1. مقدمه
بهره برداري از نرم افزارهاي آسيب پذير اصلاح نشده ، يكي از متداول ترين راه هاي حمله به سازمانها و زير ساخت هاي حياتي است. مهاجمان بطور فعالانه سعي در شناسايي و سوء استفاده از اين آسيب پذيري ها جهت نيل به اهداف بدخواهانه خويش دارند. حال آنكه سازمان ها مي توانند با افزايش سطح دانش، خود را در مقابل بسياري از اين حملات ايمن سازند چرا كه طبق آمار حدود 85 درصد از اين حملات از قبل شناسايي شده و راه هاي پيشگيري از آنها نيز معرفي شده اند لذا قابل پيشگيري بوده و صرفا به اندك دانش و آگاهي نيازمند هستند.
2. شرح مساله
وجود آسيب پذيري هاي اصلاح نشده در سيستم هاي كامپيوتري، به مهاجمان اين اجازه را مي دهد كه بطور غير مجاز و مخفيانه به اطلاعات حساس و محرمانه دسترسي پيدا كنند. با توجه به ماهيت و هدف حملات، برخي از آسيب پذيري ها بطور مداوم توسط مهاجمان مورد سوء استفاده قرار ميگيرند. اهميت مساله هنگامي مشخص مي شود كه بدانيم كه يك نفوذ موفق به سيستم هاي كامپيوتري مي تواند موجب بروز صدمات جبران ناپذيري شود، مخصوصا اگر فرد مهاجم به اطلاعات مهم و محرمانه دسترسي پيدا كند. ذيلا برخي از اين صدمات را معرفي مي كنيم.
- از دست رفتن موقت، يا دائم اطلاعات محرمانه، حساس و خصوصي.
- ايجاد اختلال در عمليات.
- زيان هاي مالي مربوط به بازيابي اطلاعات حياتي و سيستم ها.
- آسيب هاي جبران ناپذير به شهرت و اعتبار سازمان ها.
مهاجمان معمولا از آسيب پذيري هاي اصلاح نشده اي كه در نرم افزارهاي پر كاربرد وجود دارند استفاده ميكنند لذا وجود يك فرايند قوي براي مديريت بر اصلاح آسيب پذيري ، به منظور حصول اطمينان از انجام اقدامات پيشگيرانه مناسب در برابر تهديدات بالقوه، يكي از ضرورت هاي هر سازمان است چرا كه هرچه مدت زمان اصلاح نشدن يك آسيب پذيري طولاني تر شود، آن سازمان در برابر حملات آسيب پذير تر خواهد بود. اما به دليل تعداد بسيار زياد آسيب پذيري ها، اصلاح تك تك آنها براي سازمانها ميسر نبوده، لذا بهترين روش براي حصول اطمينان از وجود امنيت نسبي در سازمان ها، شناسايي و اصلاح آسيب پذيري هايي است كه قبلا به دفعات زياد مورد سوء استفاده قرار گرفته اند. لذا مديران بايد از دانش متخصصان حوزه امنيت اطلاعات بهره برده و از طرق آنها، از اصلاح شدن آسيب پذيري هاي متداول اطمينان حاصل كنند.
در اين گزارش سعي شدهبه منظور اطلاع رساني و ارتقاع سطح دانش سازمانها، اطلاعاتي در ارتباط با 30 مورد از رايج ترين آسيب پذيري ها فراهم و نيز نحوه عملكرد و نحوه پيشگيري هر يك از آن ها مورد بررسي اجمالي قرار گيرد. لازم به ذكر است كه آسيب پذيري هاي ارائه شده در اين گزارش به چهار گروه زير دسته بندي مي شوند:
- آسيب پذيري هاي مربوط به محصولات Microsoft
- آسيب پذيري هاي مربوط به محصولات Oracle
- آسيب پذيري هاي مربوط به محصولات Adobe
- آسيب پذيري هاي مربوط به محصولات OpenSSL
- 2