أمن المعلومات

تقنيات العزل بين المستخدمين للحماية من الاختراق من الداخل

هناك بعض التقنيات التي تهدف الى العزل بين المستخدمين على السيرفر وذلك بهدف عزل كل مستخدم ليشعر انه مستضاف على سيرفر خاص به. بعض هذه التقنيات فعال وبعضها لا يرتقي للمستوى المطلوب. الفيديو التالي يعرض تجربة تنفيذ اختراق من الداخل للحصول على معلومات حساسة عن المستخدمين على السيرفر بهدف تنفيذ عملية اختراق لتلك المواقع.

تم تزويد المخترق بملفات شل (محاكي اوامر لينكس) مرفوعه على الموقع دون اعطائه ادنى تفاصيل عن المستخدمين على السيرفر وطلب منه تحديد اسماء المستخدمين الاخرين على السيرفر ومعرفة على الاقل موقعين اخرين مستضافين على السيرفر … والنتيجة كانت كما هو بالفيديو:

بالرغم من ان التقنية المستخدمة للعزل ربما لا تكون بفعالية استخدام نظام VPS للحصول على سيرفر وهمي خاص الا انها تستطيع ان تتصدى لبعض انواع الاختراقات التي تهدف الى جمع المعلومات بهدف تنفيذ عمليات الاختراق من الداخل.

استطاع المخترق في وقت سابق وعن طريق الادوات التي تم تزويده بها من تحديد اسم السيرفر ومعرفة عناوين الاي بي الخاصة بالسيرفر وكذلك تحديد اصدارات كل من الاباتشي والبي اتش بي والبيرل وكذلك معرفة اصدار خادم قواعد البيانات MySQL واستطاع في نطاق ضيق تنفيذ بعض اوامر لينكس وكذلك استطاع تخصيص متغيرات لغات البرمجة بي اتش بي في نطاق محدود الا انه لم يستطع للوصول الى هدفه وهو معرفة اسماء المستخدمين الاخرين الذين يتشاركون معه موارد السيرفر.

تجدر الاشارة الى ان مصطلح حماية 100% غير موجود اساسا ، فالبرامج والانظمة وجدت لتستخدم ووجدت لتخترق ! 😀

سوف اقوم على خلال ايام باذن الله على طرح مشاركات اخرى تتعلق باختبارات اخرى للنظام وبعدها سوف اكتب الطرق والوسائل التي استخدمت في الحماية.

مطور تطبيقات انترنت واداري سيرفرات لينكس.

تعليقان

أضف تعليقا

  1. شئ رائع وجميل ياريت شرح طرق العزل هذه فهي مهمة جدا
    مع تحياتي لهذا المجهود الرائع

    1. الاخ احمد
      انا حاليا استخدم تقنية CageFS
      وهي تقنية للعزل بين حسابات المستخدمين على نظام التشغيل لينكس وقريبا سوف اطرح ورقة عمل منفصلة حول هذا الموضوع لانني فعلا وجدت نقص في المادة العربية حول هذا الامر

أضف تعليق

لن يتم نشر عنوان بريدك الإلكتروني. الحقول الإلزامية مشار إليها بـ *

هذا الموقع يستخدم Akismet للحدّ من التعليقات المزعجة والغير مرغوبة. تعرّف على كيفية معالجة بيانات تعليقك.