۴ گام عملی برای امنیت شبکه و زیرساخت سازمانی + چکلیست الزامات
وقتی صحبت از امنیت شبکه میشود، اولین چیزی که معمولاً به ذهن میرسد فایروال، آنتیویروس یا خرید یک تجهیز امنیتی جدید است. این ابزارها مهماند، اما امنیت زیرساخت شبکه از خودِ طراحی شروع میشود. اگر ندانیم چه تجهیزاتی در شبکه داریم، چه کسی به آنها دسترسی دارد، ترافیک بین بخشها چگونه عبور میکند و در زمان حادثه چه کسی باید واکنش نشان دهد، حتی تجهیزات گرانقیمت هم نمیتوانند بهتنهایی شبکه را امن کنند.
در یک شبکه سازمانی معمولی، روترها، سوئیچها، فایروال، اکسسپوینتها، سرورها، ماشینهای مجازی، سرویسهای ابری، تجهیزات کاربران، دوربینها، VoIP، تجهیزات IoT و مسیرهای دسترسی از راه دور همگی بخشی از سطح حمله هستند. کافی است یکی از این اجزا با رمز پیشفرض، Firmware قدیمی یا دسترسی بیش از حد در شبکه باقی بماند تا مسیر مناسبی برای نفوذ ایجاد شود.
به همین دلیل ارتقای امنیت شبکه را باید یک فرایند در نظر گرفت، نه یک پروژه یکباره. چارچوب NIST Cybersecurity Framework 2.0 مدیریت ریسک سایبری را در شش حوزه حاکمیت، شناسایی، حفاظت، تشخیص، پاسخ و بازیابی سازماندهی میکند. در این مقاله برای اینکه موضوع کاربردیتر باشد، همین منطق را در چهار گام عملی جمعبندی کردهایم: شناخت و ارزیابی، طراحی و کنترل دسترسی، Hardening و پایش، و در نهایت پاسخ و بازیابی.
امنیت شبکه و زیرساخت دقیقاً شامل چه چیزهایی میشود؟
امنیت شبکه فقط به جلوگیری از ورود مهاجم از اینترنت محدود نیست. بخش مهمی از حملات از حساب کاربری سرقتشده، دستگاه آلوده، سرویس بدون Patch، دسترسی Remote ناامن، تنظیم اشتباه Firewall یا حرکت جانبی بین بخشهای داخلی شبکه آغاز میشود. بنابراین امنیت شبکه باید هم Perimeter را پوشش دهد و هم ارتباطات داخلی، مدیریت تجهیزات، هویت کاربران و نحوه ثبت و بررسی رخدادها را.
در عمل، سه هدف کلاسیک امنیت اطلاعات یعنی محرمانگی، یکپارچگی و دسترسپذیری باید همزمان حفظ شوند. شبکهای که آنقدر محدود شده باشد که سرویسهای اصلی سازمان را از کار بیندازد، طراحی مناسبی ندارد؛ همانطور که شبکهای با دسترسی آزاد و بدون کنترل نیز امن نیست. هدف، ایجاد کنترلهای متناسب با ریسک و نیاز کسبوکار است.
گام اول: شناخت تجهیزات و ارزیابی ریسکهای امنیت شبکه
قبل از هر Hardening یا تغییر امنیتی باید تصویر روشنی از وضعیت موجود داشته باشید. بسیاری از مشکلات در امنیت شبکه از تجهیزاتی شروع میشوند که تیم IT حتی از وجود یا وضعیت آنها اطلاع دقیقی ندارد: یک سوئیچ قدیمی، Access Point فراموششده، سرور تست که وارد شبکه Production شده یا پورت مدیریتی که از اینترنت قابل دسترسی است.
تهیه لیست کامل داراییهای دیجیتال و سختافزاری
برای شروع، Inventory مشخصی از داراییها بسازید. این فهرست بهتر است حداقل شامل نام تجهیز، IP، محل استقرار، مالک یا تیم مسئول، سیستمعامل یا Firmware، نقش تجهیز، سطح اهمیت، وضعیت پشتیبانی سازنده و نحوه مدیریت آن باشد. CIS Controls نیز موجودی داراییها را یکی از کنترلهای پایه میداند؛ چون تا ندانیم چه چیزی در شبکه وجود دارد، نمیتوانیم برای امنیت شبکه تصمیم درستی بگیریم.
- فایروال، سوئیچ، روتر و لودبالانسر
- سرورها، هایپروایزرها و ماشینهای مجازی
- اکسسپوینتها و کنترلرهای بیسیم
- تجهیزات ذخیرهسازی NAS و SAN و سامانههای Backup
- دوربینها، VoIP، پرینترها و تجهیزات IoT
- سرویسهای Cloud، ارتباط VPN، دسترسی از راه دور و ارتباط با شعب یا پیمانکاران
تهیه لیست کامل داراییهای دیجیتال و سختافزاری
رسم و بهروزرسانی دیاگرام جریان داده در شبکه
دیاگرام شبکه فقط برای زیبایی مستندات نیست. باید بتوان با نگاه به آن فهمید چه Zoneهایی وجود دارند، ارتباط بین VLANها از کجا عبور میکند، سرویسهای اینترنتی در چه بخشی قرار دارند، اتصال شعب چگونه انجام میشود و کاربران راه دور از چه مسیری وارد شبکه میشوند. CISA نیز نگهداری دیاگرامهای جامع شبکه و جریان داده را برای دفاع و پاسخ به حادثه توصیه میکند.
اگر نقشه شبکه قدیمی است، قبل از طراحی امنیتی آن را بهروز کنید. یکی از خطاهای رایج این است که قواعد فایروال براساس معماری چند سال قبل باقی میمانند، در حالی که سرویسها و مسیرهای جدیدی به شبکه اضافه شدهاند.
شناسایی داراییها و اطلاعات حیاتی سازمان
همه تجهیزات ارزش و ریسک یکسانی ندارند. Domain Controller، سرور ERP، دیتابیس مالی، سامانه Backup، تجهیزات Core، سیستمهای مدیریت مجازیسازی و کنسولهای مدیریتی معمولاً حساستر از یک سیستم کاربری عادی هستند. مشخص کردن داراییهای حیاتی کمک میکند بودجه و کنترلهای امنیتی را در جایی خرج کنید که بیشترین اثر را دارد.
تعیین وضعیت فعلی و خطمشی پایه (Baseline)
در پایان گام اول باید یک نقطه شروع قابل اندازهگیری داشته باشید: چه پورتهایی بازند؟ کدام تجهیزات Patch عقبمانده دارند؟ چه اکانتهای مدیریتی وجود دارند؟ چه قواعدی بیش از حد باز هستند؟ دسترسی از راه دور کجاست؟ لاگ چه تجهیزاتی جمع نمیشود؟ این Baseline بعداً معیار سنجش پیشرفت پروژه امنسازی خواهد بود.
مثال عملی: اگر متوجه شدید کاربران واحد اداری، دوربینها و سرورهای مالی همگی در یک Broadcast Domain قرار دارند، مشکل فقط «نبود VLAN» نیست؛ مسئله این است که یک دستگاه آلوده میتواند بدون کنترل کافی به داراییهای حساس نزدیک شود. این یافته مستقیماً وارد گام دوم، یعنی طراحی Segmentation، میشود.
گام دوم: معماری امن و کنترل دسترسی را اجرا کنید
بعد از شناخت وضعیت موجود، نوبت به کم کردن سطح حمله میرسد. دو اصل در این مرحله برای امنیت شبکه بسیار مهماند: اول اینکه هر بخش شبکه فقط به منابع موردنیاز خود دسترسی داشته باشد؛ دوم اینکه اعتماد صرفاً به دلیل قرار داشتن یک کاربر یا دستگاه در شبکه داخلی ایجاد نشود.
تفکیک شبکه (Segmentation) و جلوگیری از ارتباطات آزاد
شبکه Flat شاید مدیریت سادهتری داشته باشد، اما در زمان نفوذ، امنیت شبکه را کاملاً مختل کرده و مسیر حرکت مهاجم را ساده میکند. Segmentation با استفاده از VLAN، Subnet، Firewall داخلی، ACL و در شبکههای بزرگتر Micro-Segmentation میتواند ارتباط بین بخشها را کنترل کند. CIS Control 12 صراحتاً Segmentation، Least Privilege و Availability را جزء اجزای معماری امن شبکه میداند.
برای مثال بهتر است کاربران عادی، سرورها، مدیریت تجهیزات، دوربینها و IoT، شبکه مهمان، VoIP و سرویسهای Public در Zoneهای جدا قرار گیرند. ارتباط بین این Zoneها نیز باید براساس نیاز واقعی تعریف شود، نه با Ruleهای گستردهای مانند Any-to-Any.
انتقال سرویسهای عمومی به منطقه امن DMZ
وبسرور، Mail Gateway، DNS عمومی یا هر سرویسی که از اینترنت قابل دسترسی است نباید بدون مرزبندی مناسب کنار سرورهای داخلی قرار گیرد. قرار دادن این سرویسها در DMZ یا یک Zone کنترلشده باعث میشود حتی در صورت Compromise شدن یک سرویس اینترنتی، مسیر مستقیم و آزاد به شبکه داخلی وجود نداشته باشد. CISA نیز برای سرویسهای Facing Internet استفاده از Segmentation، Firewall و DMZ را توصیه کرده است.
اصل Least Privilege را برای کاربران و مدیران اعمال کنید
هر کاربر، سرویس و مدیر باید فقط همان سطح دسترسی لازم برای انجام وظیفه را داشته باشد. استفاده روزمره از Domain Admin، اشتراک یک حساب مدیریتی بین چند نفر یا باز گذاشتن دسترسی مدیریت تجهیزات برای کل شبکه نمونههایی از دسترسی بیش از حد هستند.
برای مدیریت تجهیزات شبکه بهتر است احراز هویت بهصورت متمرکز و قابل Audit انجام شود. مفاهیمی مثل AAA با سرویسهایی نظیر RADIUS یا TACACS Plus کمک میکنند Authentication، Authorization و Accounting از یک نقطه مشخص مدیریت شوند. در CIS Controls 8.1 نیز Centralized AAA یکی از Safeguardهای مدیریت زیرساخت شبکه است.
MFA را برای دسترسیهای حساس اجباری کنید
رمز عبور بهتنهایی برای امنیت شبکه و حسابهای حساس کافی نیست. دسترسی Remote، پنلهای مدیریتی، سرویسهای Cloud و حسابهای Privileged باید تا حد امکان با Multi-Factor Authentication محافظت شوند. CISA نیز استفاده از MFA را بهخصوص برای Remote Access و دسترسی مدیریتی توصیه میکند و در محیطهای حساس، روشهای مقاومتر در برابر Phishing اولویت دارند.
دسترسی از راه دور را محدود و قابل ردیابی کنید
پورتهای مدیریتی نباید بدون ضرورت در اینترنت منتشر شوند. دسترسی از راه دور بهتر است از مسیرهای کنترلشده مانند VPN سازمانی، ZTNA یا Bastion/Jump Host انجام شود؛ با MFA، محدودیت مبدأ، ثبت Log و سطح دسترسی مشخص. اگر پیمانکار یا Vendor به شبکه دسترسی دارد، حساب و مسیر دسترسی او نیز باید زماندار، قابل لغو و قابل Audit باشد.
مفهوم معماری «اعتماد صفر» (Zero Trust) در امنیت شبکه چیست؟
Zero Trust به این معنا نیست که شبکه داخلی را بیاستفاده کنیم یا برای هر ارتباط ابزار پیچیدهای بخریم. اصل پایه این است که صرف قرار داشتن کاربر یا سیستم در LAN دلیل اعتماد نباشد. NIST SP 800-207 نیز Zero Trust را بر حفاظت از Resourceها و تصمیمگیری دسترسی براساس هویت، وضعیت و سیاست متمرکز میداند، نه صرفاً موقعیت شبکه. در عمل، MFA، Least Privilege، Segmentation، کنترل Device و ارزیابی مداوم دسترسیها قدمهایی در همین جهتاند.
مفهوم معماری اعتماد صفر در امنیت شبکه
گام سوم: مقاومسازی تجهیزات (Hardening) و مانیتورینگ مداوم
معماری خوب زمانی ارزش دارد که تنظیمات تجهیزات نیز امن و قابل نگهداری باشند. بخش زیادی از رخنهها به دلیل تنظیمات پیشفرض، سرویسهای غیرضروری، Firmware قدیمی، Ruleهای فراموششده یا نبود Visibility رخ میدهند. بنابراین گام سوم دو بخش دارد: کاهش سطح حمله و ایجاد دید کافی برای پایش امنیت شبکه.
تنظیمات پیشفرض را حذف کنید
Passwordهای پیشفرض، Community Stringهای ساده، سرویسهای Test، HTTP مدیریتی، Telnet و Accountهای بلااستفاده نباید در محیط عملیاتی باقی بمانند. هر تجهیز باید Secure Configuration Baseline مشخصی داشته باشد تا در زمان نصب، تعویض یا Upgrade بتوان تنظیمات آن را با یک استاندارد ثابت مقایسه کرد.
از پروتکلهای امن برای مدیریت تجهیزات استفاده کنید
مدیریت Router، Switch، Firewall و سایر تجهیزات باید تا جای ممکن از پروتکلهای امن مانند SSH و HTTPS انجام شود. اگر SNMP برای Monitoring نیاز است، استفاده از نسخه و تنظیماتی که Authentication و Encryption مناسب فراهم میکنند اهمیت دارد. همچنین Management Plane بهتر است در VLAN یا شبکه مدیریتی مجزا قرار گیرد و فقط از ایستگاههای مدیریتی مجاز قابل دسترسی باشد.
Patch و Firmware را بخشی از عملیات شبکه بدانید
Patch Management فقط مربوط به Windows Server نیست. Firmware فایروال، Router، Switch، Access Point، Hypervisor، VPN Appliance و حتی تجهیزات ذخیرهسازی نیز باید تحت فرایند مشخصی بررسی شوند. NIST مدیریت Patch را نوعی نگهداری پیشگیرانه میداند که میتواند احتمال Compromise، نشت اطلاعات و اختلال عملیاتی را کاهش دهد. CIS Control 12 نیز توصیه میکند نسخه نرمافزار زیرساخت شبکه بهصورت دورهای از نظر پشتیبانی و بهروزبودن بررسی شود.
البته Patch کردن بدون Change Management هم میتواند ریسک ایجاد کند. بهتر است نسخه، Advisory سازنده، وابستگیها، Backup تنظیمات، Plan بازگشت و زمان مناسب Maintenance Window قبل از Upgrade مشخص باشد.
بازبینی دورهای قوانین فایروال و ACLها
قواعدی که برای یک پروژه موقت ساخته شدهاند معمولاً اگر Owner و Expiration نداشته باشند سالها باقی میمانند و به امنیت شبکه ضربه میزنند. بازبینی دورهای مجموعه قواعد باید مشخص کند هر قاعده برای چه نیازی ایجاد شده، مالک آن چه کسی است، آخرین بار چه زمانی Hit شده و آیا Scope آن بیش از حد گسترده است یا نه.
Visibility ایجاد کنید؛ Log بدون بازبینی کافی نیست
فعال بودن Logging قدم اول است، نه پایان کار. لاگ Authentication، تغییر تنظیمات، VPN، Firewall، DNS، سرورها و سامانههای مهم باید در یک محل امن و ترجیحاً متمرکز جمعآوری شوند تا بتوان الگوی عادی را شناخت و رخداد غیرعادی را تشخیص داد. CISA نیز ثبت فعالیت کاربران، اقدامات Administrator، Network Traffic، Loginها و System Eventها را از اجزای مهم Logging میداند.
در سازمانهای بزرگتر استفاده از SIEM، IDS/IPS، NDR یا سایر ابزارهای Detection میتواند Visibility را افزایش دهد. اما خرید SIEM بدون تعریف Use Case، Log Source و مسئول بررسی Alertها معمولاً فقط حجم زیادی Log تولید میکند. قبل از ابزار، مشخص کنید چه چیزی باید تشخیص داده شود و چه کسی باید واکنش نشان دهد.
ارتقای امنیت شبکه بیسیم (Wi-Fi) و تجهیزات جانبی
Wi-Fi مهمان، Access Point قدیمی، دوربین، پرینتر و تجهیزات IoT اغلب سطح امنیتی پایینتری دارند. این تجهیزات بهتر است در Segment جدا قرار گیرند و ارتباطشان با سرورها و شبکه مدیریتی محدود شود. برای Wi-Fi سازمانی نیز استفاده از روشهای Enterprise Authentication و استانداردهای امن متناسب با قابلیت تجهیزات اهمیت دارد؛ CIS برای ارتباطات شبکهای امن به 802.1X و WPA2-Enterprise یا گزینههای امنتر اشاره میکند.
ارتقای امنیت شبکه بیسیم (Wi-Fi) و تجهیزات جانبی
گام چهارم: آمادگی برای پاسخ به حوادث و بازیابی اطلاعات
هیچ معماری امنیتی نمیتواند احتمال رخداد را به صفر برساند. تفاوت شبکه آماده و ناآماده در این است که هنگام مشاهده نشانههای نفوذ، تیم میداند چه کاری باید انجام دهد، چه سیستمی را ایزوله کند، چه Logهایی را حفظ کند و سرویس را چگونه به وضعیت سالم برگرداند تا امنیت شبکه تامین شود.
تدوین برنامه عملیاتی پاسخ به حوادث سایبری (Incident Response)
برنامه پاسخ به حادثه باید حداقل نقشها، مسیر گزارش، روش Escalation، نحوه ایزوله کردن دارایی، حفظ شواهد، ارتباط با مدیریت و مراحل بازگشت سرویس را مشخص کند. این سند باید قابل اجرا باشد، نه یک Policy چند ده صفحهای که فقط هنگام Audit دیده میشود.
Backup را از شبکه عملیاتی جدا کنید
Backupی که با همان Credentialها و همان سطح دسترسی شبکه Production قابل حذف باشد، در حمله باجافزاری ممکن است همراه با داده اصلی از بین برود. برای سرویسهای حیاتی باید نسخههای Backup جدا، محافظتشده و در صورت امکان Offline یا Immutable در نظر گرفته شود. مهمتر از داشتن Backup، تست Restore است؛ چون فقط با بازیابی آزمایشی میتوان مطمئن شد نسخه پشتیبان واقعاً قابل استفاده است.
شبیهسازی و تمرین سناریوهای مختلف حمله
یک Tabletop Exercise ساده میتواند نقاط ضعف فرایند را قبل از حادثه واقعی نشان دهد. فرض کنید Credential یک Administrator سرقت شده یا یک Server حساس به Ransomware آلوده شده است. چه کسی تصمیم به Isolation میگیرد؟ کدام حسابها Reset میشوند؟ آیا Log کافی برای بررسی وجود دارد؟ Recovery Point و Recovery Time سرویس چقدر است؟
ارزیابی مجدد امنیت شبکه پس از هر تغییر بزرگ
شبکه ثابت نمیماند. شعبه جدید، سرویس Cloud، تغییر Firewall، اضافه شدن Vendor، مهاجرت سرور یا راهاندازی یک Application جدید میتواند مسیرهای تازهای در شبکه ایجاد کند. به همین دلیل Diagram، قواعد، Inventory، Patch Status، حسابهای دسترسی و Risk Register باید دورهای و پس از تغییرات مهم بازبینی شوند.
اصل مهم: امنیت شبکه یک وضعیت نهایی به نام «کاملاً امن» ندارد. هدف، کاهش مداوم سطح حمله، افزایش احتمال تشخیص سریع و محدود کردن اثر حادثه است.
مهمترین الزامات امنیت شبکه که باید اجرا کنید (جدول فنی)
عبارت «الزامات امنیتی شبکه» بسته به صنعت، کشور، نوع داده و مقررات سازمان میتواند معنای حقوقی متفاوتی داشته باشد. فهرست زیر یک Baseline فنی عمومی است، نه جایگزین استاندارد یا الزام قانونی خاص. برای محیطهایی مانند بانک، سلامت، زیرساخت حیاتی یا سامانههای دولتی باید الزامات تخصصی همان حوزه نیز بررسی شوند.
| الزام | شرح اجرایی |
| موجودی داراییها | تمام تجهیزات، سرورها، سرویسهای Cloud و نقاط دسترسی باید Owner، وضعیت و سطح اهمیت مشخص داشته باشند. |
| دیاگرام و مستندسازی | Topology، Zoneها، ارتباط شعب، اتصال Third Party، مسیرهای Remote Access و جریانهای اصلی داده باید مستند و بهروز باشند. |
| تفکیک شبکه | شبکه کاربران، سرورها، مدیریت، مهمان، IoT و سرویسهای Public باید براساس ریسک از یکدیگر تفکیک شوند و ارتباط بین آنها کنترل شود. |
| Firewall و ACL | Default Deny در نقاط مناسب، حداقل دسترسی لازم، قواعد دارای Owner و بازبینی دورهای باید در طراحی لحاظ شوند. |
| مدیریت هویت و دسترسی | MFA برای دسترسیهای حساس، Least Privilege، حساب مدیریتی مجزا و در صورت نیاز AAA متمرکز اجرا شود. |
| مدیریت امن تجهیزات | SSH/HTTPS و پروتکلهای امن استفاده شوند؛ Management Plane از شبکه عمومی کاربران جدا و دسترسی آن محدود باشد. |
| Patch و Vulnerability Management | سیستمعامل، Firmware و نرمافزار تجهیزات شبکه بهصورت برنامهریزیشده ارزیابی و Patch شوند و آسیبپذیریهای مهم اولویتبندی شوند. |
| امنیت Remote Access | VPN یا ZTNA سازمانی، MFA، Logging و محدودیت دسترسی برای کاربران، مدیران و پیمانکاران در نظر گرفته شود. |
| Logging و Monitoring | لاگهای امنیتی مهم بهصورت متمرکز جمعآوری، زمان سیستمها همگام و Alertهای مهم دارای Owner و رویه پاسخ باشند. |
| حفاظت Endpoint و Server | راهکارهای Endpoint Protection/EDR، Hardening سیستمعامل و محدودیت اجرای نرمافزار در نقاط حساس در نظر گرفته شود. |
| Backup و Recovery | نسخه پشتیبان محافظتشده، ترجیحاً جدا از Production، همراه با تست دورهای Restore وجود داشته باشد. |
| Incident Response | روش تشخیص، Isolation، Escalation، حفظ شواهد، ارتباط و بازگشت سرویس مستند و تمرین شود. |
| امنیت فیزیکی | دسترسی به Rack، اتاق سرور، Console Port و تجهیزات Core فقط برای افراد مجاز امکانپذیر باشد. |
| بازبینی و آزمون | Configuration Review، Vulnerability Assessment و در صورت متناسب بودن با ریسک، تست نفوذ دورهای انجام شود. |
۷ اشتباه رایج که امنیت شبکه شما را به خطر میاندازد
خرید ابزار قبل از شناخت مسئله
اگر سازمان نداند چه داراییهایی دارد و چه ریسکی را میخواهد کاهش دهد، خرید Firewall یا SIEM جدید لزوماً نتیجه خوبی ایجاد نمیکند. ابزار باید پاسخ یک نیاز مشخص باشد، نه نقطه شروع پروژه.
اعتماد کامل به شبکه داخلی
این تصور که «هر چیزی داخل LAN است، امن است» یکی از خطرناکترین فرضهاست. دستگاه آلوده یا حساب سرقتشده میتواند از داخل شبکه حرکت کند. Segmentation و Least Privilege باید برای ارتباطات داخلی هم اجرا شوند.
استفاده از حساب مشترک Administrator
وقتی چند نفر با یک Credential مشترک وارد تجهیزات میشوند، Accountability از بین میرود. در رخداد امنیتی مشخص نیست چه کسی چه تغییری داده و امکان لغو دسترسی یک فرد نیز دشوار میشود.
باز گذاشتن قواعد موقت
قاعده موقتی که تاریخ انقضا ندارد معمولاً دائمی میشود. هر Exception امنیتی بهتر است Owner، دلیل، Scope و Expiration داشته باشد.
فعال کردن Log بدون مانیتورینگ
جمعآوری چند ترابایت Log اگر هیچ Alert، Use Case یا فرایند بررسی وجود نداشته باشد، Visibility واقعی ایجاد نمیکند. Log باید به تصمیم و واکنش منجر شود.
Backup گرفتن بدون تست Restore
وجود فایل Backup به معنی آمادگی برای بازیابی نیست. خرابی فایل، وابستگی فراموششده، کلید Encryption گمشده یا زمان طولانی Restore معمولاً فقط در تست واقعی مشخص میشوند.
ارتقای امنیت شبکه
بودجه محدودی دارید؟ ارتقای امنیت شبکه را از این ۷ نقطه شروع کنید
در بسیاری از سازمانها نمیتوان همه کنترلها را همزمان اجرا کرد. در این شرایط بهتر است بهجای خرید چند ابزار پراکنده، کنترلهای پایهای با اثر گسترده را اولویتبندی کنید. CISA و CIS نیز رویکردهای اولویتمحور ارائه میکنند؛ چون تعداد زیادی از رخدادها از ضعفهای پایهای قابل پیشگیری شروع میشوند.
- Inventory واقعی از تجهیزات و حسابهای حساس تهیه کنید.
- Passwordهای پیشفرض، Telnet و مدیریت مستقیم از اینترنت را حذف کنید.
- MFA را برای Remote Access و حسابهای Administrator فعال کنید.
- شبکه Server، User، Guest و IoT را از هم جدا کنید.
- Patch تجهیزات Internet-facing و آسیبپذیریهای مهم را در اولویت قرار دهید.
- Backup جدا و تست Restore ایجاد کنید.
- حداقل Logهای Authentication، Firewall، VPN و تغییرات مدیریتی را متمرکز کنید.
این اقدامات جای برنامه جامع امنیتی را نمیگیرند، اما یک نقطه شروع عملی و قابل اندازهگیری ایجاد میکنند و پایه لازم برای کنترلهای پیشرفتهتر را میسازند.
چکلیست سریع و کاربردی امنسازی شبکه و زیرساخت
- فهرست تجهیزات و سرویسهای شبکه بهروز است.
- دیاگرام شبکه با وضعیت واقعی تطابق دارد.
- داراییهای حیاتی و Owner آنها مشخص شدهاند.
- کاربران، سرورها، مدیریت، مهمان و IoT در Zoneهای مناسب تفکیک شدهاند.
- Ruleهای Firewall و ACL براساس حداقل دسترسی تعریف شدهاند.
- حسابهای پیشفرض و بلااستفاده حذف یا غیرفعال شدهاند.
- MFA برای دسترسی Remote و حسابهای مدیریتی فعال است.
- دسترسی مدیریت تجهیزات از Management Network انجام میشود.
- Telnet و پروتکلهای مدیریتی ناامن حذف شدهاند.
- Firmware و Software تجهیزات تحت Patch Management هستند.
- Logهای امنیتی مهم بهصورت متمرکز جمعآوری و بازبینی میشوند.
- Backupهای حیاتی از شبکه Production محافظت و Restore آنها تست میشود.
- برنامه Incident Response مشخص و قابل اجراست.
- پس از تغییرات مهم، Risk و معماری امنیتی دوباره بررسی میشوند.
جمعبندی: امنیت شبکه یک مسیر مداوم است، نه یک محصول!
امنیت شبکه و زیرساخت با نصب یک فایروال یا خرید یک محصول امنیتی بهتنهایی تأمین نمیشود. برای ایجاد یک شبکه امن، ابتدا باید تجهیزات، سرویسها و مسیرهای ارتباطی شبکه را بهدرستی شناخت و مستند کرد. سپس با استفاده از اصولی مانند Least Privilege، Segmentation و Hardening، دسترسیها و معماری شبکه را ایمن کرد. در ادامه، Patch Management، Logging و Monitoring به شناسایی و کاهش تهدیدات کمک میکنند. به همین دلیل، آموزش شبکه و شناخت صحیح زیرساخت، یکی از پایههای مهم برای طراحی، پیادهسازی و حفظ امنیت شبکه در سازمانهاست.
اگر بخواهیم کل مقاله را در یک جمله خلاصه کنیم: «آنچه را دارید بشناسید، دسترسی را محدود کنید، تغییرات و رخدادها را ببینید و برای شکست کنترلها آماده باشید.» این نگاه از خرید پراکنده ابزارها مؤثرتر است و امنیت را به بخشی از عملیات روزانه شبکه تبدیل میکند.
منابع و چارچوبهای پیشنهادی
- NIST Cybersecurity Framework 2.0
- CIS Critical Security Controls v8.1
- CIS Control 12 – Network Infrastructure Management
- CISA StopRansomware Guide
- NIST SP 800-207 – Zero Trust Architecture
سؤالات متداول
از Asset Inventory و شناخت وضعیت موجود شروع کنید. تا زمانی که تجهیزات، سرویسها، مسیرهای ارتباطی و دسترسیهای مدیریتی مشخص نباشند، انتخاب ابزار یا طراحی کنترل امنیتی قابل اتکا نیست.
خیر. Firewall یکی از کنترلهای مهم است، اما امنیت شبکه به Segmentation، مدیریت هویت و دسترسی، Patch، Secure Configuration، Monitoring، Backup و Incident Response نیز نیاز دارد.
Segmentation ارتباط بخشهای مختلف شبکه را کنترل میکند. در صورت آلوده یا Compromise شدن یک بخش، این کنترل میتواند حرکت جانبی مهاجم و دامنه اثر حادثه را محدود کند.
اولویت با Remote Access، Administratorها، پنلهای مدیریتی، Email و سرویسهای Cloud حساس است. در مرحله بعد باید MFA براساس Risk برای سایر سرویسهای مهم نیز گسترش پیدا کند.
Hardening یعنی کاهش سطح حمله از طریق حذف سرویسها و Accountهای غیرضروری، تغییر تنظیمات پیشفرض، استفاده از پروتکلهای امن، محدود کردن Management Plane، Patch کردن و اعمال Configuration Baseline.
در سطح مفهومی، IDS برای شناسایی و Alert کردن فعالیت مشکوک استفاده میشود، در حالی که IPS در مسیر ترافیک میتواند براساس Policy جلوی بخشی از ترافیک مخرب را نیز بگیرد. نحوه استقرار و تنظیم آنها به معماری و ریسک شبکه وابسته است.
خیر. Zero Trust یک رویکرد معماری و سیاستی است، نه یک محصول واحد. Segmentation، کنترل هویت، MFA، Device Posture و Least Privilege میتوانند بخشی از پیادهسازی این رویکرد باشند.
یک عدد ثابت برای همه سازمانها وجود ندارد. تغییرات مهم باید بلافاصله ارزیابی شوند و علاوه بر آن، Inventory، Patch Status، Accessها، قواعد، Diagram و Log Coverage باید براساس ریسک و فرایند عملیاتی سازمان در دورههای مشخص بازبینی شوند.
