طرح یک مسئله که یک چالش همه گیر است:
همه ما در شبکه های خود ناچاریم برای رفع نیازهای سازمانی از برخی نرم افزارهای بومی استفاده کنیم. مثل نرم افزارهای مالی و انبار و حقوق و دستمزد و کارگزینی و اتوماسیون اداری و ... .
هنگام انتخاب یک محصول بومی شاید پارامترهای مختلفی را درخصوص آن مورد توجه قرار دهیم. اما نکته مغفول موضوع امنیت است. در واقع مهمترین دارایی سازمان را در نرم افزارهایی قرار می دهیم که اطمینانی به امنیت آن نداریم.
همه روزه اخبار مختلفی از کشف آسیب پذیری های مختلف در نرم افزارهای مختلف از شرکتهای معتبر دنیا پخش می شود و این نقاط ضعف و آسیب پذیر بلافاصه توسط سازندگان برطرف می شوند. یقینا نرم افزارهای بومی هم پر از نقاط آسیب پذیر هستند. سئوال اینجاست واقعا چه کسی باید نقاط آسیب پذیر نرم افزارهای بومی را کشف و گزارش کند؟ ما چگونه حساس ترین اطلاعات سازمانی را در دل نرم افزارهایی قرار می دهیم که هیچگونه رفرنس امنیتی قابل اطمینانی در خصوص کارکرد آنها وجود ندارد؟
این نگرانی زمانی افزایش می یابد که متاسفانه اکثر نرم افزارهای ایرانی توسط اکثر آنتی ویروسها به عنوان ویروس شناخته می شوند. این نشان می دهد که اصول برنامه نویسی و امنیتی در تولید نرم افزار رعایت نشده است! شرکت های سازنده هم بدون پذیرفتن هرگونه مسئولیتی مشکل را به گردن خطای آنتی ویروسها می اندازند! و جالب اینجاست که کارشناسان امنیتی همیشه تسلیم می شوند و برای نرم افزارهای اداری یک Rule تعریف می کنند که با Folder نرم افزارهای اداری کاری نداشته باشد! یعنی آنتی ویروس نسبت به مهمترین دارایی های اطلاعاتی ما بی تفاوت باشد! هرچه بادا باد!
به عنوان یک کارشناس امنیتی برای حل این معضل همه گیر چه پیشنهادی دارید؟

و معمولاً هم مى بايست براى اينكه اينگونه نرم افزارها به درستى به كار خود ادامه دهند، از بروز رسانى سيستم عاملهاى آنها جلوگيرى به عمل آوريم كه همين موضوع به ريسك آنها ميفزايد.

روشهایی مثل UTM و آنتی ویروس مشکل اصلی نرم افزار رو حل نمی کنه. اینها برای تامین امنیت بستر هست که ما معمولا رعایت می کنیم. من در یک نرم افزار ایرانی وب بیس که باید روی WAN باز باشه شاهد بودم که برنامه نویس یک شاه کلید برای خودش ساخته بود که از هرجایی میتونست Login کنه! توجیهش این بود برای حل مشکلات مشتری ها ازش استفاده می کنه! منظورم وجود نقاط ضعف اینچنینی داخل نرم افزارهاست که از کنترل ما خارج هست. نمونه بارزش رو در تجربه شرکت انیاک دیدیم که چه غوغایی به پا شد!

👍👍👍👍
دقیقا!
شرکت سازنده تاکید میکنه به هیچ وجه Update نکنید!
سئوال اصلی اینه گروه امنیتی سازمان باید

سئوال اصلی اینه گروه امنیتی سازمان باید پیرو شرکت نرم افزاری باشه یا برعکس؟

وقتی شما یک Security Update نصب می کنید و کل سیستم از کار میفته دیگه چه کاری از دست شما ساخته است؟ باید به شرکت مهلت معین داد تا مشکلش رو حل کنه اگر حل نکرد؟؟؟

😄
و اگر شاه کلیدها چندتا بودن؟؟؟

نرم افزارهای خارجی معمولا شناخته شده هستند و دائم زیر تست توسط گروه های حرفه ای هستند. اما نرم افزارهای ایرانی خیر. نرم افزارهای ایرانی نه تنها رفرنس قابل اعتماد امنیتی ندارن بلکه شما رو از نصب Security Updateها در لایه OS هم منع می کنن. نمونه بارزش رو یکی از دوستان چند وقت پیش اینجا طرح کردن که پیمانکار نرم افزار مشکل Stopشدن یک سرویس رو به مشکل سخت افزاری ربط داده بود!