IPS & IDS

سوف نتطرق لموضوع مهم فى عالم السيكورتي
security للشبكات و هو اساسيات التعامل مع IPS & IDS
اجهزة منع و كشف المتطفلين فى الشبكه (sensors)  و الذى يساعد على بقاء الشبكه امنه من الهجمات الخارجيه.

 

IDS :   Intrusion Detection Systems

جهاز حماية يقوم بتحليل ومراقبة كل الترافيك المارة في الشبكة ومقارنتها مع بعض القواعد والـ signatures وبهذا فانه يستطيع تحديد الهجمات ويقوم بارسال تحذير او انذار الى مدير الشبكة Network Administrator لذلك لا يلزم ان يكون IDS فى مسار تدفق البيانات .

IPS :  Intrusion Prevention Systems

 نسخة مطورة لـ IDS  ويحمل كل مواصفات IDS بالاضافة الى انه يقوم بتحديد و استشعار الهجمات و التصدى لها وامكانيه منعها وايقافها من الوصول للهدف، لهذا يجب ان يكون IPS فى مسار تدفق حزم البيانات .

 


‏

اليه العمل:

يقوم الـ IPS بتحديد الهجمات الشائعه (common attack) , وهذا يعتمد على عمل القواعد والـ signature لكل هجمه ,اوالبصمه التي تميز الهجوم او العمل الخبيث بحيث يستطيع الجهاز التعرف عليه .

الان نفترض ان هناك هجوم و يقوم ال IPS بعرض هذا الهجوم على كل signatures و جاء دور ال sig المخصصة لكشف هذا الهجوم ماذا سيحدث ؟ سيتم التحقق من ان هناك هجوم يحدث و هنا تقوم ال sig بعمل عده اشياء :

1- ارسال تنبيه alert و تخزينه فى مكان يسمى ال Event store حيث يستطيع مراقب الشبكه ان يعرف ان هناك هجوم جارى .

2- تقوم باتخاذ قرار حسب طريقة اعداد الـ sig فمثلا عندما يتم تصميم الـ sig يجب تحديد ما هو رد الفعل اذا حدث الهجوم ؟

• هل يقوم بارسال alert فقط ؟
• هل يقوم بمنع الـ packet التى تحتوى على هذا الهجوم فقط ؟
• هل يقوم بمنع المهاجم منعا كاملا ؟
• هل يقوم بقطع الاتصال
• هل يقوم بعمل log للهجوم

و خيارات اخرى كثيره وذلك حسب الحاجه فهناك هجمات ليست خطيره يكفى ارسال alert و هجمات اخرى خطيرة فيجب فى هذه الحاله اتخاذ اكثر من قرار حاسم بصددها مثل منع الهجوم و حجب المهاجم نهائيا  .
للاطلاع أكثر على الموضوع اضغط هنا

منقول بتصرف من مدونة Security Request

Virtual Private Network

ما هى شبكات الــ VPN ؟
Virtual Private Network ( الشبكات الخاصه الافتراضيه)
هى تقنيه لربط الشبكات البعيده ببعضها عن طريق الانترنت بحيث يتم انشاء قناة آمنه يتم فيها تمرير البيانات بطريقة مشفرة
فاذا كانت هناك شركه لديها فرعين أو أكثر بحيث كل فرع فى مواقع أو بلدان مختلفه ونريد ربط الفروع بالشبكه او المقر الرئيسى؟
عندها يمكن استخدام تقنية Frame Relay أو تأجير Leased Line لكل فرع من اى مزود خدمه لربط الفروع أو استخدام شبكة VPN ولكن ماهو الحل الانسب ؟
فاذا اخذنا فى الاعتبار عامل الكلفه الماليه فبالطبع سيكون الــ VPN هو الحل الاقل تكلفة، اما اذا اخذنا فى الاعتبار مستوى الاداء والسرعة لهذه الخطوط التى ستربط الفروع بالمقر الرئيسى فسيكون اختيار الـ Leased Line هو الحل الانسب لانه سيضمن لك امن البيانات لانها لن تمر فى اى خط عام Public link
سنتطرق في حديثنا هنا لـ VPN لربط الفروع طالما ان جميع الفروع التى نريد ربطها مع المقر الرئيسى متصل بشبكه الانترنت  ولكن ما أود الاشاره اليه ان هذه الوسيله هى عامه Public اى ان الجميع متصل بالجميع وبامكان الجميع التجسس على الجميع، فكيف ستأمن على بياناتك الثمنيه اثناء مرورها بهذه الشبكه العامه وهى الانترنت، إلا اذا استخدمت وسائل لحمايتها تضمن لك ذلك وهذه الوسائل هي عبارة عن مجموعة من البروتوكولات والخورزميات التي تستحدم لضمان سلامه البيانات اثناء عبورها في شبكه الانترنت .


لماذا يفضل استخدام ال VPN عن باقى الوسائل ؟
اذا كان ما يميز تاجير خط من مزود الخدمه هو حفاظه على سريه البيانات وامنها و اداءه العالى ويعيبه زياده التكاليف الماليه , فاذا اعتمدت على شبكات الـ VPN ستجد طرق عديده تضمن لك مستوى الاداء و الحمايه فى نفس الوقت من دون اى تكاليف لانك ستعتمد على شبكه الانترنت كبنيه تحتيه Infrastructure , فبالطبع يربح خيار الـ VPN عن باقى الـ WAN Connections .

نلاحظ من الصوره بان  الانترنت عبارة عن Link (نفق أو قناة) يربط الروتر في الفروع الاول بروتر اخر في الفرع الثاني , ويطلق على هذا الـ Link مصطلح Tunnel 

منظومه ال VPN
فى الحقيقه الـ VPN ليس بروتوكول او خوازميه تشفير كما يظن البعض بل هى منظومه تحتوى على بروتوكولات و خوارزميات رياضيه و آليات عديده , وكل عنصر من هذه المنظومه يؤدى عمل معين ويقوم بدوره لتكون النتيجه فى النهايه لانشاء Tunnel او نفق عبر الانترنت تضمن لك سلامه مرور البيانات عبرها ,
واليك بعض المصطلحات التي ستواجه اثناء اعداد شبكات الـ VPN:

• Tunnel النفق الأمن الذى تضمن سلامه البيانات اثناء المرور عبره من فرع الى اخر على الرغم من ان هذه البيانات تنقل عبر وسيله اتصال عامه و غير امنه وهى الانترنت

• IPSEC حاويه تحتوى على العديد من البروتوكولات و الخوارزميات التى تستخدم لتأمين النفق

• Encryption Algorithms عندما تعبر البيانات الـ Tunnel لا تكون بشكلها المعروف Plain Text ولكن تكون بشكل مشفر لا تعرف محتواها الا اذا استطعت فك التشفير الخاص بها , ولتشفير البيانات يتم استخدام خوارزميات رياضيه معقده للقيام بهذه العمليه ليتم تشفير البيانات و ارسالها عبر الـ Tunnel و يتم فك التشفير عندما تصل الى الناحيه الاخرى .

• Encryption Key شبيه بكلمه السر تماما , وتستخدم خوارزميه التشفير هذا المفتاح لتشفير البيانات ويستخدم ايضا لفك التشفير عندما تعبر البيانات الـ Tunnel فيتم استخدامه مره اخرى لفك التشفير عن البيانات وارجاع النص كما كان فى البدايه قبل عمليه التشفير .

•  PlainText  شكل البيانات قبل التشفير و هو الشكل الطبيعى المقروء للبيانات .

• CipherText  شكل البيانات بعد عمليه التشفير وتعبر البيانات الـ Tunnel بهذا الشكل , وفى أسوأ الاحوال اذا استطاع شخص الحصول عليها فلن يفهم منها اى شىء ,ولارجاع ال CipherText الى PlainText لابد من ان يكون لديك مفتاح التشفير الذى تم تشفير البيانات بها .

• Authentication هذه العمليه تضمن لنا ان الشخص الاخر على الطرف الاخر من الـ VPN هو فعلا الشخص المقصود, فعندما يقوم فرع A بالاتصال مع فرع B تضمن الــ Authentication لـفرع A بان الشخص الاخر هو  فعلا في الفرع B و ليس شخص اخر يتظاهر بذلك , وايضا تتطلب هذه العمليه بعض البروتوكولات والخوارزميات الموجوده فى حزمه IPSEC وفى العاده يتم استخدام Password او Certificate فى عمليه التحقق هذه .

• Data Integrity هذه العمليه تضمن لنا التأكد انه لم يتدخل طرف ثالث فى الـ Tunnel وقام بتعديل البيانات بها , مثال للتوضيح – اذا كان بينك وبين موقع البنك Tunnel وقمت بارسال الاتى عبرها “قم بتحويل المبلغ X الى حساب الشخص Y” عندها يجب ان تضمن بنسبه 100% انه لم يتدخل هكر ما لتعديل هذه الرساله اثناء عبورها الـ VPN لتصل الى البنك فى النهايه هكذا “حول المبلغ Z الى حساب الشخص ME” .

هذه بعض التقنيات و الوسائل التى يتم تطبيقها فى شبكه ال VPN لتضمن لك امن وحمايه البيانات وكلها متمحوره فى صوره خوارزميات رياضيه او بروتوكولات موجوده فى حزمه IPSEC .

انواع شبكات VPN:-

هناك انواع كثيره جدا لشبكات ال VPN وتصنيفات عديده لها , ما يهمنى هنا هو نوعين فقط وهما Site-To-Site VPN & Remote Access VPN وطبعا باستخدام حزمه بروتوكولات IPSEC واحيانا تسمى IPSec-Based VPN لان هناك بروتوكولات اخرى غير IPSec يمكن استخدامها ولكن لا يهمنا الان التعرف عليها , الفرق بين ال site-to-site وال Remote-access يكون فى طرفى الاتصال .

 

 Site-To-Site 

هذه الصوره توضح النوع الاول Site-to-site vpn ويتم استخدام هذا النوع اذا كان المطلوب هو توصيل روتر بفرع A مع روتر اخر  في فرع B عن طريق الانترنت او توصيل روتر ب Firewall المهم انها تكون بين جهازين محددين .

Remote Access

هذه الصوره توضح النوع الثانى Remote Access vpn و الذى يكون بين روتر و Remote User اى شخص عادى يعمل على جهاز كومبيوتر يستطيع الاتصال عن بعد  بالشبكه عن طريق الانترنت فيكون مثله مثل اى شخص داخل الشبكه،
فى العاده يتم استخدام هذا النوع للسماح للموظفين بالوصول الى مصادر الشبكه من سيرفرات وروترات الى اخره من بيوتهم وذلك عن طريق استخدام هذا النوع من شبكات ال VPN .

منقول بتصرف من Security Request