افزایش امنیت سایت ها و جلوگیری از هک شدن آن ها

رایج ترین دلیل نفوذهای اینترنتی از طریق ضعف کدها می‌باشد و نه از طریق هاست ، سرور و یا شبکه زیرا به دلیل امینت بالای سیستم‌عامل‌ و قدرت بالای تجهیزات شبکه و فایروال ها نفوذ از طریق هاست ، سرور و یا شبکه امری غیر ممکن است.هنگامی که یک سایت مورد نفوذ قرار می‌گیرد با احتمال تقریباً ۱۰۰ به علت عدم رعایت یکی موارد ذکر شده در زیر است :

۱- در صورت استفاده از سیستم های مدیریت محتوای قدیمی مانند جوملای ۱٫۵ و یا دیگر سیستم های قدیمی احتمال هک شدن سایت شما بسیار بالا خواهد بود .
باید تمامی نرم‌افزارها و یا سیستم های مدیریت محتوای سایت خود را به آخرین نسخه به‌روزرسانی نمایید .

۲- استفاده از کدها و یا اسکریپت های ناامن و یا دارای امنیت پایین
یکی از رایج‌ترین عوامل هک شدن استفاده از کدهای ناامن می‌باشد زیرا نفوذ از طریق کد صدها برابر ساده‌تر از نفوذ از روش‌های دیگر مانند سرور ، شبکه و یا هاست می‌باشد .
از یک متخصص امنیت درخواست نمایید امنیت تمامی بخش‌های سایت شما را بررسی نماید.

۳- استفاده از ماژول ها -پلاگین ها یا کامپوننت های نا امن
معمولاً هسته (بخش مرکزی)سیستم ها دارای امنیت مناسبی می‌باشد اما ماژول‌ها ، قالب‌ها، کامپاننت ها و یا پلاگین ها دارای امنیت بسیار پایینی می‌باشد.تا حد ممکن هرگز از ماژول ، قالب ،کامپوننت و یا پلاگین اضافی بر روی سایت خود استفاده ننمایید
در صورت نیاز حتمی به استفاده از ماژول ، قالب ، کامپوننت و یا پلاگین اضافی بر روی سایت خود از بروز بودن و امن بودن آن‌ها اطمینان حاصل نمایید و هرگز از سیستم های قدیمی و یا ناامن استفاده ننمایید زیرا در آن حالت احتمال هک شدن شما تقریباً ۱۰۰ درصد خواهد بود اما به طور کل این مورد توصیه نمی‌شود.
برای تک‌تک نرم‌افزارها ، ماژول‌ها ، قالب‌ها، کامپاننت ها و پلاگین های نصب‌شده باید موارد امنیتی رعایت گردد .

۴- عدم رعایت موارد امنیتی مربوط به سیستم مدیریت محتوای مورد استفاده مورد استفاده مانند تنظیم سطح دسترسی‌ها
معمولاً یکی از رایج‌ترین عوامل هک شدن سایت های که از سیستم های مدیریت محتوای شناخته‌شده استفاده می‌نمایند عدم رعایت موارد امنیتی ارائه‌شده توسط آن نرم‌افزار می‌باشد .
تمامی سیستم های مدیریت محتوای معروف و شناخته‌شده مانند جوملا ، ورد پرس و غیره که دارای کیفیت و امنیت قابل قبولی می‌باشد دارای یک راهنمای امنیتی می‌باشد که توسط تولیدکننده ارائه‌شده است که باید در هنگام نصب و استفاده از آن نرم‌افزار تمامی موارد به صورت دقیق رعایت گردد

۵- استفاده از رمز عبور ضعیف و ساده و یا دسترسی افراد دیگر به آن  
از رمزهای عبور پیچیده برای ایمیل‌های شخصی ، ناحیه کاربری، کنترل پنل هاست ،FTP ، دیتابیس،Admin ،ایمیل‌های هاست، بخش مدیرت سایت استفاده کنید و رمزها را به صورت دوره ای تغییر دهید  و از قرار دادن رمز در اختیار اشخاص دیگر خودداری کنید .

روش‌های لو رفتن رمز عبور بسیار متعدد می‌باشند برای نمونه دیدن تایپ رمز عبور توسط شخص دیگر و حفظ کردن آن، لو رفتن توسط کارمندان و یا همکاران ناراضی، قرار دادن نرم‌افزار جاسوس بر روی کامپیوتر فرد، ساده بودن رمز عبور و پیدا کردن آن با استفاده از روش‌های bruteforce ، حدس زدن رمز عبور مانند شماره تلفن و شماره شناسنامه و یا هر نوع رمز قابل حدس دیگر.ویروس‌ها و تروجان ها، قرار دادن رمزها در محل ناامن مانند فلش دیسک یا ایمیل که در صورت لو رفتن رمز ایمیل تمام رمزهای دیگر نیز لو می روند ، مهندسی اجتماعی و ده‌ها روش دیگر که توسط نفوذگر ها مورد استفاده قرار می‌گیرد و فرد بدون اینکه خودش اطلاع داشته باشد رمزش لو رفته است و بعد ها در زمانی مناسب رمز مورد سوءاستفاده قرار می‌گیرد.
کامپیوتر شخصی خود را بررسی کنید که keylogger و یا ویروس روی آن نباشد و رمزتان را ارسال نکند

۶-ویروسی شدن کامپیوتر شخصی شما
یکی از روش‌های رایج نفوذ گران انتشار ویروس و تروجان در سطح اینترنت می‌باشد. معمولاً این نرم‌افزارهای مخرب بدون اطلاع مدیران سایت که در حال استفاده از کامپیوتر ، تبلت و یا کافی نت آلوده می‌باشند تمامی رمز عبورها را مخفیانه برای نفوذگر ارسال می‌نمایند و نفوذگر به راحتی و بدون اطلاع مدیر سایت از اینکه در زمانی رمز وی لو رفته سایت را هک می‌نمایند
از امن بودن کامل کامپیوتر شخصی خود مطمئن شوید و یک نرم‌افزار ضد ویروس قوی بر روی آن نصب نمایید و در صورت نیاز سیستم‌عامل و تمامی اطلاعات آن را حذف و مجدد سیستم‌عامل نصب نمایید .

۷- نصب نرم‌افزار ، ماژول ، قالب ، کامپوننت و یا پلاگین قفل شکسته یا قدیمی و دارای مشکل امنیتی
هرگز از نرم‌افزار ، ماژول ، قالب ، کامپوننت و یا پلاگین قفل شکسته استفاده ننمایید .
معمولاً نفوذگر ها اقدام به شکستن قفل نرم‌افزارها می‌نمایند و سپس در آن نرم‌افزار یک در ورود پنهانی(back door)، ویروس مخفی (trojan) و یا کد مخرب قرار می‌دهند و سپس آن را به رایگان در اینترنت منتشر می‌نمایند و شما نیز ممکن است به دلیل رایگان بودن از آن استفاده نمایید. این روش یکی از رایج‌ترین روش‌های نفوذگرها برای نفوذ می‌باشد زیرا اینامر موجب می‌شود پس از نصب آن نرم‌افزار، ماژول ، قالب ، کامپوننت و یا پلاگین سایت شما عملاً در اختیار هکر قرار می‌گیرد تا در زمان مناسب به آن نفوذ نماید .

احراز هویت دو مرحله ای وردپرس با Two Factor Authentication

احراز هویت دو مرحله ای وردپرس با Two Factor Authentication

اگر به دنبال جلوگیری از ورود افرادی که حتی رمز عبور پنل مدیریت شما را دارند هستید، استفاده این افزونه را به شما پیشنهاد می کنم!

با استفاده از افزونه Two Factor Authentication می توانید یک احراز هویت ۲ مرحله ای برای هر گروه کاربری، برای نمونه: “مدیران” وب سایت وردپرسی خود این امر را فراهم کنید.

این افزونه با بهره گیری از اپلیکیشن تلفن های همراه گوگل به نام Google Authenticator که برای IOS و Android نیز در دسترس می باشد، و تولید یک کد در هر ۶۰ ثانیه، که دقیقا در همان لحظه نیاز به ثبت کد دریافتی از اپلیکیشن برای ورود را دارد.

پس، با این افزونه برای هربار ورود در سیستم، باید دسترسی به تلفن همراه داشته باشید که امنیت را فوق العاده بالا خواهد برد.

ویژگی های مهم افزونه

  • پشتیبانی از هر دو پروتکل TOTP و HOTP برای استفاده بر روی اپلیکیشن Google Authenticator و دیگر نرم افزارهای احراز هویت ۲ مرحله ای موجود

  • تعبیه و نمایش کد امنیتی به صورت QR Code برای راحتی استفاده از آن.

  • محدودسازی قابلیت استفاده احراز هویت دو مرحله ای برای گروه یا گروه های کاربری خاص.

  • قابلیت فعال یا غیرفعال کردن توسط هر کاربر.

  • دسترسی به تنظیمات افزونه، با استفاده از کدکوتاه [twofactor_user_settings] بدون نیاز دسترسی داشتن به پنل مدیریت ( نسخه پولی افزونه ).

  • سازگاری با وردپرس شبکه ای (Wp Multisite).

  • کد بک آپ اختصاصی در صورت از دست رفتن گوشی/تبلیت ( نسخه پولی افزونه ).

آموزش کار با افزونه Two Factor Authentication

در مرحله اول افزونه را نصب و فعال کنید.

پس از آن با توجه به تصویر، در همان صفحه افزونه ها و توضیحات افزونه، بر روی گزینه “Plugins Setting” کلیک کرده و وارد تنظیمات افزونه شوید.

تنظیمات احراز هویت دو مرحله ای

 

در صفحه تنظیمات از قسمت User Roles گروه های کاربر ای را که مد نظر دارید تایید دو مرحله ای را شامل شوند، علامت دار کنید.

 

تنظیمات افزونه احراز هویت گروه کاربری

ذخیره سازی را انجام داده و سپس از منوی سمت راست بر روی Two Factor Auth کلیک کنید.

تصویری مشابه تصویر زیر را مشاهده خواهید کرد.

تنظیمات اصلی افزونه احراز هویت

با توجه به تصاویر بالا و شماره گذاری هایی که انجام شده است :

برای ورود به همین صفحه تنظیمات می باشد که توضیح آن داده شد.

۱) کدی می باشد که بر روی گوشی تلفن همراه شما نیز دقیقا همین کد نمایش می یابد که باید با این کد یکسان باشد، برای به روز کردن این کد می توانید بر روی Update کلیک کنید و لحظه ای کد جدید را دریافت کنید.

۲) در این مرجله باید اول Google Authenticator را از گوگلی پلی برای اندروید و یا برای گوشی های IOS از App store دانلود و نصب کنید و سپس با اضافه کردن یک وب سایت جدید در آن از طریق اسکنر QR code ایجاد کنید و بر روی QR Code دوربین را قرار دهید تا وب سایت به لیست در برنامه شما اضافه خواهد شد.

حال در هر ۶۰ ثانیه یک کد جدید برای هر بار ورود به پنل مدیریت از شما خواسته می شود، که باید از طریق اپلیکیشن کد نمایش داده شده را که یک کد ۶ رقمی است را وارد کنید.

مانند تصویر زیر :

فرم ورود احراز هویت پنل مدیریت

موفق و پیروز باشید.

کشف ۷۰۰ نرم‌افزار پیام‌رسان در معرض هک

کشف ۷۰۰ نرم‌افزار پیام‌رسان در معرض هک

محققان کمپانی امنیتی اپتوریتی به‌تازگی به کشف یک آسیب‌پذیری و خلأ امنیتی بسیار حساس در حدود ۷۰۰ نرم‌افزار پیام‌رسان متعلق به سیستم‌عامل‌های اندروید و iOS خبر دادند.
کشف ۷۰۰ نرم‌افزار پیام‌رسان در معرض هک

محققان کمپانی امنیتی اپتوریتی به‌تازگی از کشف یک آسیب‌پذیری و خلأ امنیتی بسیار حساس برای حدود ۷۰۰ نرم‌افزار پیام‌رسان خبر داده‌اند که متعلق به هر دو سیستم‌عامل مشهور تلفن همراه، یعنی اندروید و iOS است.

امنیت داده‌ها و در رأس آنها اطلاعات، مکالمات و پیام‌های خصوصی و دیگر داده‌های کاربران، از دغدغه‌های صاحبان دستگاه‌های هوشمند است.
در همین راستا نیز بسیاری از کمپانی‌های امنیتی، به صورت مستمر تمرکز خود را بر روی حفظ داده‌های شخصی افراد قرار داده‌اند و کمپانی اپتوریتی بنا بر همین قاعده، در زمینه امنیت کاربران فعالیت می‌کند و اشکالات و آسیب‌پذیری‌های موجود برای کاربران را کشف و اطلاع‌رسانی می‌نماید.

این کمپانی در ماه آوریل سال میلادی جاری، از نقص امنیتی ویژه‌ای رونمایی کرده که به دلیل نگهداری مجوزها و سیستم‌های امنیتی کاربران در داخل کدهای نرم‌افزارهای آسیب‌پذیر به وجود آمده بود.

ذکر این نکته ضروری است که نرم‌افزارهای پیام‌رسان، هر چند دارای تعدادی نام مشهور و محبوب و حتی جهانی است، اما به هیچ‌وجه به این نام‌ها محدود نیستند، بلکه شمار فراوانی نرم‌افزار پیام‌رسان هم وجود دارند که شاید نامشان را نشنیده باشید، اما کاربرد فراوانی در میان کاربران مختلف دارند.

این کمپانی در گزارش خود، تعداد نرم‌افزارهای آسیب‌پذیر را حدود ۶۴۸ عدد خوانده و همچنین اعلام کرده است که ۳۳ درصد از این نرم‌افزارها در بخش‌های تجاری استفاده می‌شوند و به همین دلیل، از اهمیت خاصی برخوردارند.

با این‌ وجود، در پی کشف این نقص و بازخواست حدود ۸۵ توسعه‌دهنده از سوی این کمپانی، تعداد نرم‌افزارهای آسیب‌پذیر یادشده در اپ استور iOS و گوگل پلی اندروید، به ترتیب به رقم‌های ۱۰۲ و ۸۵ عدد کاهش یافت که از دید متخصصان امنیتی، جای امیدواری است.

لازم به ذکر است که متأسفانه این کمپانی به دلیل سیاست‌های ویژه خود، درباره نام نرم‌افزارهای آسیب‌پذیر مزبور صحبتی نکرده و به‌نوعی از افشای نام آنها خودداری نموده است.

۵ نکته در باب جرایم رایانه‌ای

۵ نکته در باب جرایم رایانه‌ای

رضا تقی‌پور*-۱٫ فضای سایبری به لحاظ ماهیت متفاوت نسبت به فضای فیزیکی و مادی، به همان اندازه که بسترساز امور و فعالیت‌های مثبت است، به همان میزان نیز موجب مشکلات و معضلات پیچیده نیز هست. در واقع پدیدآورندگان شبکه، مخصوصاً آن را با چنین ماهیتی پدید آورده‌اند که هرگز مبتنی بر پارامترهای فضای سنتی نباشد و در نتیجه، در قید و بندهای موجود درگیر نشود اما همین تفاوت‌های بنیادین وقتی به عرصه حقوق طرفین درگیر در پرونده‌های مرتبط با فناوری اطلاعات وارد می‌شوند، دچار چالش‌های عمیقی می‌گردند. Read More »

چرا این روزها پشت‌سرهم هک می‌شویم؟

چرا این روزها پشت‌سرهم هک می‌شویم؟

اگر پیگیر اخبار فناوری و اینترنت بوده باشید، حتما متوجه شدید در دو ماه اخیر خبرهای افشای اطلاعات و رمزعبور و حساب‌های کاربران، هک سایت‌های ایرانی و از سرویس خارج شدن برخی سرورها و هاست‌ها و خبرهای دیگر از این دست مانند هک تلگرام و اپراتورهای تلفن همراه به طرز چشم‌گیری افزایش یافته است. Read More »

ویکی‌لیکس هک شد

ویکی‌لیکس هک شد

گروه هکری OurMine که پیش از این موفق شده بود به حساب کاربری افراد بزرگی چون «ساندار پیچای» مدیر عامل گوگل، «مارک زاکربرگ» مدیرعامل فیسبوک و «تراویس کالانیک» مدیر عامل Uber نفوذ کند، در آخرین اقدام خود موفق شد سایت اینترنتی Wikileaks را هک کند.

Read More »

همه چیز را گردن هکرها نیندازیم

همه چیز را گردن هکرها نیندازیم

هرا میرخانی – حملات سایبری که در طول ماه گذشته دستگاه‌های دولتی را آماج حمله قرار داد، گرچه خسارات جبران‌ناپذیری در پی نداشت اما نشان از ضریب امنیت پایین سایت‌های دولتی دارد.

شاید در فاز فعلی بخش قابل توجهی از مردم حتی به اخبار منتشره در خصوص هک سایت‌ها Read More »

سایت‌های هک شده ایرانی بخوانند

سایت‌های هک شده ایرانی بخوانند

در این راستا هر چند طبق گزارش مستند پلیس فتا، توصیه‌های کلی توسط مراجع مختلف به سازمان‌ها ابلاغ شده اما راهنمایی که جزئیات دقیق‌تری را از نظر فنی مشخص کند، می‌تواند کمک بسیار زیادی در جهت ارتقای امنیت سازمان‌ها داشته باشد
Read More »

هزینه آسیب‌پذیری‌های امنیتی ۳۰ درصد افزایش یافته است

هزینه آسیب‌پذیری‌های امنیتی ۳۰ درصد افزایش یافته است

به تازگی اعلام شده که مطابق یک برآورد تحقیقاتی، هزینه یک نقض داده در سه سال اخیر تقریبا ۳۰ درصد افزایش یافته و به طور متوسط به ۴ میلیون دلار رسیده است.
Read More »

پلیس فتا : هکر ها شناسایی شدند

پلیس فتا : هکر ها شناسایی شدند

پلیس فتا درباره هک شدن برخی وب سایت های حقیقی و حقوقی کشورمان در روزهای اخیر هشدار داد. Read More »