Borna66
03-15-2009, 12:54 PM
سيستم عامل، يکی از عناصر چهار گانه در يک سيستم کامپيوتری است که دارای نقشی بسيار مهم و حياتی در نحوه مديريت منابع سخت افزاری و نرم افزاری است . پرداختن به مقوله امنيت سيستم های عامل ، همواره از بحث های مهم در رابطه با ايمن سازی اطلاعات در يک سيستم کامپيوتری بوده که امروزه با گسترش اينترنت ، اهميت آن مضاعف شده است . بررسی و آناليز امنيت در سيستم های عامل می بايست با ظرافت و در چارچوبی کاملا" علمی و با در نظر گرفتن تمامی واقعيت های موجود ، انجام تا از يک طرف تصميم گيرندگان مسائل استراتژيک در يک سازمان قادر به انتخاب مستند و منطقی يک سيستم عامل باشند و از طرف ديگر امکان نگهداری و پشتيبانی آن با در نظر گرفتن مجموعه تهديدات موجود و آتی ، بسرعت و بسادگی ميسر گردد .
اکثر کرم ها و ساير حملات موفقيت آميز در اينترنت ، بدليل وجود نقاط آسيب پذير در تعدادی اندک از سرويس های سيستم های عامل متداول است . مهاجمان ، با فرصت طلبی خاص خود از روش های متعددی بمنظور سوء استفاده از نقاط ضعف امنيتی شناخته شده ، استفاده نموده و در اين راستا ابزارهای متنوع ، موثر و گسترده ای را بمنظور نيل به اهداف خود ، بخدمت می گيرند . مهاجمان ، در اين رهگذر متمرکز بر سازمان ها و موسساتی می گردند که هنوز مسائل موجود امنيتی ( حفره ها و نقاط آسيب پذير ) خود را برطرف نکرده و بدون هيچگونه تبعيضی آنان را بعنوان هدف ، انتخاب می نمايند . مهاجمان بسادگی و بصورت مخرب ، کرم هائی نظير : بلستر ، اسلامر و Code Red را در شبکه منتشر می نمايند. آگاهی از مهمترين نقاط آسيب پذير در سيستم های عامل ، امری ضروری است . با شناسائی و آناليز اينگونه نقاط آسيب پذير توسط کارشناسان امنيت اطلاعات ، سازمان ها و موسسات قادر به استفاده از مستندات علمی تدوين شده بمنظور برخورد منطقی با مشکلات موجود و ايجاد يک لايه حفاظتی مناسب می باشند.
در مجموعه مقالاتی که ارائه خواهد شد ، به بررسی مهمترين نقاط آسيب پذير ويندور خواهيم پرداخت . در اين راستا ، پس از معرفی هر يک از نقاط آسيب پذير ، علت وجود ضعف امنيتی ، سيستم های عامل در معرض تهديد ، روش های تشخيص آسيب پذيری سيستم و نحوه مقابله و يا پيشگيری در مقابل هر يک از نقاط آسيب پذير ، بررسی می گردد .همزمان با ارائه مجموعه مقالات مرتبط با ويندوز ( پنج مقاله ) ، به بررسی مهمترين نقاط آسيب پذير در يونيکس و لينوکس ، طی مقالات جداگانه ای خواهيم پرداخت .
همانگونه که اشاره گرديد ، اغلب تهديدات و حملات ، متاثر از وجود نقاط آسيب پذير در سيستم های عامل بوده که زمينه تهاجم را برای مهاجمان فراهم می آورد . شناسائی و آناليز نقاط آسيب پذير در هر يک از سيستم های عامل ، ماحصل تلاش و پردازش دهها کارشناس امنيتی ورزيده در سطح جهان است و می بايست مديران سيستم و شبکه در يک سازمان بسرعت با آنان آشنا و اقدامات لازم را انجام دهند.
نقاط آسيب پذير موجود در هر سيستم عامل که در ادامه به آنان اشاره می گردد ، سندی پويا و شامل دستورالعمل های لازم بمنظور برخورد مناسب با هر يک از نقاط آسيب پذير و لينک هائی به ساير اطلاعات مفيد و تکميلی مرتبط با ضعف امنيتی است .
مهمترين نقاط آسيب پذير ويندوز :
ويندوز ، يکی از سيستم های عامل رايج در جهان بوده که امروزه در سطح بسيار وسيعی استفاده می گردد . تا کنون حملات متعددی توسط مهاجمين متوجه سيستم هائی بوده است که از ويندوز ( نسخه های متفاوت ) بعنوان سيستم عامل استفاده می نمايند . با توجه به حملات متنوع و گسترده انجام شده ، می توان مهمترين نقاط آسيب پذير ويندوز را به ده گروه عمده تقسيم نمود :
Internet Information Services IIS
Microsoft SQL Server MSSQL
Windows Authentication
Internet Explorer IE
Windows Remote Access Services
Microsoft Data Access Components MDAC
Windows Scripting Host WSH
Microsoft Outlook Outlook Express
Windows Peer to Peer File Sharing P2P
Simple Network Management Protocol SNMP
اولين نقطه آسيب پذير : ( Internet Information Services (IIS
نصب برنامه IIS با تنظيمات و پيکربندی پيش فرض ، آسيب پذيری خود را در موارد متعددی به اثبات رسانده و می تواند زمينه تهديدات زير را فراهم نمايد :
غير فعال نمودن سرويس ( DoS )
نمايش و بمخاطره انداختن فايل ها و داده های حساس
اجراء دستورات خودسرانه ( اختياری )
بمخاطره انداختن کامل سرويس دهنده
IIS از پتانسل شناخته شده ISAPI ( فايل هائی با انشعاب DLL که به آنان فيلترهای ISAPI هم گفته می شود ) بمنظور همبستگی و ارتباط با فايل هائی که دارای انشعاباتی خاص می باشند ، استفاده می نمايد . پيش پردازنده هائی نظير ColdFusion و PHP از ISAPI استفاده می نمايند.IIS ، از فيلترهای ISAPI ديگر برای انجام عمليات مرتبط با ASP)Active Server Pages ، ( SSI)Server Side Includes) و اشتراک چاپ مبتنی بر وب ، استفاده می نمايد.تعداد زيادی از فيلترهای ISAPI ، مستلزم عمليات خاص و جداگانه ای برای نصب نبوده و عملا" بصورت پيش فرض و در زمان نصب IIS بر روس سيستم مستقر ( نصب ) می گردند . اکثر فيلترهای فوق ، قابل سوء استفاده توسط مهماجمان می باشند. Code red و Code Red 2 ، نمونه هائی از برنامه های مخرب می باشند که از ضعف فوق در جهت پيشبرد اهداف خود استفاده نموده اند .
IIS نيز نظير ساير سرويس دهندگان وب ، شامل برنامه های نمونه ای است که بمنظور اثبات توانائی سرويس دهنده وب ، طراحی شده اند . در طراحی برنامه های فوق ، عملکرد آنان با لحاظ نمودن مسائل امنيتی در يک محيط عملياتی و توليدی مورد توجه قرار نگرفته است . برخی ازنمونه برنامه های ارائه شده بهمراه IIS ، امکان مشاهده و بازنويسی فايل های دلخواه ويا دستيابی از راه دور به اطلاعات حساس نظير رمز عبور مديريت سيستم را فراهم می نمايند .
عدم بهنگام سازی و نگهداری مناسب IIS پس از نصب اوليه ، از ديگر مواردی است که زمينه تهاجم برای مهاجمان را فراهم می آورد .مثلا" نقاط آسيب پذير WebDAV ntdll.dll در IIS 5.0 ، امکان حملات از نوع DoS ( غيرفعال نمودن سرويس ) را فراهم و مهاجمان در ادامه قادر به ايجاد و اجرای اسکريپت های مورد نظر خود بر روی سرويس دهنده می گردند . در مواردی ديگر و با توجه به نقاط آسيب پذير موجود ، مهاجمان قادر به اجرای دستورات دلخواه خود بر روی سرويس دهنده می باشند ( درخواست دقيق و ماهرانه آدرس های URL ) .
امکانات و پتانسيل هائی که در ادامه و با توجه به ضرورت بر روی IIS نصب می گردند ( نظير ColdFusion و PHP ) نيز می تواند زمينه بروز نقاط آسيب پذير جديدی را فراهم نمايد .اينگونه نقاط آسيب پذير، می تواند بدليل عدم پيکربندی صحيح و يا وجود ضعف و اشکال امنيتی در محصول نصب شده ای باشد که به IIS نيز سرايت می نمايد ( توارث مشکلات و ضعف های امنيتی از يک محصول به محصول ديگر) .
سيستم های عامل در معرض تهديد :
ويندوز NT 4.0 که از IIS 4.0 استفاده می نمايد .
ويندوز 2000 سرويس دهنده که از IIS 5.0 استفاده می نمايد .
ويندوز XP نسخه Professional که از نسخه IIS 5.1 استفاده می نمايد .
در رابطه با نقطه آسيب پذير فوق بر روی ويندوز 2003 که از IIS 6.0 استفاده می نمايد ، تاکنون گزارشی ارائه نشده است .
نحوه تشخيص آسيب پذيری سيستم
در صورتيکه برنامه IIS بصورت پيش فرض و استاندارد نصب و يا Patch های مربوطه بر روی آن نصب نشده باشند ، آسيب پذيری برنامه فوق در مقابل حملات قطعی خواهد بود . مديران سيستم وشبکه که مسئوليت نصب ، نگهداری و بکارگيری IIS را بر عهده دارند ، می بايست خود را با جديدترين ابزارهای مايکروسافت و مستندات امنيتی ارائه شده در رابطه با مديريت مناسب IIS ، بهنگام نمايند. در اين رابطه می توان بمنظور دستيابی به مستندات امنيتی مرتبط با IIS از مرکز امنيتی IIS شرکت مايکروسافت استفاده نمود. پيشنهاد می گردد ، برنامه Microsoft BaseLine Security Analyzer را که شامل روتين های حفاظتی مناسب و مرتبط به IIS می باشد را دريافت و از آن بمنظور بررسی وضعيت امنيتی IIS استفاده بعمل آيد . مديران شبکه ، می بايست با استفاده از منابع اطلاعاتی متعدد ارائه شده نظير : Checklists ، مستنداتی که توصيه های لازم در جهت ارتقاء سطح امنيتی را ارائه و مستندات آموزشی نقاط آسيب پذير که توسط مايکروسافت ارائه شده است ، دانش خود را بهنگام و با دنبال نمودن فرآيندهای مناسب فنی ، از صحت عملکرد امنيتی IIS بر روی سيستم های سازمان خود اطمينان حاصل نمايند.مقايسه وضعيت موجود IIS با وضعيت مطلوب ، يکی از روش هائی است که می تواند در اين زمينه مفيد واقع گردد .
نحوه حفاظت در مقابل نقطه آسيب پذير
نصب آخرين Patch ارائه شده : در اولين مرحله ، می بايست سيستم را با استفاده از Patch های ارائه شده ، بهنگام نمود. Patching يک سرويس دهنده نصب شده ، امری ضروری است ولی بتنهائی کافی نخواهد بود . بموازات کشف نقاط ضعف جديد در IIS ، می بايست از Patch مربوطه بسرعت استفاده گردد. Windows Update و AutoUpdate گزينه هائی مناسب بمنظور بهنگام سازی IIS با توجه به آخرين Patch های ارائه شده است .
برنامه ( HFNetChk ( Network Security Hotfix Checker ، به مديران سيستم کمک لازم در پويش و بررسی محلی و يا از راه دور سيستم ها برای Patch های موجود را ارائه می نمايد . ابزار فوق ، قابل استفاده بر روی ويندوز NT 4.0 ، ويندوز 2000 و ويندوز XP می باشد . آخرين نسخه ابزار فوق را می توان از آدرس :
كد - لینک:
Microsoft Baseline Security Analyzer (http://www.microsoft.com/technet/security/tools/hfnetchk.asp)
دريافت کرد .
در صورتيکه از برنامه های اضافه شده ای نظير CouldDusion ،PerlIIS و يا PHP بهمراه IIS استفاده می گردد ، لازم است به سايت های عرضه کنندگان هر يک از محصولات فوق مراجعه و نسبت به آخرين patch ارائه شده در رابطه با هر محصول آگاه و آنان را با توجه به توصيه های انجام شده بر روی سيستم نصب نمود . امکان Windows Update و ساير سرويس های بهنگام سازی ارائه شده توسط مايکروسافت ، شامل Patch های لازم و مرتبط با محصولات اضافه شده ساير شرکت ها در برنامه IIS مايکروسافت نبوده و لازم است مديران سيستم بهنگام سازی محصولات اضافه شده ( غير مايکروسافت ) در IIS را خود راسا" انجام دهند .
استفاده از برنامه کمکی IIS Lockdown بمنظورنصب مطمئن تر : مايکروسافت ، ابزاری ساده بمنظور ايمن سازی نصب IIS را ارائه که ويزارد IIS Lockdown ناميده می شود. نسخه موجود را می توان از آدرس http://www.microsoft.com/technet/sec...s/locktool.asp (http://www.microsoft.com/technet/security/tools/locktool.asp) ، دريافت نمود. با اجرای برنامه فوق در حالت " Custom " و يا " Expert" ، می توان تغييرات مورد نظر خود را در ارتباط با نصب IIS مشخص نمود. بدين ترتيب ، امکان اعمال تغييرات زير در رابطه با نصب IIS ، فراهم می گردد :
غير فعال نمودن WebDAV ( مگر اينکه محيط مورد نظر شما به وجود آن برای نشر محتوی وب ، نياز داشته باشد )
غير فعال نمودن ISAPI extensions های غير ضروری ( نظير : htr، .idq , .ism ، .printer . )
حذف نمونه برنامه های ارائه شده بهمراه IIS
منع سرويس دهنده وب از اجراء دستورات سيستمی متداول که عموما" توسط مهاجمان استفاده می گردد( نظير cmd.exe و يا tftp.exe ) .
استفاده از URLScan بمنظور فيلتر نمودن درخواست های HTTP : تعدادی زيادی از حملات مرتبط با نقاط آسيب پذير IIS نظير Code Blue و خانواده Code Red ، از کدهای مخربی که بصورت درخواست های HTTP سازماندهی می شوند،استفاده می نمايند( حملاتی از نوع Buffer Overflow ) . فيلتر URLScan را می توان بگونه ای پيکربندی نمودکه باعث عدم پذيرش اينچنين درخواست هائی قبل از پردازش آنان توسط سرويس دهنده باشد.برنامه فوق،بهمراه ويزارد IIS Lockdown ارائه ولی می توان آن را از آدرس :
كد - لینک:
UrlScan Security Tool (http://www.microsoft.com/technet/security/tools/urlscan.asp)
دریافت کرد
دومين نقطه آسيب پذير : ( Microsoft SQL Server (MSSQL
سرويس دهنده SQL مايکروسافت ( MSSQL ) ، دارای چندين نقطه آسيب پذير جدی است که امکان دريافت اطلاعات حساس، تغيير در محتويات بانک اطلاعاتی وبمخاطره انداختن حيات سرويس دهندگان SQL توسط مهاجمان را فراهم می نمايد . در برخی موارد خاص و بدليل عدم پيکربندی صحيح سيستم ، ميزبانان سرويس دهنده نيز ممکن است در معرض تهديد و آسيب قرار گيرند . نقاط آسيب پذير MSSQL ، مورد توجه خاص عموم مهاجمان بوده و آنان بسرعت از ضعف های امنيتی کشف شده در جهت اهداف خود استفاده می نمايند. دو کرم SQLSnake/Spida و SQL-Slammer/SQL-Hell/Sapphire در ساليان اخير ( سال های 2002 و 2003 ) از نقاط ضعف شناخته شده MSSQL استفاده و توانستند در مدت زمان کوتاهی حملات گسترده ای را با توجه به نقظه آسيب پذير فوق ،انجام دهند. ميزبانان آلوده به کرم ها ی فوق ، بمنظور گسترش آلودگی و جستجو جهت يافتن ساير سيستم های آسيب پذير ، ترافيک شبکه را در حد بالائی افزايش داده بودند( اشغال درصد بسيار بالائی از پهنای باند محيط انتقال ).
براساس گزارش ارائه شده توسط Internet Storm Center ، پورت های 1433 و 1434 ( پورت های پيش فرض سرويس دهنده MSSQL ) ، از جمله پورت هائی می باشند که بصورت دائم توسط مهاجمين مورد بررسی ( نگاه موشکافانه ) قرار می گيرد.
نحوه عملکرد کرم SQLSnake ، به account مديريتی پيش فرض ( sa" account" که دارای يک رمز عبور Null می باشد ) بستگی دارد.در اين رابطه لازم است پيکربندی سيستم بطرز صحيحی انجام و هر يک از سيستم های موجود بمنظور حصول اطمينان از دارا بودن رمز عبور مرتبط با account مربوطه بررسی و بدرستی حفاظت گردند . در صورتيکه از account خاصی استفاده نمی شود ، می بايست نسبت به غير فعال نمودن آنان اقدام گردد.. بمنظوردريافت اطلاعات تکميلی در رابطه تنظيم و مديريت sa Account ، می توان از مستندات ارائه شده در آدرس " Changing the SQL Sever Administrator Login " استفاده نمود . sa Account ، می بايست دارای يک رمز عبور پيچيده بوده که حدس و تشخيص آن مشکل باشد( حتی اگر از آن بمنظور اجراء SQL/MSDE استفاده نمی شود ) .
نحوه عملکرد کرم SQL Slammer ، بر اساس يک Buffer Overflow در SQL Server Resolution Service است . Buffer Overflow فوق ، موجب گسترش ( حمل ) مشکل از سيستمی به سيستم ديگر شده و در اين راستا امنيت ميزبان زمانيکه کرم اقدام به ارسال بسته های اطلاعاتی تهديد آميز خود به پورت 1434 سيستم های مقصد آسيب پذير می نمايد، در معرض تهديد و آلودگی قرار می گيرد. در صورتيکه بر روی يک ماشين ، سرويس هائی از SQL اجراء که مرتبط با اين نوع Stack Buffer Overflow می باشند و بسته های اطلاعاتی خود را بر اساس واقعيت فوق دريافت می نمايد ، تمامی سيستم ها و سرويس دهندگان در معرض تهديد قرار خواهند گرفت .موثرترين روش دفاع در مقابل کرم فوق، Patching مستمر ، اقدامات لازم در جهت پيکربندی سيستم بصورت کنشگرايانه ، پيشگيری سيستم بصورت پويش های ادواری و فيلترينگ پورت 1434 مربوط به UDP در gatway های شبکه است ( اجازه ورود و خروج بسته های اطلاعاتی مرتبط با پورت اشاره شده ) .
عملکرد Microsoft Server 2000 Desktop Engine ) ، MSDE 2000)، را می توان بعنوان " SQL Server Lite" ( زير بناء سرويس دهنده SQL ) در نظرگرفت . تعداد زيادی از صاحبان سيستم حتی نسبت به اين موضوع که بر روی سيستم آنان MSDE اجراء و آنان دارای يک نسخه از SQL Server نصب شده بر روی سيستم می باشند ، آگاهی و شنخت مناسبی را ندارند. MSDE 2000 ، بعنوان يکی از اجزاء اساسی بهمراه محصولات زير نصب می گردد :
SQL/MSDE Server 2000 (Developer, Standard and Enterprise Editions)
Visual Studio .NET (Architect, Developer and Professional Editions)
ASP.NET Web Matrix Tool
Office XP
Access 2002
Visual Fox Pro 7.0/8.0
باتوجه به اينکه، نرم افزارهای فوق ، از MSDE بعنوان هسته اساسی بانک اطلاعاتی استفاده می نمايند ، آنان نيز دارای نقاط آسيب پذير مشابه سرويس دهنده SQL/MSDE خواهند بود.پيکربندی MSDE 2000 را می توان بگونه ای انجام داد که با استفاده از روش های مختلف به درخواست های اتصال به بانک اطلاعاتی توسط سرويس گيرندگان،گوش داده شود. مثلا" پيکربندی فوق را می توان بصورتی انجام داد که سرويس گيرندگان قادر به استفاده از named pipes بر روی يک NetBIOS Session ( پورت 139/445 پورت TCP ) بوده و يا از سوکت هائی که سرويس گيرندگان با استفاده از پورت 1433 مربوط به TCP به آن متصل می گردند ( امکان استفاده از هر دو رويکرد اشاره شده نيز وجود دارد ) . صرفنظر ازروش انتخابی ، سرويس دهنده SQL و MSDE همواره به پورت 1434 مربوط به UDP گوش خواهند داد . پورت فوق بعنوان يک پورت هماهنگ کننده طراحی شده است . سرويس گيرندگان يک پيام را برای پورت فوق ارسال تا نحوه اتصال سرويس گيرنده به سرويس دهنده ، مشخص گردد .
هسته MSDE 2000 ،در موارديکه با يک بسته اطلاعاتی تک بايتی 0x02 ، بر روی پورت 1434 مربوط به UDP مواجه گردد ، اطلاعاتی در رابطه با خود را برمی گرداند . ساير بسته های اطلاعاتی تکی بايت بدون اينکه الزامی به تائيد آنان برای سرويس دهنده وجود داشته باشد،باعث بروز يک Buffer overflow می گردند .با توجه به اينکه سازماندهی حملات ازاين نوع بر اساس UDP انجام خواهد شد ، وضعيت تهاجم فوق وخيم تر خواهد شد . (صرفنظر از اينکه پردازه های MSDE 2000 در يک بافتار امنيتی مربوط به يک Domain User و يا account مربوط به Local System اجراء می گردند). استفاده موفقيت آميز از حفره های امنيتی موجود ، می تواند سيستم مقصد را در معرض مخاطره و تهديد قرار دهد .
با توجه به اينکه SQL Slammer از يک Buffer overflow بر روی سيستم مقصد استفاده می نمايد ،استفاده مستمر از Patching و پيکربندی دقيق سيستم ، کمک لازم در جهت کاهش تهديد فوق را ارائه می نمايد . با دريافت و استفاده از ابزارهای دفاعی نظير : Microsoft SQL Critical Update Kit ، می توان تمام Domain و يا شبکه های شامل سيستم های آسيب پذير را بررسی و بصورت فايل های متاثر را بهنگام نمود. برای آشنائی و آناليز جزيئات مربوط به کرم اسلامر SQL/MSDE ، می توان از آدرس Incidents.org استفاده نمود .
سيستم های عامل در معرض تهديد :
هر يک از نسخه های ويندوز که بهمراه آنان SQL/MSDE Server 7.0 ، SQL/MSDE Server 2000 و يا Microsoft SQL/MSDE Desktop Engine 2000 نصب شده باشد و هر سيستم نرم افزاری ديگری که بصورت جداگانه از موتور MSDE 2000 استفاده می نمايد، در معرض اين تهديد و آسيب قرار خواهد شد .
نحوه تشخيص آسيب پذيری سيستم
شرکت مايکروسافت مجموعه ای از ابزارهای امنيتی را در اين رابطه ارائه که می توان از طريق آدرس http://www.microsoft.com/sql/downloa...uritytools.asp (http://www.microsoft.com/sql/downloads/securitytools.asp) به آنان دستيابی پيدا نمود . Toolkit ارائه شده ،SQL Critical Update Kit ناميده شده و شامل ابزارهائی نظير SQL Scan و SQL Critical Update است . سايت SqlSecurity.com نيز در اين رابطه ابزاری با نام SQLPingv2.2 را ارائه داده است .ابزار فوق ، يک بسته اطلاعاتی UDP تک بايتی ( مقدار بايت 0X02 ) را به پورت 1434 مربوط به يک ميزبان و يا تمامی Subnet ارسال می نمايد .سرويس دهندگان SQL که به پورت UDP 1434 گوش می دهند ، به آن پاسخ لازم را داده و اطلاعاتی در ارتباط با سيستم نظير شماره نسخه و ساير موارد مربوطه را اعلام می نمايد . عملکرد نرم افزار فوق مشابه Microsoft SQL Scan است .
نحوه حفاظت در مقابل نقطه آسيب پذير :
بمنظور حفاظت سيستم ها در مقابل نقطه آسيب پذير فوق ، عمليات زير را دنبال می نمائيم :
غير فعال نمودن SQL/MSDE Monitor Service در پورت UDP 1434 . بمنظورانجام خواسته فوق، می توان اقدام به نصب و استفاده از قابليت های ارائه شده بهمراه SQL Server 2000 Service Pack 3a نمود. موتور MSDE 2000 دارای دو نقطه آسيب پذير Buffer Overflow است که می تواند توسط يک مهاجم استفاده و از راه دور و بدون هيچگونه الزامی جهت تائيد کاربر، به سرويس دهنده متصل و يک تهاجم از طريق UDP را باعث شود. صرفنظر از اينکه پردازه های MSDE 2000 در بافتار امنيتی يک Domain User و يا account مربوط به Local System اجراء می گردند ، استفاده موفقيت آميز از حفره های امنيتی موجود، ممکن است سيستم مقصد را در معرض مخاطره و تهديد قرار دهد . کرم MS-SQL/MSDE Slammer يک بسته اطلاعاتی شامل 376 بايت را از طريق پورت UDP 1434 برای مقصد مورد نظر خود که بصورت تصادفی انتخاب می گردد، ارسال می نمايد. سيستم های در معرض تهاجم پس از آلودگی ، اقدام به ارسال بسته های اطلاعاتی مشابه 376 بايتی می نمايند . کرم فوق ، ترافيک موجود در شبکه را افزايش خواهد داد .آدرس های IP که بصورت تصادفی انتخاب می گردند ، از نوع multicast بوده و در نهايت يک تهاجم از نوع DoS ( غير فعال نمودن يک سرويس ) بر روی شبکه مقصد، محقق خواهد شد. بر اساس گزارشات ثبت شده ، يک ماشين آلوده بيش از پنجاه MB/Sec از ترافيک شبکه رابخود اختصاص و عملا" امکان انجام ساير عمليات بر روی شبکه سلب می گردد.
بکارگيری آخرين Service Pack برای سرويس دهنده SQL/MSDE و MSDE 2000 . آخرين نسخه های Service Pack در رابطه با سرويس دهنده SQL/MSDE عبارتند از :
- SQL/MSDE Server 7.0 Service Pack 4
- MSDE/SQL Server 2000 Service Pack 3a
بمنظور اطمينان از بهنگام بودن سيستم می توان از " Make Your SQL/MSDE Servers Less Vulnerable " استفاده نمود.
بکارگيری آخرين Patch ارائه شده پس از آخرين Service Pack . بمنظور آگاهی از آخرين Patch های ارائه شده برای تمامی نسخه های سرويس دهنده SQL/MSDE/MSDE می توان از بولتن امنيتی ارائه شده توسط مايکروسافت استفاده نمود . بمنظور اطمينان از نصب آخرين Patch موجود در رابطه با سرويس دهنده SQL/MSDE می توان از آدرس های زير استفاده کرد :
- Microsoft SQL/MSDE Server 7.0
- Microsoft SQL Server 2000
- MSDE Server Desktop Engine 2000 (MSDE 2000)
بکارگيری Patch های خاص و جداگانه ای که پس از آخرين Patch مربوطه ارائه شده اند .پس از معرفی MS02-061 Elevation of Privilege in SQL/MSDE Server Web Tasks ، تاکنون Patch مربوطه ای در اين زمينه ارائه نشده است
فعال نمودن SQL Server Authentication Logging . امکان فوق عموما" غير فعال است . بمنظور فعال نمودن آن می توان از طريق برنامه Enterprise Manager اقدام نمود( Server Properties|Tab Security )
ايمن سازی سرويس دهنده در سطح سيستم و شبکه . يکی از متداولترين حملات MSSQL/MSDE ، برخاسته از account مديريتی پيش فرض ( شناخته شده با نام "sa" ) بوده که دارای يک رمز عبور تهی ( blank ) است. در صورتيکه sa Account مربوط به SQL/MSDE دارای رمز عبور حفاظت شده ای نمی باشد ، سيستم در معرض تهديد جدی قرار خواهد داشت . لازم است در اين راستا از پيشنهادات ارائه شده در بخش System Administrator(SA) Login مربوط به SQL/MSDE Server Book Online استفاده تا اطمينان لازم در خصوص مطمئن بودن رمز عبور sa Account حاصل گردد . ( حتی اگر سرويس دهنده SQL/MSDE مربوطه از account فوق استفاده نمی نمايد، نيز می بايست اقدامات امنيـتی لازم ضورت پذيرد ) . با استفاده از مستندات ارائه شده در MSDN مايکروسافت و در بخش Changing the SQL Server Administrator Login ، و Verify and Change the System Administrator Password by Using MSDE می توان از آخرين امکانات و توصيه های ارائه شده بمنظور پيکربندی و تنظيم مناسبsa Account ، استفاده نمود .
به حداقل رساندن امتيازات مربوط به سرويس MSSQL/MSDE و سرويس دهنده SQL/MSDE Server Agent . در اين رابطه پيشنهاد می گردد که سرويس MSSQL/MSDE سرويس دهنده و SQL/MSDE Server Agent ، تحت يک Valid Domain account با حداقل امتيازات مربوط اجراء گردد( نه بعنوان يک domain administrator و يا SYSTEM ( در ويندوز NT ) و يا LocalSystem ( در ويندوز 2000 و يا XP ) ) . يک سرويس در معرض آسيب که بهمراه امتيازات محلی و يا Domain اجراء می گردد ،به يک مهاجم امکان کنترل کامل سيستم و يا شبکه را خواهد داد . در اين رابطه موارد زير پيشنهاد می گردد :
- فعال نمودن Windows NT Authentication و auditing برای Login های موفقيت آميز و يا با شکست مواجه شده ، در ادامه سرويس MSSQL/MSDEServer رامتوقف و مجددا" آنان را فعال نمائيد . در صورت امکان ، پيکربندی سرويس گيرندگان را بگونه ای انجام دهيد که از NT Authentication استفاده نمايند .
- فيلترينگ بسته های اطلاعاتی می بايست در محدوده های مرزی شبکه انجام تا پيشگيری و ممانعت لازم در خصوص اتصالات ورودی و خروجی غير مجاز به MSSQL و مرتبط با سرويس های خاص صورت پذيرد . قيلترينگ نقطه ورود و خروج پورت های 1434 و 1433 مربوط به TCP/UDP می تواند باعث ممانعت مهاجمان داخلی و يا خارجی از پويش و آلودگی سرويس دهندگان SQL/MSDE که دارای پتانسيل آسيب پذيری می باشند، گردد .
- درصورتيکه لازم است از پورت های 1433 و 1434 مربوط به TCP/UDP استفاده گردد ، می بايست قيلترینگ مناسبی در ارتباط با استفاده نادرست از پورت های فوق را انجام داد .
سومين نقطه آسيب پذير : Windows Authentication
استفاده از رمزعبور، روش های تائيد کاربر و کدهای امنيتی در هر گونه تعامل ارتباطی بين کاربران وسيستم های اطلاعاتی ، امری متداول و رايج است . اکثر روش ها ی تائيد کاربران ، نظير حفاظت فايل و داده ، مستقيما" به رمزهای عبور ارائه شده توسط کاربران ، بستگی خواهد داشت . پس از تائيد کاربران ، امکان دستيابی آنان به منابع مشخص شده فراهم و هر يک از آنان با توجه به امتيازات و مجوزهای نسبت داده شده ، قادر به استفاده از منابع موجودخواهند بود. در اغلب موارد ، فعاليت کاربرانی که مجاز بودن آنان برای دستيابی به منابع ، تائيد شده است ، لاگ نشده و يا در صورتيکه فعاليت آنان ثبت گردد ، کمتر سوء ظنی به آنان می تواند وجود داشته باشد . ( آنان پس از تائيد وارد ميدانی شده اند که بدون هيچگونه رديابی ، قادر به انجام فعاليت های گسترده ای خواهند بود) . بنابراين ، رمز عبور دارای نقشی حياتی و اساسی در ايجاد اولين سطح دفاع در يک سيستم اطلاعاتی بوده و از دست رفتن رمز عبور و يا ضعف آن می تواند سيستم را در معرض تهديدات جدی قرار دهد . مهاجمان پس از دستيابی به رمز عبور کاربران تائيد شده ( استفاده از مکانيزم های متفاوت ) قادر به دستيابی منابع سيستم و حتی تغيير در تنظيمات ساير account های تعريف شده و موجود بر روی سيستم خواهند بود،عملياتی که می تواند پيامدهای بسيار منفی را بدنبال داشته باشد . پس می بايست بپذيريم که وجود يک account ضعيف و يا فاقد رمز عبور می تواند تهديدی جدی در يک سازمان باشد . در اين راستا علاوه بر اينکه می بايست از پتانسيل های ارائه شده توسط سيستم عامل با دقت استفاده نمود ، ضروری است ، تابع يک سياست امنيتی تدوين شده در رابطه با رمز عبور در سازمان متبوع خود باشيم . تعريف و نگهداری يک account بهمراه رمز عبور مربوطه در سازمان ما تابع چه سياست امنيتی است ؟ مهمترين و متداولترين نقاط آسيب پذير در ارتباط با رمز عبور شامل موارد زير است :
Account تعريف شده دارای رمز عبور ضعيف و يا فاقد رمز عبور است .
عدم حفاظت مناسب کاربران از رمزهای عبور ،صرفنظر از استحکام رمزهای عبور تعريف شده .
سيستم عامل و يا ساير نرم افزارهای موجود ، امکان ايجاد account مديريتی ضعيف و فاقد رمز عبور را فراهم می نمايند .
الگوريتم های Hashing رمز عبور( رمزنگاری مبتنی بر کليد عمومی بر پايه يک مقدار hash ، استوار بوده و بر اساس يک مقدار ورودی که دراختيار الگوريتم hashing گذاشته می گردد ، ايجاد می گردد. در حقيقت مقدار hash ، فرم خلاصه شده و رمز شده ای از مقدار اوليه خود است ) ، شناخته شده بوده و در اغلب موارد مقدار Hashe بدست آمده ، بگونه ای ذخيره می گردد که امکان مشاهده آن توسط سايرين وجود خواهد داشت. مناسبترين نوع حفاظت در اين راستا ، تبعيت از يک سياست رمز عبور قدرتمند بوده که در آن دستورالعمل ها ی لازم برای تعريف يک رمز عبورمناسب مشخص و در ادامه با استفاده از ابزارهای موجود، بررسی لازم در خصوص استحکام و بی نقص بودن رمز عبور صورت گيرد.
ويندوز، رمزهای عبور را بصورت متن شفاف ذخيره و يا ارسال نمی نمايد و در اين راستا از يک مقدار Hash متناظر با رمزعبور ، بمنظور تائيد کاربران ، استفاده می نمايد . يک مقدار Hash دارای طولی ثابت است که توسط بکارگيری يک تابع رياضی ( الگوريتم hashing ) بر روی حجم دلخواهی از داده ( message digest ناميده می شود) ايجاد می شود.در وينوز سه نوع الگوريتم تائيد وجود دارد :
LM ( ايمنی کمتر و سازگاری بيشتر )
NTLM
NTLMv2 ( ايمنی بيشتر و سازگاری کمتر )
با اينکه اکثر محيط های فعلی ويندوز ، ضرورتی به حمايت از (Lan Manager (LM را ندارند، ولی ويندوز بصورت محلی رمز های عبور Hash شده مربوط به LM را ( LANMAN Hashes نيز ناميده می شود ) بصورت پيش فرض در ويندوز NT ، 2000 و XP ( در ويندوز 2003 وضعيت بدين شکل نيست ) ذخيره می نمايد. با توجه به اينکهLM از يک مدل رمزنگاری بمراتب ضعيف تر نسبت به رويکردهای فعلی مايکروسافت ( NTLM,NTLMv2 ) ، استفاده می نمايد، رمزهای عبور LM می توانند در مدت زمانی کوتاه شکسته گردند. حتی رمزهای عبوری که دارای قدرت و استحکام مناسبی می باشند ، در کمتر از يک هفته با استفاده از روش هائی خاص و با اتکاء به قدرت سخت افزارهای موجود ، شکسته خواهند شد
http://www.msdn.miscrosoft.com/libra...rity/h_gly.asp (http://www.msdn.miscrosoft.com/library/default.asp?url=/library/en-us/security/Security/h_gly.asp)
ضعف LM hashes بدلايل زير است :
رمزهای عبور محدود به چهارده کاراکتر می باشند .
رمزهای عبور با استفاده از فضای خالی ، به چهارده کاراکتر تبديل می شوند .
رمزهای عبور تماما" به حروف بزرگ تبديل می گردند .
رمزهای عبور به دو بخش هفت کاراکتری مجزا تقسيم می گردند .
با توجه به ماهيت فرآيند hashing ،يک مهاجم صرفا" می بايست عمليات تشخيص رمز عبور( cracking) را محدود به دو مجموعه نمايد که هر يک دارای هفت کاراکتر بوده که به حروف بزرگ تبديل شده اند . با تکميل عمليات فوق و اخد نتايج مثبت ، يک مهاجم قادر به تشخيص رمز عبور يک کاربر تائيد شده می گردد وبدين ترتيب ، امکان دستيابی وی به منابع سيستم فراهم خواهد شد. پيچيدگی عمليات تشخيص Hashe ، متنا سب با طول Hash افزايش می يابد ، بنابراين رشته هائی که صرفا" شامل هفت کاراکتر می باشند ، بمراتب راحت تر نسبت به رشته هائی که دارای چهارده کاراکتر می باشند ، تشخيص داده و اصطلاحا" شکسته می گردند. با توجه به اين موضوع که تمامی رشته ها شامل هفت کاراکتر بوده و تمامی آنان به حروف بزرگ نيز تبديل می گردند ، يک تهاجم به "سبک - ديکشنری" ( dictionary-style ) نيز بسادگی محقق و موفقيت آن تضمين شده خواهد بود. بنابراين، روش LM hashing ، آسيبی جدی را متوجه سياست های امنيتی رمز عبور نموده و سيستم را در معرض تهديد قرار خواهد داد .
علاوه بر تهديد و خطر ذخيره سازی LM hashes در SAM ، فرآيند تائيد Lan Manager ، اغلب و بصورت پيش فرص بر روی سرويس گيرندگان فعال و توسط سرويس دهنده پذيرفته می گردد . لازم است به اين نکته اشاره گردد که ، ماشين هائی که بر روی آنان ويندوز نصب شده است ، قادر به استفاده از الگوريتم های hash بمراتب قويتر در مقابل روش ضعيف LM hashes بمنظور ارسال داده های حساس نظير رمز عبور می باشند .حداقل پيامد منفی استفاده از روش LM hashes ، آسيب پذيری سيستم تائيد کاربران در ويندوز بوده و قطعا" در چنين مواردی نمی توان به فرآيند تائيد کاربران ، اعتماد نمود چراکه در اين وضعيت عملا" امکان استراق سمع ( شنود اطلاعاتی ) فراهم و يک مهاجم قادر به تشخيص و بدست آوردن رمزهای عبور خواهد بود.
سيستم های عامل در معرض تهديد :
تمامی نسخه های ويندوز در معرض اين تهديد قرار دارند .
نحوه تشخيص آسيب پذيری سيستم
با اينکه دلايل و علل متفاوتی می تواند در در رابطه با ضعف رمز عبور مورد توجه قرار گيرد ، مثلا" وجود Account های فعال برای کاربرانی که سازمان خود را ترک نموده ويا سرويس هائی که اجراء نشده اند، ولی يکی از مناسبترين روش ها بمنظور آگاهی از استحکام يک رمز عبور ، بررسی و تست تمامی آنان در مقابل نرم افزارهای cracking رمزهای عبور استفاده شده توسط مهاجمان است . لازم است به اين نکته مهم اشاره گردد که از برنامه های تشخيص دهنده رمز عبور بر روی سيستم هائی که حتی مجوز دستيابی به آنان را داريد ، بدون اخذ مجوزهای لازم از مديران ارشد سيستم ، نمی بايست استفاده نمود. برای دريافت نمونه برنامه هائی در اين زمينه می توان از LC4 )l0phtcrack version 4) و John the Ripper استفاده کرد . صرفنظر از رويکرد ذخيره سازی محلی LAN Manager hash ، موارد زير می بايست موردتوجه قرار گيرد :
در صورتيکه ويندوز NT ، 2000 و يا XP بصورت پيش فرض نصب شده اند،سيستم در معرض آسيب خواهد بود. در چنين مواردی Lan Manager hashes بصورت پيش فرض و محلی ذخيره می گردد.
در صورتيکه ، بدلايلی نيازمند تائيد مبتنی بر LM در يک سازمان بمنظور ارتباط با سرويس دهنده وجود داشته باشد ، سيستم مجددا" در معرض آسيب قرار خواهد گرفت .چراکه اين نوع از ماشين ها اقدام به ارسال LM hashes نموده و پتانسيل شنود اطلاعاتی در شبکه را ايجاد خواهند کرد.
نحوه حفاظت در مقابل نقطه آسيب پذير :
بهترين و مناسبترين دفاع در مقابل رمزهای عبور ضعيف ، استفاده از يک سياست مستحکم مشتمل بر دستورالعمل های لازم بمنظور ايجاد رمز عبور قدرتمند و بررسی مستمر آنان بمنظور اطمينان از استحکام و صحت عملکرد می باشد . در اين رابطه موارد زير پيشنهاد می گردد :
اطمينان ازاستحکام و انسجام رمز های عبور . با استفاده از سخت افزار مناسب و اختصاص زمان کافی ، می توان هر رمز عبوری را crack نمود. در اين راستا می توان با استفاده ازروش های ساده و در عين حال موفقيت آميز، عمليات تشخيص رمز عبور را انجام داد . اغلب برنامه های تشخيص دهنده رمزعبوراز روشی موسوم به "حملات مبتنی بر سبک ديکشنری " ، استفاده می نمايند. با توجه به اينکه روش های رمز نگاری تا حدود زيادی شناخته شده می باشند ، برنامه های فوق ، قادر به مقايسه شکل رمز شده يک رمز عبور در مقابل شکل های رمز شده کلمات ديکشنری می باشند( در زبان های متعدد و استفاده از اسامی مناسب بهمراه جايگشت های مختلف آنان ) . بنابراين ، رمز عبوری که ريشه آن در نهايت يک کلمه شناخته شده باشد ، دارای استعداد ذاتی در رابطه با اين نوع از حملات خواهد بود . تعداد زيادی از سازمان ها ، آموزش های لازم در خصوص نحوه تعريف رمزهای عبور را به کارکنان خود داده و به آنان گفته شده است که رمزهای عبور مشتمل بر ترکيبی از حروف الفبائی و کاراکترهای ويژه را برای خود تعريف نمايند.متاسفانه اکثر کاربران اين موضوع را رعايت ننموده و بمنظور تعريف يک رمز عبور با نام "password" ، صرفا" اقدام به تبديل حروف به اعداد و يا حروف ويژه می نمايند ( pa$$w0rd) . چنين جايگشت هائی نيز قادر به مقاومت در مقابل يک تهاجم مبتنی بر ديکشنری نبوده و "pa$$w0rd" به روش مشابهی که "password" تشخیص داده می شود ، crack خواهد شد .
يک رمز عبور خوب ، نمی بايست از ريشه يک کلمه و يا نام شناخته شده ای اقتباس شده باشد .در اين راستا لازم است به کاربران آموزش لازم در خصوص انتخاب و ايجاد رمزهای عبور از موارد تصادفی نظير يک عبارت ، عنوان يک کتاب ،نام يک آواز و يا نام يک فيلم داده شود. با انتخاب يک رشته طولانی که بر اساس رويکردهای خاصی می تواند انتخاب گردد( گرفتن اولين حرف هر کلمه ، جايگزينی يک کاراکتر خاص برای يک کلمه ، حذف تمامی حروف صدادارو ساير موارد ) ، کاربران قادر به ايجاد رمزهای عبور مشتمل بر ترکيبی از حروف الفبائی و حروف ويژه بوده که در صورت مواجه شدن با حملات مبتنی بر ديکشنری ، تشخيص آنان بسختی انجام می شود. لازم است به اين نکته نيز اشاره گردد که رمزعبور می بايست براحتی بخاطر سپرده شده و بازيابی ( يادآوری)آن مشکل نباشد ( هدف از ذخيره سازی ، بازيابی است اگر چيزی را ذخيره نمائيم ولی در زمان مورد نظر قادر به بازيابی آن نباشيم ، سيستم ذخيره و بازيابی ما با اشکال مواجه شده است ! ). پس از تدوين دستورالعمل لازم بمنظور توليد رمزهای عبور مناسب و آموزش کاربران بمنظور پايبندی به اصول امنيتی تعريف شده ، می بايست از روتين ها ی جانبی متعددی بمنظور اطمينان از پيروی کاربران از دستوراالعمل های اعلام شده ، استفاده گردد. بهترين گزينه در اين راستا ، بررسی صحت رمزهای عبور پس از اعمال تغييرات توسط کاربران است .
ويندوز 2000 ، XP و 2003 دارای ابزارهای قدرتمندی بمنظورافزايش توان سياست های امنيتی می باشند . در اکثر نسخه های ويندوز بمنظور مشاهده سياست تعريف شده در رابطه با رمز می توان از مسير زير استفاده و برنامه Local Security Policy را فعال نمود:
Local Security Policy Program
Start| Programs|Administrative Tools |Local Security Policy
Select : Account Policies , Then Password Policy
برنامه Local Security Policy دارای تنظيمات زير است :
Password must meet complexity requirements ، با فعال نمودن سياست فوق ، رمزهای عبور ملزم به رعايت استانداردهای موجود بمنظور استحکام و پيچيدگی بيشتر در زمان ايجاد و يا تغيير می باشند. در چنين حالتی ، رمزهای عبور تعريف شده می بايست با لحاظ نمودن موارد زير ايجاد گردند:
◄ رمز عبور، نمی بايست شامل تمام و يا بخشی از نام account کاربر باشد .
◄ رمز عبور می بايست دارای حداقل شش کاراکتر باشد .
◄ رمز عبور می بايست شامل کاراکترهائی از سه گروه از چهار مجموعه زير باشد :
● حروف بزرگ الفبای انگليسی ( A تا Z )
● حروف کوچک الفبای انگليسی ( a تا z )
● ارقام پايه دهدهی ( رقم های 0 تا 9 )
● کاراکترهای غير الفبائی ( مثلا" ! ، $ ، # ، % )
( Enforce password history (range: 0-24 . اغلب کاربران تمايل دارند که پس از انقضاء تاريخ استفاده از رمز عبور خود ، مجددا" همان رمز عبور قبلی را تعريف و از آن استفاده نمايند . با استفاده از سياست فوق ، می توان مشخص نمود که در چه زمانی و پس از چندين رمز عبور تعريف شده جديد ، کاربران مجاز به استفاده از رمزهای عبور قبلی خود برای وضعيت جديد می باشند .بدين ترتيب ،مديران شبکه اطمينان لازم در خصوص عدم استفاده مستمر و دائمی يک رمز عبور توسط کاربران را بدست آورده و اين موضوع می تواند از زوايای مختلفی بهبود وضعيت امنيتی شبکه را بدنبال داشته باشد . بمنظور نگهداری موثر تاريخچه رمز عبور، نمی بايست امکان تغيير رمزهای عبور بلافاصله پس از پيکربندی سياست minimum password age ، وجود داشته باشد .
( Maximum password age (range: 0-999 days . سياست فوق ، حداکثر عمر( اعتبار) يک رمز عبور را بر حسب روز ، مشخص می نمايد.( قبل از اينکه سيستم کاربر را ملزم به تغيير رمز عبور نمايد) . با در نظر گرفتن مقدار صفر ، رمز عبور دارای عمری جاودانه خواهد شد !
(Minimum password age (range: 0-999 days . سياست فوق ، حداقل عمر( اعتبار) يک رمز عبور را بر حسب روز ، مشخص می نمايد( قبل از اينکه کاربر قادر به تغيير رمزعبور گردد) . با در نظر گرفتن مقدار صفر ، به کاربران اجازه داده خواهد شد که بلافاصله رمز عبور خود را تغيير دهند. minimum password age می بايست کمتر از maximum password age باشد . پيکربندی minimum password age می بايست بگونه ای انجام شود که دارای مقداری بيش از صفر باشد تا سياست password history نيز لحاظ شده باشد. بدون وجود يک minimum password age ، کاربران قادر به تغيير ادواری و زمانبندی نشده رمزهای عبور شده و امکان استفاده مجدد از رمزهای عبور قديمی در يک محدوده زمانی کمتر برای آنان فراهم می گردد.مقادير پيش فرض تامين کننده اهداف و خواست های امنيتی در يک سازمان نبوده و لازم است مديران سيستم در ابتدا يک رمز عبور مناسب را برای کاربر تعريف و پس از سپری شدن مدت زمان مشخصی ( مدت زمان فوق را minimum password age مشخص می نمايد ) کاربر را ملزم به تعريف ( تغيير ) رمز عبور تعريف شده توسط مديريت شبکه نمايند. زمانيکه کاربران ،عمليات Log on را انجام و در صورتيکه password history مقدار صفر را دارا باشد ، الزامی در رابطه با انتخاب يک رمز عبور جديد برای کاربران وجود نخواهد داشت . بدين دليل password history دارای مقدار پيش فرض يک است .
(Minimum password length (range: 0-14 characters ، سياست فوق ، حداقل تعداد کاراکتر لازم برای تعريف يک رمز عبور را مشخص می نمايد( حداقل طول يک رمز عبور) می توان در اين رابطه حداقل طول يک رمز عبور را بين يک تا چهارده کاراکتر در نظر گرفت . با اختصاص مقدار صفر ، ضرورت وجود رمز عبور حذف می گردد. حداقل طول رمز عبور، می بايست متناسب و سازگار با سياست های امنيتی سازمان باشد. در صورتيکه در اين رابطه سياست مشخص و شفافی وجود ندارد می توان مقدار هشت را در نظر گرفت .برخی از سازمان های امنيت اطلاعات شبکه ، مقدار دوازده را در اين رابطه پيشنهاد داده اند .
Store password using reversible encryption for all users in the domain . سياست فوق ، مشخص می نمايد که می بايست رمزعبور با استفاده از رمزنگاری وارونه ، ذخيره گردد . در اين رابطه ، امکانات حمايتی لازم درخصوص برنامه هائی که از پروتکل هائی بمنظور آگاهی از رمز عبور کاربر بمنظور انجام فرآيند تائيد کاربران استفاده می نمايند، نيز ارائه شده است . ذخيره سازی رمزهای عبوری که از رمزنگاری وارونه استفاده می نمايند ، مشابه رمزهای عبورمعمولی است ( رمز عبور بصورت متن ذخيره می گردد). بنابراين فعال شدن سياست فوق می بايست با لحاظ نمودن پارامترهای متعددی نظير الزام يک برنامه بمنظور استفاده از يک رمز عبور حفاظت شده ، صورت پذيرد .
يکی از روش هائی که می توان از آن بمنظور ايجاد اتوماتيک و نسبت دهی رمزهای عبور پيچيده به هر يک از account های کاربران استفاده نمود ، اجرای دستورالمل زير از طريق خط دستور است :
From Command Line Prompt :
Net User Username / random
با اجرای دستورالعمل فوق ، رمزهای عبور تصادفی و پيچيده (همواره هشت کاراکتر طول ) به يک account نسبت داده شده و در ادامه رمزعبور مورد نظر بر روی صفحه نمايش داده می شود. روش فوق ، امکانی مناسب بمنظور نسبت دهی رمزهای عبوردر ارتبط با Service accounts بوده و کمتر در ارتباط با کاربران واقعی استفاده می گردد.
بهترين روش برای مميزی کيفيت رمزهای عبور ، اجرای برنامه های cracking رمز عبور در وضعيتStand-alone است (بخشی از فرآيند بررسی رمزهای عبور) . لازم است مجددا" به اين موضوع اشاره گردد که بدون کسب مجوز لازم از مديران ارشد سيستم در سازمان ، نمی بايست از برنامه های cracking استفاده شود.پس از کسب مجوز لازم بمنظور اجرای برنامه های cracking رمز عبور ، می بايست عمليات فوق را بر روی يک ماشين حفاظت شده انجام داد.کاربرانی که رمزهای عبور آنان crack می گردد، می بايست موضوع بصورت محرمانه به اطلاع آنان رسيده و دستورالعمل های لازم در خصوص نحوه انتخاب يک رمز عبور مناسب ، در اختيار آنان قرار داده شود.اخيرا" و در پاسخ به رمزهای عبور ضعيف ، استفاده از روش هائی ديگر بمنظور تائيد کاربران، نظير بيومتريک (زيست سنجی ) ، نيز مورد توجه واقع شده است .
حفاظت رمزهای عبور مستحکم . حتی اگر رمزهای عبور ، مستحکم و قدرتمند باشند ، در صورت عدم حفاظت آنان توسط کاربران ، سيستم های موجود در يک سازمان در معرض تهديد قرار خواهند گرفت . يک سياست امنيتی مناسب ، می بايست شامل دستورالعمل های لازم بمنظور آموزش کاربران در رابطه با حفاظت رمزهای عبور می باشد.عدم ارائه رمز عبور به افراد ديگر، عدم نوشتن رمز عبور در محلی که امکان خواندن آن برای ديگران وجود داشته باشد و حفاظت اتوماتيک فايل هائی که رمزهای عبور در آن ذخيره شده اند ، از جمله مواردی می باشند که می بايست به کاربران آموزش داده شود. اغلب کاربران در مواجهه با پيامی مشابه "Your password has expired and must be changed," که نشاندهنده اتمام عمر مفيد يک رمز عبور است ، يک رمز عبور ضعيف را برای خود انتخاب می نمايند ، بنابراين لازم است در فرصت مناسب و قبل از برخورد با اينچنين پيام هائی ، به کاربران آموزش های لازم ارائه گردد.
کنترل مستمر account ها . مديران سيستم و شبکه می بايست حضوری موثر و مستمر در ارتباط با مديريت account های موجود داشته باشند .
- هر گونه account مبتنی بر سرويسی خاص و يا مديريتی که از آن استفاده نمی گردد، می بايست حذف گردد .
- ممیزی account ها بر روی سيستم را انجام داده و لازم است در اين رابطه يک ليست اصلی ايجاد گردد .در اين رابطه می بايست رمزهای عبور در ارتباط با سيستم هائی نظير روترها ، چاپگرهای ديجيتالی متصل شده به اينترنت و ساير موارد ديگر نيز مورد بررسی قرار گيرد.
- روتين هائی خاص بمنظور افزودن account های تائيد شده به ليست و يا حذف account هائی که ضرورتی به استفاده از آنان نمی باشد ، پياده سازی و همواره خود را پايبند به آن بدانيم .
- اعتبار ليست را در فواصل زمانی خاصی بررسی تا از بهنگام بودن آن اطمينان حاصل گردد.
- از روتين های خاصی بمنظورحذف account متعلق به کارکنان و يا پيمانکارانی که سازمان را ترک نموده اند ، استفاده گردد .
نگهداری و پشتيبانی از سياست رمزعبور . بمنظور پشتيبانی و نگهداری مناسب رمز عبور، می توان علاوه بر استفاده از امکانات کنترلی ارائه شده توسط سيستم عامل و يا سرويس های شبکه ، از ابزارهای گسترده ای که در اين رابطه ارائه شده است ،نيز استفاده گردد . بدين ترتيب ،نگهداری سياست رمز عبور ، مبتنی بر آخرين تکنولوژی های موجود خواهد بود.
غير فعال نمودن تائيد LM در شبکه . بهترين گزينه بمنظور جايگزينی با Lan Manager ، استفاده از روش NT LAN Manager version 2) NTLMv2) است . متدهای چالش / پاسخ NTLMv2 ، با استفاده از رمزنگاری مستحکم تر و بهبود مکانيزم های تائيد ، اکثر صعف های LM را برطرف نموده است جدول زير ، کليد ريجستری موردنظری را که قابليت فوق را در ويندوز NT و 2000 کنترل می نمايد، نشان می دهد:
Rgistry key
Hive: HKEY_LOCAL_MACHINE
Key: System\CurrentControlSet\Control\LSA
Value: LMCompatibilityLevel
Value Type: REG_DWORD - Number
Valid Range: 0-5
Default: 0
پارامتر فوق ، نوع و روش تائيد را مشخص و می تواند مقداری بين صفر تا پنج را دارا باشد :
0 - ارسال پاسخ بر اساس روش LM و NTLM ، هرگز از امکانات امنيتی NTLMv2 استفاده نمی شود .
1 - استفاده از امکانات امنيتی NTLMv2
2 - ارسال بر اساس روش تائيد NTLM
3 - ارسال بر اساس روش تائيد NTLMv2
4 - DC باعث رد تائيد LM می گرد.
5 - DC باعث رد تائيد LM و NTLM شده و صرفا" تائيد NTLMv2 پذيرفته می گردد .
در ويندوز 2000 ، 2003 و XP نيز امکاناتی ارائه شده است که می توان با استفاده از آنان اقدام به پيکربندی تنظيمات مورد نظر در ارتباط با سطح تائيد Lan Manager نمود . در اين رابطه لازم است برنامه Local Security Policy فعال و در ادامه گزينه های Local Policies و Security Options بترتيب انتخاب گردند . در ويندوز 2000 سياست LAN Manager authentication level ، و در ويندوز XP و 2003 سياست Network security: LAN Manager authentication level ، بمنظور پيکربندی ومقداردهی مناسب انتخاب گردند .
در صورتيکه بر روی تمامی سيستم ها ، ويندوز NT SP4 و يا بعد از آن نصب شده باشد ، می توان مقدارپارامتر فوق را بر روی تمامی سرويس گيرندگان سه و بر روی Domain Controllers مقدار پنج درنظر گرفت (پيشگيری از ارسال LM hashes بر روی شبکه ) . سيستم هائی نظير ويندوز 95 و 98 از NTLMv2 بصورت پيش فرض بهمراه Microsoft Network Client استفاده نمی نمايند ، بنابراين لازم است بمنظور استفاده از قابليت های NTLMv2 ، برنامه Directory Services Client بر روی آنان نصب گردد. پس از نصب سرويس فوق ، مقدار ريجستری با نام LMCompatibility می تواند مقدار صفر و يا سه را دارا باشد .در صورتيکه نمی توان سرويس گيرندگان قديمی ( ويندوز 95 و يا ويندوز 98 ) را ملزم به استفاده از NTLMv2 نمود ، می توان تغيير مورد نظر را در رابطه با LM hashing نسبت به استفاده از NTLM (NT Lan Manager, version ) در Domain Controller اعمال نمود.در اين رابطه می توان مقدار LMCompatibilityLevel را چهار در نظر گرفت . درصورت استفاده از ابزاری نظير Local Security Policy،می بايست مقدار LAN Manager authentication level را Send NTLMv2 Response only\Refuse LM درنظر گرفت . لازم است به اين نکنه اشاره گردد که ايمن ترين گزينه در اين رابطه، اعمال محدوديت برروی سرويس گيرندگان است .
ممانعت از ذخيره سازی LM hash . يکی از مسائل اصلی در ارتباط با حذف LM hashes در شبکه ، ذخيره سازی آنان در SAM و يا اکتيو دايرکتوری است .مايکروسافت دارای مکانيزمی بمنظور غيرفعال نمودن ايجاد LM hashes بوده ولی امکان استفاده از آن صرفا" در سيستم های ويندوز 2000 ( SP2 و يا بعد بر روی آنان نصب شده است ) ، 2003 و XP بوجود دارد. کليد ريجستری زير، کنترل عمليات فوق راانجام می دهد. در صورتيکه بر روی Windows 2000 Domain Controller کليد فوق ايجاد شده باشد ، LanMan hashes ، در ادامه ايجاد نخواهد شد و در اکتيو دايرکتوری نيز ذخيره نمی گردد. در ويندوز 2003 و XP ، می توان با فعال نمودن گزينه Network security: Do not store LAN Manager hash value on next password change به اهداف موردنظر در رابطه با ذخيره سازی LM hash دست يافت . در اين رابطه لازم است برنامه Local Security Policy فعال و در ادامه گزينه های Local Policies و Security Options بترتيب انتخاب گردند . پس از اعمال تغييرات فوق ، می بايست سيستم راه اندازی شده تا تغييرات ايجاد شده ، موثر واقع شوند . لازم است به اين نکته مهم اشاره گردد که روش های ارائه شده ، صرفا" پيشگيری لازم در خصوص ايجاد LM hashes جديد راانجام داده و LM hashes موجود بصورت انفرادی و در زمانيکه کاربر رمز عبور خود را تغيير دهد ، حذف خواهند شد .
Rgistry key
Hive: HKEY_LOCAL_MACHINE
Key: System\CurrentControlSet\Control\LSA\NoLMHash
ممانعت و پيشگيری از تکثير Hash و بانک های اطلاعاتی SAM
ابزارهای cracking رمزعبور، بمنظور بدست آوردن رمزهای عبور hashes از روش های زير استفاده می نمايند :
- کشف رمزهای عبور از شبکه . بدين منظور موارد زير پيشنهاد می گردد :
- استفاده از شبکه های سوئيچ شده .
- تشخيص و حذف کارت های شبکه بی هدف موجود در شبکه (در اين رابطه می توان از ابزارهای امنيتی خاصی نظير ethereal استفاده کرد) .
- تکثير فايل SAM . فايل فوق در ويندوز NT4 و 2000 در فولدر SystemRoot%\System32\Config% (عموما" در مسير C:\Winnt\System32\Config ) و در ويندوز XP و يا 2003 در فولدر C:\Windows\System32\Config مستقرمی باشد.، فايل فوق ، توسط سيستم عامل ويندوز Lock و صرفا" زمانی امکان تکثيرآن وجود خواهد داشت که ماشين با يک سيستم عامل ديگر راه اندازی شده باشد. فايل SAM را می توان با استفاده از فايل Backup مربوطه نيز بدست آورد.
بمنظور پيشگيری از تکثير فايل SAM و افزايش سطح امنيتی سيستم لازم است دستيابی فيزيکی به سيستم های موجود خصوصا" Domain Controllers محدود و همواره از اطلاعات Backup گرفته شده و ديسک Repair نيز بمنظور برخورد با مشکلات آتی ايجاد گردد .
برای اخد اطلاعات نکميلی می توان از مقالات زير استفاده نمود:
كد - لینک:
How to prevent Windows from storing a LAN manager hash of your password in Active Directory and local SAM databases (http://support.microsoft.com/default.aspx?scid=kb;en-us;Q147706http://support.microsoft.com/default.aspx?scid=kb;en-us;Q239869http://support.microsoft.com/default.aspx?scid=KB;EN-US;q299656&)
منبع :
كد - لینک:
صفحه اصلي شركت خدمات كامپيوتري سخاروش| Sakha Ravesh Co. (http://www.srco.ir)
:104:
گردآونده:طه-Borna66
اکثر کرم ها و ساير حملات موفقيت آميز در اينترنت ، بدليل وجود نقاط آسيب پذير در تعدادی اندک از سرويس های سيستم های عامل متداول است . مهاجمان ، با فرصت طلبی خاص خود از روش های متعددی بمنظور سوء استفاده از نقاط ضعف امنيتی شناخته شده ، استفاده نموده و در اين راستا ابزارهای متنوع ، موثر و گسترده ای را بمنظور نيل به اهداف خود ، بخدمت می گيرند . مهاجمان ، در اين رهگذر متمرکز بر سازمان ها و موسساتی می گردند که هنوز مسائل موجود امنيتی ( حفره ها و نقاط آسيب پذير ) خود را برطرف نکرده و بدون هيچگونه تبعيضی آنان را بعنوان هدف ، انتخاب می نمايند . مهاجمان بسادگی و بصورت مخرب ، کرم هائی نظير : بلستر ، اسلامر و Code Red را در شبکه منتشر می نمايند. آگاهی از مهمترين نقاط آسيب پذير در سيستم های عامل ، امری ضروری است . با شناسائی و آناليز اينگونه نقاط آسيب پذير توسط کارشناسان امنيت اطلاعات ، سازمان ها و موسسات قادر به استفاده از مستندات علمی تدوين شده بمنظور برخورد منطقی با مشکلات موجود و ايجاد يک لايه حفاظتی مناسب می باشند.
در مجموعه مقالاتی که ارائه خواهد شد ، به بررسی مهمترين نقاط آسيب پذير ويندور خواهيم پرداخت . در اين راستا ، پس از معرفی هر يک از نقاط آسيب پذير ، علت وجود ضعف امنيتی ، سيستم های عامل در معرض تهديد ، روش های تشخيص آسيب پذيری سيستم و نحوه مقابله و يا پيشگيری در مقابل هر يک از نقاط آسيب پذير ، بررسی می گردد .همزمان با ارائه مجموعه مقالات مرتبط با ويندوز ( پنج مقاله ) ، به بررسی مهمترين نقاط آسيب پذير در يونيکس و لينوکس ، طی مقالات جداگانه ای خواهيم پرداخت .
همانگونه که اشاره گرديد ، اغلب تهديدات و حملات ، متاثر از وجود نقاط آسيب پذير در سيستم های عامل بوده که زمينه تهاجم را برای مهاجمان فراهم می آورد . شناسائی و آناليز نقاط آسيب پذير در هر يک از سيستم های عامل ، ماحصل تلاش و پردازش دهها کارشناس امنيتی ورزيده در سطح جهان است و می بايست مديران سيستم و شبکه در يک سازمان بسرعت با آنان آشنا و اقدامات لازم را انجام دهند.
نقاط آسيب پذير موجود در هر سيستم عامل که در ادامه به آنان اشاره می گردد ، سندی پويا و شامل دستورالعمل های لازم بمنظور برخورد مناسب با هر يک از نقاط آسيب پذير و لينک هائی به ساير اطلاعات مفيد و تکميلی مرتبط با ضعف امنيتی است .
مهمترين نقاط آسيب پذير ويندوز :
ويندوز ، يکی از سيستم های عامل رايج در جهان بوده که امروزه در سطح بسيار وسيعی استفاده می گردد . تا کنون حملات متعددی توسط مهاجمين متوجه سيستم هائی بوده است که از ويندوز ( نسخه های متفاوت ) بعنوان سيستم عامل استفاده می نمايند . با توجه به حملات متنوع و گسترده انجام شده ، می توان مهمترين نقاط آسيب پذير ويندوز را به ده گروه عمده تقسيم نمود :
Internet Information Services IIS
Microsoft SQL Server MSSQL
Windows Authentication
Internet Explorer IE
Windows Remote Access Services
Microsoft Data Access Components MDAC
Windows Scripting Host WSH
Microsoft Outlook Outlook Express
Windows Peer to Peer File Sharing P2P
Simple Network Management Protocol SNMP
اولين نقطه آسيب پذير : ( Internet Information Services (IIS
نصب برنامه IIS با تنظيمات و پيکربندی پيش فرض ، آسيب پذيری خود را در موارد متعددی به اثبات رسانده و می تواند زمينه تهديدات زير را فراهم نمايد :
غير فعال نمودن سرويس ( DoS )
نمايش و بمخاطره انداختن فايل ها و داده های حساس
اجراء دستورات خودسرانه ( اختياری )
بمخاطره انداختن کامل سرويس دهنده
IIS از پتانسل شناخته شده ISAPI ( فايل هائی با انشعاب DLL که به آنان فيلترهای ISAPI هم گفته می شود ) بمنظور همبستگی و ارتباط با فايل هائی که دارای انشعاباتی خاص می باشند ، استفاده می نمايد . پيش پردازنده هائی نظير ColdFusion و PHP از ISAPI استفاده می نمايند.IIS ، از فيلترهای ISAPI ديگر برای انجام عمليات مرتبط با ASP)Active Server Pages ، ( SSI)Server Side Includes) و اشتراک چاپ مبتنی بر وب ، استفاده می نمايد.تعداد زيادی از فيلترهای ISAPI ، مستلزم عمليات خاص و جداگانه ای برای نصب نبوده و عملا" بصورت پيش فرض و در زمان نصب IIS بر روس سيستم مستقر ( نصب ) می گردند . اکثر فيلترهای فوق ، قابل سوء استفاده توسط مهماجمان می باشند. Code red و Code Red 2 ، نمونه هائی از برنامه های مخرب می باشند که از ضعف فوق در جهت پيشبرد اهداف خود استفاده نموده اند .
IIS نيز نظير ساير سرويس دهندگان وب ، شامل برنامه های نمونه ای است که بمنظور اثبات توانائی سرويس دهنده وب ، طراحی شده اند . در طراحی برنامه های فوق ، عملکرد آنان با لحاظ نمودن مسائل امنيتی در يک محيط عملياتی و توليدی مورد توجه قرار نگرفته است . برخی ازنمونه برنامه های ارائه شده بهمراه IIS ، امکان مشاهده و بازنويسی فايل های دلخواه ويا دستيابی از راه دور به اطلاعات حساس نظير رمز عبور مديريت سيستم را فراهم می نمايند .
عدم بهنگام سازی و نگهداری مناسب IIS پس از نصب اوليه ، از ديگر مواردی است که زمينه تهاجم برای مهاجمان را فراهم می آورد .مثلا" نقاط آسيب پذير WebDAV ntdll.dll در IIS 5.0 ، امکان حملات از نوع DoS ( غيرفعال نمودن سرويس ) را فراهم و مهاجمان در ادامه قادر به ايجاد و اجرای اسکريپت های مورد نظر خود بر روی سرويس دهنده می گردند . در مواردی ديگر و با توجه به نقاط آسيب پذير موجود ، مهاجمان قادر به اجرای دستورات دلخواه خود بر روی سرويس دهنده می باشند ( درخواست دقيق و ماهرانه آدرس های URL ) .
امکانات و پتانسيل هائی که در ادامه و با توجه به ضرورت بر روی IIS نصب می گردند ( نظير ColdFusion و PHP ) نيز می تواند زمينه بروز نقاط آسيب پذير جديدی را فراهم نمايد .اينگونه نقاط آسيب پذير، می تواند بدليل عدم پيکربندی صحيح و يا وجود ضعف و اشکال امنيتی در محصول نصب شده ای باشد که به IIS نيز سرايت می نمايد ( توارث مشکلات و ضعف های امنيتی از يک محصول به محصول ديگر) .
سيستم های عامل در معرض تهديد :
ويندوز NT 4.0 که از IIS 4.0 استفاده می نمايد .
ويندوز 2000 سرويس دهنده که از IIS 5.0 استفاده می نمايد .
ويندوز XP نسخه Professional که از نسخه IIS 5.1 استفاده می نمايد .
در رابطه با نقطه آسيب پذير فوق بر روی ويندوز 2003 که از IIS 6.0 استفاده می نمايد ، تاکنون گزارشی ارائه نشده است .
نحوه تشخيص آسيب پذيری سيستم
در صورتيکه برنامه IIS بصورت پيش فرض و استاندارد نصب و يا Patch های مربوطه بر روی آن نصب نشده باشند ، آسيب پذيری برنامه فوق در مقابل حملات قطعی خواهد بود . مديران سيستم وشبکه که مسئوليت نصب ، نگهداری و بکارگيری IIS را بر عهده دارند ، می بايست خود را با جديدترين ابزارهای مايکروسافت و مستندات امنيتی ارائه شده در رابطه با مديريت مناسب IIS ، بهنگام نمايند. در اين رابطه می توان بمنظور دستيابی به مستندات امنيتی مرتبط با IIS از مرکز امنيتی IIS شرکت مايکروسافت استفاده نمود. پيشنهاد می گردد ، برنامه Microsoft BaseLine Security Analyzer را که شامل روتين های حفاظتی مناسب و مرتبط به IIS می باشد را دريافت و از آن بمنظور بررسی وضعيت امنيتی IIS استفاده بعمل آيد . مديران شبکه ، می بايست با استفاده از منابع اطلاعاتی متعدد ارائه شده نظير : Checklists ، مستنداتی که توصيه های لازم در جهت ارتقاء سطح امنيتی را ارائه و مستندات آموزشی نقاط آسيب پذير که توسط مايکروسافت ارائه شده است ، دانش خود را بهنگام و با دنبال نمودن فرآيندهای مناسب فنی ، از صحت عملکرد امنيتی IIS بر روی سيستم های سازمان خود اطمينان حاصل نمايند.مقايسه وضعيت موجود IIS با وضعيت مطلوب ، يکی از روش هائی است که می تواند در اين زمينه مفيد واقع گردد .
نحوه حفاظت در مقابل نقطه آسيب پذير
نصب آخرين Patch ارائه شده : در اولين مرحله ، می بايست سيستم را با استفاده از Patch های ارائه شده ، بهنگام نمود. Patching يک سرويس دهنده نصب شده ، امری ضروری است ولی بتنهائی کافی نخواهد بود . بموازات کشف نقاط ضعف جديد در IIS ، می بايست از Patch مربوطه بسرعت استفاده گردد. Windows Update و AutoUpdate گزينه هائی مناسب بمنظور بهنگام سازی IIS با توجه به آخرين Patch های ارائه شده است .
برنامه ( HFNetChk ( Network Security Hotfix Checker ، به مديران سيستم کمک لازم در پويش و بررسی محلی و يا از راه دور سيستم ها برای Patch های موجود را ارائه می نمايد . ابزار فوق ، قابل استفاده بر روی ويندوز NT 4.0 ، ويندوز 2000 و ويندوز XP می باشد . آخرين نسخه ابزار فوق را می توان از آدرس :
كد - لینک:
Microsoft Baseline Security Analyzer (http://www.microsoft.com/technet/security/tools/hfnetchk.asp)
دريافت کرد .
در صورتيکه از برنامه های اضافه شده ای نظير CouldDusion ،PerlIIS و يا PHP بهمراه IIS استفاده می گردد ، لازم است به سايت های عرضه کنندگان هر يک از محصولات فوق مراجعه و نسبت به آخرين patch ارائه شده در رابطه با هر محصول آگاه و آنان را با توجه به توصيه های انجام شده بر روی سيستم نصب نمود . امکان Windows Update و ساير سرويس های بهنگام سازی ارائه شده توسط مايکروسافت ، شامل Patch های لازم و مرتبط با محصولات اضافه شده ساير شرکت ها در برنامه IIS مايکروسافت نبوده و لازم است مديران سيستم بهنگام سازی محصولات اضافه شده ( غير مايکروسافت ) در IIS را خود راسا" انجام دهند .
استفاده از برنامه کمکی IIS Lockdown بمنظورنصب مطمئن تر : مايکروسافت ، ابزاری ساده بمنظور ايمن سازی نصب IIS را ارائه که ويزارد IIS Lockdown ناميده می شود. نسخه موجود را می توان از آدرس http://www.microsoft.com/technet/sec...s/locktool.asp (http://www.microsoft.com/technet/security/tools/locktool.asp) ، دريافت نمود. با اجرای برنامه فوق در حالت " Custom " و يا " Expert" ، می توان تغييرات مورد نظر خود را در ارتباط با نصب IIS مشخص نمود. بدين ترتيب ، امکان اعمال تغييرات زير در رابطه با نصب IIS ، فراهم می گردد :
غير فعال نمودن WebDAV ( مگر اينکه محيط مورد نظر شما به وجود آن برای نشر محتوی وب ، نياز داشته باشد )
غير فعال نمودن ISAPI extensions های غير ضروری ( نظير : htr، .idq , .ism ، .printer . )
حذف نمونه برنامه های ارائه شده بهمراه IIS
منع سرويس دهنده وب از اجراء دستورات سيستمی متداول که عموما" توسط مهاجمان استفاده می گردد( نظير cmd.exe و يا tftp.exe ) .
استفاده از URLScan بمنظور فيلتر نمودن درخواست های HTTP : تعدادی زيادی از حملات مرتبط با نقاط آسيب پذير IIS نظير Code Blue و خانواده Code Red ، از کدهای مخربی که بصورت درخواست های HTTP سازماندهی می شوند،استفاده می نمايند( حملاتی از نوع Buffer Overflow ) . فيلتر URLScan را می توان بگونه ای پيکربندی نمودکه باعث عدم پذيرش اينچنين درخواست هائی قبل از پردازش آنان توسط سرويس دهنده باشد.برنامه فوق،بهمراه ويزارد IIS Lockdown ارائه ولی می توان آن را از آدرس :
كد - لینک:
UrlScan Security Tool (http://www.microsoft.com/technet/security/tools/urlscan.asp)
دریافت کرد
دومين نقطه آسيب پذير : ( Microsoft SQL Server (MSSQL
سرويس دهنده SQL مايکروسافت ( MSSQL ) ، دارای چندين نقطه آسيب پذير جدی است که امکان دريافت اطلاعات حساس، تغيير در محتويات بانک اطلاعاتی وبمخاطره انداختن حيات سرويس دهندگان SQL توسط مهاجمان را فراهم می نمايد . در برخی موارد خاص و بدليل عدم پيکربندی صحيح سيستم ، ميزبانان سرويس دهنده نيز ممکن است در معرض تهديد و آسيب قرار گيرند . نقاط آسيب پذير MSSQL ، مورد توجه خاص عموم مهاجمان بوده و آنان بسرعت از ضعف های امنيتی کشف شده در جهت اهداف خود استفاده می نمايند. دو کرم SQLSnake/Spida و SQL-Slammer/SQL-Hell/Sapphire در ساليان اخير ( سال های 2002 و 2003 ) از نقاط ضعف شناخته شده MSSQL استفاده و توانستند در مدت زمان کوتاهی حملات گسترده ای را با توجه به نقظه آسيب پذير فوق ،انجام دهند. ميزبانان آلوده به کرم ها ی فوق ، بمنظور گسترش آلودگی و جستجو جهت يافتن ساير سيستم های آسيب پذير ، ترافيک شبکه را در حد بالائی افزايش داده بودند( اشغال درصد بسيار بالائی از پهنای باند محيط انتقال ).
براساس گزارش ارائه شده توسط Internet Storm Center ، پورت های 1433 و 1434 ( پورت های پيش فرض سرويس دهنده MSSQL ) ، از جمله پورت هائی می باشند که بصورت دائم توسط مهاجمين مورد بررسی ( نگاه موشکافانه ) قرار می گيرد.
نحوه عملکرد کرم SQLSnake ، به account مديريتی پيش فرض ( sa" account" که دارای يک رمز عبور Null می باشد ) بستگی دارد.در اين رابطه لازم است پيکربندی سيستم بطرز صحيحی انجام و هر يک از سيستم های موجود بمنظور حصول اطمينان از دارا بودن رمز عبور مرتبط با account مربوطه بررسی و بدرستی حفاظت گردند . در صورتيکه از account خاصی استفاده نمی شود ، می بايست نسبت به غير فعال نمودن آنان اقدام گردد.. بمنظوردريافت اطلاعات تکميلی در رابطه تنظيم و مديريت sa Account ، می توان از مستندات ارائه شده در آدرس " Changing the SQL Sever Administrator Login " استفاده نمود . sa Account ، می بايست دارای يک رمز عبور پيچيده بوده که حدس و تشخيص آن مشکل باشد( حتی اگر از آن بمنظور اجراء SQL/MSDE استفاده نمی شود ) .
نحوه عملکرد کرم SQL Slammer ، بر اساس يک Buffer Overflow در SQL Server Resolution Service است . Buffer Overflow فوق ، موجب گسترش ( حمل ) مشکل از سيستمی به سيستم ديگر شده و در اين راستا امنيت ميزبان زمانيکه کرم اقدام به ارسال بسته های اطلاعاتی تهديد آميز خود به پورت 1434 سيستم های مقصد آسيب پذير می نمايد، در معرض تهديد و آلودگی قرار می گيرد. در صورتيکه بر روی يک ماشين ، سرويس هائی از SQL اجراء که مرتبط با اين نوع Stack Buffer Overflow می باشند و بسته های اطلاعاتی خود را بر اساس واقعيت فوق دريافت می نمايد ، تمامی سيستم ها و سرويس دهندگان در معرض تهديد قرار خواهند گرفت .موثرترين روش دفاع در مقابل کرم فوق، Patching مستمر ، اقدامات لازم در جهت پيکربندی سيستم بصورت کنشگرايانه ، پيشگيری سيستم بصورت پويش های ادواری و فيلترينگ پورت 1434 مربوط به UDP در gatway های شبکه است ( اجازه ورود و خروج بسته های اطلاعاتی مرتبط با پورت اشاره شده ) .
عملکرد Microsoft Server 2000 Desktop Engine ) ، MSDE 2000)، را می توان بعنوان " SQL Server Lite" ( زير بناء سرويس دهنده SQL ) در نظرگرفت . تعداد زيادی از صاحبان سيستم حتی نسبت به اين موضوع که بر روی سيستم آنان MSDE اجراء و آنان دارای يک نسخه از SQL Server نصب شده بر روی سيستم می باشند ، آگاهی و شنخت مناسبی را ندارند. MSDE 2000 ، بعنوان يکی از اجزاء اساسی بهمراه محصولات زير نصب می گردد :
SQL/MSDE Server 2000 (Developer, Standard and Enterprise Editions)
Visual Studio .NET (Architect, Developer and Professional Editions)
ASP.NET Web Matrix Tool
Office XP
Access 2002
Visual Fox Pro 7.0/8.0
باتوجه به اينکه، نرم افزارهای فوق ، از MSDE بعنوان هسته اساسی بانک اطلاعاتی استفاده می نمايند ، آنان نيز دارای نقاط آسيب پذير مشابه سرويس دهنده SQL/MSDE خواهند بود.پيکربندی MSDE 2000 را می توان بگونه ای انجام داد که با استفاده از روش های مختلف به درخواست های اتصال به بانک اطلاعاتی توسط سرويس گيرندگان،گوش داده شود. مثلا" پيکربندی فوق را می توان بصورتی انجام داد که سرويس گيرندگان قادر به استفاده از named pipes بر روی يک NetBIOS Session ( پورت 139/445 پورت TCP ) بوده و يا از سوکت هائی که سرويس گيرندگان با استفاده از پورت 1433 مربوط به TCP به آن متصل می گردند ( امکان استفاده از هر دو رويکرد اشاره شده نيز وجود دارد ) . صرفنظر ازروش انتخابی ، سرويس دهنده SQL و MSDE همواره به پورت 1434 مربوط به UDP گوش خواهند داد . پورت فوق بعنوان يک پورت هماهنگ کننده طراحی شده است . سرويس گيرندگان يک پيام را برای پورت فوق ارسال تا نحوه اتصال سرويس گيرنده به سرويس دهنده ، مشخص گردد .
هسته MSDE 2000 ،در موارديکه با يک بسته اطلاعاتی تک بايتی 0x02 ، بر روی پورت 1434 مربوط به UDP مواجه گردد ، اطلاعاتی در رابطه با خود را برمی گرداند . ساير بسته های اطلاعاتی تکی بايت بدون اينکه الزامی به تائيد آنان برای سرويس دهنده وجود داشته باشد،باعث بروز يک Buffer overflow می گردند .با توجه به اينکه سازماندهی حملات ازاين نوع بر اساس UDP انجام خواهد شد ، وضعيت تهاجم فوق وخيم تر خواهد شد . (صرفنظر از اينکه پردازه های MSDE 2000 در يک بافتار امنيتی مربوط به يک Domain User و يا account مربوط به Local System اجراء می گردند). استفاده موفقيت آميز از حفره های امنيتی موجود ، می تواند سيستم مقصد را در معرض مخاطره و تهديد قرار دهد .
با توجه به اينکه SQL Slammer از يک Buffer overflow بر روی سيستم مقصد استفاده می نمايد ،استفاده مستمر از Patching و پيکربندی دقيق سيستم ، کمک لازم در جهت کاهش تهديد فوق را ارائه می نمايد . با دريافت و استفاده از ابزارهای دفاعی نظير : Microsoft SQL Critical Update Kit ، می توان تمام Domain و يا شبکه های شامل سيستم های آسيب پذير را بررسی و بصورت فايل های متاثر را بهنگام نمود. برای آشنائی و آناليز جزيئات مربوط به کرم اسلامر SQL/MSDE ، می توان از آدرس Incidents.org استفاده نمود .
سيستم های عامل در معرض تهديد :
هر يک از نسخه های ويندوز که بهمراه آنان SQL/MSDE Server 7.0 ، SQL/MSDE Server 2000 و يا Microsoft SQL/MSDE Desktop Engine 2000 نصب شده باشد و هر سيستم نرم افزاری ديگری که بصورت جداگانه از موتور MSDE 2000 استفاده می نمايد، در معرض اين تهديد و آسيب قرار خواهد شد .
نحوه تشخيص آسيب پذيری سيستم
شرکت مايکروسافت مجموعه ای از ابزارهای امنيتی را در اين رابطه ارائه که می توان از طريق آدرس http://www.microsoft.com/sql/downloa...uritytools.asp (http://www.microsoft.com/sql/downloads/securitytools.asp) به آنان دستيابی پيدا نمود . Toolkit ارائه شده ،SQL Critical Update Kit ناميده شده و شامل ابزارهائی نظير SQL Scan و SQL Critical Update است . سايت SqlSecurity.com نيز در اين رابطه ابزاری با نام SQLPingv2.2 را ارائه داده است .ابزار فوق ، يک بسته اطلاعاتی UDP تک بايتی ( مقدار بايت 0X02 ) را به پورت 1434 مربوط به يک ميزبان و يا تمامی Subnet ارسال می نمايد .سرويس دهندگان SQL که به پورت UDP 1434 گوش می دهند ، به آن پاسخ لازم را داده و اطلاعاتی در ارتباط با سيستم نظير شماره نسخه و ساير موارد مربوطه را اعلام می نمايد . عملکرد نرم افزار فوق مشابه Microsoft SQL Scan است .
نحوه حفاظت در مقابل نقطه آسيب پذير :
بمنظور حفاظت سيستم ها در مقابل نقطه آسيب پذير فوق ، عمليات زير را دنبال می نمائيم :
غير فعال نمودن SQL/MSDE Monitor Service در پورت UDP 1434 . بمنظورانجام خواسته فوق، می توان اقدام به نصب و استفاده از قابليت های ارائه شده بهمراه SQL Server 2000 Service Pack 3a نمود. موتور MSDE 2000 دارای دو نقطه آسيب پذير Buffer Overflow است که می تواند توسط يک مهاجم استفاده و از راه دور و بدون هيچگونه الزامی جهت تائيد کاربر، به سرويس دهنده متصل و يک تهاجم از طريق UDP را باعث شود. صرفنظر از اينکه پردازه های MSDE 2000 در بافتار امنيتی يک Domain User و يا account مربوط به Local System اجراء می گردند ، استفاده موفقيت آميز از حفره های امنيتی موجود، ممکن است سيستم مقصد را در معرض مخاطره و تهديد قرار دهد . کرم MS-SQL/MSDE Slammer يک بسته اطلاعاتی شامل 376 بايت را از طريق پورت UDP 1434 برای مقصد مورد نظر خود که بصورت تصادفی انتخاب می گردد، ارسال می نمايد. سيستم های در معرض تهاجم پس از آلودگی ، اقدام به ارسال بسته های اطلاعاتی مشابه 376 بايتی می نمايند . کرم فوق ، ترافيک موجود در شبکه را افزايش خواهد داد .آدرس های IP که بصورت تصادفی انتخاب می گردند ، از نوع multicast بوده و در نهايت يک تهاجم از نوع DoS ( غير فعال نمودن يک سرويس ) بر روی شبکه مقصد، محقق خواهد شد. بر اساس گزارشات ثبت شده ، يک ماشين آلوده بيش از پنجاه MB/Sec از ترافيک شبکه رابخود اختصاص و عملا" امکان انجام ساير عمليات بر روی شبکه سلب می گردد.
بکارگيری آخرين Service Pack برای سرويس دهنده SQL/MSDE و MSDE 2000 . آخرين نسخه های Service Pack در رابطه با سرويس دهنده SQL/MSDE عبارتند از :
- SQL/MSDE Server 7.0 Service Pack 4
- MSDE/SQL Server 2000 Service Pack 3a
بمنظور اطمينان از بهنگام بودن سيستم می توان از " Make Your SQL/MSDE Servers Less Vulnerable " استفاده نمود.
بکارگيری آخرين Patch ارائه شده پس از آخرين Service Pack . بمنظور آگاهی از آخرين Patch های ارائه شده برای تمامی نسخه های سرويس دهنده SQL/MSDE/MSDE می توان از بولتن امنيتی ارائه شده توسط مايکروسافت استفاده نمود . بمنظور اطمينان از نصب آخرين Patch موجود در رابطه با سرويس دهنده SQL/MSDE می توان از آدرس های زير استفاده کرد :
- Microsoft SQL/MSDE Server 7.0
- Microsoft SQL Server 2000
- MSDE Server Desktop Engine 2000 (MSDE 2000)
بکارگيری Patch های خاص و جداگانه ای که پس از آخرين Patch مربوطه ارائه شده اند .پس از معرفی MS02-061 Elevation of Privilege in SQL/MSDE Server Web Tasks ، تاکنون Patch مربوطه ای در اين زمينه ارائه نشده است
فعال نمودن SQL Server Authentication Logging . امکان فوق عموما" غير فعال است . بمنظور فعال نمودن آن می توان از طريق برنامه Enterprise Manager اقدام نمود( Server Properties|Tab Security )
ايمن سازی سرويس دهنده در سطح سيستم و شبکه . يکی از متداولترين حملات MSSQL/MSDE ، برخاسته از account مديريتی پيش فرض ( شناخته شده با نام "sa" ) بوده که دارای يک رمز عبور تهی ( blank ) است. در صورتيکه sa Account مربوط به SQL/MSDE دارای رمز عبور حفاظت شده ای نمی باشد ، سيستم در معرض تهديد جدی قرار خواهد داشت . لازم است در اين راستا از پيشنهادات ارائه شده در بخش System Administrator(SA) Login مربوط به SQL/MSDE Server Book Online استفاده تا اطمينان لازم در خصوص مطمئن بودن رمز عبور sa Account حاصل گردد . ( حتی اگر سرويس دهنده SQL/MSDE مربوطه از account فوق استفاده نمی نمايد، نيز می بايست اقدامات امنيـتی لازم ضورت پذيرد ) . با استفاده از مستندات ارائه شده در MSDN مايکروسافت و در بخش Changing the SQL Server Administrator Login ، و Verify and Change the System Administrator Password by Using MSDE می توان از آخرين امکانات و توصيه های ارائه شده بمنظور پيکربندی و تنظيم مناسبsa Account ، استفاده نمود .
به حداقل رساندن امتيازات مربوط به سرويس MSSQL/MSDE و سرويس دهنده SQL/MSDE Server Agent . در اين رابطه پيشنهاد می گردد که سرويس MSSQL/MSDE سرويس دهنده و SQL/MSDE Server Agent ، تحت يک Valid Domain account با حداقل امتيازات مربوط اجراء گردد( نه بعنوان يک domain administrator و يا SYSTEM ( در ويندوز NT ) و يا LocalSystem ( در ويندوز 2000 و يا XP ) ) . يک سرويس در معرض آسيب که بهمراه امتيازات محلی و يا Domain اجراء می گردد ،به يک مهاجم امکان کنترل کامل سيستم و يا شبکه را خواهد داد . در اين رابطه موارد زير پيشنهاد می گردد :
- فعال نمودن Windows NT Authentication و auditing برای Login های موفقيت آميز و يا با شکست مواجه شده ، در ادامه سرويس MSSQL/MSDEServer رامتوقف و مجددا" آنان را فعال نمائيد . در صورت امکان ، پيکربندی سرويس گيرندگان را بگونه ای انجام دهيد که از NT Authentication استفاده نمايند .
- فيلترينگ بسته های اطلاعاتی می بايست در محدوده های مرزی شبکه انجام تا پيشگيری و ممانعت لازم در خصوص اتصالات ورودی و خروجی غير مجاز به MSSQL و مرتبط با سرويس های خاص صورت پذيرد . قيلترينگ نقطه ورود و خروج پورت های 1434 و 1433 مربوط به TCP/UDP می تواند باعث ممانعت مهاجمان داخلی و يا خارجی از پويش و آلودگی سرويس دهندگان SQL/MSDE که دارای پتانسيل آسيب پذيری می باشند، گردد .
- درصورتيکه لازم است از پورت های 1433 و 1434 مربوط به TCP/UDP استفاده گردد ، می بايست قيلترینگ مناسبی در ارتباط با استفاده نادرست از پورت های فوق را انجام داد .
سومين نقطه آسيب پذير : Windows Authentication
استفاده از رمزعبور، روش های تائيد کاربر و کدهای امنيتی در هر گونه تعامل ارتباطی بين کاربران وسيستم های اطلاعاتی ، امری متداول و رايج است . اکثر روش ها ی تائيد کاربران ، نظير حفاظت فايل و داده ، مستقيما" به رمزهای عبور ارائه شده توسط کاربران ، بستگی خواهد داشت . پس از تائيد کاربران ، امکان دستيابی آنان به منابع مشخص شده فراهم و هر يک از آنان با توجه به امتيازات و مجوزهای نسبت داده شده ، قادر به استفاده از منابع موجودخواهند بود. در اغلب موارد ، فعاليت کاربرانی که مجاز بودن آنان برای دستيابی به منابع ، تائيد شده است ، لاگ نشده و يا در صورتيکه فعاليت آنان ثبت گردد ، کمتر سوء ظنی به آنان می تواند وجود داشته باشد . ( آنان پس از تائيد وارد ميدانی شده اند که بدون هيچگونه رديابی ، قادر به انجام فعاليت های گسترده ای خواهند بود) . بنابراين ، رمز عبور دارای نقشی حياتی و اساسی در ايجاد اولين سطح دفاع در يک سيستم اطلاعاتی بوده و از دست رفتن رمز عبور و يا ضعف آن می تواند سيستم را در معرض تهديدات جدی قرار دهد . مهاجمان پس از دستيابی به رمز عبور کاربران تائيد شده ( استفاده از مکانيزم های متفاوت ) قادر به دستيابی منابع سيستم و حتی تغيير در تنظيمات ساير account های تعريف شده و موجود بر روی سيستم خواهند بود،عملياتی که می تواند پيامدهای بسيار منفی را بدنبال داشته باشد . پس می بايست بپذيريم که وجود يک account ضعيف و يا فاقد رمز عبور می تواند تهديدی جدی در يک سازمان باشد . در اين راستا علاوه بر اينکه می بايست از پتانسيل های ارائه شده توسط سيستم عامل با دقت استفاده نمود ، ضروری است ، تابع يک سياست امنيتی تدوين شده در رابطه با رمز عبور در سازمان متبوع خود باشيم . تعريف و نگهداری يک account بهمراه رمز عبور مربوطه در سازمان ما تابع چه سياست امنيتی است ؟ مهمترين و متداولترين نقاط آسيب پذير در ارتباط با رمز عبور شامل موارد زير است :
Account تعريف شده دارای رمز عبور ضعيف و يا فاقد رمز عبور است .
عدم حفاظت مناسب کاربران از رمزهای عبور ،صرفنظر از استحکام رمزهای عبور تعريف شده .
سيستم عامل و يا ساير نرم افزارهای موجود ، امکان ايجاد account مديريتی ضعيف و فاقد رمز عبور را فراهم می نمايند .
الگوريتم های Hashing رمز عبور( رمزنگاری مبتنی بر کليد عمومی بر پايه يک مقدار hash ، استوار بوده و بر اساس يک مقدار ورودی که دراختيار الگوريتم hashing گذاشته می گردد ، ايجاد می گردد. در حقيقت مقدار hash ، فرم خلاصه شده و رمز شده ای از مقدار اوليه خود است ) ، شناخته شده بوده و در اغلب موارد مقدار Hashe بدست آمده ، بگونه ای ذخيره می گردد که امکان مشاهده آن توسط سايرين وجود خواهد داشت. مناسبترين نوع حفاظت در اين راستا ، تبعيت از يک سياست رمز عبور قدرتمند بوده که در آن دستورالعمل ها ی لازم برای تعريف يک رمز عبورمناسب مشخص و در ادامه با استفاده از ابزارهای موجود، بررسی لازم در خصوص استحکام و بی نقص بودن رمز عبور صورت گيرد.
ويندوز، رمزهای عبور را بصورت متن شفاف ذخيره و يا ارسال نمی نمايد و در اين راستا از يک مقدار Hash متناظر با رمزعبور ، بمنظور تائيد کاربران ، استفاده می نمايد . يک مقدار Hash دارای طولی ثابت است که توسط بکارگيری يک تابع رياضی ( الگوريتم hashing ) بر روی حجم دلخواهی از داده ( message digest ناميده می شود) ايجاد می شود.در وينوز سه نوع الگوريتم تائيد وجود دارد :
LM ( ايمنی کمتر و سازگاری بيشتر )
NTLM
NTLMv2 ( ايمنی بيشتر و سازگاری کمتر )
با اينکه اکثر محيط های فعلی ويندوز ، ضرورتی به حمايت از (Lan Manager (LM را ندارند، ولی ويندوز بصورت محلی رمز های عبور Hash شده مربوط به LM را ( LANMAN Hashes نيز ناميده می شود ) بصورت پيش فرض در ويندوز NT ، 2000 و XP ( در ويندوز 2003 وضعيت بدين شکل نيست ) ذخيره می نمايد. با توجه به اينکهLM از يک مدل رمزنگاری بمراتب ضعيف تر نسبت به رويکردهای فعلی مايکروسافت ( NTLM,NTLMv2 ) ، استفاده می نمايد، رمزهای عبور LM می توانند در مدت زمانی کوتاه شکسته گردند. حتی رمزهای عبوری که دارای قدرت و استحکام مناسبی می باشند ، در کمتر از يک هفته با استفاده از روش هائی خاص و با اتکاء به قدرت سخت افزارهای موجود ، شکسته خواهند شد
http://www.msdn.miscrosoft.com/libra...rity/h_gly.asp (http://www.msdn.miscrosoft.com/library/default.asp?url=/library/en-us/security/Security/h_gly.asp)
ضعف LM hashes بدلايل زير است :
رمزهای عبور محدود به چهارده کاراکتر می باشند .
رمزهای عبور با استفاده از فضای خالی ، به چهارده کاراکتر تبديل می شوند .
رمزهای عبور تماما" به حروف بزرگ تبديل می گردند .
رمزهای عبور به دو بخش هفت کاراکتری مجزا تقسيم می گردند .
با توجه به ماهيت فرآيند hashing ،يک مهاجم صرفا" می بايست عمليات تشخيص رمز عبور( cracking) را محدود به دو مجموعه نمايد که هر يک دارای هفت کاراکتر بوده که به حروف بزرگ تبديل شده اند . با تکميل عمليات فوق و اخد نتايج مثبت ، يک مهاجم قادر به تشخيص رمز عبور يک کاربر تائيد شده می گردد وبدين ترتيب ، امکان دستيابی وی به منابع سيستم فراهم خواهد شد. پيچيدگی عمليات تشخيص Hashe ، متنا سب با طول Hash افزايش می يابد ، بنابراين رشته هائی که صرفا" شامل هفت کاراکتر می باشند ، بمراتب راحت تر نسبت به رشته هائی که دارای چهارده کاراکتر می باشند ، تشخيص داده و اصطلاحا" شکسته می گردند. با توجه به اين موضوع که تمامی رشته ها شامل هفت کاراکتر بوده و تمامی آنان به حروف بزرگ نيز تبديل می گردند ، يک تهاجم به "سبک - ديکشنری" ( dictionary-style ) نيز بسادگی محقق و موفقيت آن تضمين شده خواهد بود. بنابراين، روش LM hashing ، آسيبی جدی را متوجه سياست های امنيتی رمز عبور نموده و سيستم را در معرض تهديد قرار خواهد داد .
علاوه بر تهديد و خطر ذخيره سازی LM hashes در SAM ، فرآيند تائيد Lan Manager ، اغلب و بصورت پيش فرص بر روی سرويس گيرندگان فعال و توسط سرويس دهنده پذيرفته می گردد . لازم است به اين نکته اشاره گردد که ، ماشين هائی که بر روی آنان ويندوز نصب شده است ، قادر به استفاده از الگوريتم های hash بمراتب قويتر در مقابل روش ضعيف LM hashes بمنظور ارسال داده های حساس نظير رمز عبور می باشند .حداقل پيامد منفی استفاده از روش LM hashes ، آسيب پذيری سيستم تائيد کاربران در ويندوز بوده و قطعا" در چنين مواردی نمی توان به فرآيند تائيد کاربران ، اعتماد نمود چراکه در اين وضعيت عملا" امکان استراق سمع ( شنود اطلاعاتی ) فراهم و يک مهاجم قادر به تشخيص و بدست آوردن رمزهای عبور خواهد بود.
سيستم های عامل در معرض تهديد :
تمامی نسخه های ويندوز در معرض اين تهديد قرار دارند .
نحوه تشخيص آسيب پذيری سيستم
با اينکه دلايل و علل متفاوتی می تواند در در رابطه با ضعف رمز عبور مورد توجه قرار گيرد ، مثلا" وجود Account های فعال برای کاربرانی که سازمان خود را ترک نموده ويا سرويس هائی که اجراء نشده اند، ولی يکی از مناسبترين روش ها بمنظور آگاهی از استحکام يک رمز عبور ، بررسی و تست تمامی آنان در مقابل نرم افزارهای cracking رمزهای عبور استفاده شده توسط مهاجمان است . لازم است به اين نکته مهم اشاره گردد که از برنامه های تشخيص دهنده رمز عبور بر روی سيستم هائی که حتی مجوز دستيابی به آنان را داريد ، بدون اخذ مجوزهای لازم از مديران ارشد سيستم ، نمی بايست استفاده نمود. برای دريافت نمونه برنامه هائی در اين زمينه می توان از LC4 )l0phtcrack version 4) و John the Ripper استفاده کرد . صرفنظر از رويکرد ذخيره سازی محلی LAN Manager hash ، موارد زير می بايست موردتوجه قرار گيرد :
در صورتيکه ويندوز NT ، 2000 و يا XP بصورت پيش فرض نصب شده اند،سيستم در معرض آسيب خواهد بود. در چنين مواردی Lan Manager hashes بصورت پيش فرض و محلی ذخيره می گردد.
در صورتيکه ، بدلايلی نيازمند تائيد مبتنی بر LM در يک سازمان بمنظور ارتباط با سرويس دهنده وجود داشته باشد ، سيستم مجددا" در معرض آسيب قرار خواهد گرفت .چراکه اين نوع از ماشين ها اقدام به ارسال LM hashes نموده و پتانسيل شنود اطلاعاتی در شبکه را ايجاد خواهند کرد.
نحوه حفاظت در مقابل نقطه آسيب پذير :
بهترين و مناسبترين دفاع در مقابل رمزهای عبور ضعيف ، استفاده از يک سياست مستحکم مشتمل بر دستورالعمل های لازم بمنظور ايجاد رمز عبور قدرتمند و بررسی مستمر آنان بمنظور اطمينان از استحکام و صحت عملکرد می باشد . در اين رابطه موارد زير پيشنهاد می گردد :
اطمينان ازاستحکام و انسجام رمز های عبور . با استفاده از سخت افزار مناسب و اختصاص زمان کافی ، می توان هر رمز عبوری را crack نمود. در اين راستا می توان با استفاده ازروش های ساده و در عين حال موفقيت آميز، عمليات تشخيص رمز عبور را انجام داد . اغلب برنامه های تشخيص دهنده رمزعبوراز روشی موسوم به "حملات مبتنی بر سبک ديکشنری " ، استفاده می نمايند. با توجه به اينکه روش های رمز نگاری تا حدود زيادی شناخته شده می باشند ، برنامه های فوق ، قادر به مقايسه شکل رمز شده يک رمز عبور در مقابل شکل های رمز شده کلمات ديکشنری می باشند( در زبان های متعدد و استفاده از اسامی مناسب بهمراه جايگشت های مختلف آنان ) . بنابراين ، رمز عبوری که ريشه آن در نهايت يک کلمه شناخته شده باشد ، دارای استعداد ذاتی در رابطه با اين نوع از حملات خواهد بود . تعداد زيادی از سازمان ها ، آموزش های لازم در خصوص نحوه تعريف رمزهای عبور را به کارکنان خود داده و به آنان گفته شده است که رمزهای عبور مشتمل بر ترکيبی از حروف الفبائی و کاراکترهای ويژه را برای خود تعريف نمايند.متاسفانه اکثر کاربران اين موضوع را رعايت ننموده و بمنظور تعريف يک رمز عبور با نام "password" ، صرفا" اقدام به تبديل حروف به اعداد و يا حروف ويژه می نمايند ( pa$$w0rd) . چنين جايگشت هائی نيز قادر به مقاومت در مقابل يک تهاجم مبتنی بر ديکشنری نبوده و "pa$$w0rd" به روش مشابهی که "password" تشخیص داده می شود ، crack خواهد شد .
يک رمز عبور خوب ، نمی بايست از ريشه يک کلمه و يا نام شناخته شده ای اقتباس شده باشد .در اين راستا لازم است به کاربران آموزش لازم در خصوص انتخاب و ايجاد رمزهای عبور از موارد تصادفی نظير يک عبارت ، عنوان يک کتاب ،نام يک آواز و يا نام يک فيلم داده شود. با انتخاب يک رشته طولانی که بر اساس رويکردهای خاصی می تواند انتخاب گردد( گرفتن اولين حرف هر کلمه ، جايگزينی يک کاراکتر خاص برای يک کلمه ، حذف تمامی حروف صدادارو ساير موارد ) ، کاربران قادر به ايجاد رمزهای عبور مشتمل بر ترکيبی از حروف الفبائی و حروف ويژه بوده که در صورت مواجه شدن با حملات مبتنی بر ديکشنری ، تشخيص آنان بسختی انجام می شود. لازم است به اين نکته نيز اشاره گردد که رمزعبور می بايست براحتی بخاطر سپرده شده و بازيابی ( يادآوری)آن مشکل نباشد ( هدف از ذخيره سازی ، بازيابی است اگر چيزی را ذخيره نمائيم ولی در زمان مورد نظر قادر به بازيابی آن نباشيم ، سيستم ذخيره و بازيابی ما با اشکال مواجه شده است ! ). پس از تدوين دستورالعمل لازم بمنظور توليد رمزهای عبور مناسب و آموزش کاربران بمنظور پايبندی به اصول امنيتی تعريف شده ، می بايست از روتين ها ی جانبی متعددی بمنظور اطمينان از پيروی کاربران از دستوراالعمل های اعلام شده ، استفاده گردد. بهترين گزينه در اين راستا ، بررسی صحت رمزهای عبور پس از اعمال تغييرات توسط کاربران است .
ويندوز 2000 ، XP و 2003 دارای ابزارهای قدرتمندی بمنظورافزايش توان سياست های امنيتی می باشند . در اکثر نسخه های ويندوز بمنظور مشاهده سياست تعريف شده در رابطه با رمز می توان از مسير زير استفاده و برنامه Local Security Policy را فعال نمود:
Local Security Policy Program
Start| Programs|Administrative Tools |Local Security Policy
Select : Account Policies , Then Password Policy
برنامه Local Security Policy دارای تنظيمات زير است :
Password must meet complexity requirements ، با فعال نمودن سياست فوق ، رمزهای عبور ملزم به رعايت استانداردهای موجود بمنظور استحکام و پيچيدگی بيشتر در زمان ايجاد و يا تغيير می باشند. در چنين حالتی ، رمزهای عبور تعريف شده می بايست با لحاظ نمودن موارد زير ايجاد گردند:
◄ رمز عبور، نمی بايست شامل تمام و يا بخشی از نام account کاربر باشد .
◄ رمز عبور می بايست دارای حداقل شش کاراکتر باشد .
◄ رمز عبور می بايست شامل کاراکترهائی از سه گروه از چهار مجموعه زير باشد :
● حروف بزرگ الفبای انگليسی ( A تا Z )
● حروف کوچک الفبای انگليسی ( a تا z )
● ارقام پايه دهدهی ( رقم های 0 تا 9 )
● کاراکترهای غير الفبائی ( مثلا" ! ، $ ، # ، % )
( Enforce password history (range: 0-24 . اغلب کاربران تمايل دارند که پس از انقضاء تاريخ استفاده از رمز عبور خود ، مجددا" همان رمز عبور قبلی را تعريف و از آن استفاده نمايند . با استفاده از سياست فوق ، می توان مشخص نمود که در چه زمانی و پس از چندين رمز عبور تعريف شده جديد ، کاربران مجاز به استفاده از رمزهای عبور قبلی خود برای وضعيت جديد می باشند .بدين ترتيب ،مديران شبکه اطمينان لازم در خصوص عدم استفاده مستمر و دائمی يک رمز عبور توسط کاربران را بدست آورده و اين موضوع می تواند از زوايای مختلفی بهبود وضعيت امنيتی شبکه را بدنبال داشته باشد . بمنظور نگهداری موثر تاريخچه رمز عبور، نمی بايست امکان تغيير رمزهای عبور بلافاصله پس از پيکربندی سياست minimum password age ، وجود داشته باشد .
( Maximum password age (range: 0-999 days . سياست فوق ، حداکثر عمر( اعتبار) يک رمز عبور را بر حسب روز ، مشخص می نمايد.( قبل از اينکه سيستم کاربر را ملزم به تغيير رمز عبور نمايد) . با در نظر گرفتن مقدار صفر ، رمز عبور دارای عمری جاودانه خواهد شد !
(Minimum password age (range: 0-999 days . سياست فوق ، حداقل عمر( اعتبار) يک رمز عبور را بر حسب روز ، مشخص می نمايد( قبل از اينکه کاربر قادر به تغيير رمزعبور گردد) . با در نظر گرفتن مقدار صفر ، به کاربران اجازه داده خواهد شد که بلافاصله رمز عبور خود را تغيير دهند. minimum password age می بايست کمتر از maximum password age باشد . پيکربندی minimum password age می بايست بگونه ای انجام شود که دارای مقداری بيش از صفر باشد تا سياست password history نيز لحاظ شده باشد. بدون وجود يک minimum password age ، کاربران قادر به تغيير ادواری و زمانبندی نشده رمزهای عبور شده و امکان استفاده مجدد از رمزهای عبور قديمی در يک محدوده زمانی کمتر برای آنان فراهم می گردد.مقادير پيش فرض تامين کننده اهداف و خواست های امنيتی در يک سازمان نبوده و لازم است مديران سيستم در ابتدا يک رمز عبور مناسب را برای کاربر تعريف و پس از سپری شدن مدت زمان مشخصی ( مدت زمان فوق را minimum password age مشخص می نمايد ) کاربر را ملزم به تعريف ( تغيير ) رمز عبور تعريف شده توسط مديريت شبکه نمايند. زمانيکه کاربران ،عمليات Log on را انجام و در صورتيکه password history مقدار صفر را دارا باشد ، الزامی در رابطه با انتخاب يک رمز عبور جديد برای کاربران وجود نخواهد داشت . بدين دليل password history دارای مقدار پيش فرض يک است .
(Minimum password length (range: 0-14 characters ، سياست فوق ، حداقل تعداد کاراکتر لازم برای تعريف يک رمز عبور را مشخص می نمايد( حداقل طول يک رمز عبور) می توان در اين رابطه حداقل طول يک رمز عبور را بين يک تا چهارده کاراکتر در نظر گرفت . با اختصاص مقدار صفر ، ضرورت وجود رمز عبور حذف می گردد. حداقل طول رمز عبور، می بايست متناسب و سازگار با سياست های امنيتی سازمان باشد. در صورتيکه در اين رابطه سياست مشخص و شفافی وجود ندارد می توان مقدار هشت را در نظر گرفت .برخی از سازمان های امنيت اطلاعات شبکه ، مقدار دوازده را در اين رابطه پيشنهاد داده اند .
Store password using reversible encryption for all users in the domain . سياست فوق ، مشخص می نمايد که می بايست رمزعبور با استفاده از رمزنگاری وارونه ، ذخيره گردد . در اين رابطه ، امکانات حمايتی لازم درخصوص برنامه هائی که از پروتکل هائی بمنظور آگاهی از رمز عبور کاربر بمنظور انجام فرآيند تائيد کاربران استفاده می نمايند، نيز ارائه شده است . ذخيره سازی رمزهای عبوری که از رمزنگاری وارونه استفاده می نمايند ، مشابه رمزهای عبورمعمولی است ( رمز عبور بصورت متن ذخيره می گردد). بنابراين فعال شدن سياست فوق می بايست با لحاظ نمودن پارامترهای متعددی نظير الزام يک برنامه بمنظور استفاده از يک رمز عبور حفاظت شده ، صورت پذيرد .
يکی از روش هائی که می توان از آن بمنظور ايجاد اتوماتيک و نسبت دهی رمزهای عبور پيچيده به هر يک از account های کاربران استفاده نمود ، اجرای دستورالمل زير از طريق خط دستور است :
From Command Line Prompt :
Net User Username / random
با اجرای دستورالعمل فوق ، رمزهای عبور تصادفی و پيچيده (همواره هشت کاراکتر طول ) به يک account نسبت داده شده و در ادامه رمزعبور مورد نظر بر روی صفحه نمايش داده می شود. روش فوق ، امکانی مناسب بمنظور نسبت دهی رمزهای عبوردر ارتبط با Service accounts بوده و کمتر در ارتباط با کاربران واقعی استفاده می گردد.
بهترين روش برای مميزی کيفيت رمزهای عبور ، اجرای برنامه های cracking رمز عبور در وضعيتStand-alone است (بخشی از فرآيند بررسی رمزهای عبور) . لازم است مجددا" به اين موضوع اشاره گردد که بدون کسب مجوز لازم از مديران ارشد سيستم در سازمان ، نمی بايست از برنامه های cracking استفاده شود.پس از کسب مجوز لازم بمنظور اجرای برنامه های cracking رمز عبور ، می بايست عمليات فوق را بر روی يک ماشين حفاظت شده انجام داد.کاربرانی که رمزهای عبور آنان crack می گردد، می بايست موضوع بصورت محرمانه به اطلاع آنان رسيده و دستورالعمل های لازم در خصوص نحوه انتخاب يک رمز عبور مناسب ، در اختيار آنان قرار داده شود.اخيرا" و در پاسخ به رمزهای عبور ضعيف ، استفاده از روش هائی ديگر بمنظور تائيد کاربران، نظير بيومتريک (زيست سنجی ) ، نيز مورد توجه واقع شده است .
حفاظت رمزهای عبور مستحکم . حتی اگر رمزهای عبور ، مستحکم و قدرتمند باشند ، در صورت عدم حفاظت آنان توسط کاربران ، سيستم های موجود در يک سازمان در معرض تهديد قرار خواهند گرفت . يک سياست امنيتی مناسب ، می بايست شامل دستورالعمل های لازم بمنظور آموزش کاربران در رابطه با حفاظت رمزهای عبور می باشد.عدم ارائه رمز عبور به افراد ديگر، عدم نوشتن رمز عبور در محلی که امکان خواندن آن برای ديگران وجود داشته باشد و حفاظت اتوماتيک فايل هائی که رمزهای عبور در آن ذخيره شده اند ، از جمله مواردی می باشند که می بايست به کاربران آموزش داده شود. اغلب کاربران در مواجهه با پيامی مشابه "Your password has expired and must be changed," که نشاندهنده اتمام عمر مفيد يک رمز عبور است ، يک رمز عبور ضعيف را برای خود انتخاب می نمايند ، بنابراين لازم است در فرصت مناسب و قبل از برخورد با اينچنين پيام هائی ، به کاربران آموزش های لازم ارائه گردد.
کنترل مستمر account ها . مديران سيستم و شبکه می بايست حضوری موثر و مستمر در ارتباط با مديريت account های موجود داشته باشند .
- هر گونه account مبتنی بر سرويسی خاص و يا مديريتی که از آن استفاده نمی گردد، می بايست حذف گردد .
- ممیزی account ها بر روی سيستم را انجام داده و لازم است در اين رابطه يک ليست اصلی ايجاد گردد .در اين رابطه می بايست رمزهای عبور در ارتباط با سيستم هائی نظير روترها ، چاپگرهای ديجيتالی متصل شده به اينترنت و ساير موارد ديگر نيز مورد بررسی قرار گيرد.
- روتين هائی خاص بمنظور افزودن account های تائيد شده به ليست و يا حذف account هائی که ضرورتی به استفاده از آنان نمی باشد ، پياده سازی و همواره خود را پايبند به آن بدانيم .
- اعتبار ليست را در فواصل زمانی خاصی بررسی تا از بهنگام بودن آن اطمينان حاصل گردد.
- از روتين های خاصی بمنظورحذف account متعلق به کارکنان و يا پيمانکارانی که سازمان را ترک نموده اند ، استفاده گردد .
نگهداری و پشتيبانی از سياست رمزعبور . بمنظور پشتيبانی و نگهداری مناسب رمز عبور، می توان علاوه بر استفاده از امکانات کنترلی ارائه شده توسط سيستم عامل و يا سرويس های شبکه ، از ابزارهای گسترده ای که در اين رابطه ارائه شده است ،نيز استفاده گردد . بدين ترتيب ،نگهداری سياست رمز عبور ، مبتنی بر آخرين تکنولوژی های موجود خواهد بود.
غير فعال نمودن تائيد LM در شبکه . بهترين گزينه بمنظور جايگزينی با Lan Manager ، استفاده از روش NT LAN Manager version 2) NTLMv2) است . متدهای چالش / پاسخ NTLMv2 ، با استفاده از رمزنگاری مستحکم تر و بهبود مکانيزم های تائيد ، اکثر صعف های LM را برطرف نموده است جدول زير ، کليد ريجستری موردنظری را که قابليت فوق را در ويندوز NT و 2000 کنترل می نمايد، نشان می دهد:
Rgistry key
Hive: HKEY_LOCAL_MACHINE
Key: System\CurrentControlSet\Control\LSA
Value: LMCompatibilityLevel
Value Type: REG_DWORD - Number
Valid Range: 0-5
Default: 0
پارامتر فوق ، نوع و روش تائيد را مشخص و می تواند مقداری بين صفر تا پنج را دارا باشد :
0 - ارسال پاسخ بر اساس روش LM و NTLM ، هرگز از امکانات امنيتی NTLMv2 استفاده نمی شود .
1 - استفاده از امکانات امنيتی NTLMv2
2 - ارسال بر اساس روش تائيد NTLM
3 - ارسال بر اساس روش تائيد NTLMv2
4 - DC باعث رد تائيد LM می گرد.
5 - DC باعث رد تائيد LM و NTLM شده و صرفا" تائيد NTLMv2 پذيرفته می گردد .
در ويندوز 2000 ، 2003 و XP نيز امکاناتی ارائه شده است که می توان با استفاده از آنان اقدام به پيکربندی تنظيمات مورد نظر در ارتباط با سطح تائيد Lan Manager نمود . در اين رابطه لازم است برنامه Local Security Policy فعال و در ادامه گزينه های Local Policies و Security Options بترتيب انتخاب گردند . در ويندوز 2000 سياست LAN Manager authentication level ، و در ويندوز XP و 2003 سياست Network security: LAN Manager authentication level ، بمنظور پيکربندی ومقداردهی مناسب انتخاب گردند .
در صورتيکه بر روی تمامی سيستم ها ، ويندوز NT SP4 و يا بعد از آن نصب شده باشد ، می توان مقدارپارامتر فوق را بر روی تمامی سرويس گيرندگان سه و بر روی Domain Controllers مقدار پنج درنظر گرفت (پيشگيری از ارسال LM hashes بر روی شبکه ) . سيستم هائی نظير ويندوز 95 و 98 از NTLMv2 بصورت پيش فرض بهمراه Microsoft Network Client استفاده نمی نمايند ، بنابراين لازم است بمنظور استفاده از قابليت های NTLMv2 ، برنامه Directory Services Client بر روی آنان نصب گردد. پس از نصب سرويس فوق ، مقدار ريجستری با نام LMCompatibility می تواند مقدار صفر و يا سه را دارا باشد .در صورتيکه نمی توان سرويس گيرندگان قديمی ( ويندوز 95 و يا ويندوز 98 ) را ملزم به استفاده از NTLMv2 نمود ، می توان تغيير مورد نظر را در رابطه با LM hashing نسبت به استفاده از NTLM (NT Lan Manager, version ) در Domain Controller اعمال نمود.در اين رابطه می توان مقدار LMCompatibilityLevel را چهار در نظر گرفت . درصورت استفاده از ابزاری نظير Local Security Policy،می بايست مقدار LAN Manager authentication level را Send NTLMv2 Response only\Refuse LM درنظر گرفت . لازم است به اين نکنه اشاره گردد که ايمن ترين گزينه در اين رابطه، اعمال محدوديت برروی سرويس گيرندگان است .
ممانعت از ذخيره سازی LM hash . يکی از مسائل اصلی در ارتباط با حذف LM hashes در شبکه ، ذخيره سازی آنان در SAM و يا اکتيو دايرکتوری است .مايکروسافت دارای مکانيزمی بمنظور غيرفعال نمودن ايجاد LM hashes بوده ولی امکان استفاده از آن صرفا" در سيستم های ويندوز 2000 ( SP2 و يا بعد بر روی آنان نصب شده است ) ، 2003 و XP بوجود دارد. کليد ريجستری زير، کنترل عمليات فوق راانجام می دهد. در صورتيکه بر روی Windows 2000 Domain Controller کليد فوق ايجاد شده باشد ، LanMan hashes ، در ادامه ايجاد نخواهد شد و در اکتيو دايرکتوری نيز ذخيره نمی گردد. در ويندوز 2003 و XP ، می توان با فعال نمودن گزينه Network security: Do not store LAN Manager hash value on next password change به اهداف موردنظر در رابطه با ذخيره سازی LM hash دست يافت . در اين رابطه لازم است برنامه Local Security Policy فعال و در ادامه گزينه های Local Policies و Security Options بترتيب انتخاب گردند . پس از اعمال تغييرات فوق ، می بايست سيستم راه اندازی شده تا تغييرات ايجاد شده ، موثر واقع شوند . لازم است به اين نکته مهم اشاره گردد که روش های ارائه شده ، صرفا" پيشگيری لازم در خصوص ايجاد LM hashes جديد راانجام داده و LM hashes موجود بصورت انفرادی و در زمانيکه کاربر رمز عبور خود را تغيير دهد ، حذف خواهند شد .
Rgistry key
Hive: HKEY_LOCAL_MACHINE
Key: System\CurrentControlSet\Control\LSA\NoLMHash
ممانعت و پيشگيری از تکثير Hash و بانک های اطلاعاتی SAM
ابزارهای cracking رمزعبور، بمنظور بدست آوردن رمزهای عبور hashes از روش های زير استفاده می نمايند :
- کشف رمزهای عبور از شبکه . بدين منظور موارد زير پيشنهاد می گردد :
- استفاده از شبکه های سوئيچ شده .
- تشخيص و حذف کارت های شبکه بی هدف موجود در شبکه (در اين رابطه می توان از ابزارهای امنيتی خاصی نظير ethereal استفاده کرد) .
- تکثير فايل SAM . فايل فوق در ويندوز NT4 و 2000 در فولدر SystemRoot%\System32\Config% (عموما" در مسير C:\Winnt\System32\Config ) و در ويندوز XP و يا 2003 در فولدر C:\Windows\System32\Config مستقرمی باشد.، فايل فوق ، توسط سيستم عامل ويندوز Lock و صرفا" زمانی امکان تکثيرآن وجود خواهد داشت که ماشين با يک سيستم عامل ديگر راه اندازی شده باشد. فايل SAM را می توان با استفاده از فايل Backup مربوطه نيز بدست آورد.
بمنظور پيشگيری از تکثير فايل SAM و افزايش سطح امنيتی سيستم لازم است دستيابی فيزيکی به سيستم های موجود خصوصا" Domain Controllers محدود و همواره از اطلاعات Backup گرفته شده و ديسک Repair نيز بمنظور برخورد با مشکلات آتی ايجاد گردد .
برای اخد اطلاعات نکميلی می توان از مقالات زير استفاده نمود:
كد - لینک:
How to prevent Windows from storing a LAN manager hash of your password in Active Directory and local SAM databases (http://support.microsoft.com/default.aspx?scid=kb;en-us;Q147706http://support.microsoft.com/default.aspx?scid=kb;en-us;Q239869http://support.microsoft.com/default.aspx?scid=KB;EN-US;q299656&)
منبع :
كد - لینک:
صفحه اصلي شركت خدمات كامپيوتري سخاروش| Sakha Ravesh Co. (http://www.srco.ir)
:104:
گردآونده:طه-Borna66