هفت صبح یک روز دوشنبه بود.
تلفن پشتیبانی مدام زنگ میخورد و مدیرعامل با صدای گرفته تماس گرفت: “فایلها باز نمی شوند. روی همه سیستم ها یک پیام قرمز افتاده.”
این شروع ماجرایی بود که چند سال پیش در یکی از شرکتهای پخش غرب کشور رخ داد. باجافزار از طریق یک فایل اکسل آلوده وارد شده بود؛ فایلی که یکی از کارشناسان واحد فروش برای “فاکتور مشتری” باز کرده بود. شبکه شان از نظر فنی چندان بد نبود. فایروال داشتند. آنتی ویروس هم داشتند؛ البته نسخه ای که دو سال بروزرسانی نشده بود.
نتیجه؟ بخش بزرگی از فایلها رمزگذاری شد و چون نسخه های پشتیبان هم به شبکه متصل بودند، آنها نیز از دست رفتند.
از همین تجربه شروع میکنم، چون معتقدم حرف زدن درباره امنیت شبکه سازمانی بدون روایت مصداق های واقعی، تفاوت چندانی با یک جلسه آموزشی خسته کننده ندارد. آنچه در ادامه میخوانید، جمع بندی سالها کار میدانی در شبکه های سازمانی ایرانی است؛ با تمام محدودیت ها و واقعیت های خودمان.
واقعیت امنیت شبکه در ایران با جای دیگر فرق دارد
اگر مقاله های خارجی را بخوانید، همیشه یک نسخه آماده تجویز میکنند: SIEM بخرید، SOC راه بیندازید، Zero Trust پیاده کنید. همه اینها در جای خود درست هستند، اما شرایط ما یکسری محدودیت های خاص دارد که مدیران IT ایرانی هر روز با آن دست و پنجه نرم میکنند.
اول، تحریم ها. بسیاری از سرویس های ابری امنیتی، بروزرسانی های مستقیم و پشتیبانی رسمی برای سازمانه ای ایرانی به سادگی در دسترس نیستند. خرید مستقیم از سایتهای خارجی یا با کارت بین المللی ممکن نیست یا ریسک های خاص خودش را دارد.
دوم، فرهنگ نرم افزار غیراصلی. هنوز سازمان هایی هستند که ویندوز سرور و نرم افزارهای تجاریشان را با نسخه های کرک شده نصب کرده اند. این یعنی یک مسیر بالقوه برای ورود بدافزار. ابزارهای فعالسازی غیرمعتبر و فایل های کرک شده می توانند خودشان حاوی کد مخرب باشند و کاربر را در معرض خطر قرار دهند.
سوم، کمبود نیروی متخصص. در خیلی از شرکتها یک نفر هم ادمین شبکه است، هم مسئول امنیت، هم پشتیبان کاربران و گاهی آخر وقت هم باید برود کابل شبکه بکشد. با این دست خالی نمی شود انتظار داشت تمام چک لیست های بین المللی بدون اولویت بندی اجرا شوند.
پس راه حل ما نمیتواند کپی برداری حرف به حرف از تجربه کشورهای دیگر باشد. باید با همین شرایط، اولویت بندی کرد و از جای درست شروع کرد.
پنج اشتباه رایج که مدام در امنیت شبکه تکرار می شوند
اشتباه اول: “فایروال داریم، امنیم.”
این جمله را بارها از زبان مدیرانی شنیده ام که همان سال قربانی حمله شدند. فایروال فقط یک لایه از دفاع است. مهاجم امروز دنبال ضعیفت رین حلقه میگردد؛ گاهی یک پرینتر بدون بروزرسانی، گاهی VPN شرکتی با رمز ضعیف و گاهی هم یک فلش مموری که کارمند از خانه آورده است.
اشتباه دوم: امنیت به مثابه پروژه، نه فرایند.
شرکتی را دیدم که برای دریافت گواهی امنیتی، یک قرارداد محدود دوماهه بست. ممیزی را پاس کرد و بعد سه سال هیچ اقدام امنیتی مستمری انجام نداد.
امنیت مثل نظافت سازمان است؛ اگر متوقف شود، در مدت کوتاهی به هم می ریزد. خرید تجهیزات و نرم افزار شروع راه است، نه پایان آن.
اشتباه سوم: عقب افتادن از بهروزرسانی.
Patch Management ساده ترین و ارزانترین کار امنیتی است و تقریباً همیشه آخرین اولویت می شود. دلیلش قابل درک است: ترس از به هم ریختن سرویس ها.
اما راه حل، لغو بروزرسانی ها نیست؛ راه حل، ساختن یک محیط تست کوچک و اعمال مرحله ای بروزرسانی هاست. بسیاری از حمله ها از آسیب پذیری هایی استفاده میکنند که مدتها قبل شناسایی و وصله امنیتی آنها منتشر شده است. مشکل اینجاست که سازمانها گاهی مدت زیادی برای نصب وصله ها صبر میکنند.
اشتباه چهارم: بکاپ متصل به شبکه.
مثل داستان ابتدای مقاله. باجافزارها میتوانند تلاش کنند به نسخه های پشتیبان متصل به شبکه نیز دسترسی پیدا کنند و آنها را رمزگذاری یا حذف کنند.
قانون معروف سه-دو-یک را جدی بگیرید: سه نسخه از داده ها، روی دو بستر متفاوت، با یک نسخه آفلاین یا خارج از دسترس شبکه.
و مهمتر از همه: تست بازیابی.
بکاپی که هیچوقت Restore نشده، یک امید واهی است. در بحران است که میفهمید فایل بکاپ از ماه پیش خراب بوده است.
اشتباه پنجم: نادیده گرفتن کاربران.
هزینه مندترین فایروال دنیا هم نمی تواند جلوی کسی را بگیرد که رمز عبورش را روی یک استیکی زیر کیبورد چسبانده و تصور میکند مشکلی وجود ندارد.
امنیت فنی بدون آموزش کاربران، همیشه یک نقطه ضعف جدی خواهد داشت.
لایه بندی دفاعی در عمل یعنی چه؟
مفهوم Defense in Depth را همه شنیده ایم، اما برای یک سازمان ایرانی با بودجه محدود، از کجا باید شروع کرد؟
ترتیب اولویتی که تجربه به من نشان داده، این است:
۱. شناسایی داراییها
چیزی را که نمیشناسید، نمیتوانید محافظت کنید.
قبل از هر اقدامی، فهرست کاملی از سرورها، سوییچ ها، دوربین های تحت شبکه، سیستمهای کاربران و سرویسهای ابری تهیه کنید.
در همین مرحله معمولاً چیزهای عجیبی پیدا میشود؛ سرور فراموش شده ای که سه سال است کسی وارد آن نشده یا حساب کاربری فردی که مدت هاست از سازمان خارج شده، اما همچنان فعال است.
۲. سگمنت بندی شبکه
شبکه تخت یعنی اگر یک سیستم آلوده شد، احتمال گسترش تهدید به بخش های دیگر هم افزایش پیدا میکند.
حتی یک سگمنت بندی ساده بین شبکه اداری، شبکه سرورها و شبکه دستگاه های جانبی مانند دوربین، پرینتر و تجهیزات خاص، با استفاده از VLAN و چند قانون مناسب فایروال، هزینه زیادی ندارد و میتواند اثر قابل توجهی داشته باشد.
در حوادث باج افزاری که دیده ام، تفاوت بین “یک واحد آسیب دید” و “کل شرکت تعطیل شد”، گاهی همین جداسازی درست شبکه بوده است.
۳. حفاظت واقعی Endpoint، نه اسمی
آنتی ویروس منقضی یا کرک شده عملاً یعنی نداشتن آنتیویروس؛ بدتر از آن هم هست، چون حس کاذب امنیت ایجاد میکند.
برای محیط سازمانی، راهکاری لازم است که از یک کنسول متمرکز وضعیت صدها سیستم را نشان بدهد، سیاست ها را یکجا اعمال کند و گزارش های قابل استفاده در اختیار تیم IT قرار دهد.
برای کسب وکارهایی که به دنبال ایجاد یک لایه حفاظتی منسجم برای سیستمهای کاربران و زیرساخت خود هستند، بررسی راهکارهای امنیتی برای کسب وکارهای کوچک و متوسط میتواند نقطه شروع مناسبی برای انتخاب سطح حفاظت باشد.
یک نکته که کمتر درباره آن صحبت میشود، این است که در شرایط تحریم، تهیه لایسنس از مجاری نامعتبر یا فعالسازی با ابزارهای دست ساز، خودش یک ریسک امنیتی مستقل است.
همان ابزاری که برای دور زدن لایسنس نصب می کنید، ممکن است درهای سیستم را برای فرد دیگری باز کرده باشد.
به همین دلیل، انتخاب یک تأمین کننده معتبر مانند گروه آتنا نماینده رسمی کسپرسکی، بیش از آنکه صرفاً یک بحث قیمتی یا اعتباری باشد، میتواند بخشی از تصمیم امنیتی سازمان باشد؛ چون استفاده از لایسنس معتبر، دریافت بروزرسانی و دسترسی به خدمات و پشتیبانی تخصصی، ریسک های جانبی استفاده از نسخه های غیرمعتبر را کاهش میدهد.
۴. ایمیل و وب، دو در اصلی ورود
بخش قابل توجهی از حملات از طریق ایمیل، لینک های مخرب یا فایل های آلوده آغاز می شوند.
فیلترینگ ایمیل سازمانی، محدودسازی پیوسته ای پرخطر و آموزش کاربران باید در کنار یکدیگر اجرا شوند؛ هیچکدام به تنهایی کافی نیستند.
۵. مدیریت دسترسی
اصل حداقل دسترسی را اجرا کنید: هر فرد فقط به منابعی دسترسی داشته باشد که برای انجام وظایفش لازم است.
درباره رمز عبور هم نگاهها تغییر کرده است. استفاده از رمزهای طولانی و منحصر به فرد، همراه با مدیریت مناسب دسترسی ها، اهمیت زیادی دارد. اگر بودجه اجازه میدهد، ورود دومرحلهای یا MFA را حداقل برای VPN، حسابهای مدیریتی و سرورها فعال کنید.
۶. لاگهایی که خوانده می شوند
لاگها فقط باید جمع شوند؟ نه، باید خوانده شوند.
حتی اگر SOC ندارید، یک ساعت در هفته وقت بگذارید و لاگ فایروال و سرورها را بررسی کنید.
عامل انسانی؛ حلقه ای که نمی شود حذفش کرد
گفته میشود بخش بزرگی از نفوذهای موفق از خطای انسانی شروع میشود. عدد دقیق آن برای ایران را نمیتوان با اطمینان مشخص کرد، اما هر مدیر IT باتجربه ای میتواند چند داستان مشابه تعریف کند.
پیامک “بسته شما در گمرک متوقف شده” برای مدیرعامل، ایمیل جعلی “صورتحساب” برای واحد مالی، لینک ثبت نام در یک سامانه جعلی یا تماس تلفنی فردی که خودش را از واحد فنی معرفی می کند، همه نمونه هایی از حملاتی هستند که از اعتماد کاربر سوءاستفاده میکنند.
چند کار عملی که واقعاً جواب داده است:
- سالی دو بار جلسه کوتاه آگاهی رسانی برگزار کنید؛ نه با اسلایدهای خشک، بلکه با نمونه های واقعی و مثال هایی که برای کارکنان قابل لمس باشند.
- تمرین فیشینگ داخلی راه بیندازید: یک ایمیل آزمایشی بفرستید و ببینید چند نفر روی لینک کلیک میکنند. نتیجه معمولاً همه را متعجب می کند، حتی خود تیم IT را.
- مسیر گزارش ساده تعریف کنید. کاربری که فکر میکند اشتباه کرده، باید بداند به چه کسی اطلاع بدهد و مطمئن باشد که قرار نیست به خاطر گزارش یک اشتباه سرزنش شود. اگر فضای سازمانی بر پایه ترس باشد، حوادث پنهان می شوند و یک مشکل کوچک میتواند به یک حادثه بزرگ تبدیل شود.
وقتی حادثه اتفاق افتاد، چه کنیم؟
یک طرح ساده واکنش به حادثه باید حداقل شامل این موارد باشد:
- مشخص کردن اینکه چه کسی فرمانده حادثه است. در اوج بحران، اینکه معلوم باشد تصمیم را چه کسی میگیرد، بخش مهمی از سردرگمی را از بین میبرد.
- جدا کردن سریع سیستم های آلوده از شبکه. در بعضی سناریوهای بررسی حادثه، خاموش نکردن فوری سیستم میتواند برای حفظ شواهد حافظه و تحلیل تخصصی اهمیت داشته باشد؛ بنابراین بهتر است تصمیم گیری درباره خاموش کردن سیستمهای درگیر بر اساس رویه Incident Response سازمان انجام شود.
- تماس با تیم تخصصی یا پشتیبانی شرکت امنیتی قبل از هر اقدام پاکسازی گسترده.
- ثبت زمانبندی ماجرا: چه زمانی متوجه شدید، چه اقدامی انجام دادید و نتیجه چه بود.
جزئیاتی که همان لحظه کماهمیت به نظر میرسند، روز بعد ممکن است بسیار مهم شوند.
سه جمله ای که باید از فرهنگ سازمانها پاک شود
“ما کوچکیم، کسی سراغمان نمیآید.”
مهاجمان همیشه به دنبال یک سازمان خاص نیستند. بسیاری از حملات با اسکن خودکار و شناسایی سیستم های آسیب پذیر انجام میشوند.
کوچک بودن یک سازمان به معنی مصون بودن آن نیست؛ حتی گاهی به دلیل محدود بودن منابع IT، سطح آمادگی امنیتی پایینتری دارد.
“ما تحریمیم، ما را نمی خواهند.”
تحریم یا موقعیت جغرافیایی مانع فعالیت بسیاری از گروه های مجرم سایبری نمی شود. هر سازمانی که داده ارزشمند، حساب کاربری، زیرساخت متصل به اینترنت یا منابع مالی داشته باشد، میتواند هدف حمله قرار بگیرد.
“IT حلش میکند.”
امنیت فقط پروژه واحد IT نیست.
وقتی مدیرعامل رمز عبورش را با دیگران به اشتراک می گذارد، واحد مالی فایل های ناشناس را بدون بررسی باز میکند و مدیران ارشد سیاست های امنیتی را جدی نمیگیرند، تیم IT بهتنهایی نمیتواند سازمان را ایمن کند.
بودجه محدود، کجا خرجش کنیم؟
اگر فقط پول پنج اقدام امنیتی را دارید، اولویت من این ترتیب است:
- بکاپ درست با نسخه آفلاین و تست بازیابی منظم
- راهکار Endpoint معتبر و بروز برای همه سیستم ها، از سرور تا کاربر عادی
- بروزرسانی منظم سیستم عامل و نرم افزارها
- ورود دومرحله ای برای دسترسی های از راه دور و حساب های حساس
- آموزش کاربران
ابزارهای پیشرفته تر مثل EDR Expert و XDR ارزشمند هستند و هرچه سازمان بزرگتر شود، از یک قابلیت تکمیلی به یک ضرورت امنیتی تبدیل میشوند.
برای سازمانهایی که زیرساخت گسترده تر، تعداد بالاتر Endpoint و نیازهای امنیتی پیچیده تری دارند، بررسی راهکارهای پیشرفته امنیت سازمانی میتواند به انتخاب معماری مناسبتر کمک کند.
جمعبندی
امنیت شبکه سازمانی در ایران، ترکیبی از مهندسی، مدیریت و شناخت واقعیت های بومی است.
نه می شود با یک فایروال گران خودمان را قانع کنیم که سازمان امن است و نه میشود با استناد به تحریم ها دست روی دست گذاشت.
از شناسایی دارایی ها و سگمنت بندی شبکه شروع کنید، بکاپ آفلاین را جدی بگیرید، کاربران را همراه کنید، دسترسی ها را مدیریت کنید و برای روز حادثه از همین حالا آماده باشید.
/ پایان رپرتاژ
این مطلب صرفا جنبه تبلیغاتی داشته و انزل وب هیچ مسئولیتی را در رابطه با آن نمیپذیرد.