کالبدشکافی فرهنگ امنیت سایبری — راهنمای جامع مفاهیم، اصطلاحات و تکنیکهای امنیت سایبری.
همه اصطلاحات
59 اصطلاح
شناسه عددی منحصر به فردی که به هر دستگاه متصل به شبکه داده میشه تا بتونه با دستگاههای دیگه ارتباط برقرار کنه.
آسیبپذیری امنیتی که هنوز توسط سازنده شناخته یا رفع نشده و مهاجمان میتوانند از آن سوءاستفاده کنند.
آسیبپذیری که به مهاجمان اجازه میدهد کد دلخواه خود را روی سرور هدف اجرا کنند.
روشی امنیتی که برای ورود نیاز به دو نوع تأییدیه مختلف دارد — معمولاً پسورد و کد موقت.
حملهای که مهاجم سطح دسترسی خود را از کاربر عادی به ادمین یا سطح بالاتر ارتقا میدهد.
آسیبپذیری امنیتی که به مهاجمان اجازه میدهد اسکریپتهای مخرب را در صفحات وبی که توسط کاربران دیگر مشاهده میشود، تزریق کنند.
مکانیزمی امنیتی که تعیین میکند کدام دامنهها میتوانند از منابع یک وبسایت استفاده کنند.
اطلاعات احراز هویت مانند رمز عبور، کلیدهای API، توکنها یا گواهیها که برای تأیید هویت و اعطای دسترسی استفاده میشود.
مجموعهای از بهترین روشها برای محافظت از APIها در برابر حملات و دسترسی غیرمجاز.
توکنهای JSON Web Token برای احراز هویت استفاده میشوند و باید به درستی پیادهسازی و محافظت شوند.
فهرستی که بهطور منظم بهروزرسانی میشود از ده خطر بحرانی امنیتی برنامههای وب که توسط پروژه Open Web Application Security منتشر میشود.
حملهای که در آن مهاجم آدرس IP یک دامنه را در میانه درخواست تغییر میدهد، با اشاره اولیه به IP امن و سپس تغییر به IP داخلی/مخرب، بررسیهای امنیتی را دور میزند.
نرمافزارهای مخربی که با هدف آسیب رساندن، سرقت اطلاعات یا کنترل سیستمها طراحی شدهاند.
یک قطعه کد یا تکنیک که از یک آسیبپذیری برای ایجاد رفتار ناخواسته سوءاستفاده میکند، مانند دسترسی غیرمجاز یا سرقت داده.
پروتکلی که برای انتقال داده بین مرورگر و سرور استفاده میشه و پایه و اساس ارتباطات وبه.
دو پروتکل اصلی لایه انتقال که TCP قابل اعتماد و UDP سریعتره اما تضمین ارسال نداره.
نقطه انتهایی مجازی در شبکه که سرویسهای مختلف از طریق آن ارتباط برقرار میکنند.
آسیبپذیریهایی که به دلیل تنظیمات نادرست یا پیشفرض سرورها، برنامهها و سرویسها ایجاد میشوند.
جزئی که یک URL را به اجزای آن (پروتکل، دامنه، مسیر و غیره) تجزیه میکند. تجزیهگرهای مختلف میتوانند یک URL را متفاوت تفسیر کنند و مشکلات امنیتی ایجاد کنند.
آسیبپذیری که به مهاجمان اجازه میدهد دادههای مخرب را به عنوان کد یا دستور به سیستم ارسال کنند.
آسیبپذیری که به مهاجمان اجازه میدهد دستورات SQL مخرب را به دیتابیس ارسال کنند و دادهها را دستکاری یا سرقت کنند.
حملهای که مهاجم کاربر فریبخورده را وادار میکند درخواستهای ناخواستهای را به یک وبسایت ارسال کند.
آسیبپذیری که به مهاجمان اجازه میدهد سرور را وادار به ارسال درخواست به آدرسهای داخلی یا خارجی کنند.
حملهای که با ارسال حجم عظیمی از ترافیک از چندین منبع، سرویس هدف را از دسترس خارج میکند.
حملهای که مهاجم به صورت مخفیانه ارتباط بین دو طرف را شنود یا دستکاری میکند.
تکنیکی که در آن داده از طریق کانالی جدا از ارتباط اصلی ارسال میشود. در تست امنیتی، به معنای دریافت تأییدیه یک بهرهبرداری از طریق وسایل خارجی (مانند درخواست DNS یا فراخوانی HTTP) است.
پیامی که توسط کلاینت به سرور ارسال میشود و درخواست یک منبع یا اقدام را دارد، و از قوانین پروتکل HTTP استاندارد پیروی میکند.
تکنیکی برای دور زدن کنترلهای امنیتی، فیلترها یا محدودیتهایی که برای مسدود کردن فعالیت مخرب در نظر گرفته شدهاند.
تکنیکهایی که مهاجمان برای عبور از فایروالهای وب و رسیدن به سرور هدف استفاده میکنند.
سیستم امنیتی که ترافیک شبکه را بر اساس قوانین از پیش تعیین شده بررسی و کنترل میکند.
مجموعهای از قوانین و نقاط پایانی که به نرمافزارهای مختلف اجازه میدهد با یکدیگر صحبت کنند، مانند منویی از توابع قابل استفاده.
فرآیند تبدیل دادهها به فرمتی که فقط با کلید مناسب قابل خواندن باشد.
منابع محاسباتی از راه دور (سرورها، ذخیرهسازی، شبکهها) که توسط شرکتهایی مثل AWS، Google Cloud یا Azure ارائه میشوند و از طریق اینترنت بدون نیاز به خرید سختافزار فیزیکی در دسترس هستند.
آسیبپذیری که زمانی رخ میدهد دادهای بیشتر از ظرفیت بافر نوشته شود و حافظه مجاور را بازنویسی کند.
یک ماشین مجازی که به عنوان سرویس فروخته میشود، به شما منابع سرور اختصاصی بدون سختافزار فیزیکی میدهد. برای میزبانی وبسایتها، برنامهها یا در تست امنیتی به عنوان زیرساخت حمله استفاده میشود.
مدل ارتباطی که در آن کلاینت (مثل مرورگر) درخواست میده و سرور (کامپیوتر قدرتمند) پاسخ رو ارائه میده.
سرویسی در محیطهای ابری که اطلاعاتی درباره خود نمونهها از جمله اعتبارنامههای موقت را فراهم میکند و در آدرس 169.254.169.254 قابل دسترسی است.
سیستمی که نامهای دامنه (مثل google.com) رو به آدرسهای IP تبدیل میکنه تا مرورگرها بتونن وبسایتها رو پیدا کنن.
آسیبپذیری که زمانی رخ میدهد چندین فرآیند همزمان به یک منبع دسترسی پیدا کنند و نتیجه به ترتیب اجرا بستگی داشته باشد.
آسیبپذیریهایی که به مهاجمان اجازه میدهد هویت کاربران دیگر را جعل کنند یا به حسابهای آنها دسترسی پیدا کنند.
آسیبپذیریهایی که به دلیل استفاده نادرست یا عدم استفاده از رمزنگاری مناسب برای محافظت از دادههای حساس رخ میدهند.
عدم ثبت، نظارت و پاسخ به رویدادهای امنیتی که باعث میشود حملات شناسایی و متوقف نشوند.
آسیبپذیریهایی که به مهاجمان اجازه میدهد کد یا دادهها را بدون تأیید اعتبار تغییر دهند یا دستکاری کنند.
فرایند کشف و نقشهبرداری از منابع، سرویسها و آسیبپذیریهای شبکه داخلی که از اینترنت قابل دسترسی نیستند.
آسیبپذیریهایی که به دلیل نقص در طراحی معماری و منطق برنامه ایجاد میشوند، نه باگهای کدنویسی.
سیستم امنیتی که ترافیک وب رو بررسی میکنه و درخواستهای مخرب رو قبل از رسیدن به سرور مسدود میکنه.
حملهای مهندسی اجتماعی که مهاجم با جعل هویت معتبر، کاربران را فریب میدهد تا اطلاعات حساس خود را افشا کنند.
استفاده از کتابخانهها، فریمورکها و نرمافزارهایی که دارای آسیبپذیریهای شناخته شده هستند یا بهروزرسانی نشدهاند.
یک عدد سهرقمی که توسط سرور برگردانده میشود و نتیجه یک درخواست HTTP را نشان میدهد (200=موفقیت، 404=پیدا نشد، 500=خطای سرور و غیره).
یک جفت اعتبارنامه (مثل نام کاربری و رمز عبور) که برای احراز هویت دسترسی برنامهمحور به سرویسهای ابری از طریق APIها استفاده میشود.
آسیبپذیری که به کاربران اجازه میدهد به منابع یا عملیاتی دسترسی پیدا کنند که نباید به آنها دسترسی داشته باشند.
تکههای کوچکی از داده که وبسایتها روی مرورگر کاربر ذخیره میکنند تا اطلاعات را بین درخواستها حفظ کنند.
ثبت پرسوجوها و پاسخهای سیستم نام دامنه، نشاندهنده اینکه چه نامهای دامنهای جستجو شدهاند، چه زمانی و توسط چه کسی. در تست امنیتی برای تشخیص آسیبپذیریهای کور استفاده میشود.
دادهای که دادههای دیگر را توصیف میکند. در محاسبات ابری، اطلاعات پیکربندی درباره نمونهها از جمله اعتبارنامههای موقت است.
مدل هفت لایهای که نحوه ارتباطات شبکهای بین سیستمها رو توصیف میکنه و هر لایه وظیفه خاصی داره.
آدرس قابل خواندن برای انسان مانند example.com که به یک آدرس IP نگاشت میشود و به خاطر سپردن مکان وبسایتها را آسانتر میکند.
آدرس وب که مکان یک منبع را در اینترنت مشخص میکند، مانند https://example.com/page.
دورهای از تعامل بین کاربر و وبسایت که از زمان ورود تا خروج کاربر ادامه دارد.
یک URL خاص که در آن میتوان به یک API یا سرویس دسترسی پیدا کرد تا عملی انجام شود یا دادهای بازیابی شود.