مقاله آموزشی
وجود حفره‌های امنیتی در نرم‌افزارهای دورکاری تنها یک فرضیه نیست
وجود آسیب‌پذیری و حفره‌های امنیتی در نرم‌افزارهای دورکاری مسئله‌ای فرضی نیست، برای مثال در ماه مارس یک آسیب‌پذیری بحرانی در پلتفرم اسلک شناسایی شده بود که موجب سرقت خودکار حساب و در نهایت منجر به نقض داده می‌شد. علاوه بر اسلک، نرم‌افزار سیسکو وب‌اکس نیز در گذشته با مشکلات امنیتی جدی مواجه بوده است. شرکت سیسکو در ماه مارس دو آسیب‌پذیری بحرانی در این پلتفرم کنفرانس ویدیویی را اصلاح کرد که در صورت بهره‌برداری، منجر به اجرای کد در سیستم‌های تحت تاثیر می‌شد. همچنین این شرکت یک حفره امنیتی را اخیرا اصلاح کرد که به افراد اجازه می‌داد بدون نیاز به احراز هویت به جلساتی که با استفاده از رمزعبور محافظت می‌شوند وارد شوند.
اما اگر خبرها را در روزها دنبال کرده باشید، می‌بینید که در این میان، تنها برنامه زوم که همزمان شروع قرنطینه خانگی طرفداران بسیاری پیدا کرد، طی چند هفته با حجم بالای گزارش‌های مرتبط با مشکلات امنیتی، از جمله دو آسیب‌پذیری روز صفر و چندین مشکل امنیتی جدی دیگر مواجه بود. اتفاقی که می‌تواند درمورد سایر برنامه‌ها نیز رخ بدهد.
حملات برداری و کمین مهندسی اجتماعی
به‌طور معمول، مهاجمان در مواجهه با برنامه‌های دورکاری، علاوه بر بهره‌برداری از حفره‌های امنیتی، حالت‌های دیگری از حملات سایبری را هم در نظر دارند. برنامه‌هایی مانند اسلک، مایکروسافت تیمز و دیگر برنامه‌ها، در واقع دارای مولفه‌های پیام‌رسانی هستند که می‌توانند برای حملات فیشینگ و قرار دادن پی‌لود‌های بدافزار از طریق لینک‌ها و فایل‌های مختلف مورد سوءاستفاده قرار گیرند.
پیکربندی‌های نادرست
نرم‌افزارهای کار از راه دور در برخی موارد، در معرض پیکربندی نادرست مدیران شبکه و کاربران خود هستند. برای مثال پلتفرم ترلو که در بسیاری از شرکت‌ها برای سازمان‌دهی لیست کارها و وظایف مورد استفاده قرار می‌گیرد، دارای یک نقص پایه به‌لحاظ مفهومی است که اگر صفحات پروژه‌ها در حالت "عمومی" تنظیم شده باشد، توسط موتور جستجو گوگل فهرست‌بندی می‌شود که در چنین شرایطی، محتوای پروژه‌ها در نتایج جستجوهای گوگل در دسترس عموم قرار خواهد گرفت.
نقاط ضعف اکوسیستم
در حال کلی، یکی از نکات مهم درباره نرم‌افزارهای کار از راه دور، نقاط ضعف عمومی در اکوسیستم نرم‌افزارهای این حوزه است. برای مثال برنامه اسلک یک کتابخانه نرم‌افزاری عمومی برای توسعه افزونه‌هایی خود دارد که این افزونه‌ها تنها با چند کلیک نصب می‌شوند. در یک سناریو فرضی براساس این مثال، یک مهاجم می‌تواند با ساختن یک افزونه مخرب و تبلیغ قابلیت‌های کارآمد برای آن، قربانیان خود را تشویق به نصب آن کرده و سپس به کلیه اطلاعات آن‌ها دسترسی پیدا کند. در چنین شرایطی، اگر یک کاربر اشتباها افزونه‌ی مخرب نصب کند، همه کانال‌های اسلک او را در دسترسی مهاجم قرار می‌گیرد.
عدم طبقه‌بندی صحیح اطلاعات و دسترسی‌ها
باید توجه داشت که اطلاعات به اشتراک گذاری شده در این ابزارها که عموما از طریق کانال‌ها و گروه‌ها انجام می‌شود، می‌تواند در صورت عدم طبقه‌بندی صحیح اطلاعات و مدیریت دسترسی‌ها، منجر به در معرض خطر قرار گرفتن اطلاعات حساس شود. برای مثال فرستنده یک پیام حاوی اطلاعات حساس، ممکن است نسبت به همه اعضای یک گروه شناخت دقیقی نداشته باشد و ناخواسته اطلاعات محرمانه را در گروهی که افراد بسیاری وجود دارند به اشتراک بگذارد.
رویکردهای امنیتی صحیح
برای ایجاد امنیت نسبی برای یک نرم‌افزار کار از راه دور، بهترین راه‌حل، پیروی از اصول Zero-Trust و تقسیم شبکه است که می‌تواند در کاهش خطراتی که شرکت‌ها را عموما تهدید می‌کنند، تاثیر بسیاری داشته باشد. علاوه براین، همانند همیشه، باید از شیوه‌های معمول برای آموزش کاربران در پلتفرم‌های کار از راه دور به‌طور جدی استفاده شود. در عین حال، جداسازی بخش‌های مختلف شبکه نیز از اهمیت بالایی برخوردار است. برای مثال، یک مهاجم می‌تواند در پلتفرم کار از راه دور با عنوان یک کارمند مورد اعتماد حاضر شده تا فایل‌های مخرب را به اشتراک بگذارد و آن‌ها را در دیگر بخش‌های شبکه گسترش دهد. اما تنها براساس نحوه پیکربندی پلتفرم‌ها و شبکه، مهاجم قادر خواهد بود وارد برنامه‌های به اشتراک‌گذاری فایل مانند G-suite یا SharePoint شود تا به اطلاعات مهم دسترسی پیدا کند.