موضوع مقاله: آگاهی از امنیت اینترنت | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # آگاهی از امنیت اینترنت | مقدمه: آگاهی از امنیت اینترنت یا آگاهی از امنیت سایبری به میزان دانشی گفته می‌شود که کاربران نهایی دربارهٔ تهدیدهای امنیت سایبریِ پیشِ‌روی شبکه‌های خود، خطراتی که ممکن است ایجاد کنند، و شیوه‌های درست کاهش خطرات امنیتی برای هدایت رفتارشان دارند. | ## بخش 1: آگاهی از امنیت اینترنت | کاربران نهایی معمولاً به‌عنوان ضعیف‌ترین حلقه و اصلی‌ترین آسیب‌پذیری در یک شبکه در نظر گرفته می‌شوند.از آنجا که کاربران نهایی یکی از مهم‌ترین عوامل آسیب‌پذیری هستند، به‌کارگیری راهکارهای صرفاً فنی برای بهبود امنیت کافی نیست. سازمان‌ها می‌توانند با تمرکز بر کاهش ریسک عامل انسانی (کاربران نهایی) سطح امنیت خود را افزایش دهند. این هدف می‌تواند از طریق ارائهٔ راهنماها و بهترین شیوه‌های امنیتی برای افزایش آگاهی کاربران از امنیت سایبری تحقق یابد. همچنین می‌توان کارکنان را دربارهٔ تهدیدهای رایج و روش‌های پیشگیری از آن‌ها یا کاهش پیامدهایشان آموزش داد. آگاهی، آموزش و پرورش در حوزه امنیت سایبری یک برنامهٔ کاهش ریسک امنیت سایبری برای کاربران نهایی می‌تواند از ترکیبی از چندین رویکرد، از جمله آگاهی از امنیت سایبری، آموزش امنیت سایبری و آموزش رسمی امنیت سایبری تشکیل شود. آگاهیآموزشآموزشویژگی«چی»«چگونه»«چرا»سطحاطلاعاتدانشبینشهدفشناختمهارتدرکروش تحویلرسانه شامل: ویدئو، خبرنامه، پوسترآموزش عملی شامل: سخنرانی، کارگاه مطالعه موردی، کار عملیآموزش نظری شامل: سمینار بحث، مطالعه پیشینهبازه زمانی تأثیرکوتاه مدتمتوسطبلندمدت تهدیدها عاملان تهدید یا بازیگران تهدید به افرادی یا گروه‌هایی گفته می‌شود که تهدیدهای امنیتی را ایجاد می‌کنند و معمولاً ساده‌ترین راه برای دسترسی به یک شبکه را جست‌وجو می‌کنند؛ راهی که اغلب همان عامل انسانی است. مهندسی اجتماعی به وضعیتی گفته می‌شود که در آن فردی با استفاده از داستانی قانع‌کننده، سوءاستفاده از جایگاه قدرت یا روش‌های مشابه، تلاش می‌کند شخصی را متقاعد کند اطلاعات حساس، مانند نام‌های کاربری و گذرواژه‌ها، را در اختیار او قرار دهد. کاربری که از آگاهی امنیت سایبری برخوردار باشد، توانایی شناسایی این‌گونه حملات را خواهد داشت و این امر توانایی او را در اجتناب از آن‌ها افزایش می‌دهد. ترس افزار (Scareware) نوع دیگری از ترفندهای مهندسی اجتماعی است که با نمایش یک هشدارِ پاپ‌آپ تلاش می‌کند با اعلام آلوده شدن رایانهٔ کاربر به ویروس یا هک شدن آن، حس فوریت و ترس ایجاد کند. این هشدار معمولاً از کاربر می‌خواهد با کلیک روی پیوند مربوطه، اطلاعاتی را وارد کند یا نرم‌افزاری را برای رفع مشکل دانلود نماید؛ در حالی که در واقع، همین اقدام موجب به خطر افتادن دستگاه کاربر می‌شود. پیامدهای این نوع حمله می‌تواند از سرقت داده‌های حساس از دستگاه کاربر، جلوگیری از دسترسی به برخی فایل‌ها، تغییر تاکتیک مهندسی اجتماعی به باج‌افزار، یا وادار کردن کاربر به ارائهٔ اطلاعات کارت اعتباری برای تأیید تراکنش‌های جعلی متغیر باشد. این حمله یکی از روش‌های رایج به‌شمار می‌رود که در آن تلاش می‌شود کاربران با فریب، ترغیب به کلیک روی یک پیوند درون یک رایانامه یا یک وبگاه شوند تا در نهایت اطلاعات حساس خود را افشا کنند. این نوع حمله معمولاً بر ارسال انبوه رایانامه‌ها و هزینهٔ اندک ارسال پیام‌های فیشینگ متکی است. اگرچه تنها تعداد کمی از اهداف فریب می‌خورند، اما به دلیل گستردگی تعداد افراد هدف‌گرفته‌شده، این روش همچنان به‌عنوان یک بردار حملهٔ سودآور محسوب می‌شود. این روش شکلی از فیشینگ محسوب می‌شود، اما به دلیل شخصی‌سازی پیام، متقاعدکننده‌تر بوده و نسبت به فیشینگ سنتی احتمال موفقیت بالاتری دارد. اجرای این نوع حمله می‌تواند از فرایندهای انبوه و خودکار آغاز شود؛ برای مثال، دسترسی به دفترچهٔ نشانی یک قربانی پیشین و ارسال پیام‌های سادهٔ فیشینگ به مخاطبان او (به‌گونه‌ای که پیام‌ها از سوی یک آشنای قبلی به نظر برسند)، تا ارتباطات پیچیده‌تر و به‌صورت دستی‌نوشته‌شده برای هدف‌گیری گیرندگان خاص را در بر گیرد. ویشینگ یا فیشینگ صوتی (Voice phishing) نوعی از مهندسی اجتماعی است که در آن افراد از طریق خطوط تلفن ثابت سنتی، سامانه‌های تلفنی (مانند Voice over IP|صوت بر بستر پروتکل اینترنت , سامانه‌های خودکار تبدیل متن به گفتار، یا دیگر شکل‌های ارتباط صوتی مورد تماس قرار می‌گیرند تا با فریب، اطلاعات حساسی مانند داده‌های کارت اعتباری را افشا کنند. اسمیشینگ یا فیشینگ پیامکی نوعی مهندسی اجتماعی است که از پیامک یا پیام‌های متنی به عنوان ابزاری برای فریب کاربران نهایی و افشای اطلاعات حساس استفاده می‌کند. تعقیب و گریز (Tailgating) نوعی حملهٔ مهندسی اجتماعی در حوزهٔ امنیت فیزیکی است که در آن فردی غیرمجاز، بدون آگاهی کاربر مجاز، با دنبال کردن او به یک مکان، موفق به دسترسی به آن محل می‌شود. حمله پیگی‌بکینگ (Piggybacking) یک حمله مهندسی اجتماعی در حوزه امنیت فیزیکی است که در آن فرد غیرمجاز می‌تواند با اطلاع و اجازه کاربر مجاز، پشت سر او وارد یک مکان شود و به آن دسترسی پیدا کند. این دسته شامل انواع مختلفی از نرم‌افزارها است، از جمله ویروس‌ها، تروجان‌ها، کرم‌ها، روت‌کیت‌ها، جاسوس‌افزارها و کریپتو-جکینگ، اما به این موارد محدود نمی‌شود. باج‌افزار تهدیدی دیگر در حوزه سایبری است که حملات آن بر روی سیستم کامپیوتری انجام می‌شود، اما اغلب ناشی از حمله مهندسی اجتماعی است.این نوع بدافزار داده‌ها را رمزگذاری کرده و آن‌ها را برای گرفتن باج نگه می‌دارد، امری که می‌تواند کل سیستم کامپیوتری را فلج کند. | ## بخش 2: آگاهی از امنیت اینترنت | حملات مبتنی بر اینترنت اشیا (IoT) شکلی از تهدیدات سایبری در قرن ۲۱ و پس از آن هستند که از آسیب‌پذیری‌های دستگاه‌های جاسازی‌شده در وسایل مختلف مانند خودروها، یخچال‌ها و بلندگوها یا دستیارهای دیجیتال هوشمند سوء‌استفاده می‌کنند. تهدیدات داخلی در امنیت سایبری، خطراتی امنیتی هستند که از سوی افراد درون یک سازمان، مانند کارکنان یا پیمانکاران، ایجاد می‌شوند و به سیستم‌ها و داده‌های آن سازمان دسترسی دارند. این تهدیدات می‌توانند شامل سرقت داده، خرابکاری، تقلب یا جاسوسی باشند و به دلیل دانش و دسترسی داخلی فرد، خطر قابل توجهی ایجاد می‌کنند. مباحث در برنامه کاهش ریسک امنیت سایبری برای کاربران نهایی، رویکردهای مختلفی وجود دارد (به جدول بالا مراجعه کنید). هرچند این مقاله بر آگاهی‌بخشی در زمینه امنیت سایبری تمرکز دارد، موضوعات زیر نیز می‌توانند برای آموزش و آموزش تخصصی امنیت سایبری مورد استفاده قرار گیرند. همان‌گونه که در جدول فوق نشان داده شده است، روش‌های گوناگونی برای ارائهٔ آموزش آگاهی‌رسانی در حوزهٔ امنیت سایبری وجود دارد.از جملهٔ این روش‌ها می‌توان به استفاده از پوسترها، راهنماها و نکات آموزشی و همچنین ویدئوها و خبرنامه‌ها اشاره کرد. این نوع نرم‌افزار برای محافظت از سامانه‌ها در برابر نرم‌افزارهای مخرب به‌کار می‌رود و از طریق پیشگیری، شناسایی و حذف بدافزارها عمل می‌کند. از جمله بدافزارهای رایج می‌توان به ویروس‌های رایانه‌ای، باج‌افزارها، روت‌کیت‌ها، اسب‌های تروجان و کرم‌ها اشاره کرد. راهنماهای آگاهی‌رسانی به کاربران نهایی در حوزهٔ امنیت شامل اسکن دستگاه‌ها برای شناسایی بدافزار و به‌روزرسانی تعاریف (امضاهای) نرم‌افزارهای ضد بدافزار است. حفاظت از داده‌ها و حریم خصوصی : انواع مختلفی از داده‌ها وجود دارند که ممکن است ملزم به محافظت از افشای غیرمجاز باشند، از جمله اطلاعات شخصی قابل شناسایی (PII)، اطلاعات سلامت محافظت‌شده (PHI)، مالکیت معنوی (IP) و سایر اطلاعات حساس. دستورالعمل‌های آگاهی‌بخشی امنیتی شامل آموزش‌های مربوط به طبقه‌بندی داده‌ها ، رمزگذاری ، ناشناس‌سازی داده‌ها و پنهان‌سازی یا مبهم‌سازی داده‌ها می‌شود. مجوزها و اینکه چه کسی می‌تواند به داده‌ها دسترسی داشته باشد، که شامل اشتراک‌گذاری فایل از طریق پیوست‌های ایمیل می‌شود، از جمله موارد حفاظتی اضافی هستند که می‌توانند مورد بحث قرار گیرند. یکی دیگر از کنترل‌های حفاظت از داده‌ها که می‌تواند گنجانده شود، پشتیبان‌گیری از داده‌ها است زیرا در صورت عدم دسترسی به نسخه اصلی، می‌توان آن را بازیابی کرد. مدیریت دستگاه : شامل دانستن نحوه محافظت از دستگاه‌های تلفن همراه و رایانه‌ها است. مدیریت دستگاه همچنین به امنیت مربوط به استفاده از دستگاه شخصی ( BYOD ) مربوط می‌شود. دستورالعمل‌های آگاهی‌بخشی امنیتی شامل رمزگذاری ، محافظت از سیستم با رمز عبور ، پین یا احراز هویت چند عاملی و سایر اشکال اعتبارنامه است. طبق گفته نکته آگاهی‌بخشی دیگر، خواندن نظرات و بررسی‌های مربوط به برنامه قبل از نصب آن است. مدیریت دستگاه همچنین به حفظ موجودی دقیق دارایی‌ها از زمان خرید تا زمان واگذاری مربوط می‌شود. دستورالعمل‌های آگاهی‌بخشی امنیتی برای کاربران نهایی شامل این موارد است: چه نوع رویدادهایی مشکوک یا مخرب تلقی می‌یبذشوند، در صورت وقوع حادثه با چه کسی باید تماس گرفته شود و در صورت وقوع حادثه چه اقداماتی باید انجام شود. این دستگاه‌ها شامل، اما نه محدود به، بلندگوهای هوشمند، دستگاه‌های پوشیدنی مانند ساعت هوشمند، دوربین‌های نظارتی، چراغ‌ها، قفل‌های در، ترموستات‌ها، لوازم خانگی و خودروها هستند. راهنماهای امنیتی شامل نگهداری فهرست دارایی‌ها، مدیریت و کنترل وصله‌ها (به‌روزرسانی‌ها) و تغییر داده‌های اعتباری (نام کاربری و گذرواژه) پیش‌فرض است. مدیریت رمز عبور : رمز عبور رشته‌ای از کاراکترهای مخفی است که برای تأیید اعتبار حساب کاربری استفاده می‌شود. | ## بخش 3: آگاهی از امنیت اینترنت | دستورالعمل‌های آگاهی‌بخشی امنیتی، الزاماتی را برای ایجاد یک رمز عبور یا عبارت عبور قوی ، تعداد دفعات تغییر رمزهای عبور و نحوه محافظت از رمزهای عبور ارائه می‌دهند. علاوه بر این، دستورالعمل‌ها لزوم تغییر همه رمزهای عبور پیش‌فرض و عدم به اشتراک گذاشتن رمزهای عبور با دیگران را پیشنهاد می‌کنند. گزینه‌های حفاظتی اضافی می‌تواند شامل آگاه‌سازی کاربران نهایی در مورد استفاده از احراز هویت چند عاملی ، مدیران رمز عبور و آگاهی از تهدیدات مختلف مرتبط با رمز عبور مانند شکستن رمز عبور باشد. وصله‌گذاری: تغییرات نرم‌افزاری و سیستمی برای به‌روزرسانی، بهبود یا رفع نقاط ضعف معمولاً از طریق یک وصله منتشر می‌شوند. دستورالعمل‌های آگاهی‌بخشی امنیتی شامل نصب به موقع وصله‌های امنیتی و همچنین اجرای ارزیابی آسیب‌پذیری و مدیریت آسیب‌پذیری است. رسانه‌های قابل جابجایی : دستگاه‌های ذخیره‌سازی هستند که می‌توانند به یک کامپیوتر در حال اجرا اضافه یا از آن جدا شوند، مانند سی‌دی، دی‌وی‌دی، کارت‌های SD قابل جابجایی و درایوهای USB (از جمله فلش مموری‌ها، فلش مموری‌ها، هارد دیسک‌های اکسترنال). دستورالعمل‌های آگاهی‌بخشی امنیتی شامل رمزگذاری درایو و پیروی از سیاست‌ها و دستورالعمل‌های ارائه شده در سطح سازمانی در مورد استفاده از رسانه‌های قابل جابجایی شخصی در سیستم‌های سازمانی است. مرور امن وب : دستورالعمل‌های آگاهی‌بخشی امنیتی در مورد مرور ایمن سازی وب‌سایت‌ها شامل جستجوی نماد قفل در نوار آدرس اینترنتی (URL) قبل از وارد کردن اطلاعات حساس مانند اطلاعات کاربری، اطلاعات کارت اعتباری یا اطلاعات شخصی قابل شناسایی است. قفل و "https" نشان می‌دهند که اطلاعات وارد شده در حین انتقال داده‌ها ایمن خواهند بود. همچنین درک این نکته بسیار مهم است که اتصال معتبر TLS ("https" / قفل) نشان دهنده قابل اعتماد بودن نیست زیرا افراد مخرب نیز از اتصالات امن استفاده می‌کنند. در نهایت، می‌توان راهنمایی‌هایی را برای تنظیم گزینه‌های حریم خصوصی در مرورگر یا استفاده از گزینه ناشناس برای محدود کردن اطلاعات به اشتراک گذاشته شده به اشتراک گذاشت. مهندسی اجتماعی شامل تعامل با انسان‌ها به امید افشای اطلاعات حساس توسط آن‌ها است. دستورالعمل‌های آگاهی‌بخشی امنیتی شامل عدم باز کردن ایمیل‌های مشکوک از فرستنده‌های ناشناس، عدم کلیک بر روی لینک‌های مشکوک در ایمیل‌ها یا وب‌سایت‌ها، عدم باز کردن پیوست‌های پیامکی، عدم افشای اطلاعات و عدم پاسخ به ایمیل‌ها یا مخاطبین مشکوک ارائه شده در آن‌ها می‌شود. کمپین‌های آگاهی‌بخشی عمومی در حوزه امنیت سایبری آموزش و آگاهی‌بخشی امنیت سایبری:برای جامعهٔ مدرن حیاتی است، زیرا افراد را قادر می‌سازد تا در برابر تهدیدات سایبری از خود دفاع کنند و در عین حال مسیرهای شغلی حوزهٔ امنیت سایبری را بررسی نمایند. پژوهش‌ها دربارهٔ آموزش آگاهی امنیت سایبری نتایج ناهمگونی را نشان می‌دهند؛ به‌طوری که برخی مطالعات حاکی از اثربخشی محدود آن هستند و کارشناسان طرفدار سفارشی‌سازی برنامه‌های آموزشی برای افزایش سطح آگاهی هستند. کمپین‌های عمومی متعددی برای افزایش آگاهی امنیت سایبری وجود دارند که از جمله می‌توان به موارد زیر اشاره کرد: در سال ۲۰۰۴، دولت فدرال ایالات متحده آمریکا از طریق رئیس‌جمهور این کشور اعلام کرد که ماه اکتبر به عنوان ماه ملی آگاهی‌بخشی امنیت سایبری تعیین خواهد شد. هدف از اختصاص این ماه، افزایش آگاهی در مورد رایج‌ترین تهدیدات امنیت سایبری و ترویج روش‌های پایه‌ای برای پیشگیری از آن‌هاست. این ابتکار بر پایه همکاری بخش خصوصی و دولتی و تبادل تخصص میان آن‌ها شکل گرفته و با هدف ایجاد فضای دیجیتال امن‌تر طراحی شده است. ماه آگاهی‌رسانی امنیت سایبری مایکروسافت: مایکروسافت در بیستمین سالگرد تأسیس خود در سال 2023، با اتحاد ملی امنیت سایبری و CISA همکاری کرد تا بهترین شیوه‌های امنیت سایبری را در سطح جهانی تقویت کند. تمرکز آنها شامل آموزش سازمان‌ها در مورد احراز هویت چند عاملی، به‌روزرسانی نرم‌افزار، تشخیص فیشینگ و بررسی تنظیمات حریم خصوصی است. ماهیت آموزش آگاهی‌بخشی امنیت سایبری حاکی از آن است که این فرآیندی مستمر است، که عمدتاً به این دلیل است که بردارهای تهدید یا روش‌ها و مسیرهایی که هکرها از طریق آن‌ها به سیستم‌ها حمله می‌کنند پیوسته در حال تکامل هستند.با پیچیده‌تر شدن تهدیدات سایبری، راهبردها و دانش مورد نیاز برای دفاع در برابر آن‌ها نیز باید پیشرفت کنند. این دیدگاه همسو با این درک است که تا زمانی که فناوری پیشرفت می‌کند و بیش‌تر در زندگی روزمره ادغام می‌شود، نیاز به آگاهی و آموزش به‌روز امنیت سایبری حیاتی باقی خواهد ماند. | ## جمع‌بندی | [نیازمند منبع] انصاری و همکاران (۲۰۲۲) از آموزش آگاهی‌بخشی امنیت سایبری مبتنی بر هوش مصنوعی در فضای سایبری بهره بردند.