موضوع مقاله: نشت اطلاعات | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # نشت اطلاعات | مقدمه: برای مثال، وقتی یک شبکهٔ پیام رسانی فوری رمزگذاری شده طراحی می‌شود، یک مهندس شبکه بدون توانایی کرک کردن کدهای رمز شما می‌تواند مشاهده کند که چه زمانی شما پیامهایی را ارسال می‌کنید، حتی اگر نتواند آن‌ها را بخواند. | ## بخش 1: نشت اطلاعات | در طول جنگ جهانی دوم، ژاپنی‌ها برای مدتی از کدهای سری همچون PURPLE استفاده می‌کردند؛ حتی قبل از اینکه چنان کدهایی کرک شوند، مقداری اطلاعات پایه دربارهٔ محتویات پیام می‌توانست با نگاه کردن به اینکه کدام ایستگاه‌های رله یک پیام را به پیش می‌راندند استخراج شود. یک مثال کلاسیک از این وقتی بود که حکومت فرانسه مکانیزمی را برای کمک به ارتباطات رمزشده از طریق یک خط آنالوگ، همچون یک باجهٔ تلفن، طراحی کرد. آن یک وسیله بود که به دو سر تلفن متصل می‌شد، عملیات رمزنگاری را انجام می‌داد، و سیگنال‌ها را از طریق خط تلفن ارسال می‌کرد. برای حکومت فرانسه، درزگیر لاستیکی که وسیله را به تلفن متصل می‌کرد مانع نفوذ هوا نبود. بعداً کشف شد که گرچه خود رمزگذاری محکم بود، اگر شما با دقت گوش می‌کردید، می‌توانستید صدای گوینده را بشنوید، چون تلفن مقداری از صدا را دریافت می‌کرد! نشت اطلاعات می‌تواند به صورت ظریف یا به‌طور کامل امنیت یک سیستمی را که در غیر اینصورت امن می‌بود تخریب کند. عموماً فقط سیستم‌های بسیار پیشرفته دفاع‌هایی را دربرابر نشت اطلاعات به کار می‌گیرند. از chaffing برای مبهم ساختن آنکه دارید به چه کسی پیام ارسال می‌کنید استفاده کنید (اما این روش این واقعیت را که شما در حال ارسال پیام هستید از دیگران پنهان نمی‌کند). نشت اطلاعات، تشخیص و پیشگیری (ILDP) ستاره در حال رشد جدیدی در امنیت اطلاعات است. با این حال، اکنون باید اقدامات کافی برای شناسایی و جلوگیری از اکستروژن انجام شود. (سازش از طریق سازمان) خطرات ناشی از اکستروژن‌ها واضح و قابل توجه است، اما امروزه اکثر سازمان‌ها با کمبود راهکارها یا تخصص در زمینه ILDP مواجه می‌شوند. در زیر فقط برخی از نمونه‌های رایج نشت اطلاعات هستند: کارکنان ناخودآگاه اطلاعات رقابتی خود را به رقبا ارسال کردند. مدیران اجرایی در هنگام حمل و نقل، لپ تاپ‌ها یا دستگاه‌های ذخیره‌سازی USB را از دست دادند. کارکنانی که از سازمان خارج می‌شوند، اطلاعات رقابتی را به حساب‌های ایمیل شخصی خود کپی می‌کنند. بسیاری از موارد نشت اطلاعات به دلیل ترس از، از دست دادن اعتماد و مجازات‌های قانونی گزارش نشده‌است. علاوه بر سهل انگاری، یک حقیقت جهانی است که انگیزه برای نشت اطلاعات حساس بدون توجه به اینکه سازمان شما چه اندازه‌گیری‌های متقابل را انجام می‌دهد وجود دارد؛ و به عنوان رسانه‌های ذخیره‌سازی به‌طور مداوم کوچکتر و سیار می‌شوند، اطلاعات حساس تر به احتمال بیشتری در این رسانه‌ها ذخیره می‌شود، احتمال بیشتر از دست رفته یا به سرقت رفته‌است. ما در مورد حوادث نشت اطلاعات از تاریخ آموخته‌ایم و می‌توانیم اطمینان داشته باشیم که بیشتر در آینده ببینیم. این مقاله یک استراتژی جدید را که شامل پنج رکن اصلی، رمزگذاری، پیشگویی، بازدارندگی، تین کلاینت و مدیریت هویت است توصیف می‌کند. بازدارندگی در بازدارندگی، تمرکز اصلی این است که هزینه‌های مربوط به عاملان دارای استعداد را افزایش دهیم و نشت اطلاعات را غیرقابل توجه بدانیم. این بسیار شبیه به اینکه چگونه نیروهای مسلح به جلوگیری از نفوذ بالقوه تبدیل می‌شوند. برای جلوگیری از مؤثر بودن، عوامل بالقوه باید بدانند که یک سیستم معتبر ILDP وجود دارد. در صورتی که هیچ‌کس در مورد آن اطلاعاتی نداشته باشد، هیچ مشکلی در ایجاد یک سیستم عالی وجود ندارد. این به تظاهرات منظم نیروی نظامی شباهت دارد که نیروهای مسلح برای اطلاع دادن به جهان از توانایی‌های خود اقدام می‌کنند. در شرایط امنیتی اطلاعات، می‌توان اقدامات زیر را انجام داد: کاربران را مطلع کنید که محتوا در تمام فعالیت‌های مربوط به اطلاعات، مانند گشت و گذار در وب و کپی کردن به USB، در داخل سازمان متعلق به سازمان و نه کاربران است. طعمه برای فکر: آیا در سازمان شما کارکنانی هستند که از سابقه قانونی حمایت از مالکیت محتوا مطلع شده‌اند؟ اطلاعیه‌های روشن را در تمام نقاط خروج قرار دهید تا کارکنان را دربارهٔ حضور سیستم ILDP و عواقب شدید در صورت گرفتار شدن مطلع سازید. طعمه برای فکر: آیا در سازمان شما هر زمان که یک دستگاه ذخیره‌سازی USB به ایستگاه‌های کاری خود متصل می‌گردد، اطلاع‌رسانی به مسئولین در مورد مسئولیت‌هایشان می‌شود؟ | ## بخش 2: نشت اطلاعات | اطلاعات خلاصه ای از کارکنان ارسال کنید تا آن‌ها را یادآوری کنید که فعالیت‌های آن‌ها تحت نظارت قرار گرفته و آن‌ها را قبل از اینکه اطلاعات را از بین ببرید، دو بار ذکر کنید. طعمه برای فکر: در سازمان شما آیا کاربران برتر ایمیل‌ها، ترافیک وب و اتصالات ذخیره‌سازی USB را به صورت منظم منتشر می‌کنند؟ برای برگزیدگان کلیدی انتصاب، یک پیوند امنیتی می‌تواند تحمیل شود و باید به صورت کتبی پذیرفته شود. طعمه برای فکر: آیا در سازمان شما، کاربران مجبورند اوراق قرضه را امضا کنند که مجازات حداقلی را تعیین می‌کند که به اندازه کافی بالا باشد و در صورت نشت اطلاعات، بازدارنده باشد؟ هنگامی که آن‌ها به سازمان خود می‌پیوندند، کارمندان را از سیستم ILDP و مجازات مربوطه مدنی / کیفری مطلع سازید. طعمه برای فکر: در سازمان شما، آیا کارکنان شما به وضوح مجازاتی برای نشت اطلاعات دارند؟ اگرچه باید یک سیستم ILDP شناخته شود ولی تنظیمات واقعی یا قوانین تشخیص باید باقی بمانند. این به همین دلیل است که نیروهای مسلح محرمانه بودن در مورد تنظیمات واقعی مورد استفاده برای سیستم‌های اسلحه شناخته شده خود را حفظ می‌کنند. اگر آن‌ها می‌دانند که چگونه آن‌ها تحت نظارت قرار می‌گیرند و چه چیزی تحت نظارت قرار می‌گیرد، عاملان بالقوه ابزارهایی برای دور زدن و فرار خواهند یافت. این اقدامات شامل حذف اداری حقوقی برای جلوگیری از نصب برنامه‌هایی که از خطرات نشت اطلاعات و کنترل دوگانه اداری رمزهای عبور به وجود می‌آیند، است. در نهایت، برای اینکه سیستم ILDP قابل اعتماد باشد، محیط قانونی باید مؤثر و در جای خود باشد. بدون جرم قانونی، مجرمان ممکن است آزادانه حتی اگر اطلاعات نشت و شناسایی شده باشند دست به کارهایی بزنند. رمزگذاری در رمزنگاری، تمرکز اصلی این است که از طریق پیشگیری ازسرقت یا غفلت ناخواسته جلوگیری شود. توجه داشته باشید، با این حال، این رمزگذاری، باعث جلوگیری از نشت عمدی توسط کاربران مجاز نمی‌شود. این می‌تواند به صورت ترافیک وب رمزگذاری شده (SSL)، دسترسی به رمزگذاری (SSH) به سیستم‌های یونیکس، دسترسی از راه دور (VPN)و بسیاری دیگر باشد. رمزنگاری نهایی اغلب دستگاه‌های ذخیره‌سازی قابل جابجایی و نوت بوک‌ها بدون هیچ گونه نظارت یا محدودیت فیزیکی در اطراف قرار دارند. با رمزگذاری پایانی، رسانه ذخیره‌سازی با رمزنگاری قوی محافظت می‌شود تا اطمینان حاصل شود که فقط کاربران مجاز به دسترسی به اطلاعات دسترسی پیدا کنند. با رشد دستگاه‌های محاسبات موبایل، نیاز به رمزگذاری پایانی بسیار بالاتر از قبل است. رمزگذاری محتوا حفاظت بهتر از رمزگذاری انتهایی را فراهم می‌کند، زیرا حفاظت مستقل از رسانه‌های ذخیره‌سازی ست. همراه با احراز هویت امن، همچنین دو عامل یا احراز هویت بیومتریک، محتوا و رمزگذاری انتزاعی می‌توانند به‌طور مؤثر از خطر نشت ناخواسته از طریق سرقت یا سهل انگاری جلوگیری کنند. با این حال، تصورهای غلطی وجود دارد که از پذیرش گسترده‌تر رمزگذاری نهایی و رمزنگاری محتوا پشتیبانی می‌کنند: رمزگذاری پرهزینه است-اگر چه رمزگذاری با هزینه‌های اضافی به دست می‌آید، باید ارزش اطلاعاتی را که محافظت می‌کند، وزن دهیم. هیچ‌کس نمی‌خواهد اقتصاد را صرف هزینه‌های هزاران دلاری کند تا اطلاعات مربوط به یک دفترچه مدیر عامل شرکت را حفظ کند که ممکن است میلیون‌ها دلار ارزشمند باشد. علاوه بر این، هزینه رمزگذاری در طول زمان با استفاده از الگوریتم‌های کارآمد توسعه یافته‌است. استانداردها و قوانین اطلاعات حفاظت را تضمین می‌کند- مهم نیست که کدام استانداردها یا قوانین سختگیرانه هستند، ما هنوز انسان هستیم. علاوه بر این، استانداردهای داخلی و قوانین نمی‌توانند مانع از سرقت فیزیکی توسط احزاب خارجی شوند. رمزگذاری نیاز به ذخیره گرانشی دارد - با توسعه الگوریتم‌های رمزنگاری جدیدتر و کارآمد تر، نیازهای ذخیره‌سازی برای رمزگذاری کاهش یافته‌است. علاوه بر این، با پیشرفت تکنولوژی‌های نگهدارنده، هزینه ذخیره‌سازی واحد کاهش یافته‌است و این نکته جزئی است. | ## بخش 3: نشت اطلاعات | رمزگذاری عملکرد را کاهش می‌دهد - درست است که رمزگذاری استفاده از قدرت پردازش و اعمال مجازات عملکرد است. با این حال، با در دسترس بودن شتاب‌دهنده‌های رمزنگاری مبتنی بر سخت‌افزار، رمزگذاری می‌تواند همزمان انجام شود بدون تأثیر مادی در حجم کار تجاری. علاوه بر این، با توسعه الگوریتم‌های کارآمد تر، کلیدهایی با طول کمتری می‌توانند رمزگذاری مشابه یا حتی بهتر را از قبل ارائه دهند. دادرسی قانونی در زمینه پزشکی قانونی، تمرکز اصلی این است که توانایی شناسایی معتبر را ایجاد کنیم و شواهد قانونی را ارائه دهیم. صرف نظر از اینکه چگونه سیستم‌های حفاظت ما پیشرفته هستند، یک سیستم قانونی خوب برای تشخیص دقیق و اقدامات مؤثر بعدی لازم است. بدون داشتن معیار قانونی مناسب، ممکن است توانایی شما برای انجام اقدامات اصلاحی مانند اعمال مجوز یا گزارش دهی به مقامات، به شدت محدود شود. اشتباه رایج این است که فکر کنید دسترسی به مسدود کردن نیاز به یک سیستم قانونی خوب را از بین می‌برد. بسیاری از سازمان‌های سازماندهی شده با اعتماد به کاربران خود اطلاعات حساس را از بین نمی‌برند. استفاده نادرست از شواهد دیجیتال این نگران‌کننده نیست، زیرا اکثر متخصصان امنیت اطلاعات، در روش‌هایی که شواهد قانونی را ارائه نمی‌دهند و در مورد نحوه رسیدگی به شواهدی که در آن جمع‌آوری شده، آموزش دیده نیستند. مهم نیست که سیستم چگونه در تشخیص دقیق است، شواهدی که نامناسب شده‌اند، بی فایده هستند. بیشتر سازوکارها، به ویژه در آسیا، راه‌های افزایش انحصاری برای سوت زنها را فراهم نمی‌کنند. برای سطح شبکه، عدالت قانونی سیستم ILDP باید منفعل و در یک شبکه خارج از باند (OOB) اجرا شود. این باید قادر به انجام تجزیه و تحلیل ترافیک شبکه‌های بزرگ و نه تنها یک «تخلیه بی حوصله» باشد. چالش‌های واضح در پرونده‌های مبتنی بر شبکه در حجم زیادی از داده‌ها و حضور ترافیک شبکه رمز شده‌اند. در مقایسه با راه حل قانونی مبتنی بر شبکه، مزایای یک راه حل قانونی پایانی شامل توانایی نظارت بر اجرای برنامه‌های غیرمجاز و گرفتن اطلاعات قبل از رمزگذاری در شبکه می‌باشد. تین کلاینت تین کلاینت می‌توانند برای رسیدن به امنیت پایدار بیشتر مورد استفاده قرار گیرند. بعضی از تین کلاینت بدون ذخیره‌سازی محلی می‌آیند، تعداد رسانه‌های ذخیره‌سازی را کاهش می‌دهند تا محافظت شوند. دیگران با فضای ذخیره‌سازی محلی قفل شده باعث جلوگیری از تغییرات هر گونه محتویات محلی می‌شوند. استفاده از تین کلاینت نیاز به نوعی از محیط محاسباتی سرور مرکزی دارد که به شما این امکان را می‌دهد تا نشت اطلاعات را از نقاط متمرکز نظارت و شناسایی کنید؛ بنابراین، با تین کلاینت می‌توانید محیط زیست ادارات یا شعبه‌های دور افتاده را مدیریت کنید تا نشت اطلاعات را شناسایی و از آن جلوگیری کنید. در نهایت، اکثر، تین کلاینت با قابلیت قفل کردن پشتیبانی خود از دستگاه‌های ذخیره‌سازی خارجی، از این طریق، به‌طور مؤثر، جلوگیری از نشت از طریق دستگاه‌های خارجی می‌آیند. تمام اجزاء بالا اگر هویت کاربر به سرقت رفته و مورد سوء استفاده قرار گیرند، شکست خواهد خورد. با تأیید صحت، اعتبار و حسابرسی مناسب، مدیریت هویت به جلوگیری از سرقت هویت کمک می‌کند. با مدیریت مناسب هویت، می‌توانید به موقع مدیریت هویت در سیستم‌های بحرانی در سازمان خودتان را بدست آورید. چند بار که ما از حساب کاربری یتیم شده باقی مانده در سیستم‌های بحرانی بعد از اینکه کاربران از سازمان خارج شدند، شنیده‌ایم؟ به موقع بودن مهم است زیرا هر حساب کاربری استفاده نشده امکان دسترسی به اطلاعات و نشت اطلاعات را فراهم می‌آورد. | ## جمع‌بندی | همراه با تأیید هویت امن و غیرقابل قبول، مدیریت هویت می‌تواند یک رویکرد خودکار و خودکفا برای مدیریت رمز عبور باشد که به نوبه خود می‌تواند به کاهش فرصت‌های مهندسی اجتماعی و سرقت هویت‌ها کمک کند.