نظام ممیزی مراکز داده (DCAS) چیست؟
باتوجه به لزوم توسعه ارائه خدمات کاربردی در کشور، حمایت از سرمایه‌گذاری بخش خصوصی و همچنین صیانت از حقوق ارائه دهندگان و مصرف کنندگان خدمات مرکز داده و اصول حاکم بر رتبه بندی مراکز داده، اولین بار به همت کمیسون تنظیم مقررات جهت ممیزی مرکز داده اقدام به تصویب آیین نامه مربوطه معروف به مصوبه شماره ۳ جلسه شماره ۲۴۷ مورخ 07/09/1395 گردید.
در واقع بر اساس این مصوبه سازمان فناوری اطلاعات ایران به عنوان مجری موظف گردید تا در چارچوب این مصوبه برای رتبه بندی مراکز داده اقدام نماید.
انواع سطوح ممیزی مراکز داده براساس DC100 که دیگر به دلیل ناکارآمدی قابل استفاده نمی باشد:
بر اساس این مصوبه مراکز داده در سه سطح ممیزی می شوند:
رتبه یک (عالی)
رتبه دو (خوب)
رتبه 3 (قابل قبول)
چه بخش هایی در مراکز داده مورد ممیزی قرار می گیرد؟
چهار گروه اصلی یا چهار شاخص اصلی در گروه ممیزی مرکز داده مورد برررسی قرار می گیرد:
1- زیرساخت فیزیکی
۲- ساخت فناوری اطلاعات
۳-مدیریت مرکز داده
۴-موارد تکمیلی و زیر شاخه های هر یک تقسیم و مدت اعتبار گواهینامه ها سه سال تعیین گردید.
روند ممیزی مراکز داده به چه صورت است؟
علاوه بر اهمیت فراهم ساختن شرایط فیزیکی و اجزای تشکیل دهنده یک مرکز داده به عنوان گام های اولیه ایجاد مرکز، سایر موارد مشتمل بر معماری ، نحوه چیدمان ، زیرساخت و تجهیزات لازم جهت بهره‌برداری مناسب از خدمات و تامین شرایط بهینه محیطی مورد نیاز مرکز، نیز از اهمیت فوق العاده برخوردار است و مبنای اصلی برای تعیین روند های مربوط به ممیزی ارزیابی و رتبه بندی مراکز داده است.
در ساختار ممیزی واژه ای به نام زیست چرخ مرکز داده تبیین شده که این زیست چرخ شامل ۸ برآیند اصلی است که بر اساس مراحل زیر ممیزی توسط نهادهای ارائه دهنده خدمات ممیزی صورت می‌پذیرد:
مکان یابی
طراحی
ساخت
راه اندازی
بهره برداری
تیم سازی
مدل سازی
مهاجرت و بازنشستگی
انواع استاندارد ممیزی مرکز داده
در واقع زیست چرخ مراکز داده بر اساس استانداردهای مراجع بین المللی به وجود آمده که عمده مراکز داده بر اساس استاندارد TIA-942 B در کشور ایجاد شده است.
برای اینکه در واقع بتوانیم از کلیه ظرفیت‌های فنی بین المللی استفاده کنیم در تهیه سند ممیزی مراکز داده از آخرین نسخه‌های استانداردهای زیر استفاده گردیده است.
شایان ذکر است ممیزی انطباق فعالیتها با اقدامات مرکزداده، براساس استانداردهای زیر و در صورت نیاز با نسخه های قبلی این استانداردها و حسب خوداظهاری متقاضی، قابل انجام می باشد.
استاندارد TIA-942 B 2017
استاندارد BICSI 002-2019
استاندارد UPTIME-2019
استاندارد ISO22237-1 to 7 -2018
استاندارد EN 50600- 1 to 7 -2018
شرکت عصر پردازش اطلاعات امین با نام تجاری دیتاسنتر امین، بعنوان سومین مرکز، موفق به اخذ گواهینامه رتبه بندی ارائه دهندگان خدمات مرکز داده کشور از سازمان فناوری اطلاعات شده است.
کشف نقص امنیتی جدید در پیام رسان واتس اپ
باگ امنیتی واتس اپ
به گزارش کار گروه امنیت مرکز داده امین
محققان امنیتی یک آسیب پذیری در سرویس پیام رسانی رمزگذاری شده WhatsApp را فاش کرده اند که می تواند به هکرها اجازه دهد فیلم ها ، عکس ها و پیام های صوتی را مشاهده و دستکاری کنند ، بدون اینکه گیرنده آن را بشناسد.
محققان سیمانتک نقص امنیتی را فاش کردند ، که به گفته Yair Amit ، مدیر ارشد فناوری سیستم عامل مدرن امنیت در سیمانتک ، این مفهوم که محتوای برنامه های رمزگذاری شده قابل دستکاری نیست ، تضعیف می شود. و همچنین آسیب پذیری جدیدی توسط یک محقق با نام مستعار “Awakened” کشف شده که امکان ارتقاء امتیاز و اجرای کد از راه دور (RCE) را به هکرها می دهد و به عنوان یک اشکال “double-free” توصیف و به آن شناسه‌ی “CVE CVE-2019-11932” اختصاص داده شده است.
به این هک خاص ، اصطکاک رسانه گفته می شود ، زیرا به هکرها اجازه می دهد پرونده هایی را که در واتس اپ ذخیره کرده است ربوده و بدون شناسایی آنها به طور بالقوه آنها را تغییر دهد. سیمانتک روز دوشنبه گفت که یک نقص مشابه در تلگرام نیز یافت شده است ، یکی دیگر از برنامه های پیام رسانی رمزگذاری شده.
این نقص، در نسخه‌ی 2.19.230 واتس‌اپ در دستگاه‌های دارای اندروید 8.1 و 9.0 اجازه‌ی اجرای کد از راه دور را می‌دهد و در نسخه‌های قبلی فقط می‌تواند برای حملات انکار سرویس (DoS) استفاده شود.
آسیب‌پذیری شناسایی‌شده، در یک کتابخانه‌ی منبع‌باز به نام “libpl_droidsonroids_gif.so” وجود دارد که توسط واتس‌اپ برای تولید پیش‌نمایش پرونده‌های GIFاستفاده می‌شود.
wakend، فیس بوک را از این اشکال مطلع کرد و این شرکت، همان زمان وصله‌ی رسمی برای برنامه را در نسخه‌ی واتس‌اپ 2.19.244 منتشر نمود.به کاربران توصیه می‌شود که واتس‌اپ خود را به این نسخه به‌روز کنند تا از این اشکال در امان بمانند.
مرکز داده امین : ارائه دهنده سرورهای مجازی ، سرورهای اختصاصی ،سرویس اشتراک فضا و …..
باج افزاری که اینترفیس HP iLO را آلوده می کند + روش جلوگیری
بیش از 5 هزار اینترفیس iLO توسط باج افزار یا همان Ransomware آلوده گردیده است که از این تعداد 360 عدد مربوط به ایران می باشد.
در این مقاله در مورد این تهدید جدید Ransomware که در این مدت کوتاه اینترفیس iLO یا همان Enterprise Integrated Lights-Out از شرکت HP را آلوده نموده است صحبت خواهیم کرد.
iLO چیست : iLO تکنولوژی مورد استفاده در تجهیزات سرور شرکت اچ پی است. iLO یک چیپست سخت‌افزاری است که دارای یک پورت خارجی Rj-45 بوده و این پورت در کنار سایر پورت‌های شبکه روی سرور قرار می‌گیرد. این پورت امکان اتصال از راه دور به سرور از طریق شبکه را برای کاربران ایجاد نموده و پس در نتیجه زمانی به کار می آید که شما به هر دلیلی بخواهید از راه دور به سرور خود دسترسی داشته باشید. این دسترسی از نوع سطح پایین و Out of Band Management است.
هکر ها با Scan IP مراکز داده ، شرکت ها و سازمان ها لیست IP هایی که سرویس iLO بر روی آن باز می باشد را جمع آوری کرده و شروع به آلوده کردن سرور از راه دور می نماید.
مواردی که توسط دیتاسنتر امین جهت جلوگیری از آلوده شدن توصیه می گردد:
- تغییر Port های سرویس iLO و تمامی سرویس های که احتمال Attack و Ransomware بر روی آنها وجود دارند به Port های نامتعارف دیگر
- محدودیت دسترسی بر روی سرویس ها و کنسول های مدیریتی ، این دسترسی را فقط بر روی IP های مشخصی که نیاز به دسترسی دارند باز نمایید. این IP های می تواند IP های سازمان و یا شرکت شما باشند.
- انتخاب پسورد پیچیده و سخت برای سرویس های خود حتما باید جزء پالیسی های شما باشد برای این کار حتما از کاراکتر های خاص در پسورد های خود استفاده نمایید.
واحد عملیات و مانیتورینگ شبکه
الزامات سیستم مدیریت امنیت اطلاعات ( ISMS ) – بخش دوم
سیستم مدیریت امنیت اطلاعات
الزامات کلی :
سازمان باید مدیریت امنیت اطلاعات مستند شده ای را در چهارچوب تمامی فعالیت های کلان کسب و کار سازمان و ریسک هایی که با آن مواجه است ،ایجاد ،پیاده سازی ، اجرا ،پایش ،بازنگری ، نگهداری نموده و بهبود دهد و در راستای مقاصد این استاندارد ،فرآیند ها بر پایه مدل PDCA بکار گرفته شده است .
الزامات سیستم مدیریت امنیت اطلاعات ( ISMS ) – بخش اول
الزامات سیستم مدیریت امنیت اطلاعات ( ISMS )
براساس استاندارد ISO/IEC 27001:2013
امروزه امنیت اطلاعات یکی از چالش های اصلی در عصر فناوری اطلاعات محسوب می شود و حفاظت از اطلاعات در برابر دسترسی غیرمجاز، تغییرات، خرابکاری و افشا، امری ضروری و اجتناب ناپذیر به شمار می رود. از اینرو، امنیت دارایی های اطلاعاتی،برای تمامی سازمان ها امری حیاتی بوده و مستلزم یک مدیریت تاثیر گذار می باشد .
بازگشت از بحران با استفاده از سرویس های اشتراک فضا
اگر سازمان شما طرح افزونگی (Redundancy) مرکز داده نداشته باشد، چگونه کسب‌وکارتان می‌تواند با سرعت از یک سناریوی بازیابی بحران (Disaster Recovery) نجات یابد؟
بهترین ابزارهای مانیتورینگ شبکه در سال ۲۰۱۷
سازمان‌ها باید زمان حضورشان را برای رقابتی ماندن در دنیای دیجیتال حداکثر سازی کنند. وقتی زیرساخت کسب‌وکار شما در مرکز داده میزبانی می شود، مدیران شبکه شما از ابزارهای نظارت بر شبکه برای تضمین اینکه تأمین کننده کناری شما برای اهداف معاملاتی شما آنلاین است، استفاده خواهند کرد.
پژوهشی مقایسه‌ای از مدل‌های ارزیابی ریسک امنیت اطلاعات برای سیستم‌های رایانش ابری
The 6th International Symposium on Frontiers in Ambient and Mobile Systems – FAMS 2016
Comparative Study of Information Security Risk
Assessment Models for Cloud Computing systems
چکیده
این مقاله روش‌های نوین ارزیابی ریسک امنیت سایبری را از سیستم‌های رایانش ابری بررسی می‌کند. ما با جزئیات مدل‌های ارزیابی ریسک امنیتی کمی ارائه‌شده برای یا استفاده‌شده مخصوصاً درزمینه سیستم رایانش ابری را انتخاب و بررسی می‌کنیم. ما بررسی انجام می‌دهیم و سپس مدل‌های موجود را ازلحاظ مواردی همچون مراحل مدیریت ریسک؛ مفاهیم مدیریت ریسک کلیدی؛ و منابع داده‌های احتمالی تحلیل می‌نماییم. بر اساس این تحلیل، مقایسه‌ای رابین این مدل‌ها برای انتخاب محدودیت‌ها و مزایای هر مدل مطرح‌شده معرفی می‌کنیم.
کلمات کلیدی: رایانش ابری؛ امنیت سایبر؛ مدل‌های ارزیابی ریسک کمی؛ ارزیابی ریسک امنیتی؛ مقایسه مدل‌های ارزیابی ریسک. Read more
الگوریتم های امنیتی برای رایانش ابری
International Conference on Computational Modeling and Security – CMS 2016
Security Algorithms for Cloud Computing
خلاصه
با افزایش نگرانی و آگاهی درباره امنیت اطلاعات و رایانش ابری، آگاهی و استفاده در حال افزایشی درباره الگوریتم‌های امنیتی در فرآیندها و سیستم های داده ها وجود دارد. این مقاله یک بررسی خلاصه از مقایسه الگوریتم های رمزنگاری، با تاکید بر الگوریتم های متقارن که بایستی برای برنامه های مبتنی بر ابر و خدماتی که نیازمند رمزنگاری پیوند و داده ها هستند را ارایه می کند. در این مقاله ما الگوریتم های متقارن و نامتقارن را با تاکید بر الگوریتم های متقارن برای توجهات امنیتی را به صورتی مورد بررسی قرار می دهیم که کدامیک بایستی برای خدمات و برنامه های مبتنی بر ابر استفاده شود که نیازمند رمزنگاری پیوند و داده ها می باشد.
Disaster recovery
Disaster recovery is the area of security planning that deals with protecting an organization from the effects of significant negative events. Significant negative events, in this context, can include anything that puts an organization’s operations at risk: crippling cyberattacks and equipment failures, for example, as well as hurricanes, earthquakes and other natural disasters.
