درس هایی از رسوایی نشت اطلاعات موسوم به اوراق پانامایی

رسوایی اوراق پانامایی (Panama Papers) به حادثه افشای بیش از یازده میلیون سند الکترونیکی و ۴٫۸ میلیون ایمیل – بالغ بر ۲٫۶ ترابایت – از اطلاعات مشتریان و اطلاعات داخلی شرکت Mossack Fonseca اطلاق شده که در بسیاری از رسانه ها به بزرگترین نشت اطلاعات محرمانه به رسانه ها در طول تاریخ تعبیر شده است. اگرچه هنوز بررسی محتوای این اطلاعات به پایان نرسیده، اما تا امروز ده ها رهبر فعلی و پیشین کشورهای مختلف و عده ای از مشاهیر ورزشی، هنری و غیره طبق این اسناد به پولشویی های گسترده و فرار از مالیات با کمک این شرکت پانامایی متهم شده اند.

 

بررسی منابع مختلف نشان می دهد که این شرکت با وجود در اختیار داشتن انبوهی از اطلاعات محرمانه، بدیهیات امنیتی را در سیستم هایش رعایت نمی کرده است، از جمله:

۱- پورتال این شرکت از نسخه به روز نشده و آسیب پذیر Drupal استفاده کرده است.

۲- وب سایت شرکت با استفاده از WordPress و یک افزونه آسیب پذیر و به روز نشده Revolution insider راه اندازی شده است.

۳- گفته شده که وب سایت شرکت، فایروال نداشته است.

۴- سرورهای عمومی و داخلی شرکت (وب سایت و ایمیل داخلی) در یک Zone قرار دارند و نفوذ به یکی، دسترسی به دیگران را ممکن ساخته است.

البته هنوز با قطعیت مشخص نشده که پای نفوذ داخلی در میان بوده یا نفوذ از بیرون شرکت. اما همین موارد و دیگر شواهد و حدسیات، درس هایی برای همه سازمان ها  و شرکت ها دارد:

۱- به روز رسانی سیستم عامل ها، زیرساخت ها و برنامه ها موضوعی جدی و حیاتی است.

۲- حداقل یک فایروال برای هر شبکه ای حیاتی است!

۳- قرار دادن سرورها پشت فایروال کافی نیست:

  • جدا کردن سرورها (ایجاد نواحی امنیتی) بر اساس سطح تهدید و نیازمندی های امنیتی آنها هم لازم است.
  • مانیتور کردن ترافیک خروجی از شبکه هم لازم است.
  • مانیتور کردن ترافیک بین سرورها هم لازم است.

۴- دسترسی های راه دور منشأ بسیاری از تهدیدها هستند و باید کنترل و مانیتور شوند.

۵- میزان آسیبی که از نشت اطلاعات به سازمان وارد می شود، با افزایش حجم اطلاعات افشا شده به صورت تصاعدی و غیرقابل تصور افزایش می یابد.

اشتراک گذاری

پاسخی بگذارید

نشانی ایمیل شما منتشر نخواهد شد.