نشت اطلاعات

نشت اطلاعات هر زمان که سیستمی که برای بسته بودن دربرابر یک استراق سمع‌کننده طراحی شده‌است با این وجود اطلاعاتی را برای طرفهای غیرمجاز فاش می‌کند اتفاق می‌افتد. برای مثال، وقتی یک شبکهء پیام رسانی فوری رمزگذاری شده طراحی می‌شود، یک مهندس شبکه بدون توانایی کرک کردن کدهای رمز شما می‌تواند مشاهده کند که چه زمانی شما پیامهایی را ارسال میکنید، حتی اگر نتواند آن‌ها را بخواند. در طول جنگ جهانی دوم، ژاپنی‌ها برای مدتی از کدهای سری همچون PURPLE استفاده میکردند؛ حتی قبل از اینکه چنان کدهایی کرک شوند، مقداری اطلاعات پایه دربارهء محتویات پیام میتوانست با نگاه کردن به اینکه کدام ایستگاههای رله یک پیام را به پیش میراندند استخراج شود.
طراحان سیستم‌های امن اغلب بحساب آوردن نشت اطلاعات را فراموش می‌کنند. یک مثال کلاسیک از این وقتی بود که حکومت فرانسه مکانیزمی را برای کمک به ارتباطات رمزشده از طریق یک خط آنالوگ، همچون یک باجهء تلفن، طراحی کرد. آن یک وسیله بود که به دو سر تلفن متصل میشد، عملیات رمزنگاری را انجام میداد، و سیگنال‌ها را از طریق خط تلفن ارسال میکرد. بدبختانه برای حکومت فرانسه، درزگیر لاستیکی که وسیله را به تلفن متصل میکرد مانع نفوذ هوا نبود. بعدا کشف شد که گرچه خود رمزگذاری محکم بود، اگر شما با دقت گوش میکردید، میتوانستید صدای گوینده را بشنوید، چون تلفن مقداری از صدا را دریافت میکرد!
نشت اطلاعات می‌تواند به صورت ظریف یا بطور کامل امنیت یک سیستمی را که در غیر اینصورت امن میبود تخریب کند.
عموما فقط سیستم‌های بسیار پیشرفته دفاع‌هایی را دربرابر نشت اطلاعات به کار میگیرند.
سه راه اصلی برای انجام آن وجود دارند:
از steganography برای پنهان کردن این واقعیت که شما اصلا درحال ارسال یک پیام هستید استفاده کنید.
از chaffing برای مبهم ساختن آنکه دارید به چه کسی پیام ارسال میکنید استفاده کنید (اما این روش این واقعیت را که شما درحال ارسال پیام هستید از دیگران پنهان نمیکند).
برای پراکسی‌های دوباره ارسال‌کنندهء شلوغ، همچون یک گرهء Mixmaster: تاخیرهای تصادفی ایجاد کنید و ترتیب بسته‌های خارج شونده را بهم بریزید - این در مخفی کردن مسیر یک پیام مفروض کمک خواهد کرد، بخصوص اگر چندین گرهء forward‌کننده متداول، همچون آنهایی که بوسیلهء mixmaster mail forwarding بکار گرفته می‌شوند، وجود دارند.
نشت اطلاعات، تشخیص و پیشگیری (ILDP) ستاره در حال رشد جدیدی در امنیت اطلاعات است. سالهاست تمرکزامنیت اطلاعات بر تشخیص و پیشگیری از نفوذ است. با این حال، اکنون باید اقدامات کافی برای شناسایی و جلوگیری از اکستروژن انجام شود . ( سازش از طریق سازمان)
خطرات ناشی از اکستروژن‌ها واضح و قابل توجه است، اما امروزه اکثر سازمان‌ها با کمبود راهکارها یا تخصص در زمینه ILDP مواجه می‌شوند. در زیر فقط برخی از نمونه‌های رایج نشت اطلاعات هستند:
کارکنان ناخودآگاه اطلاعات رقابتی خود را به رقبا ارسال کردند.
مدیران اجرایی در هنگام حمل و نقل ، لپ تاپ‌ها یا دستگاه‌های ذخیره سازی USB را از دست دادند.
کارکنانی که از سازمان خارج می‌شوند، اطلاعات رقابتی را به حساب‌های ایمیل شخصی خود کپی می‌کنند.
مثالهای بیشتری از نقض داده‌ها را می‌توان در کرونولوژی از نقض اطلاعات پیدا کرد . بسیاری از موارد نشت اطلاعات به دلیل ترس از، از دست دادن اعتماد و مجازات‌های قانونی گزارش نشده است.
نشت اطلاعات می‌تواند به علت سهل انگاری یا خرابکاری عمدی باشد. ایمیل‌های ناخواسته به گیرندگان اشتباه ارسال می‌شود. علاوه بر سهل انگاری، یک حقیقت جهانی است که انگیزه برای نشت اطلاعات حساس بدون توجه به اینکه سازمان شما چه اندازه گیری‌های متقابل را انجام می‌دهد وجود دارد.و به عنوان رسانه‌های ذخیره سازی به طور مداوم کوچکتر و سیار میشوند، اطلاعات حساس‌تر به احتمال بیشتری در این رسانه‌ها ذخیره می‌شود، احتمال بیشتر از دست رفته و یا به سرقت رفته است.ما در مورد حوادث نشت اطلاعات از تاریخ آموخته‌ایم و می‌توانیم اطمینان داشته باشیم که بیشتر در آینده ببینیم.
برای کمک به آدرس ILDP، یک استراتژی عملی جدید لازم است. این مقاله یک استراتژی جدید را که شامل پنج رکن اصلی، رمزگذاری، پیشگویی، بازدارندگی،تین کلاینت و مدیریت هویت است توصیف می‌کند.
بازدارندگی
در بازدارندگی، تمرکز اصلی این است که هزینه‌های مربوط به عاملان دارای استعداد را افزایش دهیم و نشت اطلاعات را غیرقابل توجه بدانیم. این بسیار شبیه به اینکه چگونه نیروهای مسلح به جلوگیری از نفوذ بالقوه تبدیل می‌شوند.
برای جلوگیری از موثر بودن، عوامل بالقوه باید بدانند که یک سیستم معتبر ILDP وجود دارد. در صورتی که هیچ کس در مورد آن اطلاعاتی نداشته باشد، هیچ مشکلی در ایجاد یک سیستم عالی وجود ندارد. این به تظاهرات منظم نیروی نظامی شباهت دارد که نیروهای مسلح برای اطلاع دادن به جهان از توانایی‌های خود اقدام می‌کنند. در شرایط امنیتی اطلاعات، می‌توان اقدامات زیر را انجام داد:
کاربران را مطلع کنید که محتوا در تمام فعالیت‌های مربوط به اطلاعات، مانند گشت و گذار در وب و کپی کردن به USB، در داخل سازمان متعلق به سازمان و نه کاربران است.
طعمه برای فکر: آیا در سازمان شما کارکنانی هستند که از سابقه قانونی حمایت از مالکیت محتوا مطلع شده‌اند؟
اطلاعیه‌های روشن را در تمام نقاط خروج قرار دهید تا کارکنان را درباره حضور سیستم ILDP و عواقب شدید در صورت گرفتار شدن مطلع سازید.
طعمه برای فکر: آیا در سازمان شما هر زمان که یک دستگاه ذخیره سازی USB به ایستگاه‌های کاری خود متصل می‌گردد، اطلاع رسانی به مسئولین در مورد مسئولیت‌هایشان میشود؟
اطلاعات خلاصه‌ای از کارکنان ارسال کنید تا آنها را یادآوری کنید که فعالیت‌های آنها تحت نظارت قرار گرفته و آنها را قبل از اینکه اطلاعات را از بین ببرید، دو بار ذکر کنید.
طعمه برای فکر: در سازمان شما آیا کاربران برتر ایمیل‌ها، ترافیک وب و اتصالات ذخیره سازی USB را به صورت منظم منتشر می‌کنند؟
اعمال مجازات سنگین برای جرایم نشت اطلاعات. تاکید بیشتر بر مجازات‌های کیفری است که اثر بازدارنده قویتری دارند. برای برگزیدگان کلیدی انتصاب، یک پیوند امنیتی می‌تواند تحمیل شود و باید به صورت کتبی پذیرفته شود.
طعمه برای فکر: آیا در سازمان شما، کاربران مجبورند اوراق قرضه را امضا کنند که مجازات حداقلی را تعیین می‌کند که به اندازه کافی بالا باشد و در صورت نشت اطلاعات، بازدارنده باشد؟
هنگامی که آنها به سازمان خود می‌پیوندند، کارمندان را از سیستم ILDP و مجازات مربوطه مدنی / کیفری مطلع سازید.
طعمه برای فکر: در سازمان شما، آیا کارکنان شما به وضوح مجازاتی برای نشت اطلاعات دارند؟
اگرچه باید یک سیستم ILDP شناخته شود ولی تنظیمات واقعی یا قوانین تشخیص باید باقی بمانند. این به همین دلیل است که نیروهای مسلح محرمانه بودن در مورد تنظیمات واقعی مورد استفاده برای سیستم‌های اسلحه شناخته شده خود را حفظ می‌کنند. اگر آنها می‌دانند که چگونه آنها تحت نظارت قرار می‌گیرند و چه چیزی تحت نظارت قرار می‌گیرد، عاملان بالقوه ابزارهایی برای دور زدن و فرار خواهند یافت.
اقدامات مردمی فعلی همچنین می‌تواند مانع یا جلوگیری از نشت اطلاعات شود. این اقدامات شامل حذف اداری حقوقی برای جلوگیری از نصب برنامه‌هایی که از خطرات نشت اطلاعات و کنترل دوگانه اداری رمزهای عبور بوجود می‌آیند ، است.
در نهایت، برای اینکه سیستم ILDP قابل اعتماد باشد، محیط قانونی باید موثر و در جای خود باشد. بدون جرم قانونی، مجرمان ممکن است آزادانه حتی اگر اطلاعات نشت و شناسایی شده باشند دست به کار‌هایی بزنند. فورنیکس در جزئیات بیشتر جداگانه بحث خواهد شد.
رمزگذاری
در رمزنگاری، تمرکز اصلی این است که از طریق پیشگیری ازسرقت یا غفلت ناخواسته جلوگیری شود. توجه داشته باشید، با این حال، این رمزگذاری، باعث جلوگیری از نشت عمدی توسط کاربران مجاز نمی‌شود.سه زمینه اصلی وجود دارد که رمزگذاری مفید است: شبکه، نقطه پایانی و محتوا.
رمزگذاری شبکه
رمزگذاری شبکه شایع‌ترین در میان این سه است.این می‌تواند به صورت ترافیک وب رمزگذاری شده (SSL)، دسترسی به رمزگذاری (SSH) به سیستم‌های یونیکس، دسترسی از راه دور (VPN)و بسیاری دیگر باشد.
رمزنگاری نهایی
اغلب دستگاه‌های ذخیره سازی قابل جابجایی و نوت بوک‌ها بدون هیچ گونه نظارت یا محدودیت فیزیکی در اطراف قرار دارند. با رمزگذاری پایانی، رسانه ذخیره سازی با رمزنگاری قوی محافظت می‌شود تا اطمینان حاصل شود که فقط کاربران مجاز به دسترسی به اطلاعات دسترسی پیدا کنند. با رشد دستگاه‌های محاسبات موبایل، نیاز به رمزگذاری پایانی بسیار بالاتر از قبل است.
رمزگذاری محتوا
رمزگذاری محتوا یک محافظ است که معمولا نادیده گرفته می‌شود. رمزگذاری محتوا حفاظت بهتر از رمزگذاری انتهایی را فراهم می‌کند، زیرا حفاظت مستقل از رسانه‌های ذخیره سازی ست. همراه با احراز هویت امن، همچنین دو عامل یا احراز هویت بیومتریک، محتوا و رمزگذاری انتزاعی می‌توانند به طور موثر از خطر نشت ناخواسته از طریق سرقت یا سهل انگاری جلوگیری کنند.
با این حال،تصور‌های غلطی وجود دارد که از پذیرش گسترده‌تر رمزگذاری نهایی و رمزنگاری محتوا پشتیبانی می‌کنند:
رمزگذاری پرهزینه است -اگر چه رمزگذاری با هزینه‌های اضافی به دست می‌آید، باید ارزش اطلاعاتی را که محافظت می‌کند، وزن دهیم. هیچ کس نمی‌خواهد اقتصاد را صرف هزینه‌های هزاران دلاری کند تا اطلاعات مربوط به یک دفترچه مدیر عامل شرکت را حفظ کند که ممکن است میلیون‌ها دلار ارزشمند باشد. علاوه بر این، هزینه رمزگذاری در طول زمان با استفاده از الگوریتم‌های کارآمد توسعه یافته است.
استانداردها و قوانین اطلاعات حفاظت را تضمین می‌کند - مهم نیست که کدام استانداردها یا قوانین سختگیرانه هستند، ما هنوز انسان هستیم. انسانها مستعد ابتلا به بیماری هستند و ممکن است غفلت کنند. این به خصوص برای مدیرعامل است که در هر روز از هفته در هوا بوده است. علاوه بر این، استانداردهای داخلی و قوانین نمی‌توانند مانع از سرقت فیزیکی توسط احزاب خارجی شوند.
رمزگذاری نیاز به ذخیره گرانشی دارد - با توسعه الگوریتم‌های رمزنگاری جدیدتر و کارآمد‌تر، نیازهای ذخیره سازی برای رمزگذاری کاهش یافته است. علاوه بر این، با پیشرفت تکنولوژی‌های نگهدارنده، هزینه ذخیره سازی واحد کاهش یافته است و این نکته جزئی است.
رمزگذاری عملکرد را کاهش می‌دهد - درست است که رمزگذاری استفاده از قدرت پردازش و اعمال مجازات عملکرد است. با این حال، با در دسترس بودن شتاب دهنده‌های رمزنگاری مبتنی بر سخت افزار، رمزگذاری می‌تواند همزمان انجام شود بدون تاثیر مادی در حجم کار تجاری. علاوه بر این، با توسعه الگوریتم‌های کارآمد‌تر، کلید‌هایی با طول کمتری می‌توانند رمزگذاری مشابه یا حتی بهتر را از قبل ارائه دهند. در اغلب موارد عملکرد با استفاده از رمزگذاری مجاز نیست از 5٪ تجاوز کند.
دادرسی قانونی
در زمینه پزشکی قانونی، تمرکز اصلی این است که توانایی شناسایی معتبر را ایجاد کنیم و شواهد قانونی را ارائه دهیم. صرف نظر از اینکه چگونه سیستم‌های حفاظت ما پیشرفته هستند، یک سیستم قانونی خوب برای تشخیص دقیق و اقدامات موثر بعدی لازم است. بدون داشتن معیار قانونی مناسب، ممکن است توانایی شما برای انجام اقدامات اصلاحی مانند اعمال مجوز یا گزارش دهی به مقامات، به شدت محدود شود. اشتباه رایج این است که فکر کنید دسترسی به مسدود کردن نیاز به یک سیستم قانونی خوب را از بین می‌برد.
سه نقطه ضعف رایج در پزشکی قانونی عبارتند از:
ثبت نام نارسا
اکثر شرکت‌ها محتوای اطلاعاتی را که از طریق removablestorage و ایمیل مبتنی بر وب ارسال می‌شوند وارد نمی‌کند. بسیاری از سازمانهای سازماندهی شده با اعتماد به کاربران خود اطلاعات حساس را از بین نمیبرند.
استفاده نادرست از شواهد دیجیتال
این نگران کننده نیست، زیرا اکثر متخصصان امنیت اطلاعات، در روش‌هایی که شواهد قانونی را ارائه نمی‌دهند و در مورد نحوه رسیدگی به شواهدی که در آن جمع آوری شده، آموزش دیده نیستند. مهم نیست که سیستم چگونه در تشخیص دقیق است، شواهدی که نامناسب شده‌اند، بی‌فایده هستند.
مدیریت ناخالص موارد
اغلب ،افزایش اطلاعات نشتی به درستی مدیریت نمی‌شود. بیشتر سازوکارها، به ویژه در آسیا، راه‌های افزایش انحصاری برای سوت زنها را فراهم نمی‌کنند. مثال‌هایی شامل هشدار زودهنگام از عاملان و عدم ناشناس بودن برای سوت زن است.
یک سیستم جامع ILDP باید قابلیت‌های قانونی خوبی در شبکه و سطح پایانی داشته باشد. برای سطح شبکه، عدالت قانونی سیستم ILDP باید منفعل و در یک شبکه خارج از باند (OOB) اجرا شود. این باید قادر به انجام تجزیه و تحلیل ترافیک شبکه‌های بزرگ و نه تنها یک "تخلیه بی‌حوصله" باشد. چالش‌های واضح در پرونده‌های مبتنی بر شبکه در حجم زیادی از داده‌ها و حضور ترافیک شبکه رمز شده‌اند. برای سطح پایانی، جزء قانونی باید غیرفعال باشد و توسط کاربران قابل شناسایی نیست. در مقایسه با راه حل قانونی مبتنی بر شبکه، مزایای یک راه حل قانونی پایانی شامل توانایی نظارت بر اجرای برنامه‌های غیر مجاز و گرفتن اطلاعات قبل از رمزگذاری در شبکه می‌باشد.
تین کلاینت
تین کلاینت می‌توانند برای رسیدن به امنیت پایدار بیشتر مورد استفاده قرار گیرند. بعضی از تین کلاینت بدون ذخیره سازی محلی می‌آیند، تعداد رسانه‌های ذخیره سازی را کاهش می‌دهند تا محافظت شوند. دیگران با فضای ذخیره سازی محلی قفل شده باعث جلوگیری از تغییرات هر گونه محتویات محلی می‌شوند. با این حال، برای بعد، رمزگذاری نهایی نیز باید برای حفاظت جامع درنظر گرفته شود.
استفاده از تین کلاینت نیاز به نوعی از محیط محاسباتی سرور مرکزی دارد که به شما این امکان را می‌دهد تا نشت اطلاعات را از نقاط متمرکز نظارت و شناسایی کنید. بنابراین، با تین کلاینت می‌توانید محیط زیست ادارات یا شعبه‌های دور افتاده را مدیریت کنید تا نشت اطلاعات را شناسایی و از آن جلوگیری کنید.
در نهایت، اکثر، تین کلاینت با قابلیت قفل کردن پشتیبانی خود از دستگاه‌های ذخیره سازی خارجی، از این طریق، به طور موثر، جلوگیری از نشت از طریق دستگاه‌های خارجی می‌آیند.
مدیریت هویت
مدیریت هویت بسیار مهم است. تمام اجزاء بالا اگر هویت کاربر به سرقت رفته و مورد سوء استفاده قرار گیرند، شکست خواهد خورد. با تایید صحت، اعتبار و حسابرسی مناسب، مدیریت هویت به جلوگیری از سرقت هویت کمک می‌کند. با مدیریت مناسب هویت، می‌توانید به موقع مدیریت هویت در سیستم‌های بحرانی در سازمان خودتان را بدست آورید. چند بار که ما از حساب کاربری یتیم شده باقی مانده در سیستم‌های بحرانی بعد از اینکه کاربران از سازمان خارج شدند، شنیده‌ایم؟ به موقع بودن مهم است زیرا هر حساب کاربری استفاده نشده امکان دسترسی به اطلاعات و نشت اطلاعات را فراهم می‌آورد.
همراه با تایید هویت امن و غیر قابل قبول، مدیریت هویت می‌تواند یک رویکرد خودکار و خودکفا برای مدیریت رمز عبور باشد که به نوبه خود می‌تواند به کاهش فرصت‌های مهندسی اجتماعی و سرقت هویت‌ها کمک کند.