1. امنيت معماري جويشگر بومی
پروژه/مبحث: امنیت در معماری جویشگر بومی
ارائه‌دهنده گان: حسن کوشککی، نسرین تاج
پژوهشکده: امنيت ارتباطات و اطلاعات
گروه: فناوري امنيت اطلاعات و سامانه ها
تاریخ: 94/11/27

2. پژوهشگاه ارتباطات و فناوری اطلاعات
سرفصل مطالب
مقدمه ۱
مفاهیم پایه در جویشگرها ۲
تهدیدات و آسیب پذیری های مولفه خزشگر ۳
تهدیدات و آسیب پذیری های مولفه نمایه ساز ۴
تهدیدات و آسیب پذیری های مولفه رتبه بند ۵
الزامات و سیاست‌های امنیتی برای مولفه ها ۶
چرخه حیات امن در جویشگر 7
پژوهشگاه ارتباطات و فناوری اطلاعات

3. پژوهشگاه ارتباطات و فناوری اطلاعات
مقدمه
رشد شبکه های کامپیوتری و ابزارهای هوشمند (موبایل، تبلت و غیره)
افزایش محتوا روی اینترنت (ویدیو، موسیقی، وب و غیره)
دستیابی کاربران به بهترین محتوا با جویشگرها
افزایش آسیب پذیری‌ها
پژوهشگاه ارتباطات و فناوری اطلاعات

4. پژوهشگاه ارتباطات و فناوری اطلاعات
آسیب پذیری‌ها و تهدیدات جویشگرها...
SQL Injection Attacks
XSS Attacks
Parameter Tampering Attacks
Buffer Overflow Attacks
DOS && DDOS Attacks
پژوهشگاه ارتباطات و فناوری اطلاعات

5. پژوهشگاه ارتباطات و فناوری اطلاعات
آسیب پذیری‌ها و تهدیدات جویشگرها
Pollution Sites Attacks
Worms && Virus Attacks
SEO Attacks
Etc
پژوهشگاه ارتباطات و فناوری اطلاعات

6. Parameter Manipulation پژوهشگاه ارتباطات و فناوری اطلاعات
حملات
آسيب­پذيري­ها
SQL Injection
ميزان تاثير حملات SQL Injection به تعداد سرويس­هاي جویشگر بستگي دارد. به دليل اينکه SQL Injection يک حمله ورودي است تمام سرويس­هايي که از پنل ورودي استفاده مي­کنند در برابر اين حمله آسيب­پذير مي­باشند. برخي از سرويس­ها و مولفه­هاي آسيب­پذير عبارتند از:
سرويس ايميل: دستيابي غير مجاز به پايگاه داده سرور ايميل و پنل حسابداري کاربران
سرويس شبکه­هاي اجتماعي: وجود نظيرهاي بدخواه در شبکه و دستيابي به پنل حسابداري کاربران
مولفه مخزن جستجو: دستيابي به تگ­ها و پارامترهاي رتبه­دهي وب­سايت­ها
مولفه روبات­هاي نمايه­ساز: تزريق کدهاي مخرب به روبات­ها براي گمنامي هکرها و اجراي موفقيت­آميز کدهاي مخرب
هر پایگاه داده­ای که روی جویشگر وجود داشته باشد در برابر حملات تزریق کد مثل SQLI نیز آسیب­پذیر می­باشد
Parameter Manipulation
برخي از سرويس­هاي آسيب­پذير جویشگر توسط اين حمله عبارتند از:
سرويس تجارت الکترونيکي: سمي­سازي کوکي­هاي مربوط به حساب­هاي بانکي
سرويس­هايي مانند شبکه­هاي اجتماعي و ايميل در برابر اين حمله آسيب­پذير هستند
Buffer Overflow
اين حمله بيشتر سرورهاي ايميل (سرويس ايميل) را هدف قرار مي­دهد. پس از اينکه سرور دچار سريزي بافر شد کد هکر اجرا مي­شود و اين عمل منجر به افشاي حساب­هاي کاربري و اطلاعات محرمانه کاربران مي­شود
پایگاه داده­ها نیز در برابر این حمله آسیب­پذیر هستند. مثلا کرم Slammer در سال 2003 باعث شد که پایگاه داده­های زیادی به وسیله حمله سریزی بافر متوقف شوند
Worms
کرم­هاي اينترنتي بر اساس تعداد سرويس­هاي قابل ارائه توسط جویشگر مي­توانند آسيب­رسان باشند.
مولفه کش موتورهاي جستجو: برخي از کرم­ها کش موتورهاي جستجو را براي دستيابي به اطلاعات کاربران (مثل ايميل و حساب­هاي کاربري) آلوده مي­کنند، Mydoom يک نمونه از کرم­هايي است که کش موتورهاي جستجو را هدف قرار مي­دهد.
کرم­ها سرويس­هاي ديگري مثل ايميل و پایگاه­داده­ها را نيز هدف قرار مي­دهند.
DNS Redirect
اين حمله باعث مي­شود که سرويس­هاي اصلی جویشگر (مثل سرویس جستجو، ایمیل، شبکه اجتماعی) براي کاربران مجاز در دسترس نباشد و کاربران به آدرس ديگري هدايت شوند. حملاتی مثل Pharming در این دسته قرار می­گیرند.
XSS
XSS يکي از حملات ورودي مي­باشد که با تزریق کده­ها و اسکریپت­های مخرب به سیستم­های کاربران باعث سرقت اطلاعات محرمانه می­شود. بنابراين هر سرويسي که از پنل­هاي ورودي بهره مي­برد تحت تاثير اين حمله قرار مي­گيرد. انواع سرويس­هايي که در برابر XSS آسيب­پذير هستند عبارتند از: سرويس ايميل، سرويس شبکه­هاي اجتماعي، سرويس تجارت الکترونيکي، نوار جستجوي جویشگر
DOS & DDOS
سرويس­های اصلی جویشگر: اين حمله باعث مي­شود کار اصلي جویشگر و ارائه سرويس­هاي ديگر دچار مشکل شود. همچنین مولفه خزشگر جویشگر تحت تاثیر این حمله نیز قرار می­گیرد
Pollution Sites
سرويس جستجو: این حمله باعث می­شود که کاربران به سايت­هاي آلوده که شامل برنامه­هاي مخرب (Trojan, Malware) می­باشند هدایت شوند.
SEO Attacks
سرویس جستجو و سیستم رتبه­بندی: حملات SEO منجر می­شود که رتبه وب سایت­ها به طور مصنوعی افزایش یابد و کاربران به صفحات غیر مرتبط هدایت شوند
پژوهشگاه ارتباطات و فناوری اطلاعات

7. پژوهشگاه ارتباطات و فناوری اطلاعات
مولفه های اصلی جویشگر
ربات ها، اسپایدرها
خزشگرها
نمایه ساز
پایگاه داده ها
رتبه بند
پژوهشگاه ارتباطات و فناوری اطلاعات

8. پژوهشگاه ارتباطات و فناوری اطلاعات
معماری عمومی جویشگر
پژوهشگاه ارتباطات و فناوری اطلاعات

9. پژوهشگاه ارتباطات و فناوری اطلاعات
هسته اصلی جویشگر
پژوهشگاه ارتباطات و فناوری اطلاعات

10. تهدیدات مولفه های جویشگر
تهدیدات خزشگر
تهدیدات نمایه‌ساز
تهدیدات رتبه‌بند
پژوهشگاه ارتباطات و فناوری اطلاعات

11. استراتژی‌های انتخاب محتوا
تهدیدات خزشگر
فاکتورهای طراحی
حملات
(SQL, DoS)
پایگاه داده
سیاست‌های خزش
مقياس
استراتژی‌های انتخاب محتوا
پژوهشگاه ارتباطات و فناوری اطلاعات

12. پژوهشگاه ارتباطات و فناوری اطلاعات
تهدیدات فاکتورهای طراحی در خزشگر(دسترس پذیری)
پهنای باند
الگوریتم های خزش
کنترل کننده­­ها
سیستم پردازشی
DNS Resolver
پژوهشگاه ارتباطات و فناوری اطلاعات

13. پژوهشگاه ارتباطات و فناوری اطلاعات
حملات (SQL, DoS) در خزشگر...
حملات جلوگیری از سرویس
حملات تزریق کد به اسپایدرها و اجرای کدهای مخرب
( )
اعمال محدودیت روی مولفه های دیگر و ارائه نتایج قدیمی
پژوهشگاه ارتباطات و فناوری اطلاعات

14. پژوهشگاه ارتباطات و فناوری اطلاعات
حملات (SQL, DoS) در خزشگر
پژوهشگاه ارتباطات و فناوری اطلاعات

15. پژوهشگاه ارتباطات و فناوری اطلاعات
تهدیدات پایگاه داده در خزشگر
سوء استفاده از دسترسي‌هاي اضافي و قانونی
ترفيع حق دسترسي
آسيب پذيري‌هاي پلتفرم
استنتاج
تزريق کد
پيکربندي اشتباه
سرريزي بافر
عدم رمزگذاری داده ها
نبود اطلاعات پشتيبان
پژوهشگاه ارتباطات و فناوری اطلاعات

16. پژوهشگاه ارتباطات و فناوری اطلاعات
تهدیدات سیاست خزش
سیاست انتخاب
سیاست بازمشاهده
سیاست ادب
سیاست موازی سازی
اعمال سیاست های کلی هر سایت توسط پروتکلهای مربوطه
اعمال تغییرات کلی وب سایتها توسط پروتکلهای مربوطه
نقض سیاست های وب سایت توسط خزشگرها (Impolite Crawler)
پژوهشگاه ارتباطات و فناوری اطلاعات

17. پژوهشگاه ارتباطات و فناوری اطلاعات
تهدیدات نمایه‌ساز
پایگاه داده
فاکتورهای طراحی
زمانبندی نمایه‌ساز
ماژول جستجو
(SQL,XSS, DirT)
وب سایتهای آلوده
SEO Attacks
پژوهشگاه ارتباطات و فناوری اطلاعات

18. پژوهشگاه ارتباطات و فناوری اطلاعات
تهدیدات پایگاه داده در نمایه‌ساز
سوء استفاده از دسترسي‌هاي اضافي و قانونی
ترفيع حق دسترسي
آسيب پذيري‌هاي پلتفرم
استنتاج
تزريق کد
پيکربندي اشتباه
سرريزي بافر
عدم رمزگذاری داده ها
نبود اطلاعات پشتيبان
پژوهشگاه ارتباطات و فناوری اطلاعات

19. پژوهشگاه ارتباطات و فناوری اطلاعات
تهدیدات فاکتورهای طراحی در نمایه ساز(دسترس پذیری)
ساختمان داده ها
اندازه نمايه سازي
فاکتورهای ادغام
سرعت جستجو
الگوریتم های نمایه سازی
تکنيک­هاي ذخيره­سازي
سیستم پردازشی
پژوهشگاه ارتباطات و فناوری اطلاعات

20. پژوهشگاه ارتباطات و فناوری اطلاعات
تهدیدات ماژول جستجو در نمایه ساز
Cross-site scripting (XSS)
Directory traversal (Dir.Trav)
Exec Code Inject
Cross-site request forgery (CSRF)
Etc
پژوهشگاه ارتباطات و فناوری اطلاعات

21. پژوهشگاه ارتباطات و فناوری اطلاعات

22. پژوهشگاه ارتباطات و فناوری اطلاعات
تهدیدات وب سایت های آلوده و SEO Attack
نمایه شدن وب سایت های آلوده و سمی
نمایه شدن صفحات وب با ارزش محتوایی پایین
تحت تاثیر قرار گرفتن وب سایت های درستکار با SEO Attack
هدایت کاربران به وب سایت های آلوده
پژوهشگاه ارتباطات و فناوری اطلاعات

23. پژوهشگاه ارتباطات و فناوری اطلاعات
تهدیدات رتبه‌بند
Article Spinning
Cloaking
Link Farms
Security
پارامترهای تاثیر گذار
فاکتورهای طراحی
Doorway Pages
Pollution Site
Sneaky redirects
Proxy Hacking
Keyword Stuffing
Spam
Hidden Text
پژوهشگاه ارتباطات و فناوری اطلاعات

24. پژوهشگاه ارتباطات و فناوری اطلاعات
Proxy Hacking در مولفه رتبه بند...
توزیع محتوا روی سایت اصلی و پراکسی سرور
تولید محتوا و صفحات تکراری
کاهش رتبه وب سایت اصلی
پژوهشگاه ارتباطات و فناوری اطلاعات

25. پژوهشگاه ارتباطات و فناوری اطلاعات
Spamdexing در مولفه رتبه بند...
تبلیغات اینترنتی
افزایش تعداد بازدید کنندگان
ارزش کم محتوای صفحات Spamdexing
عدم ارتباط پرس و جوی کاربر با محتوای صفحات Spamdexing
پژوهشگاه ارتباطات و فناوری اطلاعات

26. پژوهشگاه ارتباطات و فناوری اطلاعات
Keyword stuffing در مولفه رتبه بند...
افزایش چگالی کلمات کلیدی در صفحات وب
گنجاندن کلمات کلیدی در کدهای مربوط به فونت، رنگ، عکس و غيره
استفاده همزمان از Keyword stuffing با حملات دیگر
پژوهشگاه ارتباطات و فناوری اطلاعات

27. پژوهشگاه ارتباطات و فناوری اطلاعات
Link Farms در مولفه رتبه بند...
افزایش چگالی لینک های ورودی و خروجی (مخصوصا لینک های ورودی)
استفاده همزمان از Link Farmsها با حملات دیگر (Proxy Hacking)
توجه به مبدا و مقصد لینک ها (سازگاری محتواهای مبدا و مقصد)
پژوهشگاه ارتباطات و فناوری اطلاعات

28. پژوهشگاه ارتباطات و فناوری اطلاعات
Link Farms در مولفه رتبه بند...
پژوهشگاه ارتباطات و فناوری اطلاعات

29. پژوهشگاه ارتباطات و فناوری اطلاعات
Article Spinning در مولفه رتبه بند...
فرایند بازنویسی یک محتوا (عبارت، صفحه وب و غیره)
تشابه Article Spinning و Proxy Hacking
تحت تاثیر قرار گرفتن وب سایت های متفاوت با محتوای مشابه
پژوهشگاه ارتباطات و فناوری اطلاعات

30. پژوهشگاه ارتباطات و فناوری اطلاعات
Page Cloacking در مولفه رتبه بند...
نمایش محتوای متفاوت به کاربران و اسپایدرها
بهبود ظاهر وب سایت برای افزایش رتبه
انتقال کاربران به صفحات از پیش تعیین شده
پژوهشگاه ارتباطات و فناوری اطلاعات

31. پژوهشگاه ارتباطات و فناوری اطلاعات
Page Cloacking در مولفه رتبه بند...
پژوهشگاه ارتباطات و فناوری اطلاعات

32. پژوهشگاه ارتباطات و فناوری اطلاعات
Doorway pages در مولفه رتبه بند...
بهینه سازی صفحات برای یک عبارت یا واژه خاص
انتقال کاربران به صفحات مشابه
عدم ارتباط درخواست کاربران با صفحات نمایش داده شده
پژوهشگاه ارتباطات و فناوری اطلاعات

33. پژوهشگاه ارتباطات و فناوری اطلاعات
Sneaky redirect در مولفه رتبه بند...
هدایت کاربران به آدرسی متفاوت از آدرس درخواست شده
نمایش محتوای متفاوت به کاربران و اسپایدرها
ساختار مشابه با Cloacking Page
پژوهشگاه ارتباطات و فناوری اطلاعات

34. پژوهشگاه ارتباطات و فناوری اطلاعات
Pollution Site در مولفه رتبه بند...
وجود برنامه های مخرب (Virus, Trojan و غیره) در وب سایت ها
آلوده شدن سیستم های کاربران
سرقت اطلاعت شخصی کاربران
پژوهشگاه ارتباطات و فناوری اطلاعات

35. پژوهشگاه ارتباطات و فناوری اطلاعات
امنیت وب سایت در مولفه رتبه بند
توجه ویژه موتورهای جستجو به امنیت وب سایت
کشف حملات مرسوم توسط موتورهای جستجو
کاهش رتبه وب سایت ها غیر امن
پژوهشگاه ارتباطات و فناوری اطلاعات

36. پژوهشگاه ارتباطات و فناوری اطلاعات
مولفه خزشگر
فاکتورهای طراحی
استفاده از پهنای باند زیاد برای خزشگرها و اسپایدرها
بهره‌گیری از منابع دخیره‌سازی بالا و سیستم‌های پردازشی قوی
امنیت پایگاه داده ها
استفاده از گسسته‌سازی مولفه‌های ذخیره‌سازی و پیادسازی سطوح امنیتی در سلسله مراتب پایگاه داده (اعمال سیاست‌های امنیتی شامل محرمانگی، کنترل دسترسی و صحت داده‌ها در سلسله مراتب پایگاه داده)
سیاست‌های خزش
اعمال مناسب ترین سیاستهای انتخاب، بازمشاهده، ادب و موازی سازی توسط کنترلر به الگوریتمهای خزشگر، برای دستیابی به بهترین و مرتبط ترین صفحات وب
حملات تزریق کد
وارسی کردن لینک‌ها قبل از خزش
حملات جلوگیری از سرویس
استفاده از فایروال‌های هوشمند در سطوح مختلف شبکه و دراپ کردن بسته‌های ارسالی قبل از رسیدن به سرورهای خزشگر
SEO Attacks
اعمال سیاست‌های تدافعی در فاز واکشی و خزش برای مقابله با SEO Attacks
Pollution Site
بهره‌گيري از نرم‌افزارها و الگوريتم‌هاي بومي هيورستيك كه براي تجزيه، تحليل و پالايش كدها و محتواهاي مخرب توسعه داده شده‌اند (مقابله با چنین وب سایت‌هایی علاوه بر افزایش محبوبیت جویشگر، امنیت سیستم کاربران را نیز افزایش می‌دهد)
پژوهشگاه ارتباطات و فناوری اطلاعات

37. دوره بروز رسانی نمایه‌ساز
مولفه نمایه‌ساز
امنیت پایگاه داده ها
استفاده از گسسته‌سازی مولفه‌های ذخیره‌سازی و پیادسازی سطوح امنیتی در سلسله مراتب پایگاه داده (اعمال سیاست‌های امنیتی شامل محرمانگی، کنترل دسترسی و صحت داده‌ها در سلسله مراتب پایگاه داده)
دوره بروز رسانی نمایه‌ساز
رسیدن به نقطه مصالحه زمانی برای دستیابی به بهترین حالت از تازگی اطلاعات و کنترل بهتر وب سایت های آلوده
ماژول جستجو
استفاده از بروز رساني‌ها و بسته‌هاي امنيتي ارائه شده توسط توسعه دهندگان ماژول جستجو يا توسعه و پياده‌سازي نرم‌افزارهاي بومي براي اين منظور
فاکتورهای طراحی
در نظر گرفتن پارامترهای مربوط به تحمل‌پذیری خطا، نگهداری سیستم و به‌ کارگیری بهینه‌ترین ماژول‌های داخلی برای نمایه‌ساز
فاکتورهای ساختمان داده
بهره‌گیری از ساختارهای دادهای سریع مثل نمایه معکوس، برای پاسخگویی بهینه به پرس‌وجوهای کاربران
SEO Attacks
اعمال سیاست‌های تدافعی در فاز نمایه‌سازی برای مقابله با SEO Attacks
Pollution Site
بهره‌گيري از نرم‌افزارها و الگوريتم‌هاي بومي هيورستيك كه براي تجزيه، تحليل و پالايش كدها و محتواهاي مخرب توسعه داده شده‌اند (مقابله با چنین وب سایت‌هایی علاوه بر افزایش محبوبیت جویشگر، امنیت سیستم کاربران را نیز افزایش می‌دهد)
پژوهشگاه ارتباطات و فناوری اطلاعات

38. پژوهشگاه ارتباطات و فناوری اطلاعات
مولفه رتبه‌بند
Proxy Hacking
محدود کردن اتصلات باز از پراکسی سرورها به وب سایت‌ها و اعمال زمان ايجاد صفحات وب در فرایند رتبه‌بندی
Spamdexing
استفاده از الگوریتم‌های هیورستیک و هوشمند برای کشف خودکار صفحات اسپم، پالایش کدهای تحت و ب (مثلHTML, XML, CSS, JS و غیره) و همچنین بهره‌گیری از روش‌های دستی توسط توسعه دهندگان جويشگر برای مقابله با صفحات اسپم (توسعه دهندگان جویشگر پارسی جو برای کشف صفحات اسپم می‌توانند از نرم‌افزارهای بومی که برای تجزیه و تحلیل و پالایش کدهای تحت وب ایجاد شده‌اند استفاده نمایند. زیرا بزرگترین عاملی که سبب محبوبیت یک جویشگر می‌شود عدم نمایش صفحات اسپم و هرزنامه‌ها است)
Link Farms
اعمال محدودیت‌های بیشتر روی لینک‌های ورودی و خروجی وب سایت‌ها و در نظر گرفتن چگالی لینک مطلوب برای رتبه‌بندی کردن صفحات وب
جریمه کردن وب سایت‌هایی که از لینک‌های مصنوعی استفاده می‌کنند (در واقع جریمه کردن خریداران و فروشندگان بک لینک)
Keyword Stuffing
در نظر گرفتن چگالي 7 الی 10 درصد برای کلمات کلیدی هر صفحه وب
Article Spinning
در نظر گرفتن زمان ایجاد صفحات وب و اعمال آن در فرایند رتبه‌بندی صفحات
Cloaking and Sneaky
استفاده از عامل‌های تغییر نام یا تغییر آدرس IP اسپایدر، برای جلوگیری از شناسایی جویشگر توسط سرورهای وب سایت‌ها
Pollution Site
بهره‌گيري از نرم‌افزارها و الگوريتم‌هاي بومي هيورستيك كه براي تجزيه، تحليل و پالايش كدها و محتواهاي مخرب توسعه داده شده‌اند (مقابله با چنین وب سایت هایی علاوه بر افزایش محبوبیت جویشگر، امنیت سیستم کاربران را نیز افزایش می‌دهد)
پژوهشگاه ارتباطات و فناوری اطلاعات

39. خزشگر نمایه‌ساز رتبه بند √ ×
ابعاد امنيتي
خزشگر
نمایه‌ساز
رتبه بند
پایگاه داده
الگوریتم مقابله با وب سایت های آلوده
الگوریتم مقابله با حملات تزریق کد
الگوریتم مقابله با حملات سئو کلاه سیاه
الگوریتم خزش
کنترلر و سیاست‌های خزش
پایگاه داده‌ها
اگلوریتم مقابله با وب سایت های آلوده
الگوریتم نمایه سازی
ماژول جستجو
ماژول تجزیه کننده
الگوریتم رتبه‌ بندی
دسترس‌پذيري √
محرمانگي ×
حريم خصوصي
كنترل دسترسي
صحت داده‌ها
تصديق اصالت
امنیت ارتباط
انكار ناپذيري
پژوهشگاه ارتباطات و فناوری اطلاعات

40. الزامات و سیاست‌های امنیتی پژوهشگاه ارتباطات و فناوری اطلاعات
مولفه
الزامات و سیاست‌های امنیتی
خزشگر
پایگاه داده خزشگر ]کنترل دسترسی، محرمانگی، صحت داده، امنیت ارتباط، تصدیق اصالت و دسترس‌پذیری[:
محدود کردن کدهای پویای پایگاه‌داده‌ای
گسسته‌سازی و دانه‌بندی کردن منابع ذخیره‌سازی برای کاهش نشت اطلاعات در صورت نفوذ به سیستم
رمزگذاري فايل‌هاي داده برای برقراری محرمانگی داده‌ها
رمزگذاري و احراز هويت سرور و مشتري
رمزگذاري و احراز هويت بين خوشه‌اي
دقت در ذخیره‌سازی داده‌هاي موجود در هر عنصر پايگاه داده (صحت داده)
ردگیری عامل انجام عملیات در پایگاه داده (نظارت‌پذیری)
کنترل کردن اسکرییپت‌ها و ورودی‌های اجرایی مخرب و مقایسه ‌آنها با لیست‌های کنترلی از پیش تعیین شده
ارائه ساختارها و ماژول‌های امنیتی مثل فایروال‌ به صورت سلسله مراتبی برای جلوگیری از ارتباط مستقیم به پایگاه داده‌ها
اعتبارسنجی اندازه، قالب، بازه و نوع داده‌های ورودی
مدیریت قوی کلیدهای پایگاه داده‌ای و بهره‌گیری از سامانه‌های مدیریت کلیدی که از واسط پایگاه داده و نوع کلیدهای آن، پشتیبانی کند. امروزه از ماژول‌های سخت‌افزاری امن مثل HSM برای این منظور استفاده می‌شود.
پشتیان‌گیری از داده‌ها و اطلاعات ذخیره شده برای افزایش دسترس‌پذیری
استفاده از ساختارهای امنیتی مثل هانی پات‌ها برای لاگ گیری و بدست آوردن اطلاعات بیشتر از مهاجمان و ارائه سناریوهای از پیش تعیین شده به آنها
کنترل آسیب‌پذیری‌های پلتفرم و غیر فعال کردن سرویس‌های اضافی
کنترل ورودی‌های نا معتبر توسط توابع امنیتی کتابخانه‌ای، برای جلوگیری از حملات تزریق کد
استفاده از پروتکل‌های امنیتی (SSL, TLS, IPSec) برای برقراری ارتباط امن بین سرورهای خزشگر و پایگاه داده
محدود ساختن هر ماژول یا كاربر به داده‌هايي كه مجاز به دسترسي يا تغيير آنها می‌باشد (کنترل دسترسی)
ايمني ساختار پايگاه داده در مقابل انتشار تغييرات ناخواسته (جامعيت منطقي پايگاه)
ايمني داده‌هاي موجود در پايگاه داده نسبت به مخاطرات فيزيكي (جامعيت فيزيكي پايگاه)
دسترسي به پايگاه داده در همه شرايط (دسترس‌پذیری)
بررسي هويت كاربران در ارتباط با ردگيري نظارتي و اجازه دسترسي به داده‌هاي خاص (تصدیق اصالت و هویت شناسی کاربران)
توجه به مسائل سازگاری اطلاعات ذخیره شده در پایگاه داده (استفاده از محیط‌های ابری و مجازی‌سازی باعث افزایش ناسازگاری پایگاه داده می‌شود که این مسائل باید توسط تیم امنیت مدیریت گردد)
پژوهشگاه ارتباطات و فناوری اطلاعات

41. الزامات و سیاست‌های امنیتی
مولفه
الزامات و سیاست‌های امنیتی
خزشگر
سرورهای خزشگر ]دسترس‌پذیری، کنترل دسترسی، امنیت ارتباط[:
امن کردن زیر ساخت‌های سرورهای خزشگر و قرارگیری آنها در ساختارها و معماری‌های امن DMZ برای جلوگیری از نفوذ به سیستم و پایداری سرویس‌های مربوطه
قرارگیری سرورهای خزشگر در زیرساخت‌های امن SOC و NOC
فعال کردن سامانه ثبت وقایع به صورت گسترده برای فرایند لاگ ‌گیری، جمع‌آوری فعالیت‌های مشکوک
بهره‌گیری از پروتکل‌های امنیتی (SSL, TLS, IPSec) برای امن کردن ارتباطات بین سرورها و دیگر ماژول‌ها
محدود کردن دسترسی‌های فیزیکی به سرورهای خزشگر
استفاده از سرورهایی با توان پردازشی بالا
استفاده از فایروال‌های قدرتمند (DOM-Firewall EdgCast & WAF) برای اعمال سلسله‌مراتبی امنیت، جلوگیری از حملات مرسومی مثل DOS و مسدود کردن پورت‌های غیر ضروری
به روز رسانی وب سرورها و استفاده از وصله‌های امنیتی
پیاده‌سازی وب سرورها روی سخت‌افزارهای مجزا و ایزوله یا روی فناوری‌های مجازی Multi-Tenant ایمن که ارتباط مستقیم با دیگر ماشین‌های مجازی ندارند
توزیع پذیری سرورهای خزشگر و موازی‌سازی اجرای وظایف برای افزایش دسترس‌پذیری و تسریع در انجام کارها
استفاه از پلتفرم‌های به روز رسانی شده و دریافت وصله‌های امنیتی برای آنها
پژوهشگاه ارتباطات و فناوری اطلاعات

42. الزامات و سیاست‌های امنیتی
مولفه
الزامات و سیاست‌های امنیتی
خزشگر
سیاست‌های امنیتی خزش ]دسترس‌پذیری، حریم خصوصی[:
استفاده از سیاست‌های موازی در الگوریتم‌های خزشگر، برای جلوگیری از دانلود صفحات تکراری (به دلیل توزیع شدگی سرورهای خزشگر، نبود سیاست‌های موازی باعث می‌شود که افزونگی محتوا در یک پایگاه داده اتفاق افتد)
اعمال سیاست‌های ادب برای محدود کردن لینک‌های خزش و جلوگیری از بروز تله اسپایدر (بروز چنین اتفاقی باعث اتلاف منابع خزشگر از جمله پهنای باند و سربار پردازشی می‌شود که نهایتا عدم دسترس‌پذیری خزشگر را به همراه خواهد داشت)
اعمال سیاست انتخاب توسط کنترلر به روبات‌ها، برای پوشش بهترین محتواها و جلوگیری از انتخاب محتواهای غیر مرتبط (مهمترین سیاستی که منجر به محبوبیت و اعتماد جویشگر می‌شود، سیاست انتخاب است)
رسیدن به نقطه مصالحه زمانی برای بازمشاهده صفحات وب و جلوگیری از به وجود آمدن صفحات کهنه و آلوده (اگر فرایند باز مشاهده صفحات وب زیاد باشد، ممکن است در این بازه زمانی یک صفحه وب سالم به صفحه وب آلوده تغییر کند، این تغییرات به دلیل زیاد بودن زمان باز مشاهده، در نمایه‌ساز اعمال نمی‌شود و نهایتا این عمل کاربران را به صفحات آلوده هدایت خواهد کرد)
کشف بازه زمانی مناسب در سیاست باز مشاهده، برای جلوگیری از حمله DOS توسط اسپایدرهای جویشگر (زیرا اگر دوره باز مشاهده صفحات کم باشد، اسپایدرهای جویشگر سربار زیادی به وب سرورهای وب سایت‌ها اعمال می‌کند که این عمل نهایتا منجر به حمله DOS ضعیف، به وب سایت‌ها می‌شود)
نرمال‌سازی آدرس‌ها، برای خزش و پوشش بیشتر زیر دامنه‌های وب سایت‌ها (در واقع نرمال‌سازی باعث می‌شود صفحات بیشتری از یک وب سایت نمایه‌سازی گردد)
اجرای سیاست‌های ادب برای جلوگیری از نقض حریم خصوصی وب سایت‌ها و نشر ندادن اطلاعات حساس
پژوهشگاه ارتباطات و فناوری اطلاعات

43. الزامات و سیاست‌های امنیتی پژوهشگاه ارتباطات و فناوری اطلاعات
مولفه
الزامات و سیاست‌های امنیتی
خزشگر
امنیت نرم افزار و الگوریتم‌های خزشگر ]دسترس‌پذیری، امنیت ارتباط، کنترل دسترسی[:
طراحی و توسعه امن نرم افزار خزشگر و نصب دوره‌ای وصله‌های امنیتی نرم ‌افزار (نظارت پایگاه داده آسیب‌پذیری‌ها، برای اطلاع از آسیب پذیری‌های جدید)
تست‌های امنیتی نرم افزار در هنگام توسعه و بعد از آن (مثل تست جعبه سفید و سیاه)
اعمال سیاست‌های کنترل دسترسی در الگوریتم‌ها برای جلوگیری از تغییرات احتمالی روی آنها (تغییرات و بروز رسانی الگوریتم‌ها نباید توسط هر کاربری قابل انجام باشد)
فعال بودن ساختارهای پشتیبان برای پایداری نرم افزارهای نمایه‌سازی در همه شرایط و برقراری جنبه امنیتی دسترس‌پذیری
استفاده از کانال‌های امن برای برقراری ارتباط امن بین سایر نرم‌ افزارها و ماژول‌های دیگر
اعمال سیاست‌های کنترلی و پیاده‌سازی الگوریتم‌های هیورستیک، برای کشف صفحات آلوده و جلوگیری از نمایه‌سازی آنها
اعمال سیاست‌های کنترلی برای مقابله با SEO Attack به طور مستقل و عدم انتشار نتایج خزش به فاز نمایه‌سازی
توسعه یا بهره‌گیری از الگوریتم‌هایی با پیچیدگی زمانی کم برای پوشش بیشتر صفحات و جلوگیری از کهنگی اطلاعات
براي جلوگيري از حملات تزريق كد به خزشگرها، جويشگرها بايد يكسري سياست در الگوريتم‌هاي خزش اعمال كنند كه لينك‌ها قبل از خزش وارسي شوند. در واقع جويشگرها بهتر است ابتدا لينك اصلي را خزش كنند سپس ادامه لينك را در صورتي خزش نمايند كه هيچ كاراكتر و كلمه كنترلي در آن وجود نداشته باشد.
پژوهشگاه ارتباطات و فناوری اطلاعات

44. الزامات و سیاست‌های امنیتی
مولفه
الزامات و سیاست‌های امنیتی
خزشگر
فاکتورهای طراحی در خزشگر ]دسترس‌پذیری، کنترل دسترسی[:
طراحی مراکز داده و زیرساخت‌های امن برای سرورها و پایگاه داده‌ها (چنین بسترهای باعث افزایش دسترس‌پذیری و پایداری سیستم می‌شود)
استفاده از حل‌کننده DNS توزیع شده و چند نخی آسنکرون برای پردازش و تجزیه سریع‌تر آدرس‌ها
پیاده‌سازی سیستم اعلام و اطفاء حریق در مرکز داده جویشگر
بهره‌گیری از منابع و سخت افزارهای ذخیره‌سازی با سرعت مناسب (SSD)
استفاده از لینک‌های ورودی و خروجی با پهنای باند کافی برای نقل و انتقال داده‌ها
استفاده از رک‌ها و متعلقات آن (Patch Panel Rack, Access Control package) برای سرورهای خزشگر، ذخیره‌ساز و پایگاه داده موجود در مرکز داده
طراحی سيستم مديريت، مانيتورينگ و ثبت وقايع PDU‌ها و keypad درب‌های ورودی و خروجی مرکز داده
پژوهشگاه ارتباطات و فناوری اطلاعات

45. الزامات و سیاست‌های امنیتی پژوهشگاه ارتباطات و فناوری اطلاعات
مولفه
الزامات و سیاست‌های امنیتی
نمایه ساز
ماژول جستجو و تجزیه کننده ]امنیت ارتباط، دسترس‌پذیری، حریم خصوصی، کنترل دسترسی [:
استفاده از پروتکل‌های امنیتی (SSL, TLS, IPSec) برای امن کردن ارتباطات بین کاربران، ماژول جستجو و هسته اصلی جویشگر
امن کردن کانال ارتباطی بین ماژول تجزیه کننده و پایگاه داده نمایه‌ساز
استفاده از بروز رسانی‌ها و وصله‌های امنیتی برای نرم افزار ماژول جستجو
در دسترس بودن ماژول جستجو و تجزیه کننده در همه شرایط
امن کردن ماژول جستجو با استفاده از راهکارهای امنیتی اپلیکیشن‌های تحت وب، فایروال و محدود کردن دسترسی‌ها
پژوهشگاه ارتباطات و فناوری اطلاعات

46. پژوهشگاه ارتباطات و فناوری اطلاعات
مولفه
الزامات و سیاست‌های امنیتی
نمایه ساز
پایگاه داده نمایه‌ساز ]کنترل دسترسی، محرمانگی، صحت داده، امنیت ارتباط، تصدیق اصالت و دسترس‌پذیری[:
استفاده از پایگاه‌داده‌های NoSQL و فریمورک‌های مدیریت محتوای توزیع شده مثل هدوپ به دلیل زیاد بودن داده‌ها
توزیع و تکرار کردن منابع ذخیره‌سازی پایگاه داده‌ای، برای افزایش دسترس‌پذیری و کاهش خطرات احتمالی
پیاده‌سازی ماژول‌های امنیتی مثل فایروال بین فاز واکشی و نمایه‌سازی – فاز جستجو و نمایه‌سازی برای جلوگیری از دسترسی مستقیم به پایگاه داده نمایه‌ساز
محدود کردن کدهای پویای پایگاه‌داده‌ای
گسسته‌سازی و دانه‌بندی کردن منابع ذخیره‌سازی برای کاهش نشت اطلاعات در صورت نفوذ به سیستم
رمزگذاري فايل‌هاي داده برای برقراری محرمانگی داده‌ها
رمزگذاري و احراز هويت سرور و مشتري
رمزگذاري و احراز هويت بين خوشه‌اي
دقت در ذخیره‌سازی داده‌هاي موجود در هر عنصر پايگاه داده (صحت داده)
ردگیری عامل انجام عملیات در پایگاه داده (نظارت‌پذیری)
کنترل کردن اسکرییپت‌ها و ورودی‌های اجرایی مخرب و مقایسه ‌آنها با لیست‌های کنترلی از پیش تعیین شده
بهره گیری از سیاست های امنیتی موجود در پایگاه داده خزشگر
پژوهشگاه ارتباطات و فناوری اطلاعات

47. امنیت نرم افزار و الگوریتم‌های نمایه‌سازی ]دسترس‌پذیری، کنترل دسترسی[:
مولفه
الزامات و سیاست‌های امنیتی
نمایه ساز
امنیت نرم افزار و الگوریتم‌های نمایه‌سازی ]دسترس‌پذیری، کنترل دسترسی[:
طراحی و توسعه امن نرم افزار نمایه‌ساز و نصب دوره‌ای وصله‌های امنیتی نرم ‌افزار (نظارت پایگاه داده آسیب‌پذیری‌ها، برای اطلاع از آسیب پذیری‌های جدید)
تست‌های امنیتی نرم افزار در هنگام توسعه و بعد از آن (مثل تست جعبه سفید و سیاه)
اعمال سیاست‌های کنترل دسترسی در الگوریتم‌ها، برای جلوگیری از تغییرات احتمالی روی آنها (تغییرات و بروز رسانی الگوریتم‌ها نباید توسط هر کاربری قابل انجام باشد)
فعال بودن ساختارهای پشتیبان برای پایداری نرم افزارهای نمایه‌سازی در همه شرایط و برقراری جنبه امنیتی دسترس‌پذیری
استفاده از کانال‌های امن برای برقراری ارتباط امن بین سایر نرم‌ افزارها و ماژول‌های دیگر
توسعه یا بهره‌گیری از الگوریتم‌هایی با پیچیدگی زمانی پایین برای نمایه‌سازی سریع‌تر داده‌ها
اعمال سیاست‌های کنترلی و پیاده‌سازی الگوریتم‌های هیورستیک، برای کشف صفحات آلوده و جلوگیری از نمایه‌سازی آنها
اعمال سیاست‌های کنترلی با همکاری بخش رتبه‌بندی برای مقابله با SEO Attack، یا به کارگیری سیاست‌های مجزا و اعمال آنها در بخش نمایه‌سازی به طور مستقل
پژوهشگاه ارتباطات و فناوری اطلاعات

48. پژوهشگاه ارتباطات و فناوری اطلاعات
مولفه
الزامات و سیاست‌های امنیتی
نمایه ساز
فاکتورهای طراحی در نمایه‌ساز ]دسترس‌پذیری، کنترل دسترسی[:
استفاده از فریمورک‌هایی مثل هدوپ برای مدیریت محتوا و پردازش‌های موازی روی معماری‌های توزیع شده
استفاده از پردازش‌های موازی به جای پردازش‌های سریالی در قبال پرس‌وجوهای کاربران و بروز رسانی‌های سنکرون نمایه‌ساز
استفاده از اجزای داخلی مناسب برای نمایه‌ساز مثل اندازه نمایه‌سازی، فاکتورهای ادغام، تکنیک‌های ذخیره‌سازی، نحوه فشرده‌سازی داده‌ها، ساختمان داده و سرعت جستجو
افزایش تحمل‌پذیری خطا و نگهداری سیستم با پیاده‌سازی امن ماژول‌های نرم‌افزاری و سخت‌افزای و وجود افزونگی محتوا
طراحی مراکز داده و زیرساخت‌های امن برای سرورها و پایگاه داده‌ها (چنین بسترهای باعث افزایش دسترس‌پذیری و پایداری سیستم می‌شود)
پیاده‌سازی سیستم اعلام و اطفاء حریق در مرکز داده جویشگر
استفاده از رک‌ها و متعلقات آن (Patch Panel Rack, Access Control package) برای سرورهای نمایه‌سازی و پایگاه داده‌ها
طراحی سيستم مديريت، مانيتورينگ و ثبت وقايع PDU‌ها و keypad درب‌های ورودی و خروجی مرکز داده
پژوهشگاه ارتباطات و فناوری اطلاعات

49. پژوهشگاه ارتباطات و فناوری اطلاعات
مولفه
الزامات و سیاست‌های امنیتی
رتبه بند
امنیت نرم افزار، الگوریتم‌های رتبه‌بندی و فاکتورهای طراحی ]دسترس‌پذیری، کنترل دسترسی[:
طراحی و توسعه امن نرم افزار و الگوریتم‌های رتبه‌بند و نصب دوره‌ای وصله‌های امنیتی نرم ‌افزار (نظارت پایگاه داده آسیب‌پذیری‌ها، برای اطلاع از آسیب پذیری‌های جدید)
تست‌های امنیتی نرم افزار در هنگام توسعه و بعد از آن (مثل تست جعبه سفید و سیاه)
اعمال سیاست‌های دقیق (جریمه و پاداش) برای مقابله با SEO Attack
پیاده‌سازی سیاست‌های امنیتی دقیق به طور مستقل یا همکاری بخش نمایه‌سازی برای مقابله با وب سایت‌ها و صفحات آلوده
اعمال سیاست‌های کنترل دسترسی در الگوریتم‌ها برای جلوگیری از تغییرات احتمالی روی آنها (تغییرات و بروز رسانی الگوریتم‌ها نباید توسط هر کاربری قابل انجام باشد)
توسعه یا بهره‌گیری از الگوریتم‌هایی با پیچیدگی زمانی برای رتبه‌بندی سریع‌تر صفحات وب
استفاده از کانال‌های امن برای برقراری ارتباط امن بین سایر نرم‌ افزارها و ماژول‌های دیگر
پژوهشگاه ارتباطات و فناوری اطلاعات

50. پژوهشگاه ارتباطات و فناوری اطلاعات
چرخه حیات امن در جویشگر
پژوهشگاه ارتباطات و فناوری اطلاعات

51. پژوهشگاه ارتباطات و فناوری اطلاعات
ابعاد معماري جويشگر
ديدگاه فيزيكي، منطقي
ديدگاه مفهومي يا ادراكي
ديدگاه كاربردي
امنيت (جوشگر امن، امنيت در جويشگر)
چرخه حيات توسعه جويشگر
پژوهشگاه ارتباطات و فناوری اطلاعات

52. ديدگاه فيزيكي يا منطقي در معماري جويشگر
پژوهشگاه ارتباطات و فناوری اطلاعات

53. ديدگاه مفهومي يا ادراكي در معماري جويشگر
پژوهشگاه ارتباطات و فناوری اطلاعات

54. ديدگاه كاربردي در معماري جويشگر
امنيت( جوشگر امن، امنيت در جويشگر)
چرخه حيات توسعه جويشگر
امنيت در چرخه حيات توسعه جويشگر
پژوهشگاه ارتباطات و فناوری اطلاعات

55. چرخه حيات توسعه سيستم NIST 800-64 SP2
پژوهشگاه ارتباطات و فناوری اطلاعات

56. چرخه حيات توسعه سيستم NIST 800-64 SP2
پژوهشگاه ارتباطات و فناوری اطلاعات

57. اجزاء چرخه حيات توسعه سيستم
مدل ساده و معمول SDLC شامل 5 فاز زير است:
شروع(Initiation) در طي اين فاز نياز به يك سيستم وهدف آن مستند مي شود
توسعه/ اكتساب(Development/Acquisition) در اين فاز سيستم طراحي، خريداري، برنامه ريزي و توسعه يافته و ساخته مي شود.
ارزيابي/ پياده سازي(Implementation/Assessment) پس از اينكه تست سيستم قبول شد سيستم نصب مي شود.
نگهداري/ اجرا(Operation/Maintenance) : در طي اين فاز سيستم كار خود را انجام ميده و توسط افزودن سخت افزار و نرم افزار و حوادث ديگر اصلاح مي شود.
امحاء(Disposal): فعاليتهاي انجام شده در طي اين فاز اطمينان ميدهد كه سيستم بطور منظم خاتمه يافته، حفظ اطلاعات حياتي سيستم و انتقال داده هاي پردازش شده توسط سيستم به سيستم جديد و حفظ آن مطابق سياستها و قوانين مديريتي قابل اجرا از وظايف اين فاز است.
پژوهشگاه ارتباطات و فناوری اطلاعات

58. فاز اول چرخه حيات توسعه سيستم و ملاحظات امنيتي وابسته به آن
پژوهشگاه ارتباطات و فناوری اطلاعات

59. فاز دوم چرخه حيات توسعه سيستم و ملاحظات امنيتي وابسته به آن
پژوهشگاه ارتباطات و فناوری اطلاعات

60. فاز سوم چرخه حيات توسعه سيستم و ملاحظات امنيتي وابسته به آن
پژوهشگاه ارتباطات و فناوری اطلاعات

61. فاز چهارم چرخه حيات توسعه سيستم و ملاحظات امنيتي وابسته به آن
پژوهشگاه ارتباطات و فناوری اطلاعات

62. فاز پنجم چرخه حيات توسعه سيستم و ملاحظات امنيتي وابسته به آن
پژوهشگاه ارتباطات و فناوری اطلاعات

63. ارتباط فعاليتهاي امنيتي هر فاز از چرخه حيات توسعه سيستم و استانداردها
پژوهشگاه ارتباطات و فناوری اطلاعات

64. امنيت درچرخه حيات توسعه سيستم NIST 800-64 SP2
دروازه هاي كنترلي و ابزارهاي كنترلي در هرفاز از چرخه حيات توسعه سيستم
جهت برقراري امنيت در جويشگر نياز به اعمال ابزارهاي كنترلي در سه بعد فني، عملياتي و مديريتي مي باشد. واژه كنترل به معني يك تنظيم ، ابزار، مكانيزم يا رويه است كه بكارگيري آن موجب كاهش مخاطرات يك سيستم مي شود. بعبارت ديگر براي كاهش مخاطرات حاصل از هر تهديد، لازم است كنترل يا كنترل هايي به كارگرفته شوند. همچنين ممكن است يك كنترل ساده يا مركب به منظور كاهش مخاطره ي ناشي از چند تهديد همزمان، بكارگرفته شوند. كنترل ها ممكن است از نوع فني، عملياتي يا مديريتي باشند كه با ديد ملاحظات امنيتي تركيب مي گردند. ابزارهاي كنترل امنيتي در دسته فني مانند ديوار آتش، رمزكننده و نرم افزار آنتي ويروس، نمونه هايي از كنترل هاي امنيتي عملياتي مانند رويه هاي تهيه نسخه پشتيبان، پاسخ گويي به انواع حوادث امنيتي، برگزاري آزمايشگاههاي تست و نمونه هايي از كنترلهاي امنيتي مديريتي شامل طرح امن سازي كسب و كار و سياست هاي امنيتي در تداوم كسب و كارمي باشد.
تشريح اجزاء امنيتي در هريك از فازهاي چرخه حيات توسعه سيستم
پژوهشگاه ارتباطات و فناوری اطلاعات

65. دروازه هاي كنترلي فاز اولInitation))
• تعیین استراتژی در يك سيستم يا سازمان كه در كل فرايند توسعه سيستم بايد مورد استفاده قرار گيرد.
• بررسی مداوم مفهوم سیستم از نظر انطباق با اهداف و رسالت سازمانی و محدودیت های بودجه.( مد نظر داشتن اهداف و استراتژي هاي جويشگر در تمامي مراحل اجرايي)
• بررسی كارايي و عملکرد سيستم از جهت تضمین اينكه که طراحی سیستم اولیه بر اساس شناسایی نیازمندی های امنیتی شكل گرفته است.( انطباق طراحي و معماري جويشگر با مولفه هاي امنيتي در اين بخش صورت مي پذيرد.)
• هماهنگي معماری سازمانی (EA) با چشم انداز، استانداردها و نيازمنديهاي کسب و کار، همچنین تراز نمودن امنیت سيستم با سرویس های امنیتی فعلی و قریب الوقوع؛( در اين بخش اگر سرويس و خدمات جديدي به جويشگر اضافه مي شود بايد از نظر تامين امنيت با سرويسهاي موجود تراز شده و در صورت نياز به مولفه هاي جديد امنيتي ، بايد در اين قسمت پيش بيني لازم انجام گيرد)
• بررسی وضعيت مالی پروژه هاي راه انداز جويشگر با تراز مند كردن موجودي هاي مالي و CPIC و هدایت آنها به نحوي که تعادل پیامدهای هزینه های مرتبط با مدیریت ریسک برقرار باشد.
• بررسی مدیریت ریسک مطابق با توصیه هاي مدیریت ریسک در NIST . استفاده ازدستورالعمل يا چارچوب برای کاهش ابهام در مدیریت ریسک سیستم. از جمله طبقه بندی امنیتی كه شامل انواع اطلاعات و سطح تاثيرگذاري آنها و طبقه بندي امنيت سيستم نهايي است.
پژوهشگاه ارتباطات و فناوری اطلاعات

66. اعمال امنيت در فاز اول SDLC
Initiate Security Planning
Categorize the Information System
Assess Business Impact
Assess Privacy Impact
Ensure Use of Secure Information System Development Processes
پژوهشگاه ارتباطات و فناوری اطلاعات

67. 1-1-طراحي امنيتي اوليه((Initiate Security Planning
شرح:ضمن مشخص شدن نقشهاي امنيتي از نظرپاسخگويي مديريتي و مسئوليت پذيري بخش هاي مختلف سيستم جويشگر ، منابع مربوط به نيازمنديهاي امنيتي مانند قوانين ، قواعد و استانداردهاي لحاظ شده در كار بايد مطمئن شد كه تمامي ذينفعان يك درك مشترك از ملاحظات و مسئوليتها و نيازمنديهاي امنيتي داشته بر سر اين مسائل داراي توافق كافي هستند و لذا خروجي هاي مورد انتظار در اين قسمت بشرح ذيل است:
مستندات پشتيبان ( اسلايدها وجلسات و..)
توافق و درك مشترك از انتظارات امنيتي بين ذينفعان
زمانبندي تصميمات و فعاليت هاي امنيتي
پژوهشگاه ارتباطات و فناوری اطلاعات

68. 1-2-طبقه بندي سيستم هاي اطلاعاتي (Categorize the Information System)
شرح: در استانداردNIST SP و FIPS 199 دستورالعملي براي طبقه بندي اطلاعات و سيستمهاي اطلاعاتي ارائه مي شود اين دستورالعمل براساس تاثير حوادثي است كه رخ دادن آن حوادث مي تواند ماموريت، دارايي ها و مسئوليتهاي قانوني يك سازمان يا اهداف يك سيستم را تحت الشعاع قرار دهد. اين طبقه بندي امنيتي كاملاً با اطلاعات مربوط به آسيب پذيري ها و تهديدات در ارزيابي ريسكهاي يك سيستم اطلاعاتي مرتبط هستند و براساس شدت تاثير به سه دسته متوسط كم و زياد دريك مولفه امنيتي مثل محرمانگي، يكپارچگي و دسترس پذيري باشند. بر اساس اين طبقه بندي مي توان انتخاب مناسبي برروي ابزارهاي كنترل امنيت در يك سيستم اطلاعاتي مانند جويشگر داشت. خروجي هاي مورد انتظار:
طبقه بندي امنيتي بطور اساسي بايد شامل مستند سازي تحقيقات، تصميمات كليدي و پشتيباني از طرحهاي امنيتي باشد.
مشخص كردن نيازمنديهاي امنيتي سطح بالا
تخمين ميزان تاثير گذاري حوادث برروي دارايي ها واهداف سيستم.
پژوهشگاه ارتباطات و فناوری اطلاعات

69. 1-3-ارزيابي تاثير كسب و كار((Assess Business impact
شرح : درهر سازمان يا سيستمي برخي از سرويس ها از نظر تاثير در اهداف اجرايي آن سيستم و شهرت واعتبار و پايداري آن از اهميت بيشتري برخوردارند. لذا دسترس پذيري وعواقب ناشي از اختلال دراين خدمات از نظر تاثير در كسب و كار با استفاده از استانداردNIST SP مورد توجه قرار مي گيرند. خروجي هاي مورد انتظار:
• شناسایی اجزای سیستم اصلی مورد نیاز برای حفظ حداقل قابلیت هاي كسب و كار.
• شناسایی تحمل کسب و کار برای از دست دادن ايده هاي اوليه (زمان احيا از نقطه مورد نیازتا ترميم هدف)
پژوهشگاه ارتباطات و فناوری اطلاعات

70. 1-4-ارزيابي تاثير حريم خصوصي((Assess Privacy Impact
شرح: هر سيستمي هنگام نو شدن بايد ملاحظات دقيقي در خصوص انتقال اطلاعات خصوصي كاربران خود و نحوه ذخيره سازي آنها داشته باشد و ابزارهاي كنترلي و حفاظتي مناسبي براي اين موضوع تعبيه نمايد. اين كنترل در قالب يك ارزيابي ازتاثير حريم خصوصي بوده و نتايج اين بررسي بايد هنگام طراحي سيستم جديد و نگهداري آن اعمال شود.
خروجي مورد انتظاردر اين بخش فراهم نمودن جزئيات در مورد مكان و درجه خصوصي بودن اطلاعاتي است كه در يك سيستم جمع آوري ، ذخيره و خلق شده است.
پژوهشگاه ارتباطات و فناوری اطلاعات

71. پژوهشگاه ارتباطات و فناوری اطلاعات
1-5-اطمينان در استفاده از فرايند توسعه سيستم اطلاعاتي امن(Ensure Use of Secure Information System Development Processes)
شرح: تيم توسعه دهنده سيستم بايد درك عميقي از نحوه كار برنامه هاي كاربردي و سطح منطق امنيتي برنامه ها داشته باشد تا نخستين سطح دفاع و فرصت بازيابي هاي امنيتي در اين برنامه ها را مشخص نمايند. خروجي هاي مورد انتظاردر اين قسمت:
برنامه ای برای آموزش امنیت فاز توسعه.
تکنیک های تضمین کیفیت ، تحویل، و نقاط عطف.
استاندارد توسعه و برنامه نویسی از جمله توسعه محيط.
پژوهشگاه ارتباطات و فناوری اطلاعات

72. فاز دوم: فاز توسعه و اكتساب (Development/Acquisition)
بطور كلي دروازه کنترل اهداف و از جمله امنيت برای این مرحله شامل موارد ذيل است:
• بررسي طراحي و معماری سيستم ازنظر يكپارچه سازي با خدمات ارائه شده توسط سيستم و ابزارهاي كنترلي مشترك بين سرويسها . بايد طراحي و معماري اين خدمات از نظر گزارش حوادث، تشخيص نفوذ و ترميم فاجعه و احراز اصالت به خوبي ارزيابي شوند .
• بررسی كارايي سیستم است از نظر انتظارات مستند شده از رفتار آن هنگام استفاده مناسب (مثلاً توانايي سيستم براي حفظ صحت و دسترس پذيري داده هنگام بار گذاري منابع)
• بررسی عملكرد یک سیستم است که تضمین الزامات عملکردی مشخص شده به اندازه کافی دقیق و قابل آزمون باشند.
• نقد و بررسی مالی در واسط پروژه بسيار مهم است زيرا تشخیص تغییرات عمده در سطوح برنامه ریزی شده و تلاش برای اطمینان درخصوص نسبت هزینه و سود، براي کنترل و تصمیم گیری دراين بخش لازم است.
• بررسی در تصمیمات مدیریت ریسک در يك سيستم يا ابزارهاي كنترل امنيتي آن ودر صورت نیاز، اعمال تغییرات لازم.
پژوهشگاه ارتباطات و فناوری اطلاعات

73. اعمال امنيت در فاز دوم SDLC
Assess Risk to System
Select and Document Security Controls
Design Security Architecture
Engineer in Security and Develop Controls
Develop Security Documentation
Conduct Testing (Developmental, Functional and Security)
پژوهشگاه ارتباطات و فناوری اطلاعات

74. 2-1-ارزيابي ريسك (Assess Risk to System)
شرح : سازمان ها مي توانند با استفاده از استاندارد NIST SP (راهنمای مدیریت ریسک برای فناوری اطلاعات ) در انجام ارزیابی ریسک بهره بگيرند.
هدف از ارزیابی ریسک، ارزیابی دانش موجود در طراحی سیستم و حداقل نیازهای امنیتی به دست آمده از فرآیند طبقه بندی امنیتی برای تعیین اثر آنها به منظور کاهش خطرات پیش بینی شده است. نتایج نشان می دهد که برای موفقیت، افرادی که در حوزه مربوطه آگاه هستند (به عنوان مثال، کاربران، کارشناسان فناوری، کارشناسان عمليات) بايد مشاركت نمايند. در اينصورت ارائه یک دیدگاه جامع تر از تهدیدات و آسیب پذیری ها كمك بهتري به كاهش خطرات پيش بيني شده مي نمايد.
خروجي هاي قابل انتظار:
ارزیابی خطرات بالقوه دريك سیستم درحال بهره برداري
شناختن نقاط ضعف در طراحی
شناسايي محدودیتهاي پروژه
شناسایی تهديدات كسب و كار از نظر فناوري اطلاعات و انتقال نيازمنديهاي قبلي به كنترلهاي خاص سيستم در حال كار.
پژوهشگاه ارتباطات و فناوری اطلاعات

75. پژوهشگاه ارتباطات و فناوری اطلاعات
2-2-سندسازي كنترل هاي امنيتي و انتخاب آنها (Select and Document Security Controls)
شرح: انتخاب مستندات کنترل های امنیتی از مراحل مهم چارچوب مديريت ريسك در استانداردNIST است وشامل دسته بندي ذيل مي باشد:
انتخاب کنترل های امنیتی پایه (از جمله کنترل های امنیتی مشترک)؛
انتخاب کنترل هاي امنیتي سفارشي شده
انتخاب کنترل های امنيتي اضافی و مكمل، بر اساس یک ارزیابی از خطر
روند انتخاب کنترل امنیت باید شامل تجزیه و تحلیل قوانین و مقررات، مانندFISMA، بخشنامه OMB، ، FIPS و NIST،انتشارات ویژه، و سایر قوانین و مقررات حاكم بر سيستم باشد. در هر وضعیت، یک توازن باید بین منافع امنیت سیستم و كارايي ماموریت و خطرات مرتبط وجود داشته باشد. به عبارتي اجراي هدف همراه باجنبه هاي امنيتي ‌آن بايد مقرون به صرفه باشد.
خروجي هاي مورد انتظار: طراحي امنيت سيستم مخصوص كنترلهاي امنيتي كه مشخص مي كنند چرا ، چگونه و چطور كنترلهاي امنيتي بايد اعمال شوند.
پژوهشگاه ارتباطات و فناوری اطلاعات

76. 2-3-طراحي معماري امنيتي(Design Security Architecture )
شرح: هنگامي كه سرويس ها و خدمات ارائه شده در يك سيستم افزايش مي يابد مسئله يكپارچه سازي و تمركز امنيت در داخل سيستم بايست لحاظ شود. بدين منظور امنيت بايد به شكل معماري و مهندسي شده در داخل طراحي يك سيستم دخيل گردد اين امر مي تواند بصورت منطقه اي يا خوشه اي برروي سرويس ها و به شكل متفرق يا توزيع شده اعمال شود.
طرح شماتیک از يكپارچه سازي امنيت در سرويسهاي به اشتراك گذاشته شده دريك سيستم. معماری امنیتی باید گرافیکی به تصویر کشیده و دقیق باشد به نحويكه در نگاه اول چگونگي اعمال كنترلهاي امنيتي اصلي مشخص شود.
فهرستی از سرويسهاي به اشتراك گذاشته شده و ريسكهاي مورد انتظار.
شناسایی ابزارهاي کنترل امنيتي پايه (مشترک) استفاده شده توسط سیستم.
پژوهشگاه ارتباطات و فناوری اطلاعات

77. پژوهشگاه ارتباطات و فناوری اطلاعات
2-4-مهندسي امنيت و كنترلهاي توسعه (Engineer in Security and Develop Controls)
شرح: در طول این مرحله، کنترل های امنیتی پياده سازي شده به جاي آنكه هنگام اجرا اعمال شوند خودشان تبديل به بخشي از سيستم ميشوند.اينكار بايد با دقت وطراحي منطقي انجام گيرد. زيرا ممكن است استفاده نابه جا از آنها باعث افت كارايي يا محدود كردن فعاليت هاي توسعه سيستم گردد. در اين قسمت كنترل هاي امنيتي اضافه تر و مكمل يا سفارشي سازي شده نيز بايد مشخص گردد. همچنين تصميمات اصلي و پيشرانهاي كسب و كار/ فن آوري بايد مستند سازي شوند.
خروجي هاي مورد انتظار:
• مشخصات كنترل هاي امنيتي برای ورود به طرح امنیتی مستند شوند.
• اگر در کنترل هاي امنیتي تغييري ايجاد شده است كه ناشی از تصمیم گیری های توسعه سيستم است بايد ليست گردد.
• تدوين سناریوهای ارزیابی پتانسیل موجود برای تست آسیب پذیریها یا محدودیتهاي شناخته شده فراهم گردد.
پژوهشگاه ارتباطات و فناوری اطلاعات

78. 2-5-توسعه مستندات امنيتي (Develop Security Documentation)
شرح: هنگام امن سازي يك سيستم، مهمترين سند در طراحي امنيتي سيستم، مستند سازي و پشتيبان گيري از نكات ذيل است:
طرح مدیریت پیکربندی
طرح احتمالی (از جمله ارزیابی اثرات کسب و کار)
طرح نظارت مستمر
امنیت در اطلاع رساني ، آموزش و تحصيلات، طرح (SATE: Security awareness, training and education)
طرح پاسخ به حوادث
ارزیابی اثرات حریم خصوصی (PIA: Privacy impact assessment)
در هنگام توسعه این اسناد باید، بلوغ سرویس های امنیتی يا سيستم در نظر گرفته شود.
در برخی موارد، این اسناد ممکن است تنها حاوی الزامات و كنترلهاي امنيتي پايه (مشترك)شناخته شده باشد. پر کردن این اسناد باید در اسرع وقت و در طول انجام پروژه باشد.
خروجي هاي مورد انتظار: اسناد و مدارک امنیتی تكميلي در حمایت از طرح امنیتی سیستم
پژوهشگاه ارتباطات و فناوری اطلاعات

79. پژوهشگاه ارتباطات و فناوری اطلاعات
2-6-انجام تست در امنيت، عملكرد و توسعه سيستم Conduct Testing (Developmental, Functional and Security)
شرح : سیستم در حال توسعه از نظر نرم افزار، سخت افزار و / یا اصلاح ارتباطات، بايد قبل از اجرا مورد بررسي و تست قرار گيرد. هدف از این آزمون ارزيابي سيستم توسعه يافته بر اساس كارايي و نيازمنديهاي امنيتي است.
تست کنترل های امنیتی برروي مشخصات امنیتی فنی بوسيله آزمون های عملکردی در تمام یا بخشی از سيستم بصورت پی در پی، به منظور دستیابی به سطح قابل قبولی از انطباق با امنيت است. خروجي هاي مورد انتظار: هر گونه تغییرات غیر منتظره در طول تست، شناسايي و همراه با نتايج آزمون مستند گردد.
پژوهشگاه ارتباطات و فناوری اطلاعات

80. فاز سوم: فاز پياده سازي و ارزيابي (Implementation/Assessment)
بطور كلي دروازه کنترل اهداف و از جمله امنيت برای این مرحله شامل موارد ذيل است:
• تست سیستم نقد و بررسی آمادگی سيستم براي تست
• نقد و بررسی گواهي و اعتبار گذاري Certification and Accreditation(C & A)
• وضعیت نهایی پروژه و بررسی های مالی
• بررسي آمادگی سيستم جهت استقرار
• تصمیم گیری در خصوص بخش صدور مجوز Authorizing Official (AO)
• تصویب نهايي در خصوص اتصال و استقرار فناوري اطلاعات.
پژوهشگاه ارتباطات و فناوری اطلاعات

81. اعمال امنيت در فاز سوم SDLC
Create a Detailed Plan for C&A
Integrate Security into Established Environments or Systems
Assess System Security
Authorize the Information System
پژوهشگاه ارتباطات و فناوری اطلاعات

82. 3-1-ايجاد جزئيات گواهي و اعتبارگذاري ( Create a Detailed Plan for C&A)
شرح: از آنجا که بخش صدور مجوز (AO) مسئول پذیرش خطرات اجرايي در يك سیستم است مي تواند توصيه هايي به توسعه گران سيستم در خصوص خطرات احتمالي مرتبط با انتخاب منبع ،داشته باشد.
خروجي هاي مورد انتظار: توليد برنامه کار اولیه است. كه یک سند برنامه ریزی است که بازیکنان کلیدی، محدودیت پروژه، اجزاء اصلي آن ، محدوده آزمايش و سطح دقت مورد انتظار را مشخص مي كند. صدور گواهينامه و مجوزدر اين مرحله بايد رو به اتمام باشد.
پژوهشگاه ارتباطات و فناوری اطلاعات

83. پژوهشگاه ارتباطات و فناوری اطلاعات
3-2-امنيت تجميع شده در داخل محيط يا سيستم تعبيه شده (Integrate Security into Established Environments or Systems)
شرح: در اين مرحله يکپارچه سازی سیستم ها بصورت عملیاتی در سيستم در حال اجرا رخ می دهد. یکپارچه سازی و تست پذیرش پس از تحويل ونصب سیستم اطلاعاتي رخ می دهد . سپس تنظیمات کنترل امنیتي مطابق با دستورالعملهاي موجود ، فعال مي شود.
خروجي هاي مورد انتظار:
تاييد كردن ليست كنترلهاي امنيتي اجرايي
مستند سازي سيستم تكميل شده
پژوهشگاه ارتباطات و فناوری اطلاعات

84. 3-3-ارزيابي امنيت سيستم (Assess System Security)
قبل از اعطاي مجوز بايد فرايند ارزيابي امنيتي در سيستم صورت گيرد علاوه بر این، تست های دوره ای و
ارزیابی کنترل های امنیتی در یک سیستم اطلاعاتی باید انجام شود تا اطمینان حاصل شود كه اثر اين امنيت در طول دوره ادامه دارد. علاوه بر تایید اثربخشی کنترل امنیت، قبل از صدور گواهینامه های امنیتی
ممکن است آسیب پذیری واقعی در سیستم كشف شود .
خروجي هاي مورد انتظار: بسته اعتبار بخشي امنيت سيستم،که شامل گزارش ارزیابی امنیت، POA & M گزارش (Plan of Action and Milestones) و به روزرساني طرح هاي امنیتی در سيستم است.
پژوهشگاه ارتباطات و فناوری اطلاعات

85. 3-4- مجوز دهي به سيستم اطلاعاتي (Authorize the Information System)
شرح: اين مجوز امنیتی در یک سیستم اطلاعاتي برای پردازش، ذخیره و یا انتقال اطلاعات است. این مجوز كه به عنوان مجوز رسمی امنیتی شناخته می شود براثر تایید کنترل های امنیتی در سطح توافقات مربوط به دارایی های سيستم، عملكرد و اعتبار آن مي باشد و نتايج ارزیابی تولید شده در طی فرآیند راستی آزمایی کنترل امنیت است.
خروجي هاي مورد انتظار:
تصميمات مجوز دهي كه از بخش صدور مجوز به مالك سيستم اعطا گرديده است.
بسته مجوز امنيتي نهايي سيستم
پژوهشگاه ارتباطات و فناوری اطلاعات

86. فاز چهارم فاز نگهداري و اجرا (Operation/Maintenance)
بطور كلي دروازه کنترل اهداف و از جمله امنيت برای این مرحله شامل موارد ذيل است:
نقد و بررسی آمادگی عملیاتی سيستم
بررسی Plan of Action and Milestones
تصمیمات اعتباربخشی (هر سه سال یا بعد از یک تغییر عمده درسیستم)
پژوهشگاه ارتباطات و فناوری اطلاعات

87. پژوهشگاه ارتباطات و فناوری اطلاعات
اعمال امنيت در فاز چهارم SDLC
Review Operational Readiness
Perform Configuration Management and Control
Conduct Continuous Monitoring
پژوهشگاه ارتباطات و فناوری اطلاعات

88. 4-1 شرح بررسي آمادگي اجرايي (Review Operational Readiness)
گاهي وقتی که یک سیستم به یک محیط واقعي انتقال مي يابد با تغییرات برنامه ریزی نشده روبرو مي گردد. لذا ممكن است يك آزمون اصلاحي براي اطمينان از یکپارچگی کنترل های امنیتی لازم باشد. این مرحله همیشه مورد نیاز نیست. با این حال، آن را باید برای کمک به کاهش ريسكها در نظر گرفت.خروجي مورد انتظار: بررسی پیامدهای امنیتی با توجه به هر گونه تغییردر سیستم.
پژوهشگاه ارتباطات و فناوری اطلاعات

89. پژوهشگاه ارتباطات و فناوری اطلاعات
4-2-انجام مديريت و كنترل پيكر بندي (Perform Configuration Management and Control)
شرح:
تغییرات درسخت افزار، نرم افزار، سیستم عامل و یا از یک سیستم می تواند تاثیر قابل توجهی از نظر امنیتی در سيستم داشته باشد. لذا ضبط تغییرات سیستم اطلاعات و ارزیابی تاثیرات بالقوه آن بر امنیت سيستم، به صورت مداوم از جنبه های ضروری برای حفظ اعتبار امنیتی است.
خروجي مورد انتظار:
به روز رساني اسناد و مدارك امنيتي مانند طرح امنيت سيستم و گزارش Plan of Action and Milestones
ارزيابي امنيتي از تغييرات مستند شده در سيستم
پژوهشگاه ارتباطات و فناوری اطلاعات

90. 4-3-انجام نظارت مستمر(Conduct Continuous Monitoring)
شرح: هدف نهایی نظارت مستمر است برای تعیین اینکه آیا کنترل امنیتی درسیستم اطلاعات با توجه به تغییرات اجتناب ناپذیري که رخ می دهد همچنان موثر در طول زمان عمل خواهد كرد؟
نظارت مداوم از اثربخشی کنترل امنیت را می توان در راه های مختلفی ،از جمله بررسی امنیت، خود ارزیابی، مدیریت پیکربندی، مدیریت آنتی ویروس، مدیریت وصله، تست امنیت و ارزیابی، و یا ممیزی انجام داد.
خروجي هاي مورد انتظار:
نتایج مستند شده از نظارت مستمر
بررسی Plan of Action and Milestones (POA & M )
بررسی امنیت، متریک، اقدامات، و تجزیه و تحلیل روند
به روز رسانی اسناد و مدارک امنیتی و تصمیم در اعطاي مجوز رسمی امنیتی، در صورت لزوم
پژوهشگاه ارتباطات و فناوری اطلاعات

91. فاز پنجم فاز امحاء (Disposal)
فاز پنجم فاز امحاء شامل كنترلهاي امنيتي ذيل است:
بررسي امنيت هنگام خاتمه يافتن سيستم
امينت در اين فاز شامل موارد ذيل است:
((Build and Execute a Disposal/Transition Plan
Archive of critical information)) Ensure Information Preservation--
(Sanitization of media)
(Disposal of hardware and software
Close System
پژوهشگاه ارتباطات و فناوری اطلاعات

92. خروجي هاي موردانتظار فاز پنجم از SDLC
مستندات طرح خاتمه يا انتقال سيستم یا اطلاعات آن است.
نمايه سازي اطلاعات حفظ شده، محل نگهداري و خصوصيات آن است.
ثبت پاكسازي سيستم
این سند شامل لیستی از نرم افزار و سخت افزارهاي موجود در شرايط فروش ، امحاء يا اهدا است.
مستندات تایید بسته شدن سیستم، از جمله اطلاع رسانی بسته شدن نهایی سيستم با مجوز است.
پژوهشگاه ارتباطات و فناوری اطلاعات

93. فاز اول چرخه حيات امن پژوهشگاه ارتباطات و فناوری اطلاعات
اجزاء معماري جويشگر
فعاليت‌هاي امنيتي در چرخه حيات توسعه سيستم
مولفه‌هاي امنيتي مورد تاكيد
خزشگر- نمایه‌ساز-رتبه‌بند
شاخص امنيتي مورد بررسي
Phase 1 – Initiation
مطلقا در هنگام توسعه یک سیستم به دلیل ماژولار کردن بخش‌ها باید فعالیت‌ها و سیاست‌های امنیتی در هر کدام از بخش‌ها به صورت مجزا اعمال شود به طوری که در هر بخش مسائل امنیتی با درجه اهمیت بالاتر باید زودتر پیاده‌سازی شوند. زمانبندی فعالیت‌های امنیتی به صورت سلسله‌مراتبی برای سه مولفه اصلی جویشگر به شرح زیر می‌باشد:
خزشگر:
توسعه الگوریتم‌های خزشگر و سیاست‌های امنیتی موجود در آنها
پیاده‌سازی فاکتورهای طراحی نرم افزاری و سخت افزاری خزشگر
پیاده‌سازی پایگاه داده خزشگر
نمایه‌ساز:
توسعه الگوریتم‌های نمایه‌سازی و سیاست‌های امنیتی موجود در آنها
پیاده‌سازی فاکتورهای طراحی نرم افزاری و سخت افزاری نمایه‌ساز
پیاده‌سازی پایگاه داده نمایه‌ساز
رتبه‌بند:
توسعه الگوریتم‌های رتبه‌بندی و سیاست‌های امنیتی موجود در آنها
زمانبندي فعاليتهاي امنيتي ازنظر تقدم و تاخر
1. Initiate Security Planning
CIA،Trust،Robust
میزان اهمیت امنیتی مولفه‌ها بر اساس CIA به ترتیب زیر می‌باشد.
پایگاه داده نمایه‌ساز بر اساس CIA بیشترین اهمیت را دارد (زیاد)
ماژول جستجو یا موتور بازیابی از لحاظ اهمیت در جایگاه دوم قرار می‌گیرد (متوسط)
الگوریتم‌ها، سیاست‌های امنیتی، ساختمان داده‌ها و نرم‌افزارهای نمایه‌سازی در جایگاه بعدی قرار می‌گیرند (متوسط)
پایگاه داده خزشگر نیز نسبت به اجزای دیگر خزشگر اهمیت بالاتری دارد (زیاد)
الگوریتم‌ها، سیاست‌های امنیتی و نرم‌افزارهای خزشگر در رتبه بعدی قرار می‌گیرند (متوسط)
الگوریتم‌ها، سیاست‌های امنیتی و نرم‌افزارهای رتبه‌بندی صفحات، بالاترین اهمیت را در این مولفه دارند (زیاد)
طبقه بندي اجزاء سيستم از نظر اهميت امنيتي روي CIA (كم، متوسط، زياد)
2. Categorize the Information System
پژوهشگاه ارتباطات و فناوری اطلاعات

94. فاز اول چرخه حيات امن پژوهشگاه ارتباطات و فناوری اطلاعات
اجزاء معماري جويشگر
فعاليت‌هاي امنيتي در چرخه حيات توسعه سيستم
مولفه‌هاي امنيتي مورد تاكيد
خزشگر- نمایه‌ساز-رتبه‌بند
شاخص امنيتي مورد بررسي
Phase 1 – Initiation
نمایه‌ساز مهمترین ماژولی است که باعث پایداری و دسترس‌پذیری جویشگر می‌شود. زیرا اگر خزشگر یا رتبه‌بند از کار بیفتد ولی نمایه‌ساز فعال باشد، قابلیت پاسخ به درخواست‌های کاربران بر اساس اطلاعات قدیمی وجود دارد.
اصلی‌ترین مولفه برای شهرت و محبوبیت یک جویشگر مولفه رتبه‌بند است. در واقع اگر تمام صفحات وب خزش شوند و به بهترین نحو ممکن نمایه‌سازی شوند اما به درستی رتبه‌بندی نشوند مطلقا پاسخ به پرس‌وجوهای کاربران بر اساس اطلاعات نا مرتبط انجام خواهد شد.
خزشگر نیز برای مسئله تازگی اطلاعات و پوشش وب اهمیت بالایی دارد. در واقع اگر پاسخ به پرس‌وجوهای کاربران بر اساس اطلاعات قدیمی صورت گیرد، نتایج نامرتبط و کمتری برای نمایش وجود خواهد داشت
مشخص کردن اهمیت این سه مولفه برای دسترس‌پذیری، پایداری و شهرت به تفکیک مشکل است، چون هر کدام از این مولفه‌ها روی یکدیگر تاثیر دارند. اما حالت کلی اهمیت مولفه‌ها به شرح زیر می‌باشد.
میزان اهمیت برای دسترس‌پذیری و پایداری:
نمایه‌ساز ← رتبه‌بند ← خزشگر
میزان اهمیت برای شهرت و محبوبیت:
رتبه‌بند ← خزشگر ← نمایه‌ساز
رتبه‌بند ← نمایه‌ساز ← خزشگر
كدام سرويس در حفظ پايداري، دسترس‌پذيري و شهرت سيستم جويشگر از اهميت بيشتري برخوردار است؟
3. Assess Business Impact
CIA،Trust،Robust
از آنجا که هسته اصلی جویشگر با اطلاعات وب سایت‌ها در ارتباط است و ارتباط کمتری با اطلاعات کاربران دارد، درجه اهمیت حریم خصوصی کاربران کمتر می‌باشد. اما نحوه ذخیره‌سازی اطلاعات در پایگاه داده همواره مهم است که باید از سیاست‌های زیر در ذخیره‌سازی امن بهره برد:
رمزگذاري فايل‌هاي داده برای برقراری محرمانگی داده‌ها
ردگیری عامل انجام عملیات در پایگاه داده (نظارت‌پذیری)
اعتبارسنجی اندازه، قالب، بازه و نوع داده‌های ورودی
استفاده از پایگاه‌داده‌های NoSQL و فریمورک‌های مدیریت محتوای توزیع شده مثل هدوپ
بررسي هويت كاربران در ارتباط با ردگيري نظارتي و اجازه دسترسي به داده‌هاي خاص
توجه به مسائل سازگاری اطلاعات ذخیره شده در پایگاه داده
پشتیان‌گیری از داده‌ها و اطلاعات ذخیره شده برای افزایش دسترس‌پذیری
گسسته‌سازی و دانه‌بندی کردن منابع ذخیره‌سازی
امن کردن ارتباطات با استفاده از پروتکل‌های امنیتی بین پایگاه داده و ماژول‌های دیگر
مدیریت قوی کلیدهای پایگاه داده‌ای (استفاده از تکنولوژی‌هایی مثل HSM)
مكان و نحوه ذخيره سازي اطلاعات خصوصي كاربران و درجه خصوصي بودنش چيست؟
4. Assess Privacy Impact
نخستین سطوح امنیتی برای مقابله با هر گونه تهدیدی، سطح واسط کاربری و خزشگر است. زیرا این دو سطح جزء اولین روزنه‌هایی هستند که مهاجم از طریق آنها می‌تواند به هسته جویشگر دسترسی پیدا کند.
مشخص كردن نخستين سطح دفاع و فرصت بازيابي امنيتي
5. Ensure Secure Information System Development
پژوهشگاه ارتباطات و فناوری اطلاعات

95. فاز دوم چرخه حيات امن Integrity،Accessbility
خزشگر- نمایه‌ساز-رتبه‌بند
Phase 2 – Development / Acquisition
مسلما معماری جویشگر باید به صورت دوره‌ای بررسی شود تا متناسب با تهدیدات جدید افزونه‌های امنیتی به معماری اضافه شود. مهمترین تهدیداتی که هسته اصلی جویشگر را هدف قرار می‌دهد آسیب‌پذیری‌های تحت وب، پایگاه داده‌ای و SEO Attack است که باید به طور پیوسته راهکارهای امنیتی برای آنها بررسی شوند
شناخت نقاط ضعف در طراحي ، محدوديتهاي پروژه و تهديدات
1. Assess Risk to System
Integrity،Accessbility
بهره‌گيري از Best Practiceها برای کنترل‌های امنیتی
کنترل‌های امنیتی برای سیاست‌های خزش، وب سایت‌های آلوده و SEO Attack
کنترل‌های امنیتی در هنگام نمایه‌سازی برای وب سایت‌های آلوده و SEO Attack
کنترل‌های امنیتی در سطح رتبه‌بند برای مقابله با وب سایت‌های آلوده و SEO Attack
اعمال سیاست‌ها و کنترل‌های امنیتی در سطح خزشگر، نمایه‌ساز و رتبه‌بند به صورت دوره‌ای
تعيين كنترل‌هاي امنيتي و دسته بندي آنها از نظر پايه بودن، اضافه و مكمل و سفارشي بودن. اين كنترل‌هاي امنيتي چرا،چگونه و چطور بايد اعمال شوند؟
2. Select and Document Security Controls
برای امن کردن معماری جویشگر باید ماژول‌های آن در ساختار امنیتی DMZ قرار گیرد تا سیاست‌های امنیتی مثل کنترل دسترسی، محرمانگی، صحت داده و غیره به صورت سلسله مراتبی در آن اعمال شود.
مهمترین ابزارهای کنترلی امنیتی پایه که روی ماژول‌های جویشگر باید پیاده‌سازی شود بدین شرح می‌باشد:
استفاده از فایروال‌ (DOM-Firewall EdgCast & WAF)، IDS، AC و غیره برای سطوح فازهای واکشی، نمایه‌سازی و جستجو
امن کردن پایگاه داده‌ها در سطح خزشگر و نمایه‌ساز با استفاده از سیاست‌های مطرح شده در فاز راه‌اندازی
امن کردن ارتباطات بین سه ماژول خزشگر، نمایه‌ساز و رتبه‌بند با استفاده از پروتکل‌های امنیتی
محدود ساختن هر ماژول یا كاربر به داده‌هايي كه مجاز به دسترسي يا تغيير آنها می‌باشد
پیاده‌سازی سیاست‌های کنترلی برای مبازره با SEO Attack و وب سایت‌های آلوده در سطح رتبه‌بند
فعال کردن سامانه ثبت وقایع به صورت گسترده برای فرایند لاگ ‌گیری و جمع‌آوری فعالیت‌های مشکوک
معماري امنيتي مشخص شود و ابزارهاي كنترلي امنيتي پايه مشخص شود.
3. Design Security Architecture
پژوهشگاه ارتباطات و فناوری اطلاعات

96. فاز دوم چرخه حيات امن پژوهشگاه ارتباطات و فناوری اطلاعات
خزشگر- نمایه‌ساز-رتبه‌بند
Phase 2 – Development / Acquisition
برای امن کردن معماری جویشگر و سه ماژول اصلی آن، علاوه بر کنترل‌های امنیتی پایه می‌توان راهکارهای زیر را برای بهبود امنیت معماری استفاده کرد.
استفاده از ساختارهای امن SOC و NOC برای نظارت و کنترل بیشتر ماژول‌های جویشگر (HP ArcSight)
پیاده‌سازی سرورهای خزشگر، نمایه‌ساز و رتبه‌بند روی سخت‌افزارهای مجزا و ایزوله یا روی فناوری‌های مجازی Multi-Tenant ایمن
استفاده از سیاست‌های امنیتی برای مبارزه با SEO Attack و وب سایت‌های آلوده در سطح خزشگر و نمایه‌ساز
استفاده از ساختارهای امنیتی مثل هانی پات‌ها برای بدست آوردن اطلاعات بیشتر از مهاجمان
ابزارهاي كنترلي اضافي و سفارشي شده بايد مشخص شوند، پيشرانهاي كسب و كار و فناوري مشخص شوند، پتانسيل جهت تست آسيب پذيري ها يا محدوديتهاي شناخته شده فراهم گردد.
4. Engineer in Security and Develop Controls
Integrity،Accessbility
ارزيابي اثرات حريم خصوصي با توجه به بلوغ سرويس‌هاي امنيتي ، تكميل طرح امنيتي
5. Develop Security Documentation
این بخش از فاز توسعه برای هر سه مولفه خزشگر، نمایه‌ساز و رتبه‌بند همواره نیاز است و باید پس از توسعه نهایی مولفه‌ها آزمون‌های زیر انجام شود. همچنین اگر پروژه وارد دور جدید چرخه حیات شود باید سه مولفه مورد نظر در برابر تهدیدات جدید و تازه بررسی و تست شوند (تست جعبه سفید).
آزمون خزشگر:
تست حملات جلوگیری از سرویس
تست حملات تزریق کد به اسپایدرها
سیاست‌های خزش
امنیت پایگاه داده ها
ارزیابی فاکتورهای طراحی مثل پهنای باند، توان عملیاتی و پردازشی سرورها و غیره
SEO Attacks و وب سایت‌های آلوده
آزمون نمایه‌ساز:
فاکتورهای ساختمان داده
تست و ارزیابی فاکتورهای طراحی
تست پارامتر زمانی دوره بروز رسانی نمایه‌ساز
تست ماژول جستجو و موتور بازیابی در برابر انواع حملات تحت وب و داخلی
آزمون رتبه‌بند:
تست و ارزیابی راهکارهای امنیتی مقابله با وب سایت‌های آلوده
تست راهکارهای امنیتی برای مقابله با SEO Attack
آزمون سيستم از نظر امنيت توسعه و عملكرد و اگر تغييرات غير منتظره اي بود ثبت شود
6. Conduct Developmental, Functional, and Security Testing
پژوهشگاه ارتباطات و فناوری اطلاعات

97. فاز سوم چرخه حيات امن Authorization پژوهشگاه ارتباطات و فناوری اطلاعات
خزشگر- نمایه‌ساز-رتبه‌بند
Phase 3 – Implementation / Assessment
تشكيل جزئيات صدورگواهي مثل محدوديت پروژه، محدوده آزمايش، سطح دقت و غیره در آن مشخص مي شود.
1. Create Detailed Plan for C&A
Authorization
پس از اینکه فاز توسعه برای سه مولفه اصلی تمام شد، لیست سیاست‌های کنترلی و نظارتی امنیتی تجزیه و تحلیل می‌شود و نهایتا این سیاست‌ها در مرحله بعد تست و ارزیابی می‌شوند (لیست کنترل‌های امنیتی می‌تواند شامل سیاست‌های خزش، سیاست‌های نمایه‌سازی، سیاست‌های رتبه‌بندی، سیاست‌های مربوط به مجوزدهی و کنترل‌های دسترسی در پایگاه داده‌ها و غیره)
يكپارچه سازي سيستم هاي عملياتي ، تاييد كردن ليست كنترلهاي امنيتي اجرايي جهت فعال سازي
2. Integrate Security into Established Environments or Systems
تست بُعدهای امنیتی برای تک تک ماژول‌ها (تست جعبه سیاه)
تعیین آسیب‌پذیری‌ها و خطاهای نرم افزاری و سخت افزاری مربوط به فاز توسعه برای بازگشت به ابتدای چرخه
ارزيابي امنيتي قبل از اعطاء مجوز، تستهاي دوره اي و تاييد اثر بخشي كنترل امنيتي اجرايي، به روز رساني طرحهاي امنيتي
3. Assess System Security
اعطاء مجوز دهي سيستم اطلاعاتي براي پردازش، ذخيره، انتقال اطلاعات
4. Authorize the Information System
پژوهشگاه ارتباطات و فناوری اطلاعات

98. فاز چهارم چرخه حيات امن پژوهشگاه ارتباطات و فناوری اطلاعات [1] Down
خزشگر- نمایه‌ساز-رتبه‌بند
Phase 4 – Operation / Maintenance
پیاده‌سازی سیاست‌های کلی برای پایداری و در دسترس بودن سیستم (برای سه مولفه اصلی)
تعیین رویه‌ها و چارچوب‌های کاری برای تغییرات نرم افزاری و سخت افزاری در هر دوره از چرخه حیات
تعیین مقیاس‌پذیر بودن سیستم و ارائه راهکارهای مربوطه برای افزایش مقیاس‌پذیری
پیاده‌سازی سیستم‌های نظارتی و کنترلی دائمی، برای جلوگیری از خرابی و دان شدن سیستم
بررسي آمادگي عملياتي سيستم و توليد Action Plan همراه با زمانبندي و اعتبار بخشي به فعاليت ها، بررسي آمادگي اجرايي با توجه به هرگونه تغيير
1. Review Operational Readiness
مسائل مربوط به این بخش شامل سه مولفه اصلی می‌شود. زیرا به مرور زمان با افزایش تعداد درخواست‌ها و کاربران یا به به وجود آمدن تهدیدات جدید نیاز است که در سخت افزار و نرم افزار مولفه‌های اصلی جویشگر تغییراتی اعمال شود.
تغییرات سخت افزاری بیشتر به مسئله مقیاس‌پذیری سیستم بر می‌گردد و تغییرات نرم افزاری به مسائل موازی سازی فرایندها برای بهبود سرعت جستجوها و راهکارهای امنیتی مربوط به رتبه‌بندی برای مقابله با SEO Attack (صفحات اسپم) اشاره می‌کند. در واقع راهکارهای امنیتی رتبه‌بند باید به طور دائمی در حال بهبود باشند.
هرگونه تغييرات سخت افزار و نرم افزار سيستم مي تواند بر امنيت موثر باشد لذا ضبط تغييرات و ارزيابي تاثيرات بالقوه آن بر سيستم
2. Perform Configuration Management
یک سیستم به دلیل وجود تهدیدات جدید در طول زمان با تغییراتی همراه خواهد بود. بنابراین برای مقابله با تهدیدات و بهبود عملکرد امنیتی سیستم نیاز است که به طور پیوسته از گام‌های زیر استفاده کرد:
بهره‌گیری از ابزارهای نظارتی و کنترلی در سه سطح خزشگر، نمایه‌ساز و رتبه‌بند برای جلوگیری از اثرات مخرب به سطوح دیگر
استفاده از وصله‌های امنیتی برای پلتفرم سرورهای خزشگر، نمایه‌ساز و رتبه‌بند به طور دائمی
بهره‌گیری از آنتی ویروس‌ها و نرم افزارهای پالایش محتوا برای شناسایی وب سایت‌های آلوده در سطح فازهای خزشگر، نمایه‌ساز و رتبه‌بندی
نظارت مداوم از اثربخشی کنترل امنیت درخود ارزیابی، مدیریت پیکربندی، مدیریت آنتی ویروس، مدیریت وصله، تست امنیت و ارزیابی، و یا ممیزی
3. Conduct Continuous Monitoring
[1] Down
پژوهشگاه ارتباطات و فناوری اطلاعات

99. پژوهشگاه ارتباطات و فناوری اطلاعات
فاز پنجم چرخه حيات امن
خزشگر- نمایه‌ساز-رتبه‌بند
Phase 5 – Disposal
پس از توسعه و پیاده‌سازی تمام ماژول‌های جویشگر نوبت به گزارش‌دهی و ارائه اطلاعات تکمیلی از روند کار است. بنابراین طرح جامع اطلاعاتی که نشان دهنده تمام شدن فازهای پروژه است باید در این بخش از فاز، به صورت مکتوب ارائه شود.
همچنین در این بخش از فاز، برای کاهش هزینه‌ها و ریسک‌های احتمالی قابلیت انتقال پروژه برای انجام دادن آن بررسی می‌شود. در این بخش اگر قرار است که تمام یا بخشی از فازهای پروژه منتقل شود باید دلایل و مستندات کافی ارائه شود تا در نهایت عملیات انتقال سیستم یا بخشی از آن صورت گیرد
طرح خاتمه يا انتقال سيستم
1. Build and Execute Disposal or Transition Plan
Authorization،Access Control
علاوه بر امن بودن وضعیت دسترسی‌های فیزیکی و منطقی، باید زیر ساخت امن نیز داشته باشند. برخی از الزاماتی که باعث امن شدن ذخیره‌سازی داده‌های هر فاز می‌شود به شرح زیر می‌باشد:
ايمني داده‌هاي موجود در پايگاه داده نسبت به مخاطرات فيزيكي
قرارگیری پایگاه داده در زیرساخت‌های امن مثل IDC
اعمال سیاست‌های امنیتی در هنگام ذخیره‌سازی (این سیاست‌ها در فاز اول مشخص شده‌اند)
الزامات قانوني، نمايه سازي اطلاعات و محل نگهداري آنها و خصوصيتشان (پايگاه داده ها)
2. Ensure Information Preservation
پس از اینکه اطلاعات حاصل از هر فاز به صورت فیزیکی یا دیجیتال مستند شد و در محل‌های ذخیره‌سازی و پایگاه داده‌های مربوطه قرار گرفت، باید یکسری سیاست امنیتی اعمال کرد که هر کاربر یا ماژولی به اطلاعات نمایه شده دسترسی پیدا نکنند. سیاست‌های کلی بدین صورت است:
تصدیق اصالت و هویت شناسی کاربران داخلی و خارجی
محدود کردن دسترسی‌های فیزیکی به منابع پایگاه داده‌ای و محل‌های ذخیره‌سازی
ارائه یک شمای کلی از اطلاعات نمایه شده و دادن سطوح دسترسی عمومی به کاربران به طوری که امنیت اطلاعات به مخاطره نیفتد
جلوگيري از دسترسي‌هاي غير مجاز به اطلاعات بايگاني شده
3. Sanitize Media
پیاده‌سازی سیاست‌های مربوط به امحای اطلاعات سیستم توسعه یافته
اعمال سیاست‌های انتقال نرم افزار و سخت افزار سیستم
بررسي وضعيت فروش، اهدا يا امحا سخت افزار ونرم افزار سيستم قبل
4. Dispose of Hardware and Software
آرشیو و طبقه‌بندی کردن تمام اطلاعات سیستم
ارائه مجوز شروع به کار سیستم توسعه یافته
خاتمه سيستم با مجوز نهايي
5. Close System
پژوهشگاه ارتباطات و فناوری اطلاعات

100. پژوهشگاه ارتباطات و فناوری اطلاعات
منابع و مراجع
Microsoft patterns &practices –security fundamentals for web services- chapter 1
Security Consideration in the System Development Life Cycle- National Institute of Standard and Tecnology Revision 2- October 2008
Security and Privacy Controls for Federal Information Systems and Organizations-National Institute of Standard and Tecnology Revision 4- April 2013
Management Information Security Risk-National Institute of Standard and Tecnology March 2011
Noopur Davis.“Secure Software Development Life Cycle Processes” .Retrieved from: Software  Engineering Institute ; Updated (2012).
The SANS Institute. “The Twenty most Critical Internet Security Vulnerabilities-The Expert Consensus” (2005).
Mills, E. “Secure Software? Experts Say it’s no longer a Pipe Dream” CNET News, April 20, (2009).
پژوهشگاه ارتباطات و فناوری اطلاعات

101. با تشكر