دانلود پاورپوینت آشنایی با خدمات آزمایشگاه آپا و فرایند اجرایی انجام ممیزیبر اساس دستورالعمل استانداری خراسان رضوی

\n

سمینار توجیهی نحوه انجام ممیزی توسط آزمایشگاه آپای در حوزه امنیت اطلاعات

\n

\n

عنوان های پاورپوینت  : 

\n

\n

آشنایی با خدمات آزمایشگاه آپا و فرایند اجرایی انجام ممیزیبر اساس دستورالعمل استانداری خراسان رضوی

\n

سمینار توجیهی نحوه انجام ممیزی توسط آزمایشگاه آپای در حوزه امنیت اطلاعات

\n

فهرست موضوعات

\n

بی‌توجهی به امنیت اطلاعات تهدیدی بزرگ برای سازمانها

\n

وضع موجود

\n

چه باید کرد!

\n

راه کار

\n

گروه امداد فضای تبادل اطلاعات (CERT)

\n

آزمایشگاه های آپا در دانشگاه های ایران

\n

آپا: آگاهی رسانی، پشتیبانی و امداد حوادث رایانهای

\n

در آزمایشگاه  آپای دانشگاه فردوسی مشهدفعالیت‌هایی زیر ارائه می‌شود:

\n

پورتال اطلاع رسانی آپا

\n

چارت آزمایشگاه آپای دانشگاه فردوسی مشهد

\n

حوزه فعالیت های آزمایشگاه آپا

\n

فعالیت ها

\n

گزارش تصویری

\n

خدمات آزمایشگاه آپا1 – آزمون نفوذپذیری (Penetration Testing)

\n

خدمات آزمایشگاه آپا2 – صدور گواهینامه امنیتی(OWASP-ASVS-1A)

\n

خدمات آزمایشگاه آپا3 – ارائه خدمات آموزشی

\n

خدمات آزمایشگاه آپا4 – انجام فعالیت های پژوهشی

\n

نوع آزمون

\n

رئوس موضوعات آزمون نفوذ‌پذیری

\n

در این آزمون‌ها موارد زیر مورد توجه قرار می‌گیرد

\n

چرا برنامههای کاربردی(Web applications)  از اهمیت بالایی در حوزه امنیت فناوری اطلاعات برخوردار هستند؟

\n

چرا برنامههای کاربردی(Web applications) آسیب‌پذیر هستند؟

\n

استاندارد ممیزی امنیت در برنامه‏های کاربردی  (ASVS)

\n

Open Web Application Security ProjectApplication Security Verification Standard

\n

سطح یک سطح ممیزی خودکار Automated Verification

\n

مثال معماری امن در سطح یک از OWASP ASVS

\n

سطح دو سطح ممیزی دستی Manual Verification

\n

 مثال معماری امن، در سطح دو از ASVS OWASP

\n

Application Security Verification Techniques

\n

سطح سه سطح ممیزی طراحی Design Verification

\n

سطح چهار سطح ممیزی و بازبینی کد(ممیزی داخلی) Internal Verification

\n

مثال معماری امن، در سطح چهار از ASVS OWASP

\n

فرایند اجرایی انجام ممیزیبر اساس دستورالعمل استانداری خراسان رضوی

\n

فرایند اجرایی انجام ممیزی بر اساس دستورالعمل استانداری خراسان رضویفرم های چهار گانه – فرم شماره 1 (فرم تکمیل اطلاعات اشخاص حقوقی)

\n

فرایند اجرایی انجام ممیزی بر اساس دستورالعمل استانداری خراسان رضویفرم های چهار گانه – فرم شماره 2 (فرم تکمیل اطلاعات سایت وب سازمان)

\n

فرایند اجرایی انجام ممیزی بر اساس دستورالعمل استانداری خراسان رضویفرم های چهار گانه – فرم شماره 3 (فرم تکمیل اطلاعات نرم‌افزارهای کاربردی)

\n

فرایند اجرایی انجام ممیزی بر اساس دستورالعمل استانداری خراسان رضویفرم های چهار گانه – فرم شماره 4 (فرم تکمیل اطلاعات شبکه رایانهای)

\n

فرایند اجرایی انجام ممیزیبر اساس دستورالعمل استانداری خراسان رضوی

\n

ابلاغیه 38/64/51805 مورخ 1388/12/4 مدیرکل دفتر فناوری اطلاعات استانداری خراسان رضوی

\n

فرایند اجرایی انجام ممیزیبر اساس دستورالعمل استانداری خراسان رضوی

\n

\n \n\n \n\n

---

\n\nقسمت ها و تکه های اتفاقی از فایل\n\n \n\nوضع موجود\n\nهر روز با فناوری های نوین روبرو هستیم که عمده آنها بر بستر ICT ارایه می‌شوند\n\nطبق نظر سنجی‌ها 86 درصد از افراد سازمان ها از حداقل یکی از این فناوری های نوین استفاده می‌کنند\n\nحجم درخواست ها از حوزه ICT رو به افزایش است و کارکنان حوزه ICT فرصت توجه به همه جنبههای فنی موضوعات را ندارند و سازمان ها به جهت درک ناصحیح از این حوزه حمایت لازم را از ایشان ندارند\n\nحوزه فناوری اطلاعات و ارتباطات در بکارگیری کارکنان زبده در عرصه امنیت اطلاعات و ارتباطات دچار مشکل است به عبارتی مشکل نیروی انسانی متخصص مشکل شماره یک این حوزه است\n\nوضع موجود(ادامه)\n\nغالباً در سازمان ها بی‌توجهی به یکپارچهسازی و زیرساخت های نرم‌افزاری و سخت‌افزاری برای استقرار یک سیستم مدیریت امنیت اطلاعات مشاهده می‌شود\n\nمدیران اغلب درک صحیح و دقیقی از فناوری اطلاعات ندارند\n\nامکانات و اعتبارات لازم به این حوزه تعلق نمی‌گیرد\n\nپرسنل فناوری اطلاعات از حوزه فعالیت خود رضایت چندانی ندارند\n\nنگرانی از همسو نبودن برنامههای عملیاتی با برنامههای توسعه کشور\n\nبی‌توجهی به بخش خصوصی به عنوان عامل مهم بخش توسعه فناوری اطلاعات و ارتباطات\n\nوضع موجود(ادامه)\n\nپورتال یا سایت وب سازمان\n\nسیستم های نرم‌افزاری\n\nسیستم های قدیمی مبتنی بر DOS و FoxPro\n\nسیستم های ویندوزی تک کاربره\n\nسیستم های ویندوزی تحت شبکه (Client/Server)\n\nسیستم های تحت شبکه WebBase\n\nشبکه سازمان\n\nبه لحاظ ساخت‌یافتگی، امنیت اطلاعات، نوع سرور و ....\n\nساختار سازمانی حوزه فناوری اطلاعات و مسایل مربوط\n\nچه باید کرد!\n\nفرهنگ‌سازی و آموزش در همه سطوح\n\nایجاد ساختار سازمانی مناسب CIO در سازمان\n\nتامین منابع مالی مورد نیاز و بهبود زیرساخت های ارتباطی و سرمایهگذاری در حوزه فناوری اطلاعات و ارتباطات\n\nکمک به رشد و توسعه مراکز تحقیقاتی و پژوهشی در این حوزه (Cert و....)\n\nکمک به رشد و توسعه بخش خصوصی حوزه ICT\n\nایجاد و توسعه سیستم مدیریت امنیت اطلاعات در سازمان (ISMS)\n\nتهیه قوانین، آئین‌نامهها، مقررات و دستورالعمل های مورد نیاز\n\nنوع آزمون\n\nجعبه سفید: زمانی که تیم مجوز دسترسی به همه شبکه را برای آزمون دارد و بر روی سیستم عامل، سخت‌افزار و جزئیات برنامههای کاربردی امکان آزمون وجود دارد. مثل موقعی که یک حمله کننده از جزئیات داخلی یک شبکه مطلع است\n\nجعبه سیاه: آزمون مبتنی بر وب از راه دور بدون اطلاع داخلی است در واقع نقش یک حمله کننده را از بیرون بازی می‌کند\n\nجعبه خاکستری: تیم آزمون به کمک شبیهسازی، نقش یک کارمند ناراضی را بازی می‌کند که یکسری دسترسی‌های معمولی و متعارف به شبکه داخلی دارد\n\nرئوس موضوعات آزمون نفوذ‌پذیری\n\nامنیت شبکه\n\nامنیت سیستم عامل\n\nامنیت وب سرور\n\nامنیت پایگاه داده\n\nامنیت برنامههای کاربردی\n\nخط مشی تداوم کسب و کار(پشتیبان‌گیری از اطلاعات،آماده کردن شرایطی برای مکان، سخت‌افزار، نرم‌افزار، پرسنل و مستندات)\n\nچرا برنامههای کاربردی(Web applications)  از اهمیت بالایی در حوزه امنیت فناوری اطلاعات برخوردار هستند؟\n\nبرنامههای کاربردی نقطه تمرکز حملهکنندگان هستند\n\nGartner می‌گوید 75 درصد حمله کنندگان در لایه برنامههای کاربردی هستند\n\nMitre  می‌گوید بیشترین آسیب‌پذیری گزارش شده به ترتیب XSSو SQL Injection  هستند\n\nاغلب سایت ها آسیب‌پذیر هستند\n\nWatchfire می‌گوید 90 درصد سایت ها در مقابل حملات برنامههای کاربردی حملهکنندگان آسیب‌پذیر هستند\n\nSymantec می‌گوید 78 درصد کدهای مخرب مربوط به برنامههای کاربردی تحت وب است\n\nGartner می‌گوید حداقل 80 درصد سازمان ها حوادث امنیت اطلاعات را تجربه کردهاند\n\nبرنامههای کاربردی اهداف با ارزشی برای حملهکنندگان هستند\n\nداده مشتری، کارت اعتباری، سرقت شناسه، تغییر سایت و غیرو\n\nاغلب خواستهها بر بستر وب برآورده می‌شود\n\nالزامات سازمانی و دولتی نظیر:\n\nتکریم ارباب رجوع، کاهش سفر، همکاری بین سازمانی و ...\n\nچرا برنامههای کاربردی(Web applications) آسیب‌پذیر هستند؟\n\nبرنامهنویسان و توسعهدهندگان نرم‌افزارهای کاربردی آموزش کافی برای ایجاد کد امن ندیدهاند\n\nدر قراردادهای تهیه برنامههای کاربردی به موضوع امنیت اطلاعات و مباحث مربوط توجه نشده است\n\nامنیت شبکه (فایروال، سیستم تشخیص نفوذ و...) امنیت برنامههای کاربردی را پوشش نمی‌دهند\n\nسازمان ها عمدتاً به موضوع امنیت اطلاعات در برنامههای کاربردی بی‌توجهند و معمولاً اگر هم به آزمون نفوذ توجه کنند با تاخیر انجام می‌شود\n\nعملیات آزمون نفوذ‌پذیری جامع نیست\n\nو ......\n\nOpen Web Application Security ProjectApplication Security Verification Standard\n\nنیاز به استانداردی برای ایجاد اعتماد و درجهای از اطمینان بین استفاده کنندگان و تولیدکنندگان برنامههای کاربردی (گواهینامه امنیتی نرم‌افزار)\n\nOWASP انجمن اختصاصی آزادی است که هدفش ایجاد ساختار و تشکیلاتی است برای توسعه، خرید و حفاظت از برنامههای کاربردی قابل اعتماد\n\nASVS یک استاندارد برای ممیزی امنیت برنامههای کاربردی است و می‏تواند برای ایجاد سطحی از اطمینان در امنیت برنامه‏های کاربردی تحت وب استفاده شود.\n\nدر سطوح بالاتر در ASVS استفاده از ابزارها توصیه می‌شود، اما ابزارها باید مناسب قالب‏کاری برنامه کاربردی مورد استفاده باشند.\n\n \n\n \n\n30 تا 70 درصد پروژه | پاورپوینت | سمینار | طرح های کارآفرینی و  توجیهی |  پایان-نامه |  پی دی اف  مقاله ( کتاب ) | نقشه | پلان طراحی |  های آماده به صورت رایگان میباشد ( word | pdf | docx | doc )