شوید. برای محکم کاری بیشتر می‌توانید آدرس IP ارسال کننده را نیز بررسی کنید.
- منبع لینک‌ها را چک کنید
پیام‌های ناشناخته، حاوی لینک‌هایی به سایت‌های ناشناخته هستند. گشت و گذار در یک سایت ناشناخته می‌تواند عواقب ناخواسته‌ای در پی داشته باشد. مثلاً ممکن است سایتی، به حالت تقلیدی شکل یک پایگاه اینترنتی معتبر و مورد اعتماد شما را بازسازی کرده و از این طریق اقدام به کلاهبرداری فیشینگ و دزدیدن اطلاعات نماید یا بدافزارهای مخربی را به سیستم شما منتقل کند.
- از قابلیت پسورد دو مرحله‌ای غافل نشوید
در احراز هویت دو مرحله‌ای، از کاربر خواسته می‌شود ابتدا رمز عبور را وارد کرده و سپس عمل دیگری را جهت احراز هویت‌ش انجام دهد. برای مثال کدی را که به شماره تلفن همراهش پیامک می‌شود، وارد کند. به این صورت، برای هکرها بسیار سخت و در مواردی غیر ممکن می‌شود که بتوانند اکانت این کاربر را هک کنند.
- پسورد قوی انتخاب کنید
چگونه پسورد مناسب بسازیم؟ در انتخاب پسورد به این سه مورد توجه داشته باشید:
- از انتخاب تاریخ تولد، شماره شناسنامه یا هر رقم قابل حدس دیگر به عنوان پسورد خودداری کنید.
- پسورد شما باید ترکیبی از عدد، حرف و حتی سمبل یا نشانه‌ها باشد.
- پسوردی قوی است که برای هر اکانت منحصر به فرد باشد.
- استفاده با احتیاط از فضاهای مجازی
اینجا یک قاعده‌ی کلی داریم: «اگر نمی‌خواهید مردم به اطلاعاتتان دسترسی پیدا کنند، آن‌ها را منتشر نکنید.» به عبارت دیگر، هر چیزی که آنلاین شود، قابلیت انتشار عمومی آنلاین را نیز خواهد داشت. یکی از راه‌های انتشار اطلاعات می‌تواند از طریق فضاهای ابری ناامن (حافظه های آنلاین) باشد. اینکه صاحب یک فضای ابری ادعا می‌کند بسیار امن است و راهی جهت نفوذ به آن وجود ندارد، مهم نیست؛ مهم این است که به ذهن بسپارید نباید به دیگران اجازه دهید حریم خصوصی‌تان را تماشا کنند.
- اطلاعات شخصی خود را روی شبکه‌ی وای‌فای عمومی به اشتراک نگذارید
آیا تا به حال شده وقتی در یک کافه نشسته‌اید و به وای‌فای آن وصل هستید، با موبایل بانک خود یک بلیط هواپیما بخرید؟ باید بگوییم که اینجا دچار یک اشتباه شدید؛ چون به امنیت این ارتباط اعتمادی نیست. این مساله درمورد رستوران‌ها، هتل‌ها، مراکز علمی و کنفرانسی و هر جایی که دارای وای‌فای عمومی باشد نیز صدق می‌کند.
پس اگر می‌خواهید با سیستمتان کارهای شخصی انجام دهید، آن را به زمانی که به شبکه‌ی امنی متصل هستید موکول کنید.
سخن آخر
هک شدن و حتی بسته شدن ناگهانی اکانت توسط خود شبکه اجتماعی اجتناب ناپذیر است. چنان‌چه ترفندهای معرفی شده را به خوبی در مدیریت اکانت خود به کار ببرید ریسک هک شدن در شبکه‌های اجتماعی تا حد زیادی کاهش می‌یابد.
ممنون که تا آخر مقاله همراه ما بودید.
