البوت نت.. الخطر الصامت على الإنترنت
حين ملأ موقع (ويكيليكس) الدنيا وشغل الناس
بأخباره وتسريباته، انشغلت جهة ما بتجييش جيش كبير وإعداد العدة لغزو
الموقع وتدميره، ففتحت عليه سيلا جارفًا من الرسائل الإلكترونية مما أدى
إلى تضعضع الموقع وتوقفه عدة مرات،
والطريف في الأمر أن جنود هذا الجيش العظيم أصغر من أن تُرى، وأخفى من تلمس أو تحس، وتعرف بين المختصين ب(البوت)، وتشكل مجاميعها شبكة تقوم بهجمات تسمى الهجوم الموزع لإيقاف الخدمة،
ويصنف هجوم (البوت نت) على موقع ويكيليكس على أنه من أعلى الهجمات خطورة نظرًا لحجم البيانات الكبير التي تعدت 10 غيغا في الثانية (Gbps10).
ولعل أبسط صورة يمكن أن نتعرف بها إليه هي ما نستقبله من رسائل مزعجة (سبام) تملأ بريدنا الإلكتروني.
إضافة إلى تلك الإعلانات التي تظهر في أجهزتنا بشكل مزعج ودون أن نعلم مصدرها أو كيف نوقفها.
والغريب أن هذه الأنواع وغيرها من النشاطات الإلكترونية المزعجة وغير القانونية، غالبا ما تنفذ بواسطة شبكة موزعة بين أجهزة المستخدمين الأبرياء الذين لا علم لهم بمشاركتهم في مثل هذه النشاطات وأصبحوا –دون علمهم-جزءا من شبكة(البوتنت).
(البوتنت) (Botents) هي شبكة لمجموعة من الحواسيب التى يسيطر عليها مخالفو القانون، وموجهو الجريمة المنظمة على شبكة الإنترنت، من خلال (البوت) التي هي برامج يتم تنزيلها وتركيبها على الأجهزة المصابة كأشباح رقمية، دون أن يلاحظها أصحاب تلك الأجهزة المصابة، وتدار عن بعد بواسطة خادم التحكم والسيطرة (C2S).
وتصبح أجهزة المستخدمين جزءا من تلك الشبكة بسبب عملية تحميل البرامج غير الموثوق بها من مواقع البرامج غير الأصلية (كراك)، أو من ملحقات البريد الإلكتروني.
وعادة تأتي هذه البرامج الخبيثة ملحقة مع برامج التشارك في الملفات. ويصعب أحيانا أن يتم اكتشافها من قبل البرامج المضادة للفيروسات.
ويعد جهل مستخدمي الإنترنت هو الحلقة الأضعف في مشكلة (البوت نت)، فببساطة يتم إيصال العدوى عن طريق النقر على أحد مواقع الإنترنت المصابة عمدًا أو دون قصد، وهذا كاف لتوليد عدوى الإصابة بالاشتراك في تلك الشبكات.
تمثل شبكات (البوت نت) ما يسمى بالتهديدات الصامتة والخفية، وهي تشكل خطورة بالغة لنشاط شبكة الإنترنت في كل يوم.
والزيادة المطردة في إعداد (البوت نت) مع تدهور الاقتصاد العالمي تشكل تهديدا كبيرا للأعمال، والاقتصاد، والحكومات، والصناعات، والأفراد حول العالم.
وحسب تقدير فرق (CERT) في أوروبا والولايات المتحدة، فإنه يوجد حوالي خمسة ملايين حاسب مصاب في جميع أنحاء العالم ومرتبطة بشبكة البوت، وأن أعلى خمس دول مصابة هي: الصين، والولايات المتحدة، وألمانيا، وإسبانيا، وفرنسا، فيما أشار تقرير لأحد المواقع المتخصصة إلى واقع شبكات(البوت نت)في العالم، عندما صنف الدول حسب الشبكات المشتبه بها إلى وجود المملكة العربية السعودية في المرتبة 24 ضمن 25 دولة مدرجة، وربما كانت الدول العربية في مقدمة هذه الدول المليئة بالشبكات لأن ثقافة التبليغ عن الجرائم والمشاكل، والإصابات الحاسوبية لم تجد طريقها بعد في وعي الإنسان العربي، ولهذا للأسف لا توجد أرقام دقيقة، أو إحصاءات يمكن الرجوع إليها في هذا الشأن.
ونتيجة لطبيعة(البوت نت) وانتشارها عبر دول العالم، وصعوبة السيطرة عليها وتتبعها، فإن أفضل الطرق للحماية من تلك الشبكات الضارة هو التنسيق والتعاون بين بلدان العالم من خلال الوكالات الوطنية المعنية بالقوانين المتعلقة بالجرائم الإلكترونية ومقدمي خدمات الإنترنت، بالإضافة إلى الحاجة الماسة إلى المزيد من التنظيم والهيكلة وزيادة الوعي العام، والمزيد من الموارد البشرية المؤهلة، وكذلك الموارد التقنية.
ولعلي في مقالة الأسبوع القادم بإذن الله أسلط الضوء على طريقة اكتشافها والحد منها في أجهزتنا.
http://www.alriyadh.com/2011/01/05/article591843.html
والطريف في الأمر أن جنود هذا الجيش العظيم أصغر من أن تُرى، وأخفى من تلمس أو تحس، وتعرف بين المختصين ب(البوت)، وتشكل مجاميعها شبكة تقوم بهجمات تسمى الهجوم الموزع لإيقاف الخدمة،
ويصنف هجوم (البوت نت) على موقع ويكيليكس على أنه من أعلى الهجمات خطورة نظرًا لحجم البيانات الكبير التي تعدت 10 غيغا في الثانية (Gbps10).
ولعل أبسط صورة يمكن أن نتعرف بها إليه هي ما نستقبله من رسائل مزعجة (سبام) تملأ بريدنا الإلكتروني.
إضافة إلى تلك الإعلانات التي تظهر في أجهزتنا بشكل مزعج ودون أن نعلم مصدرها أو كيف نوقفها.
والغريب أن هذه الأنواع وغيرها من النشاطات الإلكترونية المزعجة وغير القانونية، غالبا ما تنفذ بواسطة شبكة موزعة بين أجهزة المستخدمين الأبرياء الذين لا علم لهم بمشاركتهم في مثل هذه النشاطات وأصبحوا –دون علمهم-جزءا من شبكة(البوتنت).
(البوتنت) (Botents) هي شبكة لمجموعة من الحواسيب التى يسيطر عليها مخالفو القانون، وموجهو الجريمة المنظمة على شبكة الإنترنت، من خلال (البوت) التي هي برامج يتم تنزيلها وتركيبها على الأجهزة المصابة كأشباح رقمية، دون أن يلاحظها أصحاب تلك الأجهزة المصابة، وتدار عن بعد بواسطة خادم التحكم والسيطرة (C2S).
وتصبح أجهزة المستخدمين جزءا من تلك الشبكة بسبب عملية تحميل البرامج غير الموثوق بها من مواقع البرامج غير الأصلية (كراك)، أو من ملحقات البريد الإلكتروني.
وعادة تأتي هذه البرامج الخبيثة ملحقة مع برامج التشارك في الملفات. ويصعب أحيانا أن يتم اكتشافها من قبل البرامج المضادة للفيروسات.
ويعد جهل مستخدمي الإنترنت هو الحلقة الأضعف في مشكلة (البوت نت)، فببساطة يتم إيصال العدوى عن طريق النقر على أحد مواقع الإنترنت المصابة عمدًا أو دون قصد، وهذا كاف لتوليد عدوى الإصابة بالاشتراك في تلك الشبكات.
تمثل شبكات (البوت نت) ما يسمى بالتهديدات الصامتة والخفية، وهي تشكل خطورة بالغة لنشاط شبكة الإنترنت في كل يوم.
والزيادة المطردة في إعداد (البوت نت) مع تدهور الاقتصاد العالمي تشكل تهديدا كبيرا للأعمال، والاقتصاد، والحكومات، والصناعات، والأفراد حول العالم.
وحسب تقدير فرق (CERT) في أوروبا والولايات المتحدة، فإنه يوجد حوالي خمسة ملايين حاسب مصاب في جميع أنحاء العالم ومرتبطة بشبكة البوت، وأن أعلى خمس دول مصابة هي: الصين، والولايات المتحدة، وألمانيا، وإسبانيا، وفرنسا، فيما أشار تقرير لأحد المواقع المتخصصة إلى واقع شبكات(البوت نت)في العالم، عندما صنف الدول حسب الشبكات المشتبه بها إلى وجود المملكة العربية السعودية في المرتبة 24 ضمن 25 دولة مدرجة، وربما كانت الدول العربية في مقدمة هذه الدول المليئة بالشبكات لأن ثقافة التبليغ عن الجرائم والمشاكل، والإصابات الحاسوبية لم تجد طريقها بعد في وعي الإنسان العربي، ولهذا للأسف لا توجد أرقام دقيقة، أو إحصاءات يمكن الرجوع إليها في هذا الشأن.
ونتيجة لطبيعة(البوت نت) وانتشارها عبر دول العالم، وصعوبة السيطرة عليها وتتبعها، فإن أفضل الطرق للحماية من تلك الشبكات الضارة هو التنسيق والتعاون بين بلدان العالم من خلال الوكالات الوطنية المعنية بالقوانين المتعلقة بالجرائم الإلكترونية ومقدمي خدمات الإنترنت، بالإضافة إلى الحاجة الماسة إلى المزيد من التنظيم والهيكلة وزيادة الوعي العام، والمزيد من الموارد البشرية المؤهلة، وكذلك الموارد التقنية.
ولعلي في مقالة الأسبوع القادم بإذن الله أسلط الضوء على طريقة اكتشافها والحد منها في أجهزتنا.
http://www.alriyadh.com/2011/01/05/article591843.html
الحماية من البوت نت
بعد أن حددنا في المقالة السابقة الداء،
وتعرفنا إلى البوت نت(BOTNET) وبيّنا مخاطرها، وأساليب عملها، ننتقل اليوم
إلى مرحلة توصيف الدواء، وتحديد مقومات الوقاية منها، وفي أسوء الأحوال
التقليل من مخاطرها أو تعطيل بعض وظائفها،
إذ ذكرنا أن معظم مضادات الفيروسات لا تكتشف (البوت نت) بسهولة،
ولاسيما إذا وجدت بعض الثغرات البرمجية في العديد من البرامج ولما يتم ترميمها بعد، وهو ما يعرف ب(Zero Day Attack)،
إضافة إلى أنها تتصف بالقيادة والسيطرة بخلاف البرمجيات الأمنية الخبيثة المعروفة،
وكذلك تستخدم البروتوكولات الموجودة والقائمة، مثل برتوكول(HTTP, IRC)، وهو أمر يجعل مهمة اكتشاف (بوت نت التحكم) غاية في الصعوبة كون هذه البروتوكولات تستخدم من قبل البرامج السليمة التي قد يقوم المستخدم بتركيبها على جهازه.
غير أن هناك العديد من الوسائل المساعدة في الحماية والوقاية وكذلك العلاج من (البوت نت) الذي يمثل أحد أكبر المخاطر الأمنية حاليًا في عالم الإنترنت،
فمن سلك طريق الوقاية عليه أن يمنع النظام من الإصابة بعدوى (البوت نت) باستخدام التقنيات القائمة الآن لعمل ذلك، بما في ذلك برامج مكافحة الفيروسات، وجدران الحماية، وترميم أو سد الثغرات الطارئة على النظم والتطبيقات وتحديثها باستمرار وبشكل تلقائي.
ومن الخيارات الاستباقية المفضلة، تنصيب برنامج (BotHunter) وهو برنامج مجاني يعمل بالتوافق مع أغلب أنظمة التشغيل، ويتميز بأنه مصمم لحماية الشبكات غير أن فاعليته كبيرة في حماية الأجهزة الشخصية؛ المكتبية منها والمحمولة.
وأما من أراد ترصد (البوت نت) وتتبعها من المختصين بالكشف عن نوعية البيانات للبوت نت الخاص بالتحكم والسيطرة، والذي غالبا ما يستخدم أساليب المحادثة الفورية (الدردشة)على الإنترنت فعليه مراقبة منفذ(TCP) رقم 6667 المستخدم بشكل تلقائي لخدمة المحادثة الفورية على الإنترنت، كذلك من المفيد مراقبة حزم البيانات المتنقلة (Traffic Flow), بالإضافة إلى عمل ماسحات خاصة لخوادم المحادثات الفورية لاكتشاف "البوتنت" وتتبعها.
ولعل الأمر يشق على المستخدم العادي، الذي يفضل التعامل مع قواعد محددة وبرمجيات معينة، ترفع عن كاهله عبء ملاحقة (البوت نت)، وتدفع عن جهازه خطرها لاسيما أن هذا الموضوع يتصف بدرجة من التعقيد حتى على المختصين،
ويمكن أن نوجز الآليات الواجب اتباعها بالآتي:
1- تنصيب جدار حماية شخصي محدث بشكل مستمر، ويسمح للبيانات المغادرة للحاسب عن طريق المنافذ المعروفة مثل (80) أو (8080) أو (443) أو (6660-6669) وهو ما يساعد في التحكم في البيانات المغادرة من جهاز المستخدم، ويعطل بعض إمكانيات البوت نت، ويمنعه من استغلال موارد الجهاز لمهاجمة جهات أخرى.
2- تركيب مضاد فيروسات محدث، بحيث يحمي من فرض سيطرة خارجية على الجهاز تعرف بال(Rootkit)، وهذا يقلل المخاطر كما أسلفنا ولا يمنعها.
3- تقدم الأنظمة الحديثة كويندوز (7) ميزة اختيار حساب بخصائص أقل من خصائص مدير النظام، وذلك للمستخدم العادي الذي لا يملك الدراية والمعرفة التي تؤهله للتحكم بالنظام. فتتم الاستفادة من UAC (User Account Control)بالتقليل من تثبيت البرامج الخبيثة بالخطأ عن طريق تنبيه المستخدم هل يريد المتابعة أم لا.
4- توجد بعض البرامج المجانية مخصصة لاكتشاف (البوت نت)
منها على سبيل المثال من خلال موقعhttp://free.antivirus.com/rubotted/ من شركة (TrendMicro). كما أن البرنامجين Spybot و BotHunter يمكن استخدامهما لهذا الغرض.
5- على المستخدم اختيار المزود أو الملقم الافتراضي لأسماء النطاقات، إذا وجد اختلافا في الملقم الأصلي للشركة المزودة لخدمة الإنترنت، الأمر الذي يجنبه إعادة توجيه نظام طلبات أسماء النطاقات من خلال البرامج الخبيثة إلى مصدر غير معلوم.
كما أن على مزودي خدمة الإنترنت وجهات الاستضافة مجموعة مسؤوليات للحد من انتشار برامج البوت وتأثيرها.
6- العمل على تركيب التحديثات الخاصة بنظام التشغيل المستخدم في الجهاز لاسيما بأن الشركات المطورة لأنظمة التشغيل تقوم بشكل مستمر باكتشاف الثغرات وإصدار تحديثات تقوم بسدها.
إذا لم تفلح الطرق السابقة، وكانت هناك مؤشرات واضحة للإصابة كما ذكرنا فيمقالنا السابق، فينبغي أخذ نسخ احتياطية لكل الملفات التي تهمك، ومن ثم القيام بتهيئة الجهاز من جديد،لأنه كما أسلفنا أصبحت ضمن نطاق(RootKit) ومن الممكن أن تصيب ملفات النظام مما يصعب من عملية إزالتها تماماً من الجهاز، وحتى الرقع أو الترميمات الأمنية من مايكروسوفت لا يمكنها إزالة الRootKit بمجرد تثبيتها.
ويجدر بالجهات الحكومية المعنية بموضوع الأمن الوطني وأمن المعلومات، إجراء دراسات تفصيلية، ورصد لشبكات البوت نت ،وقياس مدى انتشارها الداخلي وامتداداتها الخارجية، وإجراء البحوث المتقدمة للتعرف على أنماطها وتحركاتها وطرق الحد من انتشار برامج البوت في الداخل أو الهجمات التي تشنها من الخارج، والتعرف على أنماط الجهات التي تبثها وتتحكم فيها.
فعلينا أن ندرك أنه من المحتمل أن تثور برامج البوت في الوقت الذي لا نتوقعه ولا نرغبه، وتضرب الخدمات الإلكترونية الحساسة التي قد تشل النشاطات الحيوية في المملكة.
http://www.alriyadh.com/2011/01/12/article593964.html
إذ ذكرنا أن معظم مضادات الفيروسات لا تكتشف (البوت نت) بسهولة،
ولاسيما إذا وجدت بعض الثغرات البرمجية في العديد من البرامج ولما يتم ترميمها بعد، وهو ما يعرف ب(Zero Day Attack)،
إضافة إلى أنها تتصف بالقيادة والسيطرة بخلاف البرمجيات الأمنية الخبيثة المعروفة،
وكذلك تستخدم البروتوكولات الموجودة والقائمة، مثل برتوكول(HTTP, IRC)، وهو أمر يجعل مهمة اكتشاف (بوت نت التحكم) غاية في الصعوبة كون هذه البروتوكولات تستخدم من قبل البرامج السليمة التي قد يقوم المستخدم بتركيبها على جهازه.
غير أن هناك العديد من الوسائل المساعدة في الحماية والوقاية وكذلك العلاج من (البوت نت) الذي يمثل أحد أكبر المخاطر الأمنية حاليًا في عالم الإنترنت،
فمن سلك طريق الوقاية عليه أن يمنع النظام من الإصابة بعدوى (البوت نت) باستخدام التقنيات القائمة الآن لعمل ذلك، بما في ذلك برامج مكافحة الفيروسات، وجدران الحماية، وترميم أو سد الثغرات الطارئة على النظم والتطبيقات وتحديثها باستمرار وبشكل تلقائي.
ومن الخيارات الاستباقية المفضلة، تنصيب برنامج (BotHunter) وهو برنامج مجاني يعمل بالتوافق مع أغلب أنظمة التشغيل، ويتميز بأنه مصمم لحماية الشبكات غير أن فاعليته كبيرة في حماية الأجهزة الشخصية؛ المكتبية منها والمحمولة.
وأما من أراد ترصد (البوت نت) وتتبعها من المختصين بالكشف عن نوعية البيانات للبوت نت الخاص بالتحكم والسيطرة، والذي غالبا ما يستخدم أساليب المحادثة الفورية (الدردشة)على الإنترنت فعليه مراقبة منفذ(TCP) رقم 6667 المستخدم بشكل تلقائي لخدمة المحادثة الفورية على الإنترنت، كذلك من المفيد مراقبة حزم البيانات المتنقلة (Traffic Flow), بالإضافة إلى عمل ماسحات خاصة لخوادم المحادثات الفورية لاكتشاف "البوتنت" وتتبعها.
ولعل الأمر يشق على المستخدم العادي، الذي يفضل التعامل مع قواعد محددة وبرمجيات معينة، ترفع عن كاهله عبء ملاحقة (البوت نت)، وتدفع عن جهازه خطرها لاسيما أن هذا الموضوع يتصف بدرجة من التعقيد حتى على المختصين،
ويمكن أن نوجز الآليات الواجب اتباعها بالآتي:
1- تنصيب جدار حماية شخصي محدث بشكل مستمر، ويسمح للبيانات المغادرة للحاسب عن طريق المنافذ المعروفة مثل (80) أو (8080) أو (443) أو (6660-6669) وهو ما يساعد في التحكم في البيانات المغادرة من جهاز المستخدم، ويعطل بعض إمكانيات البوت نت، ويمنعه من استغلال موارد الجهاز لمهاجمة جهات أخرى.
2- تركيب مضاد فيروسات محدث، بحيث يحمي من فرض سيطرة خارجية على الجهاز تعرف بال(Rootkit)، وهذا يقلل المخاطر كما أسلفنا ولا يمنعها.
3- تقدم الأنظمة الحديثة كويندوز (7) ميزة اختيار حساب بخصائص أقل من خصائص مدير النظام، وذلك للمستخدم العادي الذي لا يملك الدراية والمعرفة التي تؤهله للتحكم بالنظام. فتتم الاستفادة من UAC (User Account Control)بالتقليل من تثبيت البرامج الخبيثة بالخطأ عن طريق تنبيه المستخدم هل يريد المتابعة أم لا.
4- توجد بعض البرامج المجانية مخصصة لاكتشاف (البوت نت)
منها على سبيل المثال من خلال موقعhttp://free.antivirus.com/rubotted/ من شركة (TrendMicro). كما أن البرنامجين Spybot و BotHunter يمكن استخدامهما لهذا الغرض.
5- على المستخدم اختيار المزود أو الملقم الافتراضي لأسماء النطاقات، إذا وجد اختلافا في الملقم الأصلي للشركة المزودة لخدمة الإنترنت، الأمر الذي يجنبه إعادة توجيه نظام طلبات أسماء النطاقات من خلال البرامج الخبيثة إلى مصدر غير معلوم.
كما أن على مزودي خدمة الإنترنت وجهات الاستضافة مجموعة مسؤوليات للحد من انتشار برامج البوت وتأثيرها.
6- العمل على تركيب التحديثات الخاصة بنظام التشغيل المستخدم في الجهاز لاسيما بأن الشركات المطورة لأنظمة التشغيل تقوم بشكل مستمر باكتشاف الثغرات وإصدار تحديثات تقوم بسدها.
إذا لم تفلح الطرق السابقة، وكانت هناك مؤشرات واضحة للإصابة كما ذكرنا فيمقالنا السابق، فينبغي أخذ نسخ احتياطية لكل الملفات التي تهمك، ومن ثم القيام بتهيئة الجهاز من جديد،لأنه كما أسلفنا أصبحت ضمن نطاق(RootKit) ومن الممكن أن تصيب ملفات النظام مما يصعب من عملية إزالتها تماماً من الجهاز، وحتى الرقع أو الترميمات الأمنية من مايكروسوفت لا يمكنها إزالة الRootKit بمجرد تثبيتها.
ويجدر بالجهات الحكومية المعنية بموضوع الأمن الوطني وأمن المعلومات، إجراء دراسات تفصيلية، ورصد لشبكات البوت نت ،وقياس مدى انتشارها الداخلي وامتداداتها الخارجية، وإجراء البحوث المتقدمة للتعرف على أنماطها وتحركاتها وطرق الحد من انتشار برامج البوت في الداخل أو الهجمات التي تشنها من الخارج، والتعرف على أنماط الجهات التي تبثها وتتحكم فيها.
فعلينا أن ندرك أنه من المحتمل أن تثور برامج البوت في الوقت الذي لا نتوقعه ولا نرغبه، وتضرب الخدمات الإلكترونية الحساسة التي قد تشل النشاطات الحيوية في المملكة.
http://www.alriyadh.com/2011/01/12/article593964.html
ليست هناك تعليقات:
إرسال تعليق