Broken Access Control
دسترسی هر نقش به هر ماژول، شرکت و شعبه جداست و در سرور، روی تک‌تک درخواست‌ها کنترل می‌شود.
صفحه اصلی/امنیت
امنیت ۳۶۰ درجه
امنیت در طراحی، کنترل داده‌ها در اختیار شما
آوین دارای سیستم تشخیص نفوذ بوده و بر بستر سرورهای لینوکس توسعه یافته است.
امنیت آوین بر اساس ریسک‌های OWASP Top 10 و الزامات افتا و سازمان فناوری اطلاعات پیاده‌سازی شده است. با استقرار آوین روی سرور اختصاصی شما، داده‌ها در زیرساخت خودتان نگهداری می‌شوند و مدیریت دسترسی به آن‌ها در اختیار شماست.
حملات رایج
آوین در برابر هر حمله چه می‌کند؟
این‌ها رایج‌ترین حملاتی است که هر روز به سرورهای سازمان‌ها می‌شود. روی هر کدام کلیک کنید.
Brute Force
ربات‌ها هزاران رمز عبور را پشت سر هم امتحان می‌کنند تا وارد سیستم شوند. این رایج‌ترین حمله به صفحه‌های ورود است.
- بعد از ۵ بار رمز اشتباه، حساب کاربری ۱۵ دقیقه قفل می‌شود.
- تعداد تلاش برای ورود از هر IP محدود است.
- با ورود دومرحله‌ای (2FA)، رمز درست هم بدون کد موبایل کافی نیست.
- می‌توانید ورود را فقط از شبکه شرکت و در ساعت کاری مجاز کنید.
Ransomware (باج‌افزار)
بدافزاری که فایلها را رمزگذاری می‌کند و برای باز کردنشان باج میخواهد. بیشتر باجافزارهایی که به شرکتهای ایرانی حمله کردهاند، ویروس‌های ویندوزی بودهاند.
- آوین روی سرور لینوکس اجرا می‌شود و ویروس‌های ویندوزی روی آن کار نمی‌کنند. اگر کامپیوتر یکی از کارکنان آلوده شود، سرور آوین آسیبی نمیبیند.
- هر شب ساعت ۲ بامداد از کل اطلاعات Backup گرفته می‌شود و سالم بودن فایل همان موقع بررسی می‌شود.
- یک نسخه از Backup روی سرور یا فضای ذخیره‌سازی دیگری هم نگه داشته می‌شود؛ حتی اگر سرور اصلی از دست برود، اطلاعات از بین نمیرود.
- هر هفته آخرین Backup به صورت آزمایشی بازیابی می‌شود تا مطمئن شویم در روز مبادا جواب میدهد.
SQL Injection
مهاجم به جای اطلاعات عادی، دستور دیتابیس را در فرم وارد می‌کند تا اطلاعات را بخواند یا پاک کند.
- ورودی کاربر همیشه به صورت پارامتر به دیتابیس فرستاده می‌شود و هیچوقت به عنوان دستور اجرا نمیشود.
- اطلاعات هر شرکت در خود دیتابیس جداست (Row-Level Security)؛ حتی یک کوئری اشتباه هم اطلاعات شرکت دیگر را نشان نمیدهد.
- دیتابیس از بیرون سرور قابل دسترسی نیست.
DDoS
حجم زیادی درخواست به سرور فرستاده می‌شود تا از کار بیفتد و کاربران نتوانند کار کنند.
- تعداد درخواست هر IP و هر کاربر در دقیقه محدود است (Rate Limiting).
- Nginx جلوی برنامه قرار دارد؛ خود برنامه و دیتابیس مستقیم از اینترنت در دسترس نیستند.
- اگر سرویس به هر دلیلی متوقف شود، در چند ثانیه خودکار دوباره بالا میآید.
XSS و CSRF
مهاجم کد مخرب در صفحه جا میدهد، یا کاربر را فریب میدهد تا بدون اطلاع کاری انجام دهد؛ مثلاً یک پرداخت را تأیید کند.
- هر متنی که کاربران وارد می‌کنند فقط به صورت متن نمایش داده می‌شود و اجرا نمیشود.
- نشست کاربر در Cookie نگه داشته نمیشود؛ پس سایت دیگری نمیتواند به جای او درخواست بفرستد.
- Security Headerهای وب‌سرور اجازه نمیدهند صفحه‌های آوین داخل سایت دیگری باز شوند.
Session Hijacking و شنود
مهاجم در مسیر شبکه رمز یا نشست کاربر را میدزدد و به جای او وارد می‌شود.
- با نصب SSL، همه ارتباطها بین کاربر و سرور رمزنگاری می‌شود.
- رمزهای عبور به صورت هش (bcrypt) ذخیره می‌شوند؛ هیچکس، حتی مدیر سیستم، نمیتواند آن‌ها را بخواند.
- Session هر کاربر بعد از چند ساعت خودکار منقضی می‌شود.
- کلیدهای امضای سامانه مودیان فقط روی سرور هستند و هیچجا نمایش داده نمیشوند.
نفوذ به سرور
مهاجم از یک ضعف استفاده می‌کند تا کنترل سرور را به دست بگیرد.
- آوین روی لینوکس Ubuntu نصب می‌شود و برنامه با یک کاربر محدود اجرا می‌شود، نه با root.
- سرویس در محیط ایزوله اجرا می‌شود: فایلهای سیستم برایش فقطخواندنی است و نمیتواند سطح دسترسی خودش را بالا ببرد.
- دیتابیس و API فقط داخل خود سرور در دسترساند و از بیرون فقط وب‌سرور دیده می‌شود.
- به‌زودی: سیستم تشخیص نفوذ (IDS) که رفتارهای مشکوک روی سرور را شناسایی و به مدیر هشدار میدهد.
تهدید داخلی
همه خطرها از بیرون نیست؛ ممکن است یک کاربر بیشتر از نیازش اطلاعات ببیند یا سندی را دستکاری کند.
- هر کاربر فقط ماژولها، شرکتها و شعبههایی را میبیند که به او دسترسی داده شده.
- کسی که سند را ثبت می‌کند نمیتواند خودش آن را تأیید نهایی کند.
- سند قطعی‌شده قابل ویرایش نیست و فقط با سند برگشتی اصلاح می‌شود.
- هر تغییر با نام کاربر، زمان و مقدار قبل و بعد ثبت می‌شود (Log تغییرات).
OWASP Top 10
محافظت در برابر ۱۰ خطر اصلی
OWASP Top 10 معتبرترین فهرست جهانی از خطرهای امنیتی نرم‌افزارهای تحت وب است. آوین برای هر ده مورد این‌طور محافظت شده است:
Cryptographic Failures
ارتباط با SSL رمزنگاری می‌شود و رمزهای عبور با bcrypt هش می‌شوند. کلیدها فقط روی سرور هستند.
Injection
ورودی کاربر همیشه به صورت پارامتر به دیتابیس می‌رود و متن کاربران همیشه به صورت متن نمایش داده می‌شود، نه کد.
Insecure Design
تفکیک وظایف، گردش تأیید و سندهایی که بعد از ثبت قطعی تغییر نمی‌کنند، در خود طراحی هستند.
Security Misconfiguration
Security Headerها، پنهان بودن نسخه وب‌سرور، دیتابیس بسته و اجرای سرویس با کمترین دسترسی، از همان نصب.
Vulnerable Components
نسخه همه کتابخانه‌ها قفل است و پکیج نصب دقیقاً از همان نسخه‌های تست‌شده ساخته می‌شود.
Authentication Failures
ورود دومرحله‌ای، قفل حساب بعد از ۵ تلاش ناموفق، Rate Limiting و انقضای خودکار Session.
Data Integrity Failures
سند قطعی فقط با سند برگشتی اصلاح می‌شود و Webhookهایی که آوین می‌فرستد امضای دیجیتال دارند.
Logging & Monitoring
ورودها، تلاش‌های ناموفق و همه تغییرات با نام کاربر و زمان ثبت می‌شوند. IDS به‌زودی اضافه می‌شود.
SSRF
سرور فقط به سرویس‌هایی وصل می‌شود که مدیر سیستم تعریف کرده؛ مثل سامانه مودیان، پیامک و Webhook.
الزامات داخلی
افتا و سازمان فناوری اطلاعات
امنیت آوین با در نظر گرفتن الزامات امنیتی مرکز افتا و ضوابط سازمان فناوری اطلاعات ایران برای نرم‌افزارهای سازمانی طراحی شده است.
برای سازمان‌های ایرانی مهم‌ترین نکته این است که اطلاعات از سازمان بیرون نرود. آوین روی سرور خود شما نصب می‌شود و برای کار کردن به هیچ سرویس خارجی وابسته نیست.
- میزبانی داخلی: نصب روی سرور سازمان و اطلاعات کاملاً در اختیار خودتان.
- بدون وابستگی خارجی: همه بخش‌ها، حتی پیش‌بینی‌ها، بدون اینترنت خارجی کار می‌کنند. دستیار AI اختیاری است.
- کنترل دسترسی: نقش و سطح دسترسی، محدودیت IP و ساعت ورود، ورود دومرحله‌ای.
- ثبت رویدادها: سابقه ورود و تغییرات، با مدت نگهداری قابل تنظیم.
- Backup و بازیابی: Backup روزانه، نسخه بیرون از سرور و تست بازیابی هفتگی.
- تفکیک وظایف: ثبت‌کننده و تأییدکننده سند نمی‌توانند یک نفر باشند.
Backup ضد باج‌افزار
باج‌افزار اطلاعات شما را گروگان نمی‌گیرد
آوین بر پایه کدنویسی امن و استانداردهای امنیت اطلاعات طراحی شده و با توجه به ساختار لینوکسی، حداکثر امنیت را در مقابله با باج‌افزارها، ویروس‌های کامپیوتری و حملات سایبری دارد.
Backup کامل
از کل اطلاعات Backup گرفته می‌شود و نسخه‌های دو هفته اخیر نگه داشته می‌شوند.
بررسی سالم بودن
فایل Backup باز و بررسی می‌شود. اگر مشکلی داشته باشد، در صفحه سلامت سیستم به مدیر نشان داده می‌شود.
نسخه بیرون از سرور
یک نسخه روی سرور یا فضای ذخیره‌سازی دیگری کپی می‌شود تا اگر سرور اصلی از دست رفت، اطلاعات سالم بماند.
تست بازیابی
آخرین Backup به صورت آزمایشی بازیابی و تراز حساب‌ها کنترل می‌شود. Backup اگر قابل بازیابی نباشد، به درد نمی‌خورد.
اگر اتفاقی افتاد
بازگشت در چهار قدم
قطع ارتباط
سرور آسیب‌دیده را از شبکه جدا کنید.
نصب دوباره
آوین را روی یک سرور سالم نصب کنید.
بازیابی
آخرین Backup سالم با یک دستور برمی‌گردد: sudo avin365-restore
تغییر رمزها
رمز کاربران و کلیدهای API را عوض کنید.
چهار لایه امنیتی
از ورود کاربر تا Backup
ورود کاربران
- ورود دومرحله‌ای (2FA) با اپ یا پیامک
- قفل ۱۵ دقیقه‌ای بعد از ۵ رمز اشتباه
- محدودیت IP و ساعت ورود
- رمز حداقل ۸ کاراکتر، ذخیره به صورت هش
دیتابیس
- جداسازی اطلاعات هر شرکت (Row-Level Security)
- دسترسی جدا برای هر ماژول و شعبه
- سند قطعی‌شده تغییر نمی‌کند
- ثبت هر تغییر با مقدار قبل و بعد
سرور لینوکس
- اجرا بدون دسترسی root، در محیط ایزوله
- دیتابیس و API بسته به بیرون
- ارتباط امن با SSL
- به‌زودی: سیستم تشخیص نفوذ (IDS)
Backup
- Backup خودکار هر شب
- نسخه بیرون از سرور
- تست بازیابی هر هفته
- بازیابی با یک دستور
توصیه‌های ما
چند کار ساده برای امنیت کامل‌تر
2FA برای همه
حداقل برای مدیر سیستم و کاربران مالی ورود دومرحله‌ای را فعال کنید.
SSL
آوین را فقط با HTTPS در دسترس بگذارید.
محدود کردن ورود
ورود را به شبکه شرکت و ساعت کاری محدود کنید.
فضای امن برای Backup
فضای Backup را طوری تنظیم کنید که از سرور اصلی فقط بشود در آن نوشت، نه اینکه پاکش کرد.
امنیت آوین را از نزدیک ببینید.
در جلسه دمو به سؤال‌های فنی تیم IT شما جواب می‌دهیم.