کنترل شماره دو از سری کنترل های اولیه

CIS logo
فهرست و کنترل دارایی های نرم افزاری

چرا این کنترل حیاتی است؟

مهاجمان دائماً سازمان های هدف را در پی یافتن نسخه هایی از آسیب پذیری نرم افزارها جستجو می کنند تا بتوانند از راه دور از آنها سوءاستفاده کنند. برخی از مهاجمان حتی مطالب مهیج، فایل های اسناد، فایل های رسانه ای، و محتویات دیگر را از طریق صفحات وب خود و یا سایت های قابل اعتماد شخص ثالث پخش می کنند. وقتی که قربانیان ازهمه جا بی خبر با مرورگرهای ضعیف و آسیب پذیر یا برنامه کاربردی دیگر به این محتوا دسترسی پیدا می کنند، مهاجمان به دستگاه های قربانیان نفوذ کرده و با نصب برنامه هایBackdoor و یا راه اندازی بات ها (Bot)، امکان اعمال کنترل طولانی مدت روی سیستم ها را برای خود فراهم می کنند. برخی از مهاجمان خبره و ماهر می توانند از نواقص دیده نشده ( Zero –Day Exploit) و ضعف های ناشناخته که هنوز از سمت فروشنده آن ها هیچگونه به روزرسانی ارائه نگردیده استفاده کنند. بدون دانش کافی و مناسب و یا عدم کنترل نرم افزار نصب شده در سازمان، مدافعان نمی توانند دارایی سازمان را امن نگه دارند. ماشین هایی که کنترل ضعیفی روی آنها وجود دارد، بیشتر نرم افزارهایی را اجرا می کنند که برای اهدف تجاری غیرضروری بوده (نواقص امنیتی بالقوه) و یا در حال اجرای بدافزاری هستند که توسط مهاجم و پس از اینکه به سیستم نفوذ کرده اند نصب شده است.

وقتی یک ماشین منفرد مورد حمله و نفوذ قرار گرفت، مهاجمان معمولاً از آن به عنوان نقطه شروع برای جمع آوری اطلاعات حساس از سیستم قربانی و دیگر سیستم های متصل به آن استفاده می کنند. به علاوه، از ماشین قربانی به عنوان نقطه شروع حرکت به سوی سایر تجهیزات شبکه و یا دیگر شبکه های متصل استفاده می شود. در این روش، این امکان وجود دارد که مهاجمان به سرعت یک ماشین قربانی را به چندین ماشین تبدیل کنند. سازمان هایی که فرایند جمع آوری اطلاعات نرم افزارها را تکمیل نمی کنند قادر نیستند سیستم های ضعیف و آسیب پذیر و یا بدافزارها را به منظور کاهش مشکلات و مخاطرات و یا خارج کردن مهاجمان از شبکه شناسایی کنند. کنترل مدیریت شده تمامی نرم افزارها، در برنامه ریزی، پشتیبان گیری، بازیابی و پاسخ به رویدادها نقش مهمی ایفا می کند.

CIS logo

نکات اصلی


  • از سامانه های مخصوص فهرست برداری از نرم افزارها در راستای خودکارسازی تهیه مستندات نرم افزاری، در سازمانهای تجاری استفاده کنید.
  • از فن آوری لیست سفید نرم افزارها (نرم افزارهای مجاز) برای تمام دارایی های نرم افزاری استفاده کنید. تا اطمینان حاصل نمایید که فقط نرم افزارهای مجاز اجرا می شوند و هیچ نرم افزار غیر مجازی قادر به اجرا شدن بر روی دارایی های سازمان نیست.
CIS logo

سامانه های مرتبط برای پیاده سازی این کنترل

CIS logo

صفحه قبل