آگاهی از امنیت اینترنت

**آگاهی از امنیت اینترنت** یا **آگاهی از امنیت سایبری** به میزان دانشی گفته می‌شود که کاربران نهایی دربارهٔ تهدیدهای امنیت سایبریِ پیشِ‌روی شبکه‌های خود، خطراتی که ممکن است ایجاد کنند، و شیوه‌های درست کاهش خطرات امنیتی برای هدایت رفتارشان دارند. کاربران نهایی معمولاً به‌عنوان ضعیف‌ترین حلقه و اصلی‌ترین آسیب‌پذیری در یک شبکه در نظر گرفته می‌شوند.از آنجا که کاربران نهایی یکی از مهم‌ترین عوامل آسیب‌پذیری هستند، به‌کارگیری راهکارهای صرفاً فنی برای بهبود امنیت کافی نیست. سازمان‌ها می‌توانند با تمرکز بر کاهش ریسک عامل انسانی (کاربران نهایی) سطح امنیت خود را افزایش دهند. این هدف می‌تواند از طریق ارائهٔ راهنماها و بهترین شیوه‌های امنیتی برای افزایش آگاهی کاربران از امنیت سایبری تحقق یابد. همچنین می‌توان کارکنان را دربارهٔ تهدیدهای رایج و روش‌های پیشگیری از آن‌ها یا کاهش پیامدهایشان آموزش داد.

## آگاهی، آموزش و پرورش در حوزه امنیت سایبری
یک برنامهٔ کاهش ریسک امنیت سایبری برای کاربران نهایی می‌تواند از ترکیبی از چندین رویکرد، از جمله **آگاهی از امنیت سایبری**، **آموزش امنیت سایبری** و **آموزش رسمی امنیت سایبری** تشکیل شود. بر اساس  و با اقتباس از آن، جدول زیر مقایسه‌ای میان این رویکردها ارائه می‌دهد.

## تهدیدها
**[[Threat (computer)|عاملان تهدید]]** یا **بازیگران تهدید** به افرادی یا گروه‌هایی گفته می‌شود که تهدیدهای امنیتی را ایجاد می‌کنند و معمولاً ساده‌ترین راه برای دسترسی به یک شبکه را جست‌وجو می‌کنند؛ راهی که اغلب همان **عامل انسانی** است.

**[[مهندسی اجتماعی (امنیت)|مهندسی اجتماعی]]** به وضعیتی گفته می‌شود که در آن فردی با استفاده از داستانی قانع‌کننده، سوءاستفاده از جایگاه قدرت یا روش‌های مشابه، تلاش می‌کند شخصی را متقاعد کند اطلاعات حساس، مانند نام‌های کاربری و گذرواژه‌ها، را در اختیار او قرار دهد. کاربری که از آگاهی امنیت سایبری برخوردار باشد، توانایی شناسایی این‌گونه حملات را خواهد داشت و این امر توانایی او را در اجتناب از آن‌ها افزایش می‌دهد.

'''ترس افزار (Scareware)''' نوع دیگری از ترفندهای **[[مهندسی اجتماعی (امنیت)|مهندسی اجتماعی]]** است که با نمایش یک هشدارِ پاپ‌آپ تلاش می‌کند با اعلام آلوده شدن رایانهٔ کاربر به ویروس یا هک شدن آن، حس فوریت و ترس ایجاد کند. این هشدار معمولاً از کاربر می‌خواهد با کلیک روی پیوند مربوطه، اطلاعاتی را وارد کند یا نرم‌افزاری را برای رفع مشکل دانلود نماید؛ در حالی که در واقع، همین اقدام موجب به خطر افتادن دستگاه کاربر می‌شود. پیامدهای این نوع حمله می‌تواند از سرقت داده‌های حساس از دستگاه کاربر، جلوگیری از دسترسی به برخی فایل‌ها، تغییر تاکتیک مهندسی اجتماعی به **[[باج‌افزار]]**، یا وادار کردن کاربر به ارائهٔ اطلاعات کارت اعتباری برای تأیید تراکنش‌های جعلی متغیر باشد.

**[[فیشینگ]]** نوعی از مهندسی اجتماعی است. این حمله یکی از روش‌های رایج به‌شمار می‌رود که در آن تلاش می‌شود کاربران با فریب، ترغیب به کلیک روی یک پیوند درون یک رایانامه یا یک وبگاه شوند تا در نهایت اطلاعات حساس خود را افشا کنند. این نوع حمله معمولاً بر ارسال انبوه رایانامه‌ها و هزینهٔ اندک ارسال پیام‌های فیشینگ متکی است. اگرچه تنها تعداد کمی از اهداف فریب می‌خورند، اما به دلیل گستردگی تعداد افراد هدف‌گرفته‌شده، این روش همچنان به‌عنوان یک بردار حملهٔ سودآور محسوب می‌شود.

**[[فیشینگ|فیشینگ هدفمند]]** (*Spear phishing*) نوعی ایمیل فیشینگ است که به‌طور خاص برای یک فرد مشخص طراحی و ارسال می‌شود و ممکن است برای گیرنده کاملاً معتبر به نظر برسد. این روش شکلی از فیشینگ محسوب می‌شود، اما به دلیل شخصی‌سازی پیام، متقاعدکننده‌تر بوده و نسبت به فیشینگ سنتی احتمال موفقیت بالاتری دارد. اجرای این نوع حمله می‌تواند از فرایندهای انبوه و خودکار آغاز شود؛ برای مثال، دسترسی به دفترچهٔ نشانی یک قربانی پیشین و ارسال پیام‌های سادهٔ فیشینگ به مخاطبان او (به‌گونه‌ای که پیام‌ها از سوی یک آشنای قبلی به نظر برسند)، تا ارتباطات پیچیده‌تر و به‌صورت دستی‌نوشته‌شده برای هدف‌گیری گیرندگان خاص را در بر گیرد.

**ویشینگ** یا **[[فیشینگ صوتی]]** (*Voice phishing*) نوعی از مهندسی اجتماعی است که در آن افراد از طریق خطوط تلفن ثابت سنتی، سامانه‌های تلفنی (مانند ), سامانه‌های خودکار تبدیل متن به گفتار، یا دیگر شکل‌های ارتباط صوتی مورد تماس قرار می‌گیرند تا با فریب، اطلاعات حساسی مانند داده‌های کارت اعتباری را افشا کنند.

**[[فیشینگ|اسمیشینگ]]** یا فیشینگ پیامکی نوعی مهندسی اجتماعی است  که از پیامک یا پیام‌های متنی به عنوان ابزاری برای فریب کاربران نهایی و افشای اطلاعات حساس استفاده می‌کند.

**[[Tailgating|تعقیب و گریز (Tailgating)]]** نوعی حملهٔ مهندسی اجتماعی در حوزهٔ **[[امنیت فیزیکی]]** است که در آن فردی غیرمجاز، بدون آگاهی کاربر مجاز، با دنبال کردن او به یک مکان، موفق به دسترسی به آن محل می‌شود. 

حمله پیگی‌بکینگ ('''Piggybacking)''' یک حمله مهندسی اجتماعی در حوزه امنیت فیزیکی است که در آن فرد غیرمجاز می‌تواند با اطلاع و اجازه کاربر مجاز، پشت سر او وارد یک مکان شود و به آن دسترسی پیدا کند. 

**[[بدافزار]]** نرم‌افزاری است که با سوء‌نیت ساخته و استفاده می‌شود. این دسته شامل انواع مختلفی از نرم‌افزارها است، از جمله ویروس‌ها، تروجان‌ها، کرم‌ها، روت‌کیت‌ها، جاسوس‌افزارها و کریپتو-جکینگ، اما به این موارد محدود نمی‌شود. 

**[[باج‌افزار]]** تهدیدی دیگر در حوزه سایبری است که حملات آن بر روی سیستم کامپیوتری انجام می‌شود، اما اغلب ناشی از حمله مهندسی اجتماعی است.این نوع بدافزار داده‌ها را رمزگذاری کرده و آن‌ها را برای گرفتن باج نگه می‌دارد، امری که می‌تواند کل سیستم کامپیوتری را فلج کند.

حملات مبتنی بر '''اینترنت اشیا''' (IoT) شکلی از تهدیدات سایبری در قرن ۲۱ و پس از آن هستند که از آسیب‌پذیری‌های دستگاه‌های جاسازی‌شده در وسایل مختلف مانند خودروها، یخچال‌ها و بلندگوها یا دستیارهای دیجیتال هوشمند سوء‌استفاده می‌کنند.

**[[Insider threat|تهدیدات داخلی]]** در امنیت سایبری، خطراتی امنیتی هستند که از سوی افراد درون یک سازمان، مانند کارکنان یا پیمانکاران، ایجاد می‌شوند و به سیستم‌ها و داده‌های آن سازمان دسترسی دارند.      این تهدیدات می‌توانند شامل سرقت داده، خرابکاری، تقلب یا جاسوسی باشند و به دلیل دانش و دسترسی داخلی فرد، خطر قابل توجهی ایجاد می‌کنند.  

## مباحث
در برنامه کاهش ریسک امنیت سایبری برای کاربران نهایی، رویکردهای مختلفی وجود دارد (به جدول بالا مراجعه کنید). هرچند این مقاله بر آگاهی‌بخشی در زمینه امنیت سایبری تمرکز دارد، موضوعات زیر نیز می‌توانند برای آموزش و آموزش تخصصی امنیت سایبری مورد استفاده قرار گیرند.

همان‌گونه که در جدول فوق نشان داده شده است، روش‌های گوناگونی برای ارائهٔ آموزش آگاهی‌رسانی در حوزهٔ امنیت سایبری وجود دارد.از جملهٔ این روش‌ها می‌توان به استفاده از پوسترها، راهنماها و نکات آموزشی و همچنین ویدئوها و خبرنامه‌ها اشاره کرد. برخی از موضوعات ممکن در زمینهٔ آگاهی‌رسانی امنیت سایبری، بر اساس منابع ، شامل موارد زیر است، هرچند به این موارد محدود نمی‌شود.

**[[نرم‌افزار ضدویروس|محافظت ضد بدافزار (Anti-Malware Protection):]]**ضد بدافزار گاهی با عنوان ضدویروس نیز شناخته می‌شود. این نوع نرم‌افزار برای محافظت از سامانه‌ها در برابر نرم‌افزارهای مخرب به‌کار می‌رود و از طریق پیشگیری، شناسایی و حذف بدافزارها عمل می‌کند. از جمله بدافزارهای رایج می‌توان به ویروس‌های رایانه‌ای، باج‌افزارها، روت‌کیت‌ها، اسب‌های تروجان و کرم‌ها اشاره کرد. راهنماهای آگاهی‌رسانی به کاربران نهایی در حوزهٔ امنیت شامل اسکن دستگاه‌ها برای شناسایی بدافزار و به‌روزرسانی تعاریف (امضاهای) نرم‌افزارهای ضد بدافزار است.

**[[:رده:Data protection|حفاظت از داده‌ها]] و [[حریم خصوصی اطلاعاتی|حریم خصوصی]] :** انواع مختلفی از داده‌ها وجود دارند که ممکن است ملزم به محافظت از افشای غیرمجاز باشند، از جمله اطلاعات شخصی قابل شناسایی (PII)، اطلاعات سلامت محافظت‌شده (PHI)، مالکیت معنوی (IP) و سایر اطلاعات حساس. دستورالعمل‌های آگاهی‌بخشی امنیتی شامل آموزش‌های مربوط به طبقه‌بندی داده‌ها ، رمزگذاری ، ناشناس‌سازی داده‌ها و پنهان‌سازی یا مبهم‌سازی داده‌ها می‌شود. مجوزها و اینکه چه کسی می‌تواند به داده‌ها دسترسی داشته باشد، که شامل اشتراک‌گذاری فایل از طریق پیوست‌های ایمیل می‌شود، از جمله موارد حفاظتی اضافی هستند که می‌توانند مورد بحث قرار گیرند. یکی دیگر از کنترل‌های حفاظت از داده‌ها که می‌تواند گنجانده شود، پشتیبان‌گیری از داده‌ها است  زیرا در صورت عدم دسترسی به نسخه اصلی، می‌توان آن را بازیابی کرد.

**[[Device management|مدیریت دستگاه]] :** شامل دانستن نحوه محافظت از دستگاه‌های تلفن همراه و رایانه‌ها است. مدیریت دستگاه همچنین به امنیت مربوط به استفاده از دستگاه شخصی ( BYOD ) مربوط می‌شود. دستورالعمل‌های آگاهی‌بخشی امنیتی شامل رمزگذاری ، محافظت از سیستم با رمز عبور ، پین یا احراز هویت چند عاملی و سایر اشکال اعتبارنامه است. نکات آگاهی‌بخشی بیشتر شامل دانلود، نصب و بررسی برنامه‌ها توسط کاربران نهایی و مجوزهای درخواستی از منابع ناشناخته است.   طبق گفته  نکته آگاهی‌بخشی دیگر، خواندن نظرات و بررسی‌های مربوط به برنامه قبل از نصب آن است. علاوه بر این، استفاده از WIFI عمومی یکی دیگر از نکات مورد بحث است.  مدیریت دستگاه همچنین به حفظ موجودی دقیق دارایی‌ها از زمان خرید تا زمان واگذاری مربوط می‌شود. این شامل دانستن زمان پاک کردن دستگاه و ضدعفونی کردن رسانه است.

'''واکنش به حادثه''' **:** حادثه، هر رویداد قابل مشاهده با نیت مخرب است. دستورالعمل‌های آگاهی‌بخشی امنیتی برای کاربران نهایی شامل این موارد است: چه نوع رویدادهایی مشکوک یا مخرب تلقی می‌یبذشوند، در صورت وقوع حادثه با چه کسی باید تماس گرفته شود و در صورت وقوع حادثه چه اقداماتی باید انجام شود. 

**[[:en:Internet_of_things|امنیت اینترنت اشیا (Internet of Things Security):]]**اینترنت اشیا به دستگاه‌های دارای قابلیت کنترل از راه دور و با منابع محدود اطلاق می‌شود که به تراشه‌های حسگر تعبیه‌شده مجهز هستند و با افراد و اشیا تعامل دارند تا داده‌ها را جمع‌آوری کرده و برای تحلیل‌های بیشتر، با هدف شخصی‌سازی و سفارشی‌سازی تجربهٔ کاربر، به منابع راه‌دور در اینترنت ارسال کنند. این دستگاه‌ها شامل، اما نه محدود به، بلندگوهای هوشمند، دستگاه‌های پوشیدنی مانند ساعت هوشمند، دوربین‌های نظارتی، چراغ‌ها، قفل‌های در، ترموستات‌ها، لوازم خانگی و خودروها هستند. راهنماهای امنیتی شامل نگهداری فهرست دارایی‌ها، مدیریت و کنترل وصله‌ها (به‌روزرسانی‌ها) و تغییر داده‌های اعتباری (نام کاربری و گذرواژه) پیش‌فرض است.

**[[گذرواژه|مدیریت رمز عبور]] :** رمز عبور رشته‌ای از کاراکترهای مخفی است که برای تأیید اعتبار حساب کاربری استفاده می‌شود. دستورالعمل‌های آگاهی‌بخشی امنیتی، الزاماتی را برای ایجاد یک رمز عبور یا عبارت عبور قوی ، تعداد دفعات تغییر رمزهای عبور و نحوه محافظت از رمزهای عبور ارائه می‌دهند.  علاوه بر این، دستورالعمل‌ها لزوم تغییر همه رمزهای عبور پیش‌فرض و عدم به اشتراک گذاشتن رمزهای عبور با دیگران را پیشنهاد می‌کنند.  گزینه‌های حفاظتی اضافی می‌تواند شامل آگاه‌سازی کاربران نهایی در مورد استفاده از احراز هویت چند عاملی ، مدیران رمز عبور و آگاهی از تهدیدات مختلف مرتبط با رمز عبور مانند شکستن رمز عبور باشد.

'''وصله‌گذاری:''' تغییرات نرم‌افزاری و سیستمی برای به‌روزرسانی، بهبود یا رفع نقاط ضعف معمولاً از طریق یک وصله منتشر می‌شوند. دستورالعمل‌های آگاهی‌بخشی امنیتی شامل نصب به موقع وصله‌های امنیتی  و همچنین اجرای ارزیابی آسیب‌پذیری و مدیریت آسیب‌پذیری است.

**[[رسانه‌های جداشدنی|رسانه‌های قابل جابجایی]] :** دستگاه‌های ذخیره‌سازی هستند که می‌توانند به یک کامپیوتر در حال اجرا اضافه یا از آن جدا شوند، مانند سی‌دی، دی‌وی‌دی، کارت‌های SD قابل جابجایی و درایوهای USB (از جمله فلش مموری‌ها، فلش مموری‌ها، هارد دیسک‌های اکسترنال). دستورالعمل‌های آگاهی‌بخشی امنیتی شامل رمزگذاری درایو و پیروی از سیاست‌ها و دستورالعمل‌های ارائه شده در سطح سازمانی در مورد استفاده از رسانه‌های قابل جابجایی شخصی در سیستم‌های سازمانی است. 

**[[Safe Web Browsing|مرور امن وب]] :** دستورالعمل‌های آگاهی‌بخشی امنیتی در مورد مرور ایمن سازی وب‌سایت‌ها شامل جستجوی نماد قفل در نوار آدرس اینترنتی (URL) قبل از وارد کردن اطلاعات حساس مانند اطلاعات کاربری، اطلاعات کارت اعتباری یا اطلاعات شخصی قابل شناسایی است.  یکی دیگر از نشانه‌های بصری، "https" است که در آدرس وب منعکس می‌شود.  قفل و "https" نشان می‌دهند که اطلاعات وارد شده در حین انتقال داده‌ها ایمن خواهند بود.  همچنین درک این نکته بسیار مهم است که اتصال معتبر TLS ("https" / قفل) نشان دهنده قابل اعتماد بودن نیست زیرا افراد مخرب نیز از اتصالات امن استفاده می‌کنند. در نهایت، می‌توان راهنمایی‌هایی را برای تنظیم گزینه‌های حریم خصوصی در مرورگر یا استفاده از گزینه ناشناس برای محدود کردن اطلاعات به اشتراک گذاشته شده به اشتراک گذاشت.  یک دستورالعمل دیگر، در نظر گرفتن استفاده از یک شبکه خصوصی مجازی (VPN) است. 

**[[مهندسی اجتماعی (امنیت)|مهندسی اجتماعی]]** شامل تعامل با انسان‌ها به امید افشای اطلاعات حساس توسط آن‌ها است.  دستورالعمل‌های آگاهی‌بخشی امنیتی شامل عدم باز کردن ایمیل‌های مشکوک از فرستنده‌های ناشناس، عدم کلیک بر روی لینک‌های مشکوک در ایمیل‌ها یا وب‌سایت‌ها، عدم باز کردن پیوست‌های پیامکی، عدم افشای اطلاعات و عدم پاسخ به ایمیل‌ها یا مخاطبین مشکوک ارائه شده در آن‌ها می‌شود.  

## کمپین‌های آگاهی‌بخشی عمومی در حوزه امنیت سایبری
**آموزش و آگاهی‌بخشی امنیت سایبری:**برای جامعهٔ مدرن حیاتی است، زیرا افراد را قادر می‌سازد تا در برابر تهدیدات سایبری از خود دفاع کنند و در عین حال مسیرهای شغلی حوزهٔ امنیت سایبری را بررسی نمایند. این آموزش‌ها ماهیتی میان‌رشته‌ای دارند و حوزه‌های گوناگونی را دربر می‌گیرند تا جامعه را برای دشواری‌های آینده آماده ساخته و از منابع محافظت کنند. پژوهش‌ها دربارهٔ آموزش آگاهی امنیت سایبری نتایج ناهمگونی را نشان می‌دهند؛ به‌طوری که برخی مطالعات حاکی از اثربخشی محدود آن هستند و کارشناسان طرفدار سفارشی‌سازی برنامه‌های آموزشی برای افزایش سطح آگاهی هستند. کمپین‌های عمومی متعددی برای افزایش آگاهی امنیت سایبری وجود دارند که از جمله می‌توان به موارد زیر اشاره کرد:

در سال ۲۰۰۴، دولت فدرال ایالات متحده آمریکا از طریق رئیس‌جمهور این کشور اعلام کرد که ماه اکتبر به عنوان ماه ملی آگاهی‌بخشی امنیت سایبری تعیین خواهد شد. هدف از اختصاص این ماه، افزایش آگاهی در مورد رایج‌ترین تهدیدات امنیت سایبری و ترویج روش‌های پایه‌ای برای پیشگیری از آن‌هاست. این ابتکار بر پایه همکاری بخش خصوصی و دولتی و تبادل تخصص میان آن‌ها شکل گرفته و با هدف ایجاد فضای دیجیتال امن‌تر طراحی شده است.

**ماه آگاهی‌رسانی امنیت سایبری مایکروسافت:** مایکروسافت در بیستمین سالگرد تأسیس خود در سال 2023، با اتحاد ملی امنیت سایبری و CISA همکاری کرد تا بهترین شیوه‌های امنیت سایبری را در سطح جهانی تقویت کند. تمرکز آنها شامل آموزش سازمان‌ها در مورد احراز هویت چند عاملی، به‌روزرسانی نرم‌افزار، تشخیص فیشینگ و بررسی تنظیمات حریم خصوصی است. مایکروسافت همچنین منابعی را برای مشاغل کوچک و متوسط که اغلب در برابر حملات باج‌افزاری آسیب‌پذیر هستند، فراهم می‌کند. 

**ماه آگاهی‌بخشی امنیت سایبری NIST:** در سال ۲۰۲۳، مؤسسه ملی استاندارد و فناوری ایالات متحده (NIST) بر چهار رفتار کلیدی تأکید کرد: (۱) فعال‌سازی احراز هویت چندعاملی، (۲) استفاده از گذرواژه‌های قوی و مدیران گذرواژه، (۳) به‌روزرسانی نرم‌افزارها، و (۴) شناسایی و گزارش حملات فیشینگ این رویداد سالانه که از سال ۲۰۰۴ هر اکتبر برگزار می‌شود، بخشی از یک تلاش مشترک برای ارائه منابع و افزایش آگاهی درباره امنیت سایبری است تا تاب‌آوری ملی در برابر حوادث سایبری را بهبود بخشد.

ماهیت آموزش آگاهی‌بخشی امنیت سایبری حاکی از آن است که این فرآیندی مستمر است، که عمدتاً به این دلیل است که بردارهای تهدید یا روش‌ها و مسیرهایی که هکرها از طریق آن‌ها به سیستم‌ها حمله می‌کنند پیوسته در حال تکامل هستند.با پیچیده‌تر شدن تهدیدات سایبری، راهبردها و دانش مورد نیاز برای دفاع در برابر آن‌ها نیز باید پیشرفت کنند. آموزش و سازگاری مستمر برای همگامی با چالش‌های امنیتی جدید ضروری است. این دیدگاه همسو با این درک است که تا زمانی که فناوری پیشرفت می‌کند و بیش‌تر در زندگی روزمره ادغام می‌شود، نیاز به آگاهی و آموزش به‌روز امنیت سایبری حیاتی باقی خواهد ماند. [نیازمند منبع] انصاری و همکاران (۲۰۲۲) از آموزش آگاهی‌بخشی امنیت سایبری مبتنی بر هوش مصنوعی در فضای سایبری بهره بردند.

## همچنین ببینید

* استانداردهای امنیت سایبری
* جرایم سایبری
* اقدام متقابل (کامپیوتر)
* مهندسی اجتماعی (امنیت)
* بدافزار

## منابع
رده:جرم‌های سایبری
رده:جنگ سایبری
رده:اداره اطلاعات
رده:امنیت اینترنت