امنیت شبکه با خرید یک فایروال یا نصب یک نرم‌افزار شروع نمی‌شود. نقطه شروع، شناخت دارایی‌ها، محدود کردن دسترسی‌ها، کاهش سطح حمله و آماده بودن برای تشخیص و بازیابی است. در این راهنما یک مسیر عملی برای شروع امنیت شبکه در سازمان‌ها ارائه می‌کنیم.

اول از همه: بدانید از چه چیزی محافظت می‌کنید

فهرست دارایی‌ها را تهیه کنید: روترها، سوئیچ‌ها، فایروال‌ها، سرورها، سرویس‌های سازمانی، حساب‌های مدیریتی، تجهیزات دسترسی و داده‌های حساس. همه دارایی‌ها ارزش و ریسک یکسانی ندارند؛ بنابراین آن‌ها را بر اساس اهمیت کسب‌وکار، حساسیت اطلاعات و اثر خرابی اولویت‌بندی کنید.

۱. دسترسی‌ها را بازبینی و محدود کنید

یکی از پایه‌های امنیت، اصل حداقل دسترسی است؛ هر کاربر، سرویس یا تجهیز باید فقط دسترسی موردنیاز خود را داشته باشد. حساب‌های مشترک، دسترسی‌های مدیریتی بیش از حد، Ruleهای قدیمی و دسترسی‌های موقت که دائمی شده‌اند از مواردی هستند که باید مرتب بازبینی شوند.

۲. شبکه را سگمنت‌بندی کنید

قرار دادن همه کاربران، سرورها، تجهیزات مدیریتی و سرویس‌های حساس در یک شبکه، دامنه اثر یک خطا یا رخداد امنیتی را افزایش می‌دهد. با VLAN، Subnet، فایروال و سیاست‌های دسترسی می‌توان بخش‌های مختلف را منطقی‌تر جدا کرد. CISA نیز سگمنت‌بندی شبکه را یکی از روش‌های مهم برای محدود کردن حرکت جانبی تهدیدها می‌داند.

۳. تجهیزات و سرویس‌ها را سخت‌سازی کنید

رمزهای پیش‌فرض، سرویس‌های غیرضروری، پورت‌های مدیریتی باز، Firmwareهای قدیمی و تنظیمات بدون استفاده می‌توانند سطح حمله را افزایش دهند. برای هر تجهیز باید مشخص باشد چه سرویس‌هایی لازم است، چه کسانی به آن دسترسی مدیریتی دارند و فرآیند به‌روزرسانی آن چگونه انجام می‌شود.

۴. احراز هویت قوی و دسترسی مدیریتی امن داشته باشید

حساب‌های مدیریتی باید از حساب‌های عادی جدا باشند و تا حد امکان از MFA استفاده شود. همچنین دسترسی مدیریتی به تجهیزات شبکه بهتر است فقط از مسیرها و سیستم‌های مورد اعتماد انجام شود. هدف این است که سرقت یک رمز عبور به‌تنهایی نتواند مسیر ساده‌ای به مهم‌ترین بخش‌های زیرساخت ایجاد کند.

۵. رویدادها و وضعیت زیرساخت را پایش کنید

امنیت بدون دید مناسب ناقص است. لاگ‌های مهم، تلاش‌های ناموفق ورود، تغییرات مدیریتی، وضعیت تجهیزات و رخدادهای غیرعادی باید در حد نیاز ثبت و بررسی شوند. مانیتورینگ سلامت شبکه نیز کمک می‌کند تغییرات غیرعادی عملکردی قبل از تبدیل شدن به اختلال بزرگ‌تر دیده شوند.

۶. Backup و Recovery را بخشی از امنیت بدانید

هیچ کنترل امنیتی ریسک را به صفر نمی‌رساند. برای داده‌ها و سرویس‌های حیاتی باید نسخه پشتیبان مناسب، دسترسی کنترل‌شده به Backup و مهم‌تر از همه سناریوی بازیابی قابل آزمایش وجود داشته باشد. داشتن فایل Backup بدون تست Recovery به معنی آمادگی واقعی نیست.

یک مدل ساده برای اولویت‌بندی امنیت

چک‌لیست شروع امنیت شبکه

• دارایی‌ها و سرویس‌های حیاتی فهرست شده‌اند.
• حساب‌های مدیریتی و سطح دسترسی آن‌ها مشخص است.
• دسترسی‌های غیرضروری حذف یا محدود شده‌اند.
• شبکه‌های حساس تا حد مناسب سگمنت‌بندی شده‌اند.
• تجهیزات و سرویس‌های غیرضروری سخت‌سازی شده‌اند.
• به‌روزرسانی و مدیریت Firmware و نرم‌افزارها فرآیند مشخص دارد.
• لاگ‌ها و رخدادهای مهم ثبت و قابل بررسی هستند.
• Backup و Recovery واقعی و قابل تست وجود دارد.

۵ اشتباه رایج که امنیت شبکه را ضعیف می‌کنند

1. شروع پروژه امنیتی با خرید ابزار، بدون ارزیابی وضعیت موجود.
2. استفاده از یک حساب مدیریتی مشترک بین چند نفر.
3. نگه داشتن Ruleها و دسترسی‌های قدیمی بدون بازبینی.
4. اعتماد به Backup بدون انجام تست بازیابی.
5. جمع‌آوری لاگ و هشدار بدون فرآیند مشخص برای بررسی آن‌ها.

امنیت شبکه را از کجا شروع کنیم؟

اگر بخواهیم یک مسیر عملی و کم‌ریسک تعریف کنیم، ابتدا دارایی‌ها و دسترسی‌ها را شناسایی کنید؛ سپس موارد با ریسک بالا را سخت‌سازی و محدود کنید؛ بعد سگمنت‌بندی و سیاست‌های دسترسی را اصلاح کنید؛ در ادامه پایش و ثبت رویداد را بهبود دهید و در نهایت سناریوی Backup و Recovery را آزمایش کنید. این رویکرد معمولاً از خرید هم‌زمان چند ابزار نتیجه بهتری دارد.

چه زمانی به مشاوره امنیت و طراحی شبکه نیاز داریم؟

اگر شبکه قدیمی است، Ruleهای زیادی جمع شده‌اند، ساختار دسترسی‌ها مشخص نیست، قطعی یا رخدادهای مشکوک تکرار می‌شوند یا قرار است زیرساخت توسعه پیدا کند، یک ارزیابی فنی قبل از تغییرات گسترده می‌تواند اولویت‌ها را روشن کند. مشاوره شبکه طوبی نت می‌تواند از بررسی وضعیت موجود و نقاط ریسک شروع شود.

سؤالات متداول

آیا فایروال به‌تنهایی برای امنیت شبکه کافی است؟

خیر. فایروال یکی از کنترل‌هاست. امنیت مؤثر به مجموعه‌ای از کنترل‌های دسترسی، سگمنت‌بندی، سخت‌سازی، احراز هویت، پایش و آمادگی برای بازیابی نیاز دارد.

آیا شبکه کوچک هم به سگمنت‌بندی نیاز دارد؟

بسته به نوع سرویس و ریسک، ممکن است یک طراحی ساده کافی باشد؛ اما جداسازی سرویس‌های حساس و مدیریت از شبکه کاربران در بسیاری از محیط‌ها ارزشمند است.

هر چند وقت یک‌بار باید دسترسی‌ها بازبینی شوند؟

بهتر است بازبینی بر اساس ریسک و تغییرات سازمان انجام شود و برای حساب‌های حساس، تغییر نقش افراد و دسترسی‌های مدیریتی کنترل منظم‌تری در نظر گرفته شود.

جمع‌بندی

امنیت شبکه یک محصول یا یک پروژه یک‌باره نیست. شناخت دارایی‌ها، حداقل دسترسی، سگمنت‌بندی، سخت‌سازی، احراز هویت قوی، پایش و آمادگی برای بازیابی باید در کنار هم دیده شوند. اگر از همین ترتیب شروع کنید، سرمایه‌گذاری امنیتی شما هدفمندتر و قابل مدیریت‌تر خواهد بود.

مطالب مرتبط: راهنمای طراحی شبکه و راهنمای مانیتورینگ شبکه.

برای ارزیابی و مشاوره شبکه ←