معرفی گرایش رایانش امن

دسته بندی :

تاریخ درج :

حجم فایل :

معرفی گرایش رایانش امن

گرایش رایانش امن
گرایش رایانش امن را گرایش امنیت اطلاعات نیز می‌نامند. هدف از امنیت اطلاعات این است که ذخیره، تبدیل، پردازش، انتقال و بازیابی اطلاعات به شکلی مطمئن و امن انجام پذیرد و از انجام فعالیت‌های غیر مجاز ممانعت به عمل آید. در گرایش رایانش امن، ابعاد کلی تامین امنیت برای سیستم‌های پردازش اطلاعات مطالعه و بررسی می‌گردد.

تاریخچه گرایش رایانش امن
زمان‌های بسیار دور، با آغاز نوشتن و تبادل اطلاعات، امنیت اطلاعات همواره مورد توجه بوده است. حدود ۵۰ سال پیش از میلاد، ژولیوس سزار برای مخابرهی پیام‌های سری به فرماندهان خود از یک تکنیک ساده برای انتقال پیام استفاده می‌کرد. او ابتدا با فرماندهان خود بر سر یک عدد به عنوان کلید توافق می‌کرد و حروف پیام را به اندازهی کلید به سمت جلو شیفت می‌داد. مثلا اگر کلید ۲ بود و پیام مورد نظر “سلام” بود، او پیام رمز شده “صنپو” را ارسال می‌کرد و آنها با دوبار شیفت دادن حروف به عقب به متن اصلی پی می‌بردند. اگرچه که امروزه ناامن بودن این سیستم رمزنگاری به سبب فضای کلید بسیار پایین و وجود ارتباط خطی بین ورودی و خروجی برای همگان محرز است، اما با توجه به اینکه اغلب مردم آن زمان سواد نداشتند، این مکانیزم ساده امنیت قابل قبولی داشت و استفاده می‌شد.
با وقوع جنگ جهانی دوم، شاهد پیشرفت‌های چشمگیری در امنیت اطلاعات بودیم که زمینه‌ساز توسعه ی حرفه‌ای در این حوزه شد. نمونه ی آن ماشین رمزنگاری انیگما که محبوبیت زیادی نزد ارتش آلمان نازی داشت و باور بر این بود که امن است، در نهایت به دست آلن تورینگ شکسته شد و تأثیر شگرفی در نتیجه ی جنگ داشت. از این رو می‌توان آلن تورینگ را اولین هکر دنیای امنیت اطلاعات تلقی کرد. به سبب نقش پررنگ آلن تورینگ در جنگ جهانی دوم، تصویر او بر روی اسکناس‌های ۵۰ پوندی چاپ می‌شود، در حالی که تصویر ملکه ی انگلستان بر روی اسکناس‌های ۲۰ پوندی به چشم می‌خورد.
در پایان قرن بیستم و آغاز قرن بیست و یکم، با پیشرفت فناوری‌های ارتباطی و دسترس‌پذیری ابزارهای الکترونیکی، امنیت سایبری و اطلاعات به یکی از چالش‌های اصلی جهان تبدیل شد. با گسترش استفاده از اینترنت و افزایش تهدیدات سایبری، ضرورت توجه به امنیت اطلاعات دوچندان شد که در نهایت منجر به توسعه رشته‌های دانشگاهی و سازمان‌های تخصصی در این زمینه گردید.

هدف از دوره کارشناسی ارشد رایانش امن
هدف از دوره ارشد رایانش امن تربیت افرادی است که به منظور تامین امنیت انواع سیستم‌های اطلاعاتی و کامپیوتری و شبکه‌ای بتوانند راه حل های مناسب و کاربردی ارائه دهند و بتوانند آنها را پیاده سازی کنند. همین طور با داشتن تسلط بر روی مباحث عملی و درک تئوری لازم بتوانند طراحی، پیاده سازی و ارزیابی مفاهیم، تکنیک‌ها، روش‌ها و رویه‌های لازم برای امنیت سیستم‌های کامپیوتری و شبکه‌ای را عملی سازند . دانشجویان ارشد رایانش امن باید بتوانند پژوهش‌هایی در زمینه مبحث امنیتی در سیستم‌های مختلف (مثلا رایانش ابری) را انجام داده و سبب ارتقا دانش و تکنولوژی مربوطه در کشور گردند.

واحد های درسی گرایش رایانش امن
دانشجو در رشته امنیت اطلاعات کارشناسی ارشد باید 32 واحد بگذراند، که واحدها به طریق زیر است: 24 واحد درسی، 2 واحد سمینار، 6 واحد پایان نامه.
دانشجویان رشته امنیت اطلاعات باید 24 واحد درسی را از جدول درس‌های گروه 1، گروه 2 و گروه 3 انتخاب کنند(این جداول در فایل پی دی اف پیوست شده در اختیارتان قرار گذاشته شده).
توجه: درس‌های کارشناسی ارشد امنیت اطلاعات موجود در جداول درسی گروه 1 و 2 و 3 می‌توانند با توجه به نظر استادان صاحب نظر در هر دانشگاه تا مقدار معینی که به دانشگاه مربوطه اجازه داده می‌شود تغییر کنند. نحوه اخذ واحد‌های درسی در دوره کارشناسی ارشد رایانش امن باید طبق جدول‌های درس‌های ارائه شده برای گرایش رایانش امن از گروه های 1، 2 و 3 و همچنین مطابق بند‌های زیر باشد:
1) در دوره کارشناسی ارشد امنیت اطلاعات در صورت تایید استاد راهنما و دانشکده، دانشجو می‌تواند حداکثر یک درس خود را از سایر گرایش‌های مهندسی کامپیوتر یا سایر رشته‌ها اخذ نماید.
2) در دوره‌های کارشناسی ارشد آموزش محور رایانش امن، دانشجو موظف است درس سمینار را بگذراند و معادل تعداد واحد پایان نامه (6 واحد)، درس از گرایش رایانش امن اخذ نماید.
3) با توجه به تحولات سریع علم و فناوری در رشته امنیت اطلاعات درس هایی تحت عنوان مباحث ویژه در گرایش کارشناسی ارشد امنیت اطلاعات تعیین شده است که سرفصل‌های ویژه و جدید با تصویب محتوی در دانشکده مهندسی کامپیوتر تحت این عنوان پیش بینی شده به صورت موقت قابل ارائه است که بتواند با تحولات علمی همگام گردد.
دروس این گرایش
جبرانی :مهندسی نرم‌افزار، سیستم عامل، شبکه‌های کامپیوتری، پایگاه داده، امنیت داده و شبکه، تحلیل و طراحی سیستم‌ها
الزامی : رمزنگاری کاربردی، امنیت شبکه پیشرفته، امنیت پایگاه داده، سامانه‌های نرم‌افزاری امن، مدیریت و مهندسی امنیت اطلاعات، روش‌های صوری در امنیت اطلاعات، امنیت و اعتماد سخت‌افزاری، کشف شواهد دیجیتال
اختیاری : نظریه رمزنگاری، مفاهیم پیشرفته در رایانش امن، نظریه الگوریتمی بازی‌ها، نظریه پیچیدگی، نظریه اطلاعات و کدینگ، درستی‌یابی سیستم‌های واکنشی، یادگیری ماشین، طراحی سیستم‌های تحمل‌پذیر خطا، توسعه امن نرم‌افزار، امنیت و حریم خصوصی در یادگیری ماشین

شاخه های اصلی گرایش رایانش امن
سه رنگ اصلی داریم :
تیم آبی یا مدافعان
این افراد مسئولیت دفاع از سازمان و دارایی‌های آنها را به عهده دارند و این هدف را از سه طریق تحقق می‌بخشند:
    Security Awareness: آموزش کارکنان سازمان به منظور ارتقای سطح آگاهی آنان در مقابله با حملات سایبری.
    Physical Security: حفاظت فیزیکی سازمان مانند دوربین‌ها، قفل‌ها و نگهبانان.
    IT Security/Defense: پایش تغییرات شبکه و پاسخ دادن به رخدادها (Incident Response). در ایران این افراد در موقعیت کارشناس مرکز عملیات امنیت یا Security Operation Center استخدام می‌شوند که در سه رده بسته به سطح دانشی که دارند تقسیم می‌شوند:
الف) SOC Tier 1: این افراد وظیفه پایش شبکه را بر عهده دارند و در صورتی که رخدادهای غیرمتعارفی در شبکه مشاهده کنند، به بررسی False Positive بودن یا True Positive بودن آنها می پردازند. این افراد شیفت های طولانی در محل کار مسئول رصد ترافیک شبکه هستند و باید دانش پایه شبکه و امنیت را داشته باشند و همچنین از مفاهیم Firewall، IDS، IPS، SIEM، WAF و… سر در بیاورند. در محیط کار از این افراد انتظار میرود که با کوئری (با معادل فارسی پرسمان یا جستار) زدن در SIEM و بررسی گزارش ها بتوانند نفوذ را تشخیص و به تیم Incident Response گزارش دهند. توجه داشته باشید که زمانیکه در مورد دانش مورد نیاز هر شغل صحبت میکنیم منظور حداقل مواردی است که باید بدانید تا بتوانید وارد بازار کار آن شاخه شوید.
ب) SOC Tier 2: این افراد بسته به میزان حساسیت سازمان ممکن است در خط مقدم تشخیص حملات مستقر باشند یا در مراحل ثانویه حمله وارد عمل بشوند. از این رو اغلب شیفت های کوتاه تری را سپری میکنند اما دانش عمیق تری در مقابله با تهدیدات سایبری دارند. این افراد در تیم Incident Response و Disaster Recovery نیز حضور دارند.
ج) SOC TIER 3: که به آنها Threat Hunter نیز می گویند، در این دسته قرار میگیرند. این افراد بسیار کمیاب هستند. چراکه رسیدن به چنین درجه ای دانش بسیار گسترده ای میطلبد و حتی شرکت ها از عهده پرداخت درآمد چنین اشخاصی بر نمی آیند بنابراین اغلب به صورت پروژه محور با آنها همکاری میکنند. گفتنی است که تهدیدات امروزی به صورت مخفیانه در شبکه سازمانها وجود دارند و نمیتوان با قاطعیت در مورد امن بودن یا ناامن بودن آنها اظهار نظر کرد. افراد این گروه با این پیشفرض که تهدیدی وجود دارد وارد سازمان میشوند و به طرق مختلف تهدید های مخفی سازمان را شناسایی و حذف میکنند.
* یکی دیگر از مشاغل تیم آبی، جرم‌یابی دیجیتال (Digital Forensics) است که اخیرا به صورت گرایش جداگانه‌ای در دانشگاه علامه طباطبایی ارائه می‌شود. متخصصان این گرایش همچون شرلوک هولمز و هرکول پوآروهای دنیای دیجیتال هستند که به مراکزی که مورد حمله سایبری قرار گرفته‌اند، می‌روند و از داخل حافظه سیستم‌های قربانی حمله داده‌هایی در مورد حمله استخراج می‌کنند. هدف این گروه تحلیل حمله صورت گرفته و کسب حداکثری اطلاعات از گروه مهاجم و پیدا کردن ارتباط میان جرائم سایبری است.
*مهندسی معکوس نرم‌افزار، که همچنین به عنوان تحلیل باینری شناخته می‌شود، شامل تجزیه و تحلیل عمیق کد منبع، ساختار برنامه‌ها و الگوریتم‌های مورد استفاده است. این فرایند شامل استفاده از ابزارهای تخصصی و تکنیک‌های دستی برای درک عمیق عملکرد اجزای یک نرم‌افزار است. مهندسی معکوس نرم‌افزار کاربردهای گسترده‌ای دارد، از کشف آسیب‌پذیری‌های امنیتی گرفته تا تحلیل فایل‌های مخرب و حتی شکستن قفل برنامه‌های پولی (crack).
متخصصان در زمینه‌های مختلف، از جمله جرم‌شناسی دیجیتال و تیم‌های عملیاتی امنیت (SOC)، به دانش مهندسی معکوس نرم‌افزار نیاز دارند. در محیط SOC، تحلیلگران به طور مداوم حملات بدافزاری را که یک سازمان را هدف قرار می‌دهند، تجزیه و تحلیل می‌کنند و بر اساس یافته‌های خود، قوانین خاصی را برای سیستم‌های دفاعی ایجاد می‌کنند. این فرایند به آنها کمک می‌کند تا حملات مشابه را در آینده شناسایی و مسدود کنند.
مهندسی معکوس همچنین برای تیم‌های قرمز، که مسئول آزمایش مقاومت سیستم‌های دفاعی سازمان در برابر حملات هستند، بسیار ارزشمند است. این توانایی به آن ها کمک میکند تا روش‌های خلاقانه‌ای برای گریز از سیستم‌های دفاعی و همچنین سخت تر کردن مراحل ترسیم حمله توسط تیم دفاعی ابداع کنند.
تیم قرمز یا مهاجمان
این گروه متشکل از متخصصان امنیت سایبری است که سعی در نفوذ به سازمان‌ها از طریق کشف نقاط ضعف آنها دارند. تیم‌های قرمز ممکن است توصیه‌هایی نیز برای بهبود امنیت سازمان‌ها ارائه دهند. معمولا سازمان‌ها برای محک زدن امنیتشان به صورت قراردادی با تیم‌های قرمز فعالیت می‌کنند. تیم قرمز همچنین باعث تقویت تجربه تیم آبی می‌شود و توانمندی آنان را در یک سناریو حمله شبیه‌سازی شده محک می‌زند. عملیات‌ تیم قرمز دو رویکرد کلی دارد:
    Penetration Testing: که به آن تست نفوذ یا هک اخلاقی نیز می‌گویند، برای کشف آسیب‌پذیری در یک شبکه یا سازمان استفاده می‌شود. کسانی که علاقمند به این حوزه هستند باید علاوه بر دانش پایه شبکه و امنیت، دوره‌های OWASP Top 10و CEH را گذرانده باشند. اگر بخواهیم به صورت کلی‌تر بگوییم، برای خراب کردن هر چیزی ابتدا باید بدانید که دقیقا چگونه کار می‌کند، همچنین برای دفاع اول باید حملات را شناخت!
    Social Engineering: در این رویکرد کارکنان سازمان‌ها مورد مطالعه قرار می‌گیرند و با OSINT کردن اطلاعات ارزشمندی درباره آنان بدست می آید. سپس با تحلیل رفتار آنها و تکنیک‌های روانشناسی تاریک موفق به جلب اعتماد سوژه و نفوذ در سازمان‌ها می‌شوند. مهندسی اجتماعی فقط به امنیت سایبری محدود نمیشود و در تبلیغات هدفمند نیز دیده میشود. به عنوان مثال، احتمالا شنیده اید که الگوریتم اینستاگرام با تحلیل رفتار شما محتوایی را برایتان انتخاب میکند که شما را برای مدت طولانی تری در برنامه نگه دارد. یا ممکن است تبلیغاتی در مورد موضوعی به شما نشان دهد که کمی پیش تر در دنیای واقعی درمورد آن صحبت میکردید. از این رو مارک زاکربرگ به عنوان بزرگترین شخص در حیطه مهندسی اجتماعی شناخته میشود.
* عده‌ای از افراد تیم قرمز هم از طریق کشف باگ در وب اپلیکیشن‌ها (Bug Bounty Hunting) و گزارش کردن باگ‌های کشف شده کسب درآمد می‌کنند. دلیل اصلی به وجود آمدن چنین شغلی این بود که علیرغم اینکه هکرهای کلاه سفید در پروژه‌های تست نفوذ، اپلیکیشن‌ها را ایمن اعلام می‌کردند، این امکان وجود نداشت که با قاطعیت درباره امنیت آنها اظهار نظر کرد. از طرف دیگر هکرهای کلاه سیاه به دنبال منبع درآمد جدید و کم‌ریسک بودند. بنابراین برنامه‌های باگ بانتی شکل گرفتند که در آن هکرهای کلاه سیاه بابت پیدا کردن آسیب‌پذیری در برنامه‌ها نه تنها دستگیر نمی‌شدند بلکه جایزه هم می‌گرفتند و همچنین توانایی پنتسترها در ارزیابی برنامه‌ها در چنین باگ بانتی‌هایی بسته به تعداد و میزان خطر باگ‌های کشف شده محک زده می‌شد. برای اینکه وارد حوزه باگ بانتی شوید توصیه می‌شود دانش مورد نیاز برای پنتست را فرا بگیرید و بعدا با تکنیک‌های مربوط به تحلیل Black Box و مطالعه Writeup ها دانش خود را در این زمینه گسترش دهید. مراقب باشید که در دام دوره‌های افراد رویافروش نیفتید.
تیم زرد یا سازندگان (گرایش مهندسی نرم افزار)
این گروه درواقع شامل مهندسان نرم‌افزار، توسعه‌دهندگان، معماران سیستم و تسترها هستند. این تیم خود یک گرایش جداست، اما می‌توان گفت زمین بازی تیم آبی و تیم قرمز توسط این افراد ایجاد می‌شود و این افراد با هر خط کدی که می‌نویسند، باگ‌ها و نقص‌های امنیتی جدیدی به دنیای تکنولوژی اضافه می‌کنند. بنابراین نمی‌توان نقش بنیادی این افراد را در دنیای امنیت نادیده گرفت. با توجه به اینکه متخصصین امنیت نیز باید بتوانند نرم‌افزارها را به طور عمیق درک کنند، داشتن دانش مهندسی نرم‌افزار برای آنها هم یک الزام تلقی میشود.
بدیهی است که وجود تعامل میان این سه گروه می‌تواند دنیای امن‌تری بسازد. در صورتی که شما نیروی تیم قرمز باشید و سپس وارد تیم آبی شوید، نسبت به همکارانتان که از ابتدا در تیم آبی بوده‌اند، درک بهتری نسبت به مهاجمان دارید و برعکس. بنابراین از تلفیق تیم آبی و قرمز تیم بنفش شکل می‌گیرد. تیم بنفش کارایی تیم آبی و تیم قرمز را بالا می‌برد و آنها را راهنمایی می‌کند تا به درک متقابل از یکدیگر برسند.
از طرف دیگر، تیم آبی برای محافظت از سازمان‌ها نیاز دارد که درک خوبی از نرم‌افزار و شبکه سازمان و ترافیک عبوری از آن و همچنین سیستم پایش ترافیک موجود در سازمان داشته باشد. این موارد تماماً توسط متخصصان تیم زرد بنا شده است. بنابراین وجود تلفیقی از تیم زرد و آبی تحت عنوان تیم سبز ضروری است که نیازمندی‌های تیم آبی و تیم زرد را به خوبی درک کند و با ایجاد درک متقابل بین این دو گروه به تیم آبی کمک کند تا به بهترین نحو از امکانات موجود برای رصد ترافیک شبکه استفاده کنند.
از طرفی نیاز به تلفیقی از تیم قرمز و زرد تحت عنوان تیم نارنجی نیز در یک سازمان انکارناپذیر است. این افراد با آگاهی‌بخشی در مورد آسیب‌پذیری‌ها و آموزش کارکنان تیم زرد، به آنها کمک می‌کنند تا مانند یک هکر فکر کنند. با داشتن چنین چارچوب فکری، افراد تیم زرد نسبت به باگ‌ها و آسیب‌پذیری‌های نرم‌افزار آگاه‌تر خواهند بود و برنامه‌های ایمن‌تری تولید خواهند کرد.
علاوه بر همه این موارد، نیاز به وجود یک تیم دیگر احساس می‌شود که در هیچ‌یک از این دسته‌بندی‌ها قرار نمی‌گیرد و آن تیم سفید است. این گروه مسئول مدیریت، انطباق، تحلیل و تدارکات خواهد بود. همچنین این افراد مسئولیت استراتژی‌ها و ارزیابی ریسک‌ها (Risk Assessments) را بر عهده دارند. این افراد حتی می‌توانند در برگزاری برنامه‌های تمرینی-آموزشی مانند مسابقات Capture The Flag (CTF) سهیم باشند. در تصویر زیر، هرم امنیتی را می‌بینید که تیم سفید بر آن نظارت دارد. هر یک از موارد قید شده در این تصویر اهمیت بالایی دارد و باید همگی آنها به درستی مدیریت شوند تا مطمئن شویم سازمان یک چهارچوب امنیتی محکم دارد.

بازار کار و فرصت های شغلی گرایش رایانش امن
اهمیت و پرطرفدار بودن این گرایش ناشی از نیاز فزاینده به حفاظت از اطلاعات در برابر تهدیدات رو به رشد سایبری است. این گرایش از بازار کار وسیع و متنوعی بهره می‌برد، چرا که تقریباً هر کسب‌وکاری در عصر دیجیتال امروز به امنیت اطلاعات نیاز دارد. چه در حوزه‌های دولتی و چه در بخش خصوصی، از بانکداری گرفته تا بهداشت و درمان، و از تجارت الکترونیک تا تولید، همه و همه نیازمند متخصصانی هستند که بتوانند اطلاعات را در برابر حملات سایبری محافظت کنند. مشاغل امنیت سایبری از معدود مشاغلی هستند که هرگز اشباع نمی‌شوند چراکه هر روزه تکنولوژی‌های جدید پدید می‌آیند و این تکنولوژی‌ها آسیب‌پذیری‌های امنیتی جدیدی به همراه دارند. بنابراین سینیورهایی که وارد بازار کار می‌شوند اگر نتوانند همگام با تکنولوژی جلو بروند، سینیوریتی خود را از دست خواهند داد.
هدف از دوره کارشناسی ارشد در این گرایش، تربیت افرادی است که درک عمیقی از اصول و تکنیک‌های امنیت اطلاعات دارند و قادر به طراحی و پیاده‌سازی سیستم‌های امن هستند که در برابر تهدیدات مختلف مقاومت کنند. متاسفانه بازار کار گرایش امنیت در ایران بیشتر به مشاغل SOC و Pentest خلاصه می‌شود و سایر موقعیت‌های شغلی ندرتاً در آگهی‌های شغلی به چشم می‌خورند. سایر متخصصان امنیت ایرانی نیز از طریق آموزش و باگ بانتی و یا ترکیبی از موارد گفته شده ارتزاق می‌کنند. اما اگر شما با نیت اپلای وارد این گرایش شوید، علاوه بر اینکه محقق بودن خود یک شغل محسوب می‌شود و بابت زحماتی که متحمل می‌شوید فاند دریافت می‌کنید، مشاغل دیگری نیز در این حوزه هستند که ممکن است در آنها مشغول شوید.