امنیت سایبری چیست

امنیت سایبری دقیقا از چه چیزی محافظت می کند؟

سه چیز، و کمتر کسی هر سه را با هم در ذهن دارد. امنیت سایبری یعنی نگه داشتن محرمانگی، درستی و در دسترس بودن اطلاعات و سامانه هایی که آن اطلاعات را نگه می دارند. این سه تا اختراع ما نیست؛ استاندارد FIPS 199 موسسه ملی استاندارد و فناوری آمریکا هر سه را تعریف کرده و محرمانگی را «حفظ محدودیت های مجاز بر دسترسی و افشای اطلاعات» می نامد، درستی را «مصون داشتن از تغییر یا نابودی نادرست»، و در دسترس بودن را «تضمین دسترسی به موقع و قابل اتکا».

حالا همان سه تا به زبان روز خودتان. محرمانگی یعنی فهرست مشتری هایتان روی اینترنت پیدا نشود. درستی یعنی قیمت های فروشگاهتان همانی باشد که خودتان گذاشته اید و کسی صفر آخرشان را برنداشته باشد. در دسترس بودن یعنی صبح که مشتری سراغ سایت می آید، سایت بالا باشد.

و اینجا یک موضع: بیشتر آدم ها وقتی می گویند «امنیت»، فقط محرمانگی را تصور می کنند، یعنی کسی چیزی از من بخواند. ولی چیزی که در عمل روز کاری را خراب می کند معمولا دو تای دیگر است. سایتی که یک روز پایین باشد پول و اعتماد از دست می دهد؛ سایتی که کسی محتوایش را بی سر و صدا دستکاری کند بدتر است، چون تا مدت ها کسی نمی فهمد. باج افزار هم دقیقا حمله به همین دو تاست: داده تان را نمی برد، از دسترستان خارج می کند.

یک نتیجه عملی از همین تقسیم بندی در می آید. سوال درست «چطور امنیت سایتم را زیاد کنم» نیست، «کدام یک از این سه تا اگر برود بیشتر ضرر می زنم» است. برای یک وبلاگ شخصی جواب معمولا در دسترس بودن است. برای یک فروشگاه، درستی سفارش ها و پرداخت ها. برای یک سایت با پرونده مشتری، محرمانگی. ترتیب کارهایتان از همین جواب در می آید و نه از فهرست کارهای اینترنت.

چه کسی سراغ سایت من می آید و اصلا چرا؟

این پرسشی است که تقریبا همه صاحبان سایت های کوچک از خودشان می پرسند و جوابی که به خودشان می دهند غلط است: «من که کسی نیستم، چه کسی با من کار دارد.» جواب واقعی این است که هیچ کس با شما کاری ندارد، و دقیقا به همین دلیل هر روز به در شما می زنند.

عددها را از لاگ همین سایت برداشته ایم، برای یک روز کامل، ششم سپتامبر ۲۰۲۶. در آن یک روز ۱۹۱ درخواست به rgb.ir رسید که دنبال فایل یا نرم افزاری بودند که یا اصلا اینجا نیست یا فقط برای یک مهاجم معنی دارد. این ۱۹۱ درخواست از ۲۴ نشانی مختلف آمدند و ۹۰ مسیر متفاوت را خواستند. ۱۶۹ تای آنها بی هیچ اتفاقی ۴۰۴ گرفتند، یعنی جواب «چنین چیزی اینجا نیست».

دسته بندی شان این شکلی است: ۶۲ درخواست دنبال فایل تنظیمات یک فریم ورک بودند، ۶۰ درخواست دنبال فایلی که اطلاعات پیکربندی سرور را چاپ می کند، ۳۷ درخواست به وردپرس مربوط بود، ۱۹ درخواست دنبال یک در پشتی آماده می گشت، و ۱۳ تای باقی مانده متفرقه بودند. تنها دسته ای که جوابی غیر از ۴۰۴ گرفت همان دسته وردپرس بود، چون تنها نرم افزاری است که واقعا اینجا اجرا می شود؛ و همان ها هم فقط یک تغییر مسیر یا یک ارتباط قطع شده گرفتند، نه یک فرم ورود.

اما تکان دهنده ترین چیز در آن لاگ عددها نیستند، تکرار است. ساعت ۲:۲۰ بامداد یک ماشین اجاره ای ۵۷ آدرس را پشت سر هم خواست و کل کارش ۶۰ ثانیه طول کشید. نوزده ساعت بعد، ساعت ۹ شب، یک ماشین دیگر با نشانی دیگر دقیقا همان ۵۷ آدرس را خواست؛ فهرست، به همان ترتیب، مو به مو یکی بود. آن ۵۷ تا هم چیز عجیبی نبودند: ۲۸ جور املای مختلف برای یک فایل تنظیمات و ۲۹ جای مختلفی که ممکن است یک فایل نمایش پیکربندی آنجا باشد. هیچ کدام از آن دو فایل روی این سایت وجود ندارد. هر دو ماشین هم در معرفی خودشان نوشته بودند «کروم»، یکی روی مک و یکی روی ویندوز.

در همان روز چیزهایی از ما خواسته شد که خنده دار است: نرم افزار کنترل یک پرینتر سه بعدی، یک سیستم مدیریت مدرسه، یک فریم ورک PHP چینی، و صفحه گزارش یک افزونه ایمیل وردپرس که ما نداریم. هیچ کدام اینجا نصب نیست و هیچ کس هم قبل از زدن، نگاه نکرده بود که نصب هست یا نه. این همان چیزی است که «فرصت طلبانه» یعنی: کسی سایت شما را انتخاب نکرده، فقط شما در فهرست بوده اید.

چرا اسکنر دنبال در پشتی کسی دیگر می گردد؟

در همان یک روز، ۱۹ درخواست از آن ۱۹۱ تا دنبال چیزی بودند که فقط اگر سایت از قبل هک شده باشد وجود دارد. ده نام و مسیر مختلف، همه از یک خانواده: یک پوسته وب، یعنی فایلی که مهاجم بعد از نفوذ روی سایت می گذارد تا دفعه بعد بدون زحمت برگردد. شرکت های امنیتی این خانواده را سال هاست تحلیل و مستند کرده اند و نامش شناخته شده است.

یک لحظه به معنایش فکر کنید. آن درخواست ها اصلا نمی خواستند به سایت ما نفوذ کنند. داشتند می پرسیدند آیا کس دیگری قبلا نفوذ کرده و در را باز گذاشته یا نه. سایتی که یک بار هک شده و بعد ظاهرا تمیز شده، اگر آن یک فایل روی آن مانده باشد، برای همیشه یک در باز دارد که هر کسی که نامش را بداند می تواند از آن رد شود، بی آنکه هیچ حمله تازه ای لازم باشد.

و از این چند نتیجه عملی در می آید که در فهرست های معمول امنیت کمتر می بینید. اول: پاک کردن بدافزار با یک افزونه کافی نیست؛ آنچه اهمیت دارد پیدا کردن راه ورود و بستن آن است، وگرنه هفته بعد همان اتفاق تکرار می شود. دوم: بعد از هر حادثه، همه رمزها و کلیدها عوض می شوند، نه فقط رمز مدیر. سوم و مهم تر از هر دو: راه مطمئن برگرداندن یک سایت آلوده، بازگرداندن نسخه پشتیبانی است که تاریخش قطعا پیش از نفوذ باشد، و همین است که پشتیبان گیری را از یک کار حوصله سر بر به مهم ترین تصمیم امنیتی شما تبدیل می کند.

یک نکته صادقانه هم بگوییم: هیچ کدام از ما نمی توانیم از روی لاگ بفهمیم پشت آن ۱۹ درخواست چه کسی بوده. مهاجم بوده یا پژوهشگری که دارد اینترنت را می اسکند، از خود درخواست معلوم نیست و هر ادعایی در این باره حدس است. آنچه از لاگ معلوم است رفتار است، نه نیت.

پنج عادتی که بیشتر خطر را می پوشاند

وقتی مهاجم یک اسکریپت باشد که فهرست اجرا می کند، دفاع هم قرار نیست پیچیده باشد. پنج تا عادت بیشتر آن فهرست را بی اثر می کند و هیچ کدامشان تخصص نمی خواهد.

به روز نگه داشتن. آن اسکریپت دنبال ضعف های شناخته شده می گردد، یعنی چیزهایی که سازنده نرم افزار قبلا وصله شان کرده. سایتی که به روز است در برابر بیشتر آن فهرست عملا نامرئی است. مرکز ملی امنیت سایبری بریتانیا هم در فهرست کوتاه توصیه هایش به کاربران عادی، نصب به موقع به روزرسانی ها را جزو همان چند کار اصلی می آورد.

رمز یکتا برای هر حساب. نکته اینجا سختی رمز نیست، تکرار نشدنش است. رمز تکراری یعنی نشت اطلاعات یک سایت بی اهمیت، در حساب مهم شما هم باز می شود. و یک باور رایج که راهنمای رسمی خلافش را می گوید: عوض کردن دوره ای رمز لازم نیست. سند SP 800-63B همان موسسه ملی استاندارد آمریکا صریح می نویسد که سرویس ها «نباید» کاربر را وادار به تغییر دوره ای رمز کنند و فقط وقتی باید تغییر را اجباری کنند که نشانه ای از لو رفتن باشد. جزئیاتش در درس رمز عبور و تایید دو مرحله ای همین مسیر می آید.

تایید دو مرحله ای روی حساب های مهم. اول ایمیل، بعد بقیه؛ چون ایمیل کلید بازیابی همه حساب های دیگر شماست و هر کس آن را بگیرد بقیه را هم گرفته.

پشتیبان گیری، و مهم تر از آن جای دیگر نگه داشتنش. نسخه پشتیبانی که روی همان سرور است، در حادثه ای که کل سرور را می گیرد بی فایده است. و صادقانه ترین جمله این بخش: نسخه پشتیبانی که هرگز آزمایش نشده، یک فرض است نه یک نسخه پشتیبان.

شک کردن به پیام هایی که عجله دارند. این تنها عادتی است که فنی نیست و همان است که در فهرست های رسمی هم کمتر می آید. تقریبا هر کلاهبرداری موفق یک شتاب مصنوعی دارد: حسابتان تا امشب بسته می شود، مرسوله تا یک ساعت دیگر برمی گردد. مکث کردن، در عمل، از هر نرم افزاری بیشتر جلوی ضرر را می گیرد. درس فیشینگ همین مسیر تشخیصش را باز می کند.

و اینکه چقدر جواب می دهد: روی همین سرور، سامانه محافظ ورود از سی ام اوت تا چهارم سپتامبر ۲۰۲۶ فقط ۳ بار کسی را قفل کرده است، در حالی که در یک روز ۱۹۱ درخواست شناسایی به سایت خورده. اختلاف این دو عدد اتفاقی نیست: تقریبا هیچ کدام از آن اسکریپت ها اصلا به مرحله امتحان کردن رمز نمی رسند، چون چیزی که دنبالش بودند وجود ندارد.

اگر همین حالا حس می کنید هک شده اید چه کار کنید؟

اول یک چیز را از هم جدا کنیم، چون بیشتر وحشت ها از همین جا می آید. دیدن تلاش برای نفوذ در گزارش ها به معنای نفوذ نیست. آن ۱۹۱ درخواستی که در بخش دوم شمردیم همه شان تلاش بودند و هیچ کدام موفق نشد. اگر افزونه امنیتی تان هر روز خبر می دهد که «فلان تعداد حمله دفع شد»، آن یعنی کار دارد انجام می شود، نه اینکه اتفاقی افتاده.

نشانه های واقعی دیگرند: ورودهای موفق از جایی که شما نبوده اید، کاربر مدیری که خودتان نساخته اید، فایل هایی با تاریخ تغییر عجیب، تغییر مسیر بازدیدکنندگان به یک سایت دیگر که فقط از موبایل یا فقط از نتایج جستجو اتفاق می افتد، هشدار مرورگر روی سایتتان، یا ایمیل هایی که به نام شما فرستاده شده اند و شما نفرستاده اید.

اگر یکی از این ها را دیدید، ترتیب کارها مهم است. از یک دستگاه دیگر که مطمئنید سالم است رمز ایمیل اصلی را عوض کنید و تایید دو مرحله ای را روشن کنید؛ تا وقتی ایمیل در دست کسی دیگر باشد، هر رمز دیگری که عوض کنید دوباره قابل بازیابی است. بعد میزبان سایت را خبر کنید، چون گزارش های سمت سرور را فقط او دارد. یک نسخه از وضعیت فعلی سایت را دست نخورده نگه دارید، حتی اگر آلوده است؛ اگر همه چیز را پاک کنید هیچ وقت نمی فهمید از کجا وارد شده اند و همان راه دوباره باز می ماند. و در آخر، بازگرداندن نسخه پشتیبان با تاریخی که مطمئنید پیش از حادثه است.

و یک هشدار که خیلی ها با آن ضرر می کنند: اولین جواب ها به جستجوی «سایتم هک شده» معمولا تبلیغات اند. هیچ کس نمی تواند پیش از دیدن سایت شما قیمت و زمان قطعی بدهد، و کسی که بدون دیدن هیچ چیز عدد می گوید دارد چیز دیگری می فروشد.