بصفتي محلل وباحث أمني ، أجد نفسي غالبًا أستكشف بعض الجوانب الداكنة من الإنترنت. في سياق البقاء على اطلاع دائم على القضايا الأمنية ، يجب أن أستعرض بشكل متكرر أنواع مواقع الويب التي يجب ألا يقترب منها أي شخص عادي ؛ كما أنني من المرجح أن يتم استهدافي في هجوم. أجبرني ذلك على تطوير نهج متطرف إلى حد ما لتصفح أكثر أمانًا.
افهم المخاطر
تقع هجمات متصفح الويب في فئتين عامتين. النوع الأول يستهدف متصفحك. يشملوا:
- البرمجة النصية عبر المواقع (XSS)، حيث يقوم أحد المهاجمين بإدخال رمز ضار بشكل غير قانوني - والذي يقوم المتصفح بتشغيله تلقائيًا - في صفحة ويب تثق بها ؛
- تزييف الطلبات عبر المواقع (CSRF)، حيث يقوم المهاجم بإدراج رمز في صفحة ويب واحدة تسمح له بإرسال أوامر باسمك ، باستخدام متصفحك ، إلى صفحة أخرى (البنك الخاص بك ، على سبيل المثال) ؛
- انقر فوق الاصطياد، حيث يقوم المبرمجون الضارون بتراكب الأزرار المخفية على موقع ويب ، والتي قد تنقر عليها بعد ذلك عن غير قصد.
تستخدم هجمات المستعرض صفحات ويب أو ارتباطات مخادعة لإعادة توجيهك إلى مواقع غير مرغوب فيها ، لاختراق التصفح جلسات ، لتنزيل البرنامج على جهاز الكمبيوتر الخاص بك ، أو لإجراء المعاملات (مثل إعادة توجيه بريد الويب الخاص بك إلى مهاجم).
النوع الثاني من هجمات الويب يستهدف النظام بأكمله. تستغل مثل هذه الهجمات النظامية ثغرات الأمان في المستعرض أو المكونات الإضافية (مثل QuickTime أو Flash) لاختراق جهاز الكمبيوتر الخاص بك. تستفيد هذه الهجمات من تجاوزات المخزن المؤقت ونقاط الضعف التي مكّنت منذ فترة طويلة الفيروسات والديدان والهجمات عن بُعد.
لحماية نفسي من كلا النوعين من الهجمات وعزل الضرر إذا تعرضت للاختراق ، أستخدم استراتيجية متعددة المستويات. يبدأ ذلك بإنشاء كلمات المرور وتخزينها باستخدام 1 كلمة المرور (). (لمزيد من النصائح حول كلمة المرور ، انظر أهم نصائح كلمة المرور.) ولكني أستخدم أيضًا نظامًا متعدد الطبقات من متصفحات متعددة وحتى أنظمة تشغيل للحفاظ على سلامتي قدر الإمكان. حتى إذا لم تقم بزيارة أنواع المواقع التي أزورها ، فقد تكون بعض هذه الاحتياطات مفيدة لك أيضًا.
متصفحات متعددة
خط دفاعي الأول هو استخدام متصفحات ويب مختلفة لأنشطة مختلفة. وبهذه الطريقة ، حتى إذا قام أحد المهاجمين باختراق منتدى ويب قمت بتسجيل الدخول إليه ، فلا يمكنه العبور من هناك لمهاجمة خدماتي المصرفية عبر الإنترنت ، لأنني أستخدم متصفحًا منفصلاً لذلك. أو لأنني أستخدم متصفحًا مخصصًا لـ Facebook ، فإن أحدث فيروسات XSS Facebook لا يمكنها الهروب من هناك للوصول إلى حساباتي على أمازون أو بريد الويب.
متصفحي الأساسي هو فايرفوكس 3.5 () تكوين مع نوسكريبت و Adblock زائد المكونات الإضافية.
يستخدم Adblock Plus القوائم السوداء لمواقع الإعلانات وبرامج التجسس المعروفة لحظر المحتوى منها تلقائيًا. أستخدمه كنسخة احتياطية إلى NoScript في حالة انزلاقي وأصرح بنص برمجي لا ينبغي أن أحصل عليه. يستخدم الأشرار بشكل متزايد لافتات الإعلانات وأدوات التتبع لتوزيع الأذى الذي يلحقونه ؛ يمنحني Adblock Plus القليل من التأمين الإضافي.
بالإضافة إلى هذين المكونين الإضافيين ، أطلب أيضًا من Firefox عدم تخزين كلمات المرور الخاصة بي (التفضيلات -> الأمان) ؛ أنا استخدم 1Password لذلك.
أستخدم Firefox للتصفح العام ومواقع التجارة مثل أمازون، لكنني لا أستخدمها للمواقع حيث سيتعين علي إدخال معلومات شخصية حساسة للغاية (مثل البنوك) أو مواقع أعلم أنها محفوفة بالمخاطر للغاية. بالنسبة إليهم ، أستخدم بعض الإجراءات الأكثر صرامة الموضحة أدناه.
نظرًا لأن قفل Safari أكثر صعوبة من Firefox ، فإنني أستخدمه في المواقع غير الحساسة وغير الخطرة ، مثل ويكيبيديا, باندوراو تفاحة. هذه هي المواقع التي أزورها كثيرًا ، حيث لا أريد التعامل مع إدارة استثناءات NoScript ، أو التي تميل إلى العمل بشكل أفضل في Safari من Firefox. ضمن التفضيلات -> عام ، أقوم بتعطيل فتح الملفات الآمنة بعد التنزيل. ضمن التفضيلات -> الملء التلقائي ، أقوم بتعطيل أسماء المستخدمين وكلمات المرور.
بشكل افتراضي ، سيحاول كل من Firefox و Safari تحديد المواقع الاحتيالية المعروفة باستخدام القوائم السوداء العامة. (في Firefox ، انتقل إلى التفضيلات -> الأمان -> حظر مواقع الهجوم المبلغ عنها ؛ في Safari ، انتقل إلى التفضيلات -> الأمان -> التحذير عند زيارة موقع ويب احتيالي.) أترك هذه الإعدادات نشطة.
أنا أستعمل NetNewsWire كقارئ موجز RSS الخاص بي. في تفضيلاته -> التصفح -> جزء صفحات الويب ، أقوم بتعطيل جميع المكونات الإضافية ، لمنع إرسال تعليمات برمجية ضارة عبر موجز RSS (مثل ملف فيديو يحتوي على تجاوز سعة المخزن المؤقت).
متصفحات مخصصة
على الرغم من أن Firefox و Safari جيدان للتصفح العام ، عندما أحتاج إلى مزيد من الحماية ، أستخدم إما متصفحًا مخصصًا أو متصفحًا خاصًا بالموقع (SSB).
أعني بـ "متصفح مخصص" متصفح ويب عاديًا أستخدمه لموقع واحد فقط. في حالتي ، أنا استخدم OmniWeb () لإدارة موقع الويب الخاص بشركتي والمدونة.
/* لمنع كل موقع ويب. أضفت في الجزء السفلي ، نافذة المواقع الموثوقة (التي تتجاوز قائمة المواقع المحظورة) السيكلة \ .com للسماح بأي شيء من موقعي. تدعم هذه النوافذ التعبيرات العادية المعقدة ، لذا يمكنك إنشاء بعض القواعد المعقدة جدًا. بالنسبة للمواقع التي لا أثق بها على الإطلاق ، أستخدم SSB. على سبيل المثال ، كما ذكرت أعلاه ، أنا قلق من Facebook. يمكنني الوصول إليها من خلال SSB.
SSB هو في الأساس متصفح ويب مجرد يمكنك إنشاؤه بنفسك ببضع نقرات. خلقت واحدة مع نشور زجاجي إضافة لمتصفح فايرفوكس. (انتقل إلى أدوات -> الوظائف الإضافية -> احصل على الوظائف الإضافية ، ابحث عن نشور زجاجي، ثم قم بتثبيته.) مع تثبيت Prism ، استعرض للوصول إلى هذا الموقع وحدد أدوات -> تحويل موقع الويب إلى تطبيق.
على عكس المتصفح المخصص ، يتيح لي SSB التصفح إلى مواقع ويب أخرى. ولكن نظرًا لأن SSB هو عملية منفصلة تمامًا ، يمكنني تقييد وصوله إلى الويب باستخدام يذكر سنيتش () جدار الحماية الصادر. إذا هاجم شخص ما SSB ، فلن يتمكن من لمس متصفحي الآخر أو سرقة محفوظات التصفح ، باستثناء SSB's.
أنظمة تشغيل متعددة
بالنسبة للمواقع شديدة الخطورة أو الحساسة ، أستخدم الأجهزة الافتراضية (VMs) باستخدام برنامج VMware Fusion () أو متوازيات () ، لعزل نشاط الويب أكثر.
على سبيل المثال ، أقوم بكل خدماتي المصرفية في جهاز ظاهري مخصص باستخدام Microsoft Internet Explorer 8 يعمل على أحدث إصدار مرشح لنظام التشغيل Windows 7. يعد IE8 على Windows 7 آمنًا جدًا - خاصة لأنني لا أستخدمه لزيارة أي مواقع ويب غير مصارفي ، ولا أستخدم VM للبريد الإلكتروني أو أي نشاط آخر على الإنترنت. يؤدي هذا إلى إزالة جميع هجمات المتصفح المحتملة (ما لم يتم اختراق حسابي المصرفي نفسه) ، وسيحتاج المهاجم إلى الاستيلاء على جهاز Mac الخاص بي بالكامل للحصول على معلوماتي المصرفية.
نظرًا لأن الأقراص المضغوطة للقراءة فقط ، فإن الجهاز الظاهري يقوم بتشغيل كل شيء في الذاكرة دون لمس نظام الملفات المحلي (باستثناء الذاكرة الافتراضية). يمكن للمهاجم أن يتنازل ويتحكم بشكل كامل في VM ، لكنه لا يستطيع لمس أي شيء آخر على نظامي. نظرًا لأن حالة VM لا يتم حفظها على القرص أبدًا ، كل ما علي فعله هو إيقاف تشغيله وإعادة تشغيله للعودة إلى صورة نظيفة ونقية.
من المسلم به أن المهنة التي اخترتها تتطلب القليل من جنون العظمة أكثر مما هو صحي عقليًا للمستخدم العادي. مع ذلك ، هذه التقنيات ملائمة لأي شخص مهتم بالأمن. على الأقل ، أوصي بإدارة كلمة مرور مخصصة ، أو متصفح ويب مخصص أو SSB للأعمال المصرفية ، وربما جهاز افتراضي لتلك الرحلات العرضية إلى الحواف الداكنة للإنترنت.
عمل ريتش موغول في عالم الأمن لمدة 17 عامًا. يكتب عنTidBitsويعمل محلل أمني من خلال Securosis.com.]