بلوغ شرکت های بزرگ ایرانی، باعث جذب هکرها شده است - تور آلمان ارزان

یاشار شاهین زاده یک هکر کلاه سفید است. به این معنی که او به عنوان یک متخصص امنیت کامپیوتر آغاز می نماید به تست و ارزیابی امنیت یک شبکه. راه حل تست هم از جانب او و کسانی که مانند او هستند، سعی در هک کردن سیستم مورد نظر است.

اگر بتوان به سرورها نفوذ کرد، نشان می دهد امنیت سیستم موردنظر پایین است. این نوع هکرها از مهارت های خود برای برقراری بیشتر امنیت و مبارزه با هکرهای کلاه سیاه استفاده می نمایند. هدف آن ها حفظ امنیت است.

این جوان 29ساله روز دوشنبه در گفت و گوی اختصاصی با خبرنگاران، به شدت دریافت حملات به سرور کسب و کارهای ایرانی اشاره نمود و گفت: تمام شرکت های بزرگ جهان، توسط هکرها مورد حمله قرار می گیرند.

وی اضافه کرد: این که چرا در گذشته تعداد این حملات به سرورهای ایرانی کم بود و الان شدت گرفته، یک دلیل دارد: شرکت های ایرانی قبلا این قدر بزرگ نبودند که بتوانند توجه هکرها را به خودشان جلب نمایند. به همین دلیل بیشتر اخبار هک شدن را می شنیدیم تا این که شرکت های ایرانی با آن درگیر شوند.

اما در حال حاضر شرکت های بزرگی در ایران وجود دارند که تا حد زیادی به بلوغ رسیده اند. در سیستم کاری آن ها پول قابل توجهی وجود دارد و حمله های اخیر نشان می دهد توجه هکرهای جهان به این سمت جلب شده است.

یکی از شرکت های خارجی که با تمام اقداماتی که در جهت امنیت خود انجام داده چند ماه قبل مورد حمله هکرها نهاده شد، شرکت حمل و نقل اوبر است. شاهین زاده در این خصوص گفت: چند ماه قبل تعدادی هکر با نفوذ به سیستم اوبر، تعدادی از فایل های آن ها را قفل کردند و داخل آن ها بدافزار گذاشتند.

این هکرها از شرکت اوبر درخواست 200 هزار دلار بیت کوین کردند و این شرکت نیز مجبور به پرداخت شد. حالا اگر شرکت های ایرانی به ثروت و گردش اقتصادی برسند که توان پرداخت حتی یک چهارم این مبلغ را به هکرها داشته باشند، قطعا توجه بیشتری به سمت شان جلب خواهد شد. مطمئنا شرکت ها برای این که زنده بمانند، تن به انجام چنین کاری می دهند.

وی اضافه کرد: به واسطه بزرگ شدن شرکت ها، تامین امنیت آن ها نیز هر روز سخت تر از قبل می گردد. دلیلش هم اضافه نموده شدن روزانه چندصد کاربر و چندین سرور و دیتابیس است. این حجم زیاد را نمی توان به سادگی کنترل کرد. درست همین جاست که احتیاج به تکنولوژی های خاص و جدید هر روز بیشتر از گذشته می گردد.

او در ادامه گفت: تقریبا در ایران مدیر امنیتی که بتواند امنیت شرکت های بزرگ را تامین کند، نداریم. ممکن است یک نفر برای شرکت کوچک هر نوع امنیتی را تامین کند و سیستم هایش غیر قابل نفوذ باشد، اما زمانی که شرکت بزرگ گردد و هزار کارمند و چند میلیون کاربر داشته باشد، قطعا کار سخت تر است. از آن جایی که ما شرکت های میلیون دلاری و میلیارد دلاری نداشته ایم، مدیر امنیتی با این میزان تخصص نیز نداریم.

او اظهار کرد: نفوذهای سطح بالا معمولا در شرکت های خصوصی اتفاق می افتد و مجموعه های دولتی برای هدف اصلی هکرها که دریافت پول است، هک نمی شوند مگر این که هدف هکر، چیزی غیر از پول باشد.

یاشار شاهین زاده در ادامه به مسئله باگ باونتی اشاره می نماید و درباره اینکه برگزاری آن در کشور ما چقدر می تواند تاثیرگذار باشد می گوید: مدتی قبل بین مسئولان سازمان فناوری و همراه اول، صحبت از باگ باونتی مطرح شد اما تا الان به نتیجه نرسیده است.

او در ادامه گفت: بیگ باونتی به این معناست که شرکتی به عنوان واسط یا خود هکرها وارد میدان می شوند. سازمان های مختلف که احتمال وجود آسیب پذیری امنیتی یا نفوذ هکر در بدنه امنیتی شان می رود، اعلام می نمایند که احتیاج دارند فردی امنیت شرکت شان را تست کند.

از آن سمت هکرهای کلاه سفید یا بچه های امنیت کار که با این شرکت ها همکاری دارند، آغاز می نمایند به پیدا کردن باگ یا بهتر بگویم پیدا کردن آسیب پذیری امنیتی آن سازمان. آن ها بعد از پیدا کردن آسیب پذیری، مبلغی را به عنوان جایزه دریافت می نمایند تا برای ادامه فعالیت های خود انگیزه داشته باشند.

شاهین زاده اضافه کرد: من مدتها فیسبوک و توئیتر را دنبال کردم، این دو سایت خیلی مورد حمله هکرها قرار نمی گیرند چرا که آن ها باگ باونتی برگزار می نمایند و تقریبا تمام هکرها از سراسر جهان، تیم امنیتی این دو شرکت را تشکیل می دهند.

او به نکته جالب دیگری هم اشاره نمود: البته ممکن است این سوال پیش بیاید که چرا شرکتی مانند اوبر که اتفاقا باگ باونتی نیز برگزار نموده اما دوباره مورد نفوذ هکرها نهاده شده است؟ ماجرای حمله به شرکت هایی مانند اوبر این است که آن ها مورد حملات سایبری APT قرار می گیرند. یک نوع حمله خاص که معمولا توسط دولت ها پشتیبانی می شوند. برای این قبیل حملات از تکنیک هایی مانند حملات مهندسی اجتماعی استفاده می گردد. به این شکل که یک نفر با کارمند آن شرکت مورد نظر آشنا می گردد و به طرق مختلف از او می خواهد روی سیستم کاری اش فایلی را اجرا (Run) کند.

او در مورد راه حل این نوع حملات گفت: برای دفع کردن چنین حملاتی راه سختی پیش روی شرکت ها و تیم های فنی شان است. برای این دست حملات احتیاج به Red team pentest است. یک تیم قوی که در واقع، کارمندان یک مجموعه را امن می نمایند. شرکت های ایرانی کارمندان زیادی دارند، هر چقدر هم روی سیستم امنیتی و فنی شان کار نمایند، ممکن است نا امن بودن یک کارمند، مجموعه شان را به خطر بیندازد.

او در مورد این که شرکت های ایرانی که حال بلوغ و بزرگ شدن هستند باید چه راستای را در پیش بگیرند تا از لطمه هکرها در امان باشند، گفت: تا جایی که من می دانم، بعضی شرکت ها در حال حاضر تصمیم دارند ماجرای باگ بانتی را به مرحله اجرا درآورند. زمانی که یکی دو شرکت این کار را انجام دهند، قطعا بقیه شرکت های بزرگ برای تامین امنیت شان به آن ها می پیوندند.

اما این ابتدای راستا است، همزمان با این کار باید کارمندان مجموعه ها نیز امن شوند. شعاری در کشور ما وجود دارد که می گوید بهترین درمان، پیشگیری است. شرکت های ایرانی باید قبل از این که حملات سایبری به مجموعه شان در دسته حملات APT جای بگیرد، امن بودن کارمندان را در دستور کار قرار بدهند.

ماجرای دیگری که در این قبیل هک شدن ها شاهد آن بودیم، تکذیب و تاییدهای بی ثمر شرکت ها بود. شاهین زاده می گوید یک حرکت اشتباه پس از هک شدن، ممکن است اعتماد کاربران را برای همواره از بین ببرد: زمانی که اتفاقات این چنین رخ می دهد، شرکت ها باید واقعیت را بگویند. نه کم، نه زیاد. یک شرکتی که مورد نفوذ نهاده شده بود، پس از یک ساعت آمد و ماجرا را تکذیب کرد. چند ساعت بعد نیز مجبور به تایید شد. این در حالی است که آنالیز هک شدن یا نشدن به این سادگی نیست که بتوان در دقایق اولیه تکذیب یا تاییدش کرد.

شرکت های بزرگ جهان که با اعلام خبر هک شدن، حتی سهام شرکت شان هم افت می نماید معمولا اتفاقات این چنین را می پذیرند و عذرخواهی می نمایند. اما این روش تکذیب کردن در ابتدای انتشار اخبار این چنینی، هنوز به بقیه روش ها رجحان دارد.

او در خاتمه به قدم دیگری که باید در این شرایط برداشته گردد اشاره نمود و گفت: شرکت ها پس از این که مورد نفوذ قرار می گیرند، باید به کاربران خود ایمیل بزنند یا پیغام بفرستند و بگویند که رمز خودشان را عوض نمایند. کار ساده ای که امنیت کاربر را تامین می نماید اما من ندیده ام که شرکتی چنین کاری را انجام دهد.

علمی **9207**1485