سرور مجازی لهستان

در سپتامبر 2016، یاهو که یک وبسایت معروف و ارائه دهنده خدمات است روز بدی را پشت سر گذاشت. در آن روز، رکورد هک، نقص و نشت اطلاعات کاربران را در جهان شکست. حداقل 500 میلیون از کاربران این وب سایت توسط یک اتک مورد حمله قرار گرفته و هک شدند. نتیجه ی این اتفاق ضربه ی عظیمی به قابل اطمینان بودن این شرکت غول آسا بود.آنچه وضعیت را وخیم تر می کرد در واقع این مسئله یعنی فعالیت نفوذ و هک از سال 2014 شروع شده بود و فقط در سال 2016 فاش شد. این بدان معناست که این تهدید برای حدود 2 سال ادامه داشت.این داستان این نکته را به ما گوشزد می کند که اهمیت امنیت بسیار مهم است زیرا که این نوع از تهدید ها در همه جای اینترنت موجود است و ممکن قربانی بعدی که قرار است از این فاجعه رنج بکشد، ما باشیم!خوشبختانه راه حلی برای این موضوع برای ما وجود دارد، که آن فایروال تحت وب ( Web Application Firewall ) است. که به اختصار آن را WAF مینامیم.WAF چیست؟برای ارسال اطلاعات از طریق اینترنت، ابتدا نیاز است که به صورت پکت های دیتا ذخیره شده و سپس به وبسایت و یا برنامه ی تحت وب مورد نظر و از طریق آدرس IP تحویل داده شود.متاسفانه، ترافیک عبور و مرور عادی قادر نخواهد بود که مشخص کند، یک پکت خاصی دارای محتوای خوب و یا بد است.بدین ترتیب، WAF برای انجام وظیفه وارد میدان می شود. یک برنامه ی تحت وب ( WAF ) به عنوان یک فایروال استفاده می شود که به عنوان یک دیوار آتش (فایروال) ترافیک وب سایت را مورد بررسی قرار می دهد. این برنامه، هر داده و پکتی را که در حال عبور و مرور است را ردیابی و فیلتر می کند و در صورت وجود تهدید دیتای مورد نظر را که دارای تهدید خاصی باشد، شناسایی می کند.انواع WAFیک WAF می تواند انواع مختلفی داشته باشد از جمله:WAF از نوع مبتنی بر شبکهWAF مبتنی بر شبکه، فایروال های نرم افزاری تحت وب هستند که بر روی شبکه ی داخلی راه اندازی می شود. به عبارت دیگر، به صورت سخت افزاری عمل میکند که پس از نصب، دستور می دهد تا پکت های دیتا را از وبسایت به دستگاه و بالعکس ردیابی می کند.مزایاسرعت : در انواع دیگر WAF ممکن است، از تأخیر در عبور و مرور دیتا رنج ببرند زیرا WAF در آن ها مستقیماً روی دستگاه نصب نشده است و همچنین عبور ترافیک برای بررسی از طریق WAF کمی زمان بر است.معایبهزینه بالا : تصور کردن هزینه ی مورد نیاز برای خرید، نصب، اجرا و نگهداری یک دیوایس سخت افزاری زیاد سخت نیست. که باعث می شود این نوع WAP در مقایسه با سایر گزینه ها گران قیمت تر و پر هزینه تر باشد.موارد استفادهدر شرکت های بزرگ و همچنین برند های بزرگ، این نوع شرکت ها معمولا WAF خود را دارند و به صورت فیزیکی بر روی دستگاه ها و دیوایس های خود نصب کرده اند. . آنها توانایی پرداخت هزینه های بالای مدیریتی و عملیاتی مورد نظر برای این نوع از فایروال ها را دارند و همچنین سرعت در اولویت اول آنها برای خدمت به مشتریان خود است.WAF از نوع مبتنی بر کلودWAF های مبتنی بر کلود و یا شبکه ابری به نوعی نصل جدیدی از فایروال های تحت وب می باشند که بر روی پلتفرم کلود و توسط خدمات دهنده ارائه میشوند. با در دسترس بودن کلود، این نوع از فایروال های تحت وب می توانند بدون نیاز به نصب شدن بر روی دیوایس و دستکاه درون شبکه ی لوکل یا محلی و همچنین یا بدون نیاز به نصب پلاگین نرم افزاری خاصی موجود باشد.مزایاپویایی : ما دیگر نیازی به نصب و راه اندازی نداریم و این سرویس با استفاده از یک اشتراک ساده به سرویس مورد نظر اضافه نمود.سبکی : WAF های مبتنی بر بستر کلود، کارایی وبسایت را بهبود می بخشند زیرا نیازی به اجرا بر روی سیستم ندارند.بروزرسانی مداوم دیتابیس : همانطور که توسط ارائه دهنده کنترل می شود، پس در نتیجه دیتابیس ویروس و تهدیدات امنیتی آن نیز مرتبا در حال بروز رسانی است.معایبقیمت گذاری بر اساس لایسنس : این نوع از WAF ها بر اساس نوع لایسنسی که دارند قیمت گذاری می شوند. و عملکرد اساسی آن ها هم با توجه به لایسنس متفاوت خواهد بود.عدم وجود گزینه های سفارشی ساز : چون سرویس ها بر روی ارائه دهنده میزبانی می شوند در نتیجه شاید نتوان آن را به اندازه سایر WAF ها پیکربندی کرد.موارد استفادهدر بیشتر سازمان ها و تشکیلات استفاده می شوند، همانطور که ساده و سبک اند در عین حال به عملکرد و امنیت وب سایت کمک بسیاری خواند کرد.WAF از نوع مبتنی بر میزبانفایروال های تحت وب از نوع مبتنی بر هاست و یا میزبان می توانند به طور یکپارچه درون نرم افزار برنامه ها ادغام شوند. این نوع میتوانند بصورت پلاگین و یا نرم افزار خارجی که بر روی سایت یا شبکه ما نصب شوند. از آنجا که یک نرم افزار بومی است که در سایت ما نصب شده است ، ممکن است لازم باشد که استفاده از آن را در منابع محلی محدود کنیم.مزایاسفارشی سازی : با توجه به نیاز ما قابلیت سفارشی سازی یا کاستومازیشن بیشتری را به ما ارائه میدهد.هزینه : نسبت به WAF های مبتنی بر شبکه هزینه ی پایین تری دارند.معایبپیچیدگی : همانند شبکه های مبتنی بر شبکه، این نوع WAF ها به دانش تخصصی بیشتری در مورد پیاده سازی ها و پیکربندی ها نیاز دارند. علاوه بر این ، به دلیل پیچیدگی آن ، استفاده از WAF مبتنی بر میزبان نیز ممکن است منجر به هزینه بیشتری شود.موارد استفادهمتناسب با اکثر انواع سازمان ها و همچنین وب سایت های شخصی یا برنامه های تحت وب است. دلیل آن این است که سطح مناسب پیکربندی و همچنین مقرون به صرفه بودن را برای اکثر سازمان ها را فراهم می کند.WAF های متن بازاین نوع WAF ها معمولاً نیاز به داشتن سطح بالایی از دانش و تجربیات برای پیکربندی دارد. اما از آنجا که منبع باز است ، سطح بالایی از سفارشی سازی را ارائه می دهد و همچنین رایگان است.تفاوت بین WAF و فایروال شبکهوقتی به اصطلاح حفاظت از وب سایت بر می خوریم، می توان نتیجه گرفت که WAF نسخه پیشرفته ای از سیستم Firewall شبکه است.فایروال شبکه عمدتا برای کنترل دسترسی از نقطه ی کم امنیت (اینترنت / شبکه عمومی) به نقطه با امنیت بالا (اینترانت / شبکه داخلی) عمل می کند و شامل محافظت در برابر دسترسی به ترافیک غیر مجاز از دسترسی به شبکه LAN ما است.در حالی که Firewall Web Application در نهایت از جزئیات بیشتری در برابر حمله وب از HTTP یا HTTPS محافظت می کند. نمونه هایی از حملات وب عبارتند از: تزریق SQL و DDoS و Zombies و Brute Force ، هرزنامه SEO و همچنین سایر حملات بدافزار. فایروال تحت وب در مقایسه با فایروال شبکه دارای تشخیص بهتری از وب سایت است که شامل چندین روش مانند Signatures (الگوی استفاده شده توسط تهدیدها یا کد مخرب) ، ناهنجاری های کد و تشخیص اکتشافات را دارا است.جمع بندیخب ما در این آموزش به تعریف معنای WAF پرداختیم. همچنین انواع آن را مورد بررسی قرار دادیم و در نهایت تفاوت آن را با Firewall تحت شبکه دانستیم. خب امیدوارم از این آموزش بهره کافی را برده باشید.

چهارشنبه, 24 دی 1399

آموزش اضافه و حذف کاربران در CentOS 7CentOS، و همچنین تمام توزیع های دیگر لینوکس یک سیستم عامل چند کاربره هستند. هر کاربر می تواند سطح مجوز متفاوت و تنظیمات خاص برای خط فرمان و GUI مختلف داشته باشد. دانستن نحوه اضافه کردن و حذف کاربران یکی از ضروری ترین مهارت هایی است که هر کاربر باید بداند. در این آموزش، ما توضیح خواهیم داد که چگونه کاربران سیستم CentOS 7 را اضافه و حذف کنیم. پیش نیازها شما باید به عنوان root یا کاربر با مجوز sudo برای ایجاد و حذف کاربران وارد شوید. چگونه برای اضافه کردن کاربر در CentOS در CentOS، شما می توانید یک حساب کاربری جدید ایجاد کنید با استفاده از ابزار command-line useradd . برای ایجاد یک حساب username جدید با نام username که اجرا می کنید: sudo adduser username فرمان بالا هیچ خروجی نمایش داده نمی شود. این دایرکتوری خانگی کاربر جدید ( /home/username ) را ایجاد می کند و فایل ها را از دایرکتوری /etc/skel به دایرکتوری خانگی کاربر کپی می کند. در داخل پوشه خانگی، کاربر می تواند فایل ها و پوشه ها را بنویسد، ویرایش و حذف کند. بعد، شما باید یک رمز عبور برای کاربر جدید تنظیم کنید تا کاربر بتواند وارد سیستم شوید. برای انجام این کار از دستور passwd استفاده کنید: sudo passwd username از شما خواسته خواهد شد تا رمز عبور را وارد کنید و تایید کنید. اطمینان حاصل کنید که از یک رمز عبور قوی استفاده کنید. Changing password for user username. New password: Retype new password: passwd: all authentication tokens updated successfully. به طور پیش فرض در CentOS، اعضای گروه با دسترسی sudo اعطا می شوند. اگر می خواهید کاربر جدید ایجاد شده دارای حقوق اداری باشد، کاربر را به گروه اضافه کنید : sudo usermod -aG wheel username اگر به عنوان ریشه وارد سیستم شوید، لازم نیست هر دستور را با sudo وارد کنید. نحوه حذف کاربر در CentOS برای خرید سرور مجازی با کیفیت کلیک کنید اگر حساب کاربری دیگر مورد نیاز نیست، می توانید آن را با استفاده از ابزار خط فرمان deluser حذف کنید. برای حذف کاربر، بدون حذف فایل های کاربر، دستور زیر را اجرا کنید: sudo userdel username اگر میخواهید حذف کنید و دایرکتوری خانگی کاربر و ایمیل ها از -r استفاده کنید: sudo userdel -r username در مورد موفقیت، دستور userdel خروجی تولید نمی کند. در صورتی که کاربر مجوزهای sudo را اعطا کرد، گروه چرخ و همچنین از هر گروه دیگری که کاربر عضو آن بود حذف خواهد شد. نتیجه در این آموزش، شما یاد گرفتید که چگونه کاربران CentOS را اضافه و حذف کنید. دستورات مشابه برای هر توزیع لینوکس دیگر اعمال می شود.

دوشنبه, 06 اسفند 1397

در این اموزش قصد داریم به شما آموزش دهیم که چگونه امنیت وب سایت خود را افزایش دهیم؟ چرا امنیت وب سایت و سیستم اهمیت زیادی دارد ؟اکثر افراد به امنیت خود اهمیت نمی دهند و با جمله (کسی که ما را هک نمی کند و یا جمله ما اصلا اطلاعاتی نداریم که کسی بخواهد ما را هک کند) بار خود را کم می کنند و خود را گول می زنند اما چنین چیزی کاملا اشتباه است زیرا نفوذگر در بعضی مواقع هیچ نیازی به اطلاعات شما ندارد و تنها قصد ان از نفوذ به سیستم شما استفاده از سیستم شما به عنوان یک attacker است.به این صورت که پس از نفوذ به سیستم شما با استفاده از متد هایی , اقدام به نفوذ با استفاده از سیستم شخصی شما می کند و اگر مشکلی پیش بیاید در ابتدای کار شما باید جوابگوی قانون باشید زیرا از سیستم شما به عنوان یک attacker استفاده شده است. این مورد فقط در سیستم های شخصی حاکم نیست و ممکن است حتی از یک سرور وب سایت استفاده شود.چرا امنیت در وب اهمیت دارد ؟همانگونه که گفته شد همیشه هدف از نفوذ استفاده از اطلاعات شخصی شما نیست و این موضوع در وب سایت ها هم صدق می کند و یکی از دلایل هک شدن وب سایت ها موضوع رقابت در بین نفوذگر هاست که پس از نفوذ به سایت ها با اپلود صفحه دیفیس خود و در نهایت ثبت سایت در سایت های ثبت سایت هک شده اقدام به رقابت با دیگر نفوذگر ها می کنند و حتی ممکن است برای تمرین اقدام به نفوذ سایت کنند.اما در ادامه با موضوع پر اهمیت تامین امنیت در انواع مختلف وب سایت ها اشنا می شوید. اگر شما یک وبمستر هستید حتما باید نکات امنیتی را رعایت کنید تا توانایی جلوگیری از نفوذ به وب سایت خود را داشته باشید.انتخاب یک پسورد قدرتمندیکی از مهم ترین و پایه ترین اقدامات امنیتی انتخاب و نوشتن یک پسورد قوی و غیر قابل حدس است.تغییر ادرس صفحه مدیریت برای امنیت وب سایتیکی از مهم ترین نکته های امنیتی مخفی کردن صفحه ورود به پنل مدیریت است زیرا اگر نفوذگر پنل مدیریت سایت شما را پیدا کند درصد بسیار بالایی از راه را طی کرده است و می تواند با استفاده از متد هایی مانند حملات بروت فورس اقدام به کرک صفحه لاگین کند.اما زمانی که صفحه ورود به پنل مدیریت وب سایت خود را در یک مسیر غیر قابل حدس قرار دهید و نفوذگر نتواند ان صفحه را پیدا کند حتی اگر یوزر و پسورد اصلی شما را داشته باشد توانایی نفوذ به سایت شما را ندارد زیرا اگر نتواند وارد پنل مدیریت محتوا شود یوزرنیم و پسورد برای نفوذگر کاربردی نخواهد داشت.کپچا برای ورود به صفحه مدیریت تا به حال با کپچا های بسیار زیادی در سایت های مختلف رو به رو شده اید که از شما درخواست می کنند که ثابت کنید یک انسان هستید و در این صورت می توانید از خدمات ذکر شده استفاده کنید.کپچا ها نمونه های مختلفی دارند که به اصطلاح  ثابت کردن خودتان و حل کردن مسئله , ریکپچا گفته می شود.کچپا چیست و چه کاربردی برای امنیت وب سایت دارد ؟کپچا برای شناسایی ربات ها استفاده می شود تا حملات بروت فورس و گاهی حمله DDOS را خنثی کند اما دقت داشته باشید که امنیت هیچ گاه صد درصد نیست و افراد خبره راه هایی برای دورزدن این محدودیت طراحی  و پیاده سازی می کنند ، کپچا های مختلفی وجود دارد مانند کپچا های متنی یا کپچا های حل مسائل ریاضی که در هر صورت شما باید اثبات کنید که یک انسان هستید و قصد صدمه زدن به سایت را ندارید.انتخاب رمز عبور برای ورود به صفحه لاگین یکی دیگر از اقدامات امنیتی انتخاب رمز عبور برای رسیدن به صفحه لاگین است به این معنی که قبل از ان که وارد صفحه لاگین شوید باید یک یوزرنیم و یک پسورد وارد کنید و پس از ان به صفحه لاگین ریدایرکت می شوید که سپس در آن صفحه باید از یوزرنیم و پسورد اصلی استفاده کنید. در این صورت کار نفوذگر بسیار سخت تر می شود زیرا حتی اگر نفوذگر رمز عبور و نام کاربری اصلی شما را داشته باشد در ابتدا باید از صفحه لاگین اولی عبور کند تا به صفحه لاگین اصلی برسد.افزونه چیست ؟ و نقش ان ها در امنیت وب سایتپنل های مدیریت محتوای محبوب مانند وردپرس و جوملا این امکان را در اختیار کاربران خود قرار می دهند تا در وب سایت مورد نظر از امکانات اضافه تر استفاده کنید.اما این پنل ها زمانی که در اختیار کاربر قرار داده  می شوند یک پنل  کاملا خام هستند و باید طبق نیاز و سلیقه خود آن را شخصی سازی کنید و در این میان افزونه های مختلف به کمک شما می ایند تا کار شما سریع تر و بهتر پیش برود ، یک دسته از این افرونه ها , افزونه های امنیتی هستند که می توانند کمک شایانی کند که در ادامه با برخی از این افرونه ها اشنا خواهید شدافزونه های امنیتی در وردپرسافرونه wordfence security در وردپرسیکی از مهم ترین قابلیت های این افزونه جلوگیری از حمله بروت فورس است که می تواند ایپی مورد نظر را بلاک کند و توانایی استفاده از ان ایپی را به نفوذگر نخواهد داد.افزونه secupress برای امنیت وب سایت های وردپرسیقابلیت ویژه ای که این افزونه دارد این است که می توانید با استفاده از این افزونه مسیر ورود به صفحه مدیریت را تغییر دهید که پیش تر با این نکته امنیتی اشنا شده اید.افزونه google Authenticator برای وردپرسامکان مهمی که این افرونه در اختیار کاربران خود قرار میدهد استفاده از قابلیت تایید دومرحله ای است که می توانید این امکان را با استفاده از این افزونه بر روی وب سایت خود اعمال کنید.نکته : افرونه های بسیار زیادی برای امنیت وب سایت های ورد پرسی طراحی و پیاده سازه شده اند که می توانید از انها در وب سایت خود استفاده کنید و این نکته حائز اهمیت است که ما تنها بخشی از کاربرد های افزونه های بالا را برای شما شرح داده ایم و هرکدام از افزونه هایی که در بالا با ان ها اشنا شده اید قابلیت های بیشتری در اختیار شما قرار می دهند.بروزرسانی هسته cms و بروزرسانی پلاگین و افزونه هابروزرسانی و بروز بودن سرویس هایی که استفاده می کنید بسیار مهم است زیرا ممکن است از نسخه ای استفاده کنید که شامل حفره های امنیتی بسیار خطرناک است و باید سریعا قبل از بروز هرگونه مشکل امنیتی سرویس خود را اعم از هسته سیستم مدیریت محتوا و پلاگین ها و … را بروز رسانی نمایید.امنیت در cms های اختصاصیاگر برای مدیریت و امنیت وب سایت خود از cms های اختصاصی استفاده می کنید و برای خود یک cms  طراحی کرده اید، برای برقراری امنیت این cms باید از انواع متدها برای بالا بردن امنیت خود استفاده کنید برای مثال کد ها را بررسی کنید و قسمت هایی که باعث به وجود امدن باگ شده است را رفع کنید ولی زمان بسیار زیادی را از  شما خواهد گرفت و پیشنهاد می کنیم از اسکنر های امنیتی استفاده کنید تا با اسکن کردن سایت شما حفره های امنیتی را به شما نمایش دهند.نکته : به اسکنر های امنیتی بسنده نکنید و خودتان به صورت دستی سایت خود را اسکن کنید.Htaccess چیست وچرا اهمیت بالایی دارد ؟فایل Htaccess یکی از فایل های مهمی است که اگریک وب سایت را با php  و وب سرور اپاچی راه اندازی کرده باشید برای شما به وجود خواهد آمد یا میتوانید ان را به صورت دستی ایجاد کنید.این فایل قدرت بسیار زیادی دارد که کانفیگهای سرور بر روی این فایل ثبت می شوند مانند بلاک کردن ایپی ها یا ریدایرکت دامنهو زیر دامنه ها و به صورت کلی باید از این فایل محافظت شود زیرا کانفیگ های مهم دراین فایل وجود دارد برای امنیت ان میتوانید سطح دسترسی ان را محدود کنید.همیشه از سایت خود backup داشته باشیدیکی دیگر از نکات امنیتی گرفتن بکاپ از سایت و سرور است .که اگر روزی سایت و سرور شما با مشکل مواجه شود توانایی حل مشکل و بازگردانی سایت را داشته باشید.حملات مختلفی باعث می شود که شما نیاز به یک بکاپ پیدا می کنید که یکی از خطرناک ترین این حملات , حمله یک نفوذگر به سایت و سرور شما است و ممکن است تمام اطلاعات شما را حذف کند و از شما درخواست پرداخت پول داشته باشد یا حتی به صورت کامل سرور را format کند و در این صورت شما باید امادگی داشته باشید تا بتوانید سایت خود را بدون هیچ مشکلی مجددا راه اندازی کنید.برای بکاپ گیری می توانید از طریق پشتیبانی هاستینگ خود اقدام کنید اما خود شما هم می توانید با استفاده از ابزارها و افرونه هایی از سایت خود بکاپ بگیرید که یکی از افزونه های پرکاربرد برای بکاپ گیری در وردپرس افزونه updraftplus است.چرا همیشه از جمله امنیت هیچ گاه صد درصد نیست استفاده می کنیم ؟اگر دقت داشته باشید تا به حال این جمله را از افراد مختلف زیاد شنیده اید، اما این جمله به چه معناست و ایا حقیقت دارد؟در ابتدای کار باید بگوییم که بله کاملا حقیقت دارد و کسی تا به حال نتوانسته امنیت خود را صد درصد تضمین کند. برای مثال تصور کنید دارای یک سایت هستید که برای شما اهمیت بسیار بالایی دارد و به امنیت وب سایت بسیار اهمیت داده اید ، نفوذگر زمانی که برای اولین بار وارد سایت شما خواهد شد اقدام به جمع اوری اطلاعات می کند و اطلاعاتی از قبیل cms  سایت , زبان استفاده شده در سایت و اطلاعاتی از این قبیل جمع اوری می کند و سپس به مراحل بعدی پیش می رود.اشنایی با راه های نفوذگرتصور کنید نفوذگر پس از جستجوی امنیتی فراوان در وب سایت شما نتواند باگ امنیتی در وب سایت پیدا کند، اما دلیل بر این نیست که سایت شما باگ ندارد ممکن است نفوذگر توانایی پیدا کردن باگ در سایت شما را ندارد.سپس در مراحل بعدی اقدام به راه های مختلفی ازجمله حملات سمت سرور , حملات بروت فورس و هزاران حمله دیگر می کند که  هرکدام از این ها یک دنیای بسیار گسترده دارند و حتی اگر شما توانسته باشید به شدتی امنیت وب سایت خود را بالا ببرید که نفوذ به سایت را بسیار سخت کنید ممکن است از طریق مهندسی اجتماعی ضربه بخورید زیرا انسان ها همیشه اسیب پذیر هستند و از کوچک ترین مشکلات خود ضربه های بسیار بزرگی خواهد خورد.حتی اگر امنیت وب سایت و سرور خود را طبق جدیدترین متد های روز امن کرده باشید ممکن است در آینده چندین باگ بسیار خطرناک در سیستم های مدیریت محتوا پیدا شود که هزاران نفوذگر فقط با چک کردن سایت های ثبت اکسپلویت متوجه اسیب پذیری جدید شده و قبل از اینکه شما دست به کار شوید ممکن است سایت شما مورد نفوذ قرار گرفته باشد بدون اینکه شما متوجه این موضوع شده باشید.نتیجه گیریدنیای نفوذ و امنیت وب یک دنیای بی نهایت است و برای پیشرفت و حرفه ای شدن در این زمینه نیاز دارید تا همیشه بروز باشید و همیشه در حال یادگیری باشید زیرا امنیت و نفوذ همیشه در حال رقابت با یکدیگر هستند به همین دلیل است که برخی از روش های نفوذ استفاده شده دیگر قابل استفاده نیستند زیرا حفره های امنیتی ان ها برطرف شده و شما باید همیشه به دنبال روش های جدید باشید و گاهی لازم است خودتان برای متد های جدید دست به کار شوید.منبع: pentestcore.com

چهارشنبه, 27 آذر 1398