کمتر از یک سال پیش وقتی شروع به مستندسازی و نویسندگی در حوزه امنیت سایبری و حریم خصوصی کردم در حالیکه شدیدا آدم دیرباور و شکاکی بودم. تصور من این بود که تمام این صحبت‌ها مثل یک حباب هستند که عمداً بزرگ می‌شوند. مدام در رسانه‌ها و وبلاگ‌ها مطالب مختلفی راجع به امنیت مشاهده می‌کردم و همیشه حس می‌کردم تمام این صحبت‌ها غیرواقعی هستند. دلیل این شک و ناباوری این است که اکثر مقاله‌هایی که در رابطه با امنیت و حریم خصوصی نوشته می‌شوند سعی به ایجاد ترس و وحشت در مخاطب دارند.
با بررسی تیتر خبرها و مقالات مربوط به امنیت سایبری این تصور در شما ایجاد می‌شود که درنهایت شما هم روزی هک خواهید شد یا همین حالا هم هک شده‌اید اما اطلاع ندارید و هیچ کاری از دست شما درباره این موضوع ساخته نیست؛ خطر همه جا هست و هیچ امیدی برای مقابله با آن وجود ندارد!
امروزه شنیدن داستان‌های مختلف درباره هک و رخنه‌های اطلاعاتی عادی شده و به نظر می‌رسد که تمام افراد، سازمان‌ها، محصولات و اپلیکیشن‌ها آسیب‌پذیر هستند. معمولاً نویسنده‌ها از اصلاحات رعب‌آوری مثل “باج افزار”، “جاسوس‌افزار” و سایر کلماتی که پسوند افزار دارند، سوءاستفاده می‌کنند؛ اصطلاحاتی که اکثر مردم هیچ آشنایی با آن‌ها ندارند.
اما درنهایت من تصمیم گرفتم که درباره کل این اکوسیستم، مطالعه عمیقی انجام دهم. البته منظور از مطالعه خواندن کتاب و گذراندن دوره‌های مختلف بود و همچنین مطالبی که به‌خوبی مستندسازی شده و به منابع مفید لینک شده باشند.
مطالب زیادی درباره این که کامپیوترها چطور ساخته شده‌اند و اینترنت چطور کار می‌کند مطالعه کردم؛ همچنین اولین هکرها، اولین ویروس‌ها و اولین حمله؛ این که چطور همه چیز به هم ربط پیدا می‌کند؛ بدافزارها چطور موفق می‌شوند و غیره. سخت کار کردم تا پایه‌های اطلاعاتی خودم را شکل بدهم. شکل‌گیری این پایه‌ها به من کمک کرد تا بتوانم بین خطرات واقعی و مواردی که بیش از حد در موردشان اغراق می‌شوند و همچنین خبرهای تحریف شده یا بیش از حد ساده شده را تشخیص بدهم.
اما کسب این اطلاعات درباره امنیت سایبری و حریم خصوصی زمان‌بر است و اکثر مردم زمان لازم برای این کار را ندارند (و یا اصلاً اطلاع ندارند که باید در برابر تحریف‌های رسانه‌ای استراتژی مناسبی داشته باشند).
در دنیای امروزی وقتی غرق اقیانوسی از اطلاعات درست و نادرست هستید، وقتی اطرافتان پر از زمزمه‌های مختلف است، چطور کارشناسان واقعی و کلاهبرداران را از هم تشخیص می‌دهید؟
چطور خطرات ملموس و واقعی را از مواردی که فقط توسط رسانه‌ها و سازمان‌های مختلف به آن‌ها پر و بال داده می‌شود و بیش از حد بزرگ می‌شوند را تشخیص می‌دهید؟
چطور تفاوت بین مقاله‌هایی که با هدف تحریف ذهن مخاطب نوشته می‌شوند و مقاله‌هایی که خطرات واقعی را گوشزد می‌کنند، تشخیص می‌دهید؟
بدتر از همه این که یکی از عوارض جانبی چنین داستان‌های بدی این است که کم کم مردم در برابرشان مقاوم می‌شوند. برای این که خطرات در نظر خواننده جلب توجه کنند باید مدام بزرگ‌تر و بدتر شوند و یک چرخه مخرب تشکیل می‌شود و احتمالاً درنهایت مردم نسبت به تأمین امنیت سایبری خودشان ناامید و تسلیم می‌شوند.
اگر واقعاً خطری متوجه شما باشد و امکان هک شدن وجود داشته باشد، مسلماً باید با آن مبارزه کنید.
سعی شده در ادامه این مطلب بعضی از بزرگ‌ترین سؤالاتی که از مقابله با شک درونی خودم برای من ایجاد شد و همچنین تمام اطلاعاتی که در این مسیر یاد گرفتم را برای شما مطرح کنم. امیدوارم که این اطلاعات به شما کمک کنند تا مسیرتان را در دنیای امنیت سایبری به‌خوبی مشخص کنید.
و حتماً نظرات خودتان را درباره موضوعات مطرح شده در کامنت‌ها ذکر کنید.
گفتگویی با ضمیر دورنی شکاک خودم درباره اهمیت امنیت سایبری
1. دیدگاه شکاک من راجع به آمار و ارقام:
تمام ارقام و اعداد و نظرسنجی‌هایی که منتشر می‌شوند یک دستورالعمل دارند. معمولاً بعضی از شرکت‌های فعال در حوزه امنیت که قصد ترساندن مردم را دارند تا محصولات یا خدمات‌شان را خریداری کنند، هزینه‌ای پرداخت می‌کنند تا چنین آمار و ارقامی ایجاد و منتشر شوند. بعضی از آمارها توسط رسانه‌ها دستکاری می‌شوند تا توجه و بازدید زیادی را جذب کنند و از این طریق درآمدزایی داشته باشند.
دیدگاه واقع‌گرایانه:
شاید این دیدگاه مشکوک در بعضی موارد صحت داشته باشد اما نباید آن را تعمیم داد. فقط به این دلیل که ممکن است بعضی از اعداد و ارقام با یک هدف خاص مطرح شده باشند، آن‌ها را نادیده نگیرید. گاهی اوقات ممکن است این ارقام، اطلاعات بسیار ارزشمندی برای شما فراهم کنند.
سعی کنید با دقت بیشتری این ارقام و اعداد را بررسی کنید. مثل یک روزنامه‌نگار عمل کنید. به دنبال حقایق باشید، چندین منبع مختلف را بررسی کنید، نتایج سایر تحقیقات مشابه را هم بررسی و تحلیل کنید و درنهایت خودتان نتیجه‌گیری کنید.
بررسی کنید که چه کسی این تحقیق یا نظرسنجی را انجام داده؛ تحقیق اصلی را مطالعه کنید نه فقط بخشی از آن که در رسانه‌ها منعکس و برجسته شده است. و موارد زیر را در نظر بگیرید:
این تحقیق یا نظرسنجی روی چند کاربر انجام شده؟
دوره انجام این تحقیق چقدر بوده؟
از چه روش‌هایی استفاده شده؟ آیا کاربران را مستقیماً تحلیل کرده‌اند یا از آن‌ها خواسته شده که خودشان به سؤالات پاسخ بدهند؟
آیا نتایج این تحقیق با چشم‌انداز فعلی فضای آنلاین تناسب دارد؟ با قرار دادن این نتایج در زمینه‌های مورد نظر آیا تناسبی مشاهده می‌شود؟
چقدر احتمال دارد که موضوع مطرح شده شما را هم تحت تأثیر قرار بدهد؟
چه اطلاعات جذاب یا ارزشمندی را می‌توان از آن استخراج کرد؟
برای رسیدن به نتیجه نیازی نیست که مثل تصویر زیر یک فرایند خیلی پیچیده را طی کنید.
2. دیدگاه شکاک من درباره احتمال هک شدن، بخش 1:
امنیت سایبری برای من اهمیتی ندارد، من هیچ چیز ارزشمندی ندارم، هکرها نمی‌توانند هیچ اطلاعات ارزشمندی را از من به سرقت ببرند، فقط وقت خودشان را تلف می‌کنند.
دیدگاه واقع‌گرایانه:
قبل از این که هکرها تصمیم بگیرند آیا باید به شما حمله کنند یا خیر، حساب‌های بانکی را چک و ایمیل‌های شما را نمی‌خوانند. اکثر حملات امروزی به صورت کاملاً اتوماتیک انجام می‌شوند.
برای مثال، مسلماً شما روی کامپیوترتان یکسری فایل و پوشه دارید. ممکن است روزی شما هم در معرض حمله باج افزارها قرار بگیرید. بدافزاری که تمام فایل‌ها و پوشه‌های روی کامپیوتر را قفل می‌کند و بعد از انجام این کار فقط یک پیام به قربانی نشان می‌دهد و از وی می‌خواهد که برای دریافت کلید رمزگشایی این فایل‌ها، مبلغی را پرداخت کند. این دستورالعمل کاملاً واضح و مشخص است: یا مبلغ درخواست شده را پرداخت می‌کنید یا فایل‌های شما برای همیشه از بین می‌روند. اگر از این اطلاعات هیچ نسخه پشتیبانی نداشته باشید، تنها گزینه موجود، پرداخت هزینه درخواست شده است.
اخیراً مشاهده که تعداد بیمارستان‌هایی که هدف حمله باج افزارها قرار می‌گیرند رو به افزایش است. سازمان‌های پزشکی به دو علت در معرض خطر قرار دارند:
- معمولاً پرسنل چنین سازمان‌هایی مهارت‌های چندانی در زمینه تکنولوژی یا فناوری اطلاعات ندارند و از خطرات موجود در این فضا هم اطلاعی ندارند.
- با توجه به این که بحث زندگی افراد مطرح است، احتمال پرداخت هزینه درخواست شده توسط این سازمان‌ها بیشتر است.
اما چطور یک نفر قربانی باج افزار می‌شود؟ برای موفقیت یک حمله نیاز به چند عامل مختلف است:
- مهاجم درب پشتی را در یک وب‌سایت یا سرور (کاملاً مجاز)، کنسول ادمین، حساب کاربری، پلاگین، افزونه و غیره پیدا می‌کند. سپس از این نقص، سوءاستفاده کرده و یک کد مخرب را تزریق می‌کند.
- یک کاربر از وب‌سایت بازدید می‌کند. صرف‌نظر از این که کاربر چطور به این وب‌سایت هدایت شده، درنهایت سیستم او به صورت اتوماتیک اسکن می‌شود تا حفره‌های امنیتی موجود در آن مثل پلاگین یا مرورگر قدیمی و آپدیت نشده شناسایی شود. نیازی نیست که کاربر روی یک پاپ آپ یا لینک کلیک کند تا به باج افزار آلوده شود، فقط کافیست که وارد یک وب‌سایت آلوده (هرچند کاملاً مجاز) شود یا یک تبلیغ آلوده را مشاهده کند.
- در یکی از تلاش‌های مخرب اخیر وب‌سایت‌هایی مثل BBC، New York Times یا AOL مورد حمله قرار گرفتند.
3. دیدگاه شکاک من درباره احتمال هک شدن، بخش 2:
من کسی را نمی‌شناسم که تا به حال هدف حمله‌ای قرار گرفته باشد یا هک شده باشد.
دیدگاه واقع‌گرایانه:
این اطلاعات به این معنا نیست که دوستان و آشنایان من تابحال هک نشده باشند. فقط به این معناست که این افراد از این موضوع اطلاع نداشته‌اند. بعلاوه معمولاً چنین چیزهایی را در خاطرم ثبت نمی‌کنم چون معمولاً حافظه من پر از اتفاقات و اطلاعات دیگر است!
یکی از سناریوهای خیلی متداول: بعضی از دوستان من (مخصوصاً دوستانی که در فضای آنلاین با آن‌ها آشنا می‌شویم) روی هر لینکی که در شبکه‌های اجتماعی یا پیام‌رسان‌های مختلف دریافت می‌کنند، کلیک می‌کنند. این افراد حس می‌کنند در فضای آنلاین کاملاً محافظت شده هستند و هیچ اتفاق بدی برای آن‌ها پیش نخواهد آمد و ممکن است روی لینک‌هایی کلیک کنند که آن‌ها را به وب‌سایت‌های آلوده به بدافزار یا فیشینگ هدایت کند.
در بهترین حالت ممکن است آلوده به آگهی‌افزار یا بدافزارهای دیگری شوند و اکانت‌شان این آلودگی را به بقیه منتشر کند. در بدترین حالت هم اطلاعات مهم حساب‌های مختلفشان افشا می‌شود و فرد مهاجم به حساب‌های آن‌ها دسترسی پیدا می‌کند و تمام اطلاعاتشان را به سرقت می‌برد و ممکن است باعث از بین رفتن آبرو و اعتبارشان شود.
این موضوع قبلاً در یکی از حملات با نام Fappening که جنجال زیادی نیز به پا کرد اتفاق افتاده است. در این حمله قربانیان روی لینکی که از طریق شبکه‌های اجتماعی یا ایمیل دریافت می‌کردند، کلیک می‌کردند و با این کار به مهاجمین امکان دسترسی به حساب‌های خصوصی خودشان را می‌دادند و به این ترتیب عکس‌های کاملاً خصوصی‌شان لو می‌رفت.
یکی از سناریوهای دیگر برای افرادی اتفاق می‌افتد که برای دانلود فیلم‌ها و سریال‌هایی که حق پخش انحصاری دارند به وب‌سایت‌های غیر مجاز مراجعه می‌کنند. این افراد تصور می‌کنند که چون این فیلم‌ها به صورت رایگان در این سایت‌ها قرار دارند و همه می‌توانند به آن‌ها دسترسی داشته باشند، پس حتماً مجاز هستند و هیچ اتفاق بدی پیش نخواهد آمد. البته این استدلال به نظر درست می‌آید؛ چون اگر این سایت‌ها غیرمجاز بودند پیدا کردنشان باید سخت‌تر می‌بود یا خیلی سریع مسدود می‌شدند. اما در نتیجه ورود به چنین سایت‌هایی، کامپیوتر فرد دچار آلودگی به بدافزار می‌شود.
و یک ماجرای دیگر که این بار پایان خوشی داشت: برای پدر من پیامی از طرف بانک ارسال شد که در آن کد تائید یک سفارش آنلاین قرار داشت که خود او این سفارش را نداده بود. اگر پدرم این سیستم حفاظتی (تائید با پیامک) را فعال نکرده بود، این خرید انجام می‌شد و مبلغ ذکر شده از حساب او کسر می‌شد و برای جبران خسارت باید انرژی و هزینه زیادی صرف می‌کرد.
تمامی موارد ذکر شده، از جمله حملات سطح پایین و متداول هستند. متأسفانه همواره حملات بدتری اتفاق می‌افتند که بعضی از آن‌ها تأثیرات مخرب بزرگی روی سازمان‌های مختلف داشته و دارند. همیشه هم این حملات از سوی افراد ناشناس صورت نمی‌گیرند گاهی اوقات ممکن است عامل حمله کارمندی باشد که از کار اخراج شده و قصد انتقام گرفتن دارد یا یک رقیب کاری.
نیازی به ذکر نیست که اخیراً میزان حملات سایبری که نقاط حیاتی تحت کنترل دولت‌ها مثل نیروگاه‌های برق و زیرساخت‌های مختلف را هدف می‌گیرند، افزایش پیدا کرده‌اند.
4. دیدگاه شکاک من درباره احتمال هک شدن، بخش 3:
من عادات امنیتی خوبی دارم و از تکنولوژی‌های قوی استفاده می‌کنم که از من محافظت می‌کنند. نیازی نیست که بیشتر از این خودم را برای حفظ امنیت به دردسر بیندازم.
دیدگاه واقع‌گرایانه:
قبلاً تحت تأثیر چنین افکاری بودم و توسط یکی از کارمندان سابقم که به تازگی اخراج شده بود، هک شدم. انواع لایه‌های امنیتی مختلف مثل آنتی‌ویروس و پسورد قوی را هم داشتم (آن زمان گزینه احراز هویت دومرحله‌ای برای گوگل وجود نداشت).
متأسفانه فکر نمی‌کردم که خطر تا این اندازه به من نزدیک باشد و هرگز تصور نمی‌کردم که ممکن است یکی از افرادی که تا این حد به من نزدیک بوده، سعی کند به من آسیب بزند.
البته ممکن است به نظر شما کسی که به این صورت آسیب می‌بیند، ساده‌لوح باشد اما گاهی اوقات فراموش می‌کنیم که درختان ساده و کوچک، یک جنگل انبوه را تشکیل می‌دهند.
5. تردید من به دلیل دشوار بودن امنیت سایبری:
حفظ امنیت سایبری کار خیلی سختی است. هیچ‌کس زمان لازم برای تغییر مرتب پسورد، استفاده از پسوردهای قوی و منحصر بفرد و بخاطر سپردن آن‌ها را ندارد و با توجه به تعداد زیاد حساب‌های کاربری مختلفم چنین کاری برای من ممکن نیست.
دیدگاه واقع‌گرایانه:
این حس در خیلی از افراد وجود دارد. تلاش برای به یاد داشتن عوض کردن مداوم پسوردها (و انجام این کار) برای همه سخت است.
اما همه باید به خاطر داشته باشیم که استفاده از پسوردهای قوی ساده‌ترین و مفیدترین راه برای پیشگیری از دسترسی افراد مداخله‌جو به حساب‌های ماست.
البته تنها این کار کافی نیست و همه ما باید هر جا که ممکن بود گزینه احراز هویت دومرحله‌ای را فعال کنیم.
و اما در ادامه بحث پسورد باید گفت که اگر از پسوردی یکسان و ساده برای تمام حساب‌های خودمان استفاده کنیم، مهاجمین می‌توانند خیلی سریع به تمام حساب‌های ما دسترسی پیدا کنند و با توجه به این که تمام این حساب‌ها به هم مرتبط هستند، می‌توانند به انواع اطلاعات ما از اسناد کاری گرفته تا تصاویر و مکالمات شخصی، حساب‌های شبکه‌های اجتماعی، وب‌سایت‌های خرید و سایر اطلاعات ما دسترسی پیدا کنند.
وقتی حس می‌کنید که استفاده از پسوردهای قوی و منحصربه‌فرد کار سختی است، این قیاس را به یاد بیاورید: هیچ کدام از ما برای قفل‌کردن ماشین، منزل و اداره از یک کلید استفاده نمی‌کنیم. اگر یکی از این کلیدها گم شده یا به سرقت برود، سارق به تمام سرمایه‌های ما دسترسی پیدا خواهد کرد.
همین موضوع برای پسوردهای مربوط به حساب‌های آنلاین هم صدق می‌کند: اگر از پسوردهایی منحصربه‌فرد استفاده نکنیم و یک هکر به طریقی موفق به دستیابی به یکی از پسوردهای ما شود، می‌تواند به سایر حساب‌های ما هم دسترسی داشته باشد.
استدلال دومی که باید به خاطر داشته باشید این است که: یک سرور مخصوص کرک پسورد می‌تواند در هر ثانیه بیش از 100 میلیارد رمز مختلف را امتحان کند و حدس زدن یک پسورد 8 رقمی نهایتا نیاز به امتحان کردن 200 میلیارد ترکیب مختلف دارد. خودتان حدس بزنید که کرک کردن چنین پسوردی چقدر زمان می‌برد!
نتیجه‌گیری
من هنوز هم آدم شکاکی هستم. سعی می‌کنم تمام اخبار و آمار را از یک صافی رد کنم. همه چیز را به‌دقت بررسی می‌کنم تا متوجه شوم این خبرها چه پایه و اساسی دارند. سعی کنید شما هم‌پایه‌های اطلاعاتی خودتان درباره امنیت سایبری را تقویت کنید. اکثر خطرات امروزی کاملاً جدید و نو نیستند بلکه ترفندهایی قدیمی هستند که از ابزارهای جدید استفاده می‌کنند. لایه‌های امنیتی قوی‌ای را برای خودتان ایجاد کنید و حداکثر تلاش خودتان را بکنید تا تأثیر حملات احتمالی را به حداقل برسانید.