علی کشاورز

تکنیک

شرح

1-اسب تروا

مجموعه ای از دستور های رایانه ای غیر مجاز در یک برنامه مناسب و مجاز است .این برنامه غالبا در نرم افزاری قرار داده می شود که به صورت ابزار کمکی در برنامه های نرم افزارعمومی عمل می کند.

2-تکنیک گرد کردن به پایین

رایانه کلیه بهره های محاسبه شده را تا دو رقم اعشار به پایین گرد می کند.بقیه اعشار یک سنت به حساب متقلب منظور می شود.

3-تکنیک سالامی

مبالغ بسیار کم پول طی دوره زمانی اختلاس می شود (هزینه ها با کسری از یک درصد افزایش داده می شود.افزایش مزبور به یک حساب جعلی منظور و سپس توسط متقلب برداشت می شود.)

4-در پشتی یا دریچه پشتی

راهی برای ورود به سیستم و دور زدن کنترلهای امنیتی سیستم است.که این در ها غالبا برای اصلاح برنامه ها و رفع اشکالات در حین طراحی در سیستم قرار می دهند و معمولا قبل از اجرای سیستم حذف می شود .که اگر این اتفاق نیافتد هر کس این در را شناسایی کند می تواند وارد برنامه شده و مرتکب تقلب شود.

5-روش سوپرزپ

استفاده غیر مجاز از برنامه های خاص سیستم برای دور زدن کنترلهای سیستم و انجام اعمال خلاف قانون.که نام آن از نرم افزاری به همین نام گرفته شده که برای مواقع اضطراری مانند بازسازی یک برنامه متلاشی شده طراحی شده.

6-تکثیر غیر مجاز نرم افزار

نسخه برداری از نرم افزار بدون اخذ مجوز از ناشر آن.

7-کلاه گذاشتن اطلاعاتی

تغییر داده ها و اطلاعات قبل،طی یا بعد از ورود به سیستم ازاطلاعاتی به منظور حذف ،دستکاری یا اضافه کردن اطلاعات کلیدی به سیستم است.

8-نشت اطلاعاتی

نسخه برداری غیر قانونی از داده ها و اطلاعات یک شرکت از قبیل فایلهای رایانه ای.

9-کولی گرفتن

وصل شدن به یک خط ارتباط از راه دور و جفت شدن با یک کاربر مجاز و قانونی قابل از ورود کاربر مزبور به سیستم است.کاربر مجاز و قانونی ناآگاهانه یک متقلب را با خود وارد سیستم می کند.

10-تظاهر یا نقش بازی کردن

فرد متقلب با بازی کردن نقش یک کاربر مجاز ،امکان دسترسی را به سیستم به دست می آورد.و از تمام مزایای یک کاربر مجاز بر خوردار می شود که البته باید شماره شناسایی و کلمه عبور کابر مجاز را بداند.

11-مهندسی اجتماعی

متقلب کارمند را برای دریافت اطلاعات مورد نیاز به سیستم فریب می دهد

12-بمب ساعتی سیستمی

برنامه ای است که تحت شرایط خاصی عمل می کند یا یک زمان خاصی موجب کشیدن ماشه آن می شود و عمل می کند.انفجار بمب موجب خرابی سیستم،آسیب دیدگی برنامه ها ،داده ها و اطلاعات شرکت می شود.

13-نفوذ کردن یا تجاوز کردن

دسترسی غیر مجاز و استفاده از سیستم رایانه ای به وسیله رایانه های شخصی و شبکه ارتباط از راه دور است و رخنه گران قصد آسیب رساندن به سیتم را ندارند.و سیستم ها را به منظور پیدا کردن برنامه هایی برای نسخه برداری و نگهداری مورد بررسی قرار می دهند.

14-رفتگری یا جستجوی زباله دان

دستیابی به اطلاعات محرمانه از طریق جستجوی ثبتها ،اسناد و مدارک شرکتها است.دامنه شیوه رفتگری از جستجوی ظرف زباله شرکت برای به دست آوردن گزارشهای ستاده یا نسخه های کپی شده از اطلاعات محرمانه تاپویش حافظه رایانه است.

15-استراق سمع

گوش کردن به انتقال داده ها یا صدای خصی اشخاص و شرکتها که غالبا از طریق یک خط ارتباطی بدون حفاظ انجام می شود.(استراق سمع تلفنی)

16-تهدیدهای پست الکترونیکی

ارسال یک پیام تهدید آمیز برای به ستوه در آوردن دریافت کننده پیام و وادار کردن او به انجام اقداماتی که بعدا وسیله ای برای کلاه برداری خواهد شد.که یکی از حالات آن جعل پست الکترونیکی است.

17-حمله سرکاری

حمله کننده تعداد زیادی بمبهای پست الکترونیک (صدها پیام در یک ثانیه)با آدرس های جعلی ارسال می کند ظرفیت سرویس دهنده و خدمات پست الکترونیکی اینترنتی تکمیل شده و سیستم خاموش می شود.

18-تروریسم اینترنتی

تجاوزگرانی هستند که از اینترنت برای قطع تجارت الکترونیکی و آسیب رساندن به ارتباطات اشخاص و شرکتها استفاده می کنند.

19-شایعه سازی اینترنتی

استفاده از اینترنت برای انتشار اطلاعات غلط ویا گمراه کننده درباره شرکت هاست.که از این روش می توان پیامهای تحریک آمیز در گفتگوی اینترنتی و ایجاد وب سایتها و پخش شایعات را نام برد.

20-شکستن کلمه عبور

متقلب به سیستم دفاعی نفوذ و فایلهای حاوی کلمه های عبور معتبر را به سرقت برده،آنها را کد گشایی می کند و سپس برای دسترسی به منابع سیستمی از قبیل برنامه ها،فایل ها و داده ها و اطلاعات از آنها استفاده می کند.

21-نامه پراکنی

ارسال نامه های پست الکترونیکی با پیاهای مشابه برای کلیه کاربران یا مدیران تجاری.

22-شماره گیری جنگی

برنامه ریزی یک رایانه به منظور جستجوی مودمهای بیکار از طریق شماره گیری هزاران خط تلفن ،اشخاص متقلب از طریق مودمهای بیکار وارد سیستم می شوند و رایانه شخصی متصل شده به مودم را تسخیر می کنند و امکان دسترسی به شبکه ای را که رایانه مزبور به آن مرتبط است،به دست می آورند.

23-ویروس

پایین جدول توضیح داده می شود

24-کرم

پایین جدول توضیح داده می شود

شیوه های کاهش احتمال وقوع تقلب

توضیحات

• استفاده از رویه ها و مقررات مناسب استخدام و اخراج کارکنان

• مدیریت مناسب کارکنان ناراضی

• آموزش روشهای ایمنی سیستم و روشهای پیشگیری از تقلب به کارکنان

بسیاری از مدیران ارشد معتقدند که آموزش مهمترین عنصر در هر برنامه امنیتی است.زیرا در این محیط تقلب کمتراتفاق می افتد.که باید در حوزه های زیر تعلیم ببینند:

1-اقدامات امنیتی :

2- افشای تلفنی: باید آموزش ببینند که نباید بدون اطمینان ا ز ایمن بودن خطوط تلفن اطلاعات محرمانه را از طریق تلفن ارسال کنند

3-آگاهی از تقلب:باید تقلب های رایج و متداول و خطرات آنها را بشناسند.

4-رعایت آئین رفتار حرفه ای:باید این استانداردها در فعالیتها و دستور العمل های شرکت ترویج کنند.تا کارکنان از مشکلات ناشی از عدم رعایت آن آگاه شوند.

5-مجازات رفتارهای خلاف آئین رفتار حرفه ای:

کارکنان باید از عواقب رفتارهای خلاف آیین رفتارحرفه ای آگاه شوند.البته این موضوع نباید یک تهدید باشد بلکه باید به عنوان نتیجه خلاف آئین رفتارحرفه ای مطرح شود.

• کنترل و ردیابی حق امتیاز استفاده از نرم افزار

مدیریت حق امتیاز استفاده از نرم افزار کمک می کند تا اطمینان یابند که در چارچوب حق امتیاز نرم افزار های خود عمل می کنند.

• الزامی کردن امضای موافقت نامه های محرمانه

کلیه کارکنان،فروشندگان و پیمانکاران باید قرار داد محرمانه نگه داشتن اطلاعات شرکت را امضا کرده و به مفاد این قرار داد متعهد باقی بمانند.

افزایش دشواری و سختی انجام تقلب

توضیحات

• طراحی و استقرار یک سیتم کنترل داخلی قوی

مسئولیت نهایی امنیت و کفایت سیستم کنترل داخلی با مدیریت ارشد سازمان است.که طراحی آن را به تحلیل گران کاربران و طراحان واگذار می کنند.که به منظور طراحی موثر باید طراحان استراتژی ارزیابی ریسک را رعایت کنند.که اگر طی طراحی سیستم لحاظ شوند بسیار موثر تر از زمانی هستند که پس از تکمیل سیستم لحاظ شوند.و همچنین باید مقرراتی برای اطمینان از رعایت این کنترلها لحاظ شود.

• تفکیک صحیح وظایف

باید تفکیک مناسب وظایف ناسازگار وجود داشته باشد.تا از سرقت و از بین رفتن رد پای آنان جلوگیری شود.

• الزامی کردن چرخش شغلی در وظایف ناسازگار و استفاده از مرخصی ها

بسیاری از طرح ها ی تقلب مانند کلاه به کلاه کردن وچک بازی مستلزم مراقبت مداوم شخص است که اگر مرخصی های اجباری باچرخشهای شغلی موقت همزمان شود چنین طرحهای تقلب مداوم به راحتی کشف خواهد شد.

• محدود کردن دسترسی به تجهیزات رایانه ای و فایلهای اطلاعاتی

دسترسی فیزیکی به تجهیزات رایانه ای باید محدود شده و کاربران مجاز قبل از استفاده سیستم شناسایی و اعتبار مجاز بودن آنها تأیید شود.جاسوسی الکترونیکی که دسترسی به سیستم و قرار دادن یک ارتباط اترنتی در دیوار و برقراری ارتباط با سیستم است. می توان سیستمها را به نحوی طراحی کرد که تنها به دستگاههایی که شناسایی می کنند پاسخ دهند و از جاسوسی الکترونیکی جلو گیری کند.

• کد بندی داده ها،اطلاعات و بر نامه ها

یکی از روشهای محافظت از داده ها تبدیل آنها به کدهای محرمانه است که کد بندی داده های مزبور را برای دیگران بی معنی و غیر قابل استفاده می کند.

• محافظت از خطوط تلفن

رخنه گران که هنگامی که به سیستم های تلفنی حمله می کنند خرابکار نامیده می شوند.که از خطوط تلفن برای انتقال ویروس،دستیابی به سیستم،سرقت واز بین بردن داده هاو اطلاعات استفاده می کنند.که یک روش موثر محافظت از خطوط تلفن نصب قفل و کلید بر روی آنها است.نوعی دیگر از متجاوزان از طریق خطوط مودم شماره گیری به سیستمها دسترسی پیدا می کنند.

• محافظت از سیستم در مقابل ویروس

برنامه های بسیار سودمند در برابر ویروس ها وجود دارد که این برنامه ها به نحوی طراحی شده اندکه در حافظه رایانه باقی مانده سیستم را باقی مانده سیستم را جستجو کرده و در نقش فیلتر عمل می کنند.که هنگام مواجه با ویروس برنامه را بسته و به کاربر پیغام می دهند تا کاربرویروس را از بین ببرد.برنامه کشف ویروس خیلی قابل اعتماد و اتکاتر از برنامه های محافظت در برابر ویروس است .باید مطمئن شوید آخرین نسخه برنامه های ضد ویروس مورد استفاده قرار می گیرد.

• کنترل رایانه های کیفی

برای حفاظت و کنترل رایانه های کیفی باید اقدامات زیر انجام شود:

1-کارکنان از خطرات و تهدید های رایانه های کیفی آگاه شوند.

2-مقررات و رویه های ایمنی را تدوین کرده و کارکنان را ملزم به تهیه نسخه پشتیبان داده ها و اطلاعات کنند.وهیچگاه رایانه را بدون قفل رها نکنند.

3-نام یا آرم و شماره تلفن شرکت بر روی رایانه حک شود .

4-نرم افزاری راه اندازی شود که راه انداز ی بدون کلمه عبور را غیر ممکن کند.

5-از کلمه عبور محافظت شده و اطلاعات کامپیوتر کد بندی شود.

6-آشکار سازی اشاره گر بر روی رایانه نصب شود که هنگام جا به جا شدن رایانه ،آژیر بکشد.

7-نرم افزاری نصب شود که به صورت ادواری صدای سیستم را قطع کرده و با شماره گیری یک شماره تلفن آن را کنترل کند.

8- اطلاعات را به جای کامپیوتر روی دیسک ذخیره کرده و و همیشه نزد خود نگه دارند.

• کنترل داده های حساس و مهم

باید اطلاعات خود را از نظر مهم و محرمانه بودن طبقه بندی کنند و سپس محدودیتهای دسترسی متناسب با آن را اعمال کنندکارکنان باید از عواقب استفاده از نسخه های غیر قانونی نرم افزار ها آگاه باشند.اطلاعات حساس و محرمانه باید در یک مکان قفل شده نگهداری شوندو رایانه ها در هنگام عدم استفاده خاموش و قفل شوند.شرکتها نباید همه داده ها و اطلاعات خود را در یک مکان نگهداری کنند.یا به یک کارمند اجازه دسترسی به همه آنها را بدهد.می توانند از یک سرویس دهنده اختصاصی استفاده کنند که اجازه دریافت داده ها و اطلاعات را می دهد اما اجازه وارد کردن داده را به آنها نمی دهد.استفاده از تلوزیونهای مدار بسته یکی از راههای جلوگیری از سرقت است.

• نمایش اطلاعات رخنه گران

مجلات و کتابها وسایتهای وب اطلاعات زیادی درباره چگونگی ورود غیر مجاز به سیستم هارا ارائه می کنند.بازبینی این سایتها و پیدا کردن مقاله هایی که به سیستم مورد استفاده شرکت شما مربوط است،از اهمیت اساسی برخوردار است زیرا،موجب حفاظت سیستم در مقابل حملات رخنه گران می شود.

بهبود روشهای کشف تقلب

توضیحات

• اجرای حسابرسیهای مکرر

حسابرسان باید به طور منظم کنترلهای سیستم را آزمون کرده وبه صورت ادواری به منظور پیداکردن فعالیتهای مشکوک ،فایلهای داده ای را بررسی کنند.اما نباید باعث شود که کارکناناحساس کنند حریم خصوصی آنها نقض می شود.که این بررسی و پاییدن تصادفی نه تنها به حل موضوعات محرمانه کمک کرده بلکه بازدارندگی مهمی بر روی تقلب های رایانه ای دارد.

• تعیین مدیر امنیت رایانه

این مدیر باید مستقل از سیستم بوده و سیستم را نظارت کند و اطلاعات مربوط به استفاده نامناسب از سیستم را گزارش کند.به منظور جلوگیری از جاسوسی اقتصادی باید کمیته امنیت اطلاعات را که شامل کلیه بخشهایی است که در نگهداری دسترسی واستفاده از اطلاعات را دارند را تشکیل دهد.این کمیته باید رویه ها و مقررات شناسایی ،ذخیره،اداره کردن،انتقال و مرتب سازی اطلاعات محرمانه را تدوین کند.و همچنین یک برنامه امنیت اطلاعاتی جامع شامل موارد غیرر قابل افشا توسط کارکنان ،پیمانکاران،فروشندگان وبازدید کنندگان طراحی کند.

• ایجاد یک خط تلفن سری برای کشف تقلب

کارکنان ممکن است بین تعهد نسبت به شرکت و طرد شدن از طرف دوستان مورد تضاد قرار گیرند.که یک روش برای برطرف کردن این تضاد استفاده از خطوط تلفن سری است تا کارکنان بتوانند به صورت ناشناس تقلب را گزارش کنند.که مشکل بالقوه این خطوط این است که ممکن است به کسانی گزارش کنند که خود در تقلب مدیریت ارشد سهیم هستند.که این تهدید با استفاده از خطوط ایجاد شده توسط یک سازمان یا شرکت تجاری مستقل برطرف می شود.

• استفاده از مشاوران رایانه ای

بسیاری از شرکتها از مشاوران رایانه ای خارج از شرکت یا تیم های تخصصی درون شرکت برای آزمایش و ارزیابی روش های امنیتی و سیستم های رایانه ای خود استفاده می کنند. هر گونه نقطه ضعف امنیتی یا شیوه ورود غیر مجاز به سیستم که کشف می شود باید دقیقا ارزیابی و روشهای پیشگیری مناسب نیز برای آن طراحی شود.همچنین ،نمی خواهند کارکنان شرکت بدانند که سیستم اطلاعاتی شرکت هر لحظه ممکن است شکسته شود.

• نمایش فعالیتهای سیستم

کلیه فعالیتهای سیستم باید در دفتر یادداشت روزانه ثبت شود.این دفتر باید نشان دهد چه کسی،چه زمانی و از کدام ترمینال به چه اطلاعاتی دسترسی پیدا کرده است.که این دفاتر باید به طور مداوم به منظور بازبینی فعالیت سیستم و ردیابی هر مشکلی تا منشأ آن ،بررسی شوند.البته نرم افزار هایی وجود دارد که نقاز قوت و ضعف آنها را ارزیابی و سپس گزارش های حاوی نقاط ضعف و روش های اصلاحی پیشنهادی را ارائه می کنند.

• استفاده از حسابداران کارآگاه

حسابداران کارآگاه در بازرسی و حسابرسی تخصص ویژه ای دارند.

• استفاده از نرم افزار کشف تقلب

افراد متقلب تمایل دارند از الگوی خاصی پیروی کنند تا توجه کسی به آنها جلب نشود.نرم افزار ی به منظور کشف بیماریهای تقلب طراحی شده است.شرکتهایی نیز از شبکه های عصبی(برنامه هایی که از مغز انسان تقلید می کند)استفاده می کنند که در شناسایی و کشف تقلب بسیار دقیق هستند.

کاهش زیان ناشی از تقلب

توضیحات

• استفاده از پوشش بیمه ای کامل

• نگهداری نسخه پشتیبان فایلهای داده و برنامه ها در مکانی خارج از سایت

• طراحی یک سیستم اقتضایی برای تقلبهای رخ داده

• استفاده از نرم افزار برای کنترل فعالیت سیستم و کشف تقلب

چنین نرم افزار هایی به شرکتها کمک می کند تا از فعالیتهای تخریبی کارکنان ناراضی که ارزیابی منفی عملکرد خود را دریافت کرده اند،رهایی یابند.

• تحت تعقیب قانونی قرار دادن و زندانی کردن افراد متقلب

بیشتر تقلب ها به دلایل زیر گزارش نشده اند:

1-برخی از موارد تقلب هنوز کشف نشده اند.

2-شرکتها به علت تخریب رابطه با مردم تمایل چندانی به گزارش موارد تقلب رایانه ای ندارند.

3-مراجع قانونی زمان محدودی برای رسیدگی به موارد تقلب که فاقد آسیب های جسمی هستند،وجود دارد.

4-مشکل بودن ،زمان بری و پر هزینه بودن رسیدگی به موارد تقلب.پی گیری موفقیت آمیز تقلبهای رایانه ای بسیار مشکل است.