در این مقاله قصد داریم که به شما لایه های شبکه یا مدل OSI که خلاصه Open Systems Interconnection می باشد رو بصورت کامل و جامع و به زبان ساده و خودمونی توضیح بدیم تا درک عمیقی از لایه های OSI پیدا کنید.
به عنوان کسی که تو حوزه شبکه بصورت حرفه ای داره فعالیت می کنه بایستی درک عمقی از لایه های OSI پیدا کنید چون واقعا اگه کسی این لایه ها رو خوب درک کنه و پروتکل های این لایه رو خوب بشناسه و باهاشون کار کرده باشه رفته رفته دید عمیق نسبت به OSI پیدا می کنه و طبیعتا راحت تر میتونه شبکه رو Troubleshoot یا رفع اشکال کنه و اگر هم نتونه حداقل با دید بازتری میتونه به رفع مشکل بپردازه.
پس کسی که تازه وارد دنیای شبکه های کامپیوتری هستش باید و باید روی مدل OSI مانور بده و مکانیزم کاریش رو خوب درک کنه. مدل OSI کاملا مدل انتزاعی هستش یعنی شما با این لایه ها بصورت تئوری آشنا میشید و درکشون می کنید و بعد کم کم تو محیط واقعی با پروتکل ها و سرویس هایی که تو این لایه ها هستش در محیط عملیاتی کار می کنید.
مدل OSI هفت تا لایه داره که ما با لایه هفتم که اسمش Application یا لایه نرم افزار های کاربردی هستش شروع می کنیم. لایه Application یا Application Layer لایه ای هستش که ما به عنوان End User بصورت کاملا عملی باهاش در ارتباط هستیم.
در وهله اول منظور ما از Application اپلیکیشن های اندرویدی نیست ، بلکه Application هایی هست که میتونن تو شبکه برامون کاری که ما میخوایم رو انجام بدن. مثلا ما میخوایم تو شبکه Email بفرستیم یا مثلا میخوایم بین کلاینت ها فایل به اشتراک بزاریم یا از یه وب سایت بازدید کنیم و ...
همه این کار ها که ما انجام میدیم در لایه Application انجام میشه. اگه بهتر بخوام این موضوع رو روشن کنم فرض کنید که شما یک برنامه میخواید بنویسید حالا با هر زبانی ( جاوا ، C ، C++ و ... ) که میتونه روی هر سیستمی نصب بشه و تو شبکه فایل به اشتراک بزاره.
طبیعتا این نرم افزاری که مینویسید روی دستگاه های شبکه که در لایه Core عمل می کنن مثل روتر ، سوئیچ و ... نصب نمیشن و حتما روی سیستم های End Users که از سیستم عامل هایی مثل ویندوز ، لینوکس و ... استفاده می کنن نصب و راه اندازی میشن.
پس شما الان Application رو درک کردید. میشه گفت اکثر نرم افزار هایی که تحت شبکه نوشته میشن تحت معماری Client-Server هست یعنی یک نرم افزار به عنوان Server و یک نرم افزار به عنوان Client عمل می کنه ، لازم نیست جای دوری بریم همین مرورگری که الان پاش نشستید و دارید این مطلب رو میخونید نرم افزاری هست که با معماری Client-Server نوشته شده که مرورگر میشه Client و وب سروری که روش این مطلب قرار گرفته Server هست.
از مهم ترین پروتکل ها یا Application هایی که در لایه Application کار می کنن میتونیم به HTTP ، FTP ، DNS ، DHCP ، SNMP ، NFS ، Telnet ، SMTP و POP3 و IMAP اشاره کنیم. بدیهی هست که هر چقدر این پروتکل ها بهینه تر نوشته شده باشن انجام کار های شبکه ای سریعتر اتفاق میوفته و کارایی سیستم بالاتر میره. در آخر به این نکته اشاره کنیم که هر لایه برای خود یک قالب بندی برای دیتا دارد که قالب بندی لایه Application بر اساس Data هستش.
آموزش گام به گام مدرک دوره نتورک پلاس Network+ جامع با 36 ساعت فیلم آموزش نتورک پلاس به زبان ساده فارسی و طنز و بر اساس سرفصل های دوره نتورک پلاس در آموزش شبکه در سایت جزوه توسط مهندس نصیری تدریس شده است. در دوره نتورک پلاس Network+شما ضمن دریافت مدرک دوره نتورک پلاس ، بصورت گام به گام ، صفر تا صد و طبق آخرین سرفصل های نتورک پلاس بین المللیشبکه را به خوبی یاد می گیرید.
سیسکو ASA چیست؟ فایروال معروف ASA سیسکو چه قابلیت هایی دارد؟ سال هاست که سیسکو فایروال اختصاص تولید می کند و در سال های قبل این دستگاه تحت نام PIX روانه بازار می شد. با پیشرفت تکنولوژی سیسکو دستگاه جدیدی را درست کرد که تمام قابلیت های PIX را داشت و علاوه برای آن قابلیت های جدیدی را به آن اضافه کرد و این دستگاه را تحت نام (Adaptive Security Appliance (ASA روانه بازار کرد. قبل از اینکه بخواهید دستگاه را تنظیم و پیکربندی کنید باید با مفاهیم و اصول اولیه آن را فرا گیرید که در این بخش به این مفاهیم پرداخته خواهد شد.
فایروال های ASA در اندازه ها و شکل های مختلفی وجود دارند اما همه آنها قابلیت های مشابهی دارند. معمولا دستگاهی که شماره مدل آن پایین تر است توان پایین تری دارد. شماره مدل این دستگاه ها با 55 شروع می شود البته دستگاه هایی از خانواده ASA وجود دارند که بر روی سوئیچ هایی مانند 6500 نصب می شوند یا نسخه مناسب برای محیط های مجازی.
همینطور که در جدول بالا میبینید در جلوی هر مدل نشان داده شده است که برای چه محیط هایی مناسب است.
لیست قابلیت ها و ویژگی های ASA به شرح زیر است که بسیاری از آنها را در قسمت های قبلی مورد بحث قرار داده ایم :
چگونه دوره های آموزش هک وب سایت را یاد بگیریم؟ از چه دوره ای می توانیم تبدیل به یک متخصص تست نفوذ یا هکر وب سایت شویم؟ چه دوره های آموزشی هک وبی در فضای مجازی وجود دارد؟ از کجا هک کردن وب سایت را شروع کنیم؟ یادگیری هک و نفوذ به اپلیکیشن های تحت وب با چه دوره هایی شروع می شود؟ نقشه راه یادگیری هک و نفوذ به وب چیست؟ پاسخ همه این سوالات به همراه مسیر راه یادگیری هک و نفوذ و آموزش تست نفوذ وب را می توانید در این مقاله مطالعه کنید.
تست نفوذ وب و Web Application یا همان وب هکینگ قانونمند یکی از پرطرفدارترین و پر مخاطب ترین حوزه های امنیت ، Security و تست نفوذ می باشد. حوزه امنیت و Security نیز مانند سایر حوزه های تخصصی IT به شاخه های مختلفی تقسیم می شود. به عنوان مثال 3 شاخه کلی برای حوزه امنیت متصور می باشد که شامل :
اما بسیاری از دانشجویان و علاقه مندان به حوزه امنیت و Security شاخه دوم یعنی Web Application Pentest | Web server Pentest | وب هکینگ قانونمند را انتخاب می کنند .
با توجه به اهمیت شاخه تست نفوذ وب و با توجه به دلایل مذکور فوق ، یکی از دغدغه ها و فکر مشغولی های دانشجویان و کاربران این حوزه ، داشتن مسیر راه ، Road Map و انتخاب درست چگونگی یادگیری تخصصی این شاخه می باشد. تقریبا تمامی کمپانی ها و شرکت های ارائه دهنده دوره های امنیت، کتاب هایی در حوزه تست نفوذ وب و Web Application را ارائه داده اند.
اما قوی ترین و حرفه ای ترین کمپانی که به صورت کامل ، حرفه ای و جامع ، از مقدماتی تا حرفه ای( تخصصی) ، مرحله به مرحله و همچنین به صورت کاملا عملی و لابراتوار محور شاخه تست نفوذ وب و Web Application را تدریس نموده است کمپانی و شرکت SANS می باشد. این شرکت 2 دوره به نام های SANS 542 و SANS 642 را در حوزه تست نفوذ وب به دنیا معرفی نموده است .
اما همانطور که مستحضر هستید معادل فارسی که دقیقا تمامی مفاهیم و مطالب موجود در این دو دوره را به صورت کامل و جامع بیان کرده باشد ، بسیار کم است. همچنین در کلاس های حضوری نیز با توجه به اینکه سطح دانش همه دانشجویان در این حوزه یکسان نیست و به دلیل زمان زیادی که برای حل تمرین بر روی لابراتوار ها صرف می شود و همچنین زمان استراحت در نظر گرفته شده ، اساتید محترم قادر به پوشش کامل این قبیل دوره های نمی باشند . لازم به ذکر است هزینه بالای دوره های حضوری نیز خود دلیلی بر گرایش دانشجویان به سمت دوره های آفلاین و از قبل ضبط شده و Capture شده می باشد.
دوره sans 542 | دوره GWAP (GIAC Web Application Penetration Tester) یا دوره Web hacking | وب هکینگ | Web Pentest کامل ترین دوره تست نفوذ وب (Web Application Pentest) می باشد . این دوره متعلق به کمپانی SANS بوده و در این دوره انواع حملات و آسیب پذیری های وب به صورت مقدماتی تا حرفه ای به صورت عملی (Labs) آموزش داده خواهد شد .
دوره sans 542 (GWAPT) به افراد و دانشجویان این توانایی را خواهد داد که پس از گذراندن این دوره به صورت عملی و براساس Lab های طراحی شده ، انواع معماری و ساختار وب ،آسیب پذیری های وب سایت ها و Web Apllication ها را شناسایی و تحلیل نموده ، هچینین در این دوره افراد توانایی Exploit کردن و اکسپلویت نویسی آسیب پذیری های تحت وب به زبان هابی javaScript , Python و php را خواهد داشت .
این دوره جزء دوره های تخصصی حوزه امنیت محسوب می شود و به صورت کاملا حرفه ای برای افرادی که قصد شرکت در پروژه های تست نفوذ وب و سامانه ها و Application های وب را دارند بسیار مناسب می باشد . حتی برنامه نویسان تحت وب می توانند از این دوره برای کد نویسی امن و Secure استفاده نمایند.
دوره sans 642 | Advanced WebApp Penetration testing | دوره تست نفوذ پیشرفته وب | وب هکینگ پیشرفته ، پیشرفته ترین و حرفه ای ترین دوره تست نفوذ پیشرفته وب و Web application ها می باشد.این دوره متعلق به کمپانی sans بوده و در این دوره علاوه بر ارائه تکنیک های پیشرفته حملات و تست نفوذ های دوره sans 542 ، تست نفوذ و هک جدیدترین ساختار ها و تکنولوژی های وب مانند : NoSqlinjection بر روی دیتا بیس های غیر رابطه ای ، انواع حملات NodeJs ، آسیب پذیری SSTI ، CSRF پیشرفته با Ajax ، CMS Hacking ، WebSocket Hacking ، PHP unserialize attack ، انواع کرک های پیشرفته ترافیک های رمز شده در وب شامل ECB , CBC , Padding Oracel ، Bypass کردن WAF و IPS ، PHP Juggling و آسیب پذیری های پیشرفته logical و خیلی دیگر از حملات و آسیب پذیری های نوظهور ارائه می شود.
این دوره قوی ترین و پیشرفته ترین دوره تست نفوذ و هک وب در دنیا محسوب می شود و جزء دوره های تخصصی حوزه امنیت محسوب می شود که می توان گفت این دوره دوره سنگینی می باشد که حتما دانشجویان می بایست دوره Sans 542 یعنی دوره مقدماتی این دوره را پشت سر گذاشته باشند.
دانشجویان علاقه مند به شاخه تست نفوذ وب و وبسایت ها می بایست به ترتیب دوره های زیر را پشت سر بگذرانند.
1- پیشنهاد می گردد اگر دانشجویان اطلاعاتی کلی و عمومی در حوزه امنیت را ندارند و به تازگی وارد این حوزه شده اند و یا اینکه به عنوان مثال دوره های مقدماتی امنیت و همتراز انها مانند Security + | سکیوریتی پلاس را پشت سر نگذاشته اند ، حتما دوره Security plus | سکیوریتی پلاس از سری دوره های آموزش هک را پاس نمایند و یا اینکه خودشان مفاهیم کلی و عمومی امنیت را مطالعه نماید.
Static packet filtering یکی از تکنولوژی هایی است که در بسیاری از تجهیزات استفاده می شود و عملکرد آن براساس لایه 3 و 4 مدل OSI انجام می شود و یکی تکنولوزی های مورد استفاده در فایروال ها می باشد. یک مثال از تکنولوژی فایروال که از static packet filtering استفاده می کند یک روتر است که یک یا چند ACL را به اینترفیس های خود جهت permit یا deny ترافیک خاص اعمال کرده است. چالشی که در استفاده از static packet filtering وجود دارد این است که مدیر شبکه باید دقیقا بداند چه ترافیکی اجازه عبور از فایروال را دارد که در صورت داشتن تعداد زیادی یوزر که نیاز به دسترسی به سرویس های خاص داشته باشند کار سختی است.
Static Packet Filtering یک روش اولیه در فایروال‌ها است که بسته‌های داده را بر اساس قوانین از پیش تعریف‌شده، مانند آدرس IP، شماره پورت و پروتکل بررسی و مسدود یا مجاز می‌کند. این نوع فیلترینگ عملکرد ساده‌ای دارد و تأخیر کمی در پردازش بسته‌ها ایجاد می‌کند، اما هوشمند نیست و نمی‌تواند محتویات بسته‌ها را تحلیل کند. در آموزش فایروال، یکی از معایب این روش، ناتوانی در شناسایی حملات پیچیده مانند Spoofing و Session Hijacking است. مزیت آن، سرعت بالا و سادگی پیکربندی است که برای شبکه‌های کوچک و کم‌ترافیک مناسب است. با این حال، سازمان‌ها معمولاً از Stateful Inspection و Next-Generation Firewalls برای امنیت بیشتر استفاده می‌کنند.
packet filtering از مجموعه قوانین ساده استفاده می کند ، بسته در هنگام ورود یا خروجی از یک اینترفیس ، جایی که ACL برای فیلتر کردن اعمال شده است توسط این ACL چک می شود و اینکار به ترتیب از بالای لیست به سمت پایین لیست انجام می گیرد تا با یک ACE مطابقت پیدا کند به این ترتیب باقی لیست ACL بررسی نمی شود و نوع action مورد نظر مانند permit یا deny برای آن اعمال می شود. یک extended ACL در روتر سیسکو می تواند از معیارهای مختلفی در هدر لایه سه و چهار برای بررسی بسته ها استفاده کند که شامل مورد زیر می باشد :
شبکه ، لینوکس و امنیت را چگونه یاد بگیریم؟ یکی از سوالاتی که بصورت متداول در حوزه آموزش نتورک پلاس و فناوری اطلاعات از من سوال می شود همین موضوع است که استاد ، ما مسیر راه آموزش شبکه و نقشه راه آن را با توجه به مقاله شبکه را از کجا شروع کنیم ، شروع کرده ایم. اما مشکل اصلی در یادگیری ، به خاطر سپردن و تمرین کردن این مفاهیم است . مرتب مفاهیم از ذهن ما خارج می شود و فراموش می کنیم.
چگونه بهتر یاد بگیریم؟ چگونه فراموش نکنیم و ... امروز من ، محمد نصیری ، بنیانگذار وب سایت توسینسو و انجمن تخصصی فناوری اطلاعات ایران به شما نکاتی را می گویم که بتوانید براحتی هر چیزی در حوزه آموزش تخصصی شبکه و امنیت و لینوکس و ... را به صورت دائمی یاد بگیرید و کمتر چیزی از ذهنتان خارج شود ، تکنیک های یادگیری که در ادامه به شما می گویم ، نتیجه دو دهه فعالیت من در این حوزه است و کاملا تجربی است . پس تا انتهای این مقاله از وب سایت توسینسو با ما باشید.
نوت برداری مهمترین رکن در یادگیری در حوزه آیتی است. شما باید هر چیزی که یاد میگیرید را بصورت خلاصه برای خودتان بنویسید. فراموش نکنید که نوت برداری باید کاملا خلاصه باشد و اصلا قرار نیست خیلی جامع و کامل نوشته شود. به شکلی بنویسید که ساختار یادگیری شما مثل جستجو در کلیدواژه های گوگل باشد. کلیدواژه ها را با حداقل توضیحات و به شکلی که خودتان متوجه مفهوم کلیدواژه شوید بنویسید تا بهتر به خاطرتان سپرده شود. برای مثال :
من به شخصه یکی از زیباترین دفترچه های نوت برداری را تهیه می کنم . یک دفتر سایز A4 پاپکو که به شکلی بسیار زیبا نوت برداری را در آن انجام می دهم. فکر می کنم حداقل در نوت برداری های من 4 رنگ خودکار وجود دارد که برای هر رنگی تعریفی وجود دارد. اگر از روی ویدیویی مشغول به یادگیری باشم ویدیو را قطع می کنم و چیزی که یاد گرفتم را بلافاصله نوت برداری می کنم.
هیچوقت بصورت کامل ابتدا ویدیوها را نگاه نمی کنم ، همیشه بخش بخش ، قطعه قطعه نوت برداری می کنم. سعی کنید از نوشته هایتان دفترچه ای زیبا درست کنید. جزوه ننویسید شما قرار نیست امتحان بدهید. سعی کنید چیزهایی که درک می کنید را بنویسید. یعنی مفهومی که از ویدیو برداشت می کنید را یاد داشت کنید نه چیزی که در آن عینا گفته می شود . برای مثال :
من به عنوان بنیانگذار انجمن تخصصی فناوری اطلاعات ایران و مجموعه توسینسو به جرات اعلام می کنم که مهمترین رکن در یادگیری ، یاد دادن است. وقتی شما چیزی را برای کسی توضیح می دهید به شدت در حافظه بلند مدت شما ماندگار می شود و این یکی از لذت بخش ترین انواع یادگیری است.
ویدیو تولید کنید ، کانال تلگرام بسازید ، صفحه اینستاگرام و .. داشته باشید و بدون توجه به تعداد مخاطب به دیگران آموزش بدهید. این باعث ماندگاری مطالب در ذهن شما می شود.
فعالیت کردن در تالارهای گفتمان یا همان فروم های تخصصی می تواند به شدت دید شما را نسبت به مسائل و مشکلات بازار کار و محیط های واقعی بالا ببرد. قطعا کسیکه در محیط واقعی دچار مشکل شده است و آن را در محیط تالار گفتمان مطرح می کند یعنی شما را با چالشی برای حل مسئله مواجه کرده است.
شما با جستجو کردن و تلاش برای حل مشکل آن فرد باعث می شوید در ذهنتان راهکاری جدید ثبت شود و مشکل و راهکار همزمان در ذهن شما هک شود. سوال بپرسید و حتی به سوال خودتان بعد از پیدا کردن راهکار حل مشکل پاسخ بدهید. نتیجه فوق العاده ای میگیرید. یکی از دلیل های پیشرفت من در حوزه شبکه ، امنیت و لینوکس قطعا وجود تالار گفتمان تخصصی توسینسو در این حوزه بوده است.
مصاحبه به شدت در توسعه فردی شما و کمک به یادگیری و درک نیاز بازار کار کمک می کند. حتی اگر به موضوعی به قدر کافی مسلط نیستید ، ریسک کنید و درخواست مصاحبه به شرکت های مختلف بدهید . این باعث می شود شما جسارت بیشتری برای مصاحبه های بعدی داشته باشید و از مسائل بازار کار به خوبی آگاه شوید.
برای یادگیری و آموزش لینوکس و شبکه و امنیت شما هیچ نیازی به خرید تجهیزات ندارید. شما با استفاده از نرم افزارهای مجازی سازی و البته نرم افزارهای Emulator یا شبیه ساز شبکه ، بدون هیچ هزینه ای می توانید یک لابراتوار و حتی یک مرکز داده قوی و سنگین طراحی کنید و براحتی در آن سناریوهای متنوع را تست و یاد بگیرید. بدون اینکه دغدغه خرابکاری داشته باشید. لابراتوار با کیفیت از اولین و مهمترین فاکتورها در یادگیری درست است.
خرابکاری و ریسک کنید اما با علم و آگاهی ، وقتی شما خرابکاری نکنید و نتوانید خرابکاری خودتان را درست کنید. نمی توانید در کار خود پیشرفت کنید. وقتی ریسک به روز رسانی سیستم های قدیمی ، نرم افزارهای قدیمی ، تجهیزات قدیمی و ... اعمال تغییرات جدید و ... را به خودتان نمی دهید. طبیعتا شما همیشه در جای خود درجا می زنید.