نوشته های vafa.akhtarkhavari

نقشه راهی برای تیم‌های شبکه و امنیت؛ از تقسیم‌بندی شبکه تا مدیریت هویت، پایش و بازیابی

vafa.akhtarkhavari — Mon, 02 Nov 2026 22:56:52 +0330

معماری امنیت شبکه و زیرساخت: از شناخت دارایی‌ها تا اعتماد صفر (Zero Trust)نویسنده: Vafa Akhtar Khavari وفا اخترخاوریحوزه تخصصی: زیرساخت IT، امنیت شبکه و معماری امنیتیوقتی صحبت از امن‌سازی شبکه می‌شود، یکی از اولین سؤال‌ها این است: «چه فایروالی بخریم؟»سؤال مهمی است؛ اما لزوماً سؤال اول نیست.طراحی حرفه‌ای امنیت شبکه با خرید تجهیزات آغاز نمی‌شود. نقطه شروع، شناخت دارایی‌ها، جریان‌های ارتباطی، نیازهای کسب‌وکار و پیامدهای احتمالی یک حادثه امنیتی است.پیش از انتخاب فایروال یا پیاده‌سازی سیاست‌های امنیتی، باید بدانیم چه چیزی را محافظت می‌کنیم، چه کسانی به آن دسترسی دارند و اختلال در هر سرویس چه تأثیری بر سازمان خواهد گذاشت.هدف اصلی امنیت اطلاعات، حفظ سه اصل اساسی است:* محرمانگی (Confidentiality): جلوگیری از دسترسی غیرمجاز به اطلاعات* یکپارچگی (Integrity): جلوگیری از تغییر یا تخریب غیرمجاز داده‌ها* دسترس‌پذیری (Availability): اطمینان از دسترسی به اطلاعات و سرویس‌ها در زمان موردنیازاین سه اصل باید از ابتدای طراحی، در کنار یکدیگر دیده شوند.۱. پیش از طراحی، دارایی‌ها و جریان‌های ارتباطی را بشناسیدهر قانون فایروال بر اساس یک فرض درباره نیازهای ارتباطی شبکه نوشته می‌شود. اگر وابستگی سرویس‌ها و جریان ترافیک را نشناسیم، این فرض‌ها به حدس تبدیل می‌شوند.نتیجه می‌تواند مجموعه‌ای از قوانین بیش‌ازحد باز باشد؛ قوانینی که به دلیل نگرانی از اختلال در سرویس‌های ناشناخته، هیچ‌کس حاضر به محدودکردن آن‌ها نیست.پیش از طراحی معماری امنیتی، چهار سؤال اساسی را پاسخ دهید:* کدام سرویس‌ها برای تداوم فعالیت سازمان حیاتی هستند؟* داده‌های حساس کجا ذخیره می‌شوند و از چه مسیرهایی انتقال می‌یابند؟* کاربران، پیمانکاران، مدیران و سرویس‌های خودکار به چه منابعی نیاز دارند؟* کدام سیستم‌ها قدیمی، آسیب‌پذیر یا فاقد امکان به‌روزرسانی مناسب هستند؟پس از شناخت دارایی‌ها، نوبت به ارزیابی ریسک می‌رسد.امنیت مطلق وجود ندارد و منابع سازمان نیز محدودند. بنابراین، هزینه و پیچیدگی هر کنترل امنیتی باید با میزان کاهش ریسک و اهمیت دارایی موردنظر متناسب باشد.معماری مناسب برای یک سازمان مالی الزاماً با معماری موردنیاز یک وب‌سایت اطلاع‌رسانی یکسان نیست.اصل کلیدی: ابتدا ریسک را بشناسید؛ سپس کنترل امنیتی متناسب با آن را انتخاب کنید.۲. سه اصل بنیادین معماری امنیت شبکهدفاع در عمق (Defense in Depth)هیچ کنترل امنیتی نباید تنها خط دفاعی سازمان باشد.اگر مهاجم از فایروال محیطی عبور کند، تقسیم‌بندی شبکه، کنترل دسترسی، امنیت هویت و سامانه‌های پایش باید همچنان از گسترش حمله جلوگیری کنند.دفاع در عمق به معنای انباشتن تجهیزات امنیتی نیست؛ بلکه به معنای طراحی لایه‌هایی مکمل است که شکست یک لایه، کل معماری را بی‌دفاع نکند.کمترین سطح دسترسی (Least Privilege)هر کاربر، دستگاه یا سرویس باید فقط به منابعی دسترسی داشته باشد که برای انجام وظایف مشخص خود به آن‌ها نیاز دارد.برای مثال، رایانه یک کارمند عادی نباید صرفاً به دلیل اتصال به شبکه داخلی بتواند به رابط مدیریتی تجهیزات شبکه، سرورهای مجازی‌سازی یا سامانه‌های پشتیبان‌گیری دسترسی پیدا کند.هدف، ایجاد محدودیت بی‌دلیل نیست؛ هدف، کاهش سطح دسترسی غیرضروری و محدودکردن پیامدهای احتمالی نفوذ است.اعتماد صفر (Zero Trust)در معماری سنتی، حضور در شبکه داخلی گاهی به‌عنوان نشانه‌ای از قابل‌اعتمادبودن در نظر گرفته می‌شد.اما در مدل Zero Trust، موقعیت شبکه به‌تنهایی مبنای اعتماد نیست.بر اساس راهنمای NIST SP 800-207، دسترسی به منابع باید بر اساس سیاست‌های مشخص و با درنظرگرفتن هویت، وضعیت دستگاه، شرایط درخواست و الزامات امنیتی مربوط ارزیابی شود.به بیان ساده، سؤال دیگر فقط این نیست که «این سیستم به کدام VLAN متصل است؟»سؤال اصلی این است:«این هویت یا بار کاری، تحت چه شرایطی و با چه مجوزی باید به این منبع دسترسی داشته باشد؟»اعتماد صفر به معنای بی‌اعتمادی مطلق به همه کاربران نیست؛ بلکه به معنای پرهیز از اعتماد ضمنی و ارزیابی کنترل‌شده دسترسی‌هاست.۳. تقسیم‌بندی شبکه؛ محدودکردن دامنه حملهفرض کنید یک کاربر فایل آلوده‌ای را اجرا می‌کند و مهاجم به سیستم او دسترسی پیدا می‌کند.اگر شبکه به‌درستی تقسیم‌بندی نشده باشد، مهاجم ممکن است بتواند سرورهای داخلی را شناسایی کند، سرویس‌های باز را بررسی کند، اعتبارنامه‌ها را به دست آورد و به‌تدریج به سیستم‌های حساس‌تر برسد.این فرایند حرکت جانبی (Lateral Movement) نام دارد.هدف Network Segmentation این است که دسترسی مهاجم به یک بخش از شبکه، به معنای دسترسی آزاد به سایر بخش‌ها نباشد.تقسیم‌بندی کلان (Macro Segmentation)در گام نخست، شبکه را بر اساس نقش، سطح حساسیت و نیازهای ارتباطی به بخش‌های منطقی تقسیم کنید؛ برای مثال:* شبکه کاربران* شبکه سرورها* شبکه پایگاه‌های داده* ناحیه غیرنظامی (DMZ)* شبکه مدیریت زیرساخت* شبکه تجهیزات و سامانه‌های تخصصیسیاست ارتباطی هر بخش باید متناسب با وظایف و سطح ریسک آن تعریف شود.تقسیم‌بندی خرد (Micro-Segmentation)در محیط‌های حساس‌تر، ممکن است جداسازی در سطح VLAN یا زیرشبکه کافی نباشد.Micro-Segmentation امکان اعمال سیاست‌های دقیق‌تر میان بارهای کاری، ماشین‌های مجازی یا سرویس‌های مشخص را فراهم می‌کند.برای نمونه، می‌توان سیاستی تعریف کرد که در آن:* فقط سرویس‌های مشخص برنامه اجازه ارتباط با پایگاه داده را داشته باشند.* ارتباطات غیرضروری میان سرورها مسدود شوند.* دسترسی مدیریتی فقط از مسیرهای تأییدشده امکان‌پذیر باشد.* ارتباطات مجاز ثبت و برای شناسایی رفتارهای غیرعادی پایش شوند.نکته مهم این است که ایجاد VLAN به‌تنهایی معادل پیاده‌سازی تقسیم‌بندی امن نیست.اگر مسیریابی بین VLANها بدون محدودیت انجام شود، جداسازی منطقی شبکه لزوماً مانع حرکت جانبی نخواهد شد.برای هر جریان ارتباطی باید مشخص باشد:مبدأ چیست؟ مقصد کدام است؟ چه پروتکل و پورتی لازم است؟ تحت چه شرایطی ارتباط مجاز است؟ و آیا این ارتباط باید ثبت یا پایش شود؟انتخاب کنترل مناسب در هر مرز نیز اهمیت دارد. فیلترهای بسته، فایروال‌های حالت‌دار و پراکسی‌های لایه کاربرد، قابلیت‌های متفاوتی دارند و باید بر اساس نیاز معماری انتخاب شوند.۴. هویت، احراز هویت و دسترسی مدیریتیشبکه‌ای که کنترل هویت مناسبی ندارد، حتی با وجود تجهیزات امنیتی پیشرفته نیز آسیب‌پذیر خواهد بود.کنترل دسترسی شبکه با 802.1Xاستاندارد IEEE 802.1X چارچوبی برای کنترل دسترسی به شبکه بر اساس احراز هویت فراهم می‌کند و در شبکه‌های کابلی و بی‌سیم قابل استفاده است.این سازوکار می‌تواند در کنار زیرساخت احراز هویت و سیاست‌های شبکه، از اتصال بدون مجوز دستگاه‌ها جلوگیری کند.بااین‌حال، 802.1X به‌تنهایی تضمین‌کننده امنیت دستگاه یا کاربر نیست و باید در کنار سایر کنترل‌های امنیتی به کار رود.ورود یکپارچه و احراز هویت چندعاملیورود یکپارچه (Single Sign-On یا SSO) تجربه کاربری را بهبود می‌دهد؛ اما اگر حساب کاربری به خطر بیفتد، ممکن است دسترسی به چندین سرویس تحت تأثیر قرار گیرد.به همین دلیل، SSO باید همراه با کنترل‌های مناسب، به‌ویژه احراز هویت چندعاملی (MFA)، سیاست‌های دسترسی و پایش فعالیت حساب‌ها پیاده‌سازی شود.برای حساب‌های مدیریتی، کنترل‌های سخت‌گیرانه‌تری لازم است؛ از جمله:* جداسازی حساب‌های عادی از حساب‌های مدیریتی* محدودکردن دسترسی به رابط‌های مدیریتی* استفاده از مسیرهای مدیریتی کنترل‌شده* ثبت و بازبینی فعالیت‌های حساس* اعمال MFA و سیاست‌های دسترسی متناسب با ریسکمدیریت نقش‌ها و بازبینی مجوزهاکنترل دسترسی مبتنی بر نقش (RBAC) در بسیاری از سازمان‌ها رویکردی عملی و قابل مدیریت است.در این مدل، مجوزها بر اساس وظایف سازمانی تعریف می‌شوند؛ برای مثال، کارشناس پشتیبانی، مدیر سامانه یا مسئول پشتیبان‌گیری.اما تعریف نقش‌ها به‌تنهایی کافی نیست.با تغییر مسئولیت افراد، ممکن است مجوزهای قبلی حذف نشوند و دسترسی‌ها به‌تدریج افزایش یابند. این وضعیت با عنوان خزش مجوزها (Privilege Creep) شناخته می‌شود.بازبینی دوره‌ای دسترسی‌ها، حذف مجوزهای غیرضروری و رعایت تفکیک وظایف از کنترل‌های ضروری برای مدیریت این ریسک هستند.همچنین، سیاست‌های امنیتی باید در تمام شعب و سایت‌های سازمان به‌صورت سازگار اجرا شوند؛ زیرا ضعف یک شعبه می‌تواند به نقطه ورود مهاجم به زیرساخت گسترده‌تر تبدیل شود.۵. پایش و ثبت رویدادها؛ بدون دید، دفاع مؤثر دشوار استاگر ندانیم در شبکه چه اتفاقی می‌افتد، تشخیص حمله، بررسی رفتار غیرعادی و تحلیل علت حادثه دشوار خواهد بود.ثبت و جمع‌آوری متمرکز رویدادها باید از مراحل اولیه طراحی در نظر گرفته شود.منابع مهم برای پایش می‌توانند شامل موارد زیر باشند:* فایروال‌ها و تجهیزات مسیریابی و سوئیچینگ* سرورها و سیستم‌عامل‌ها* سامانه‌های هویتی و احراز هویت* سرویس‌های حیاتی و پایگاه‌های داده* تجهیزات و ابزارهای دسترسی از راه دور* جریان‌های ارتباطی میان بخش‌های حساس شبکهبسته به نیاز سازمان، این اطلاعات می‌توانند در سامانه‌های مدیریت اطلاعات و رویدادهای امنیتی (SIEM) تجمیع و تحلیل شوند.هدف فقط ذخیره‌سازی گزارش‌ها نیست؛ بلکه شناسایی الگوهای مشکوک، بررسی رخدادها، ارزیابی اثربخشی سیاست‌ها و فراهم‌کردن شواهد لازم برای پاسخ‌گویی و ممیزی است.البته ثبت رویدادها باید با سیاست‌های مشخص برای نگهداری داده، کنترل دسترسی به گزارش‌ها و حفاظت از اطلاعات حساس همراه باشد.۶. مرز امنیتی دیگر فقط یک نقطه نیستبا گسترش دورکاری، سرویس‌های ابری و دسترسی از راه دور، مرز شبکه دیگر به فایروال پیرامونی سازمان محدود نمی‌شود.اتصال امن به منابع سازمان باید بر اساس هویت، سطح ریسک، نوع دستگاه و نیاز واقعی کاربر طراحی شود.VPN یکی از راهکارهای متداول برای ایجاد ارتباط امن از طریق شبکه‌های غیرقابل‌اعتماد است. IPsec می‌تواند برای حفاظت از ارتباطات در لایه شبکه استفاده شود و راهکارهای مبتنی بر TLS نیز در سناریوهای دسترسی از راه دور کاربرد دارند.بااین‌حال، انتخاب VPN به‌تنهایی مشکل دسترسی غیرضروری را حل نمی‌کند. پس از برقراری تونل نیز باید دسترسی کاربران به منابع داخلی محدود و کنترل شود.در کنار این موارد، امنیت دستگاه‌های همراه و تجهیزات خارج از سازمان نیز اهمیت دارد:* رمزنگاری اطلاعات ذخیره‌شده* استفاده از قفل صفحه و احراز هویت مناسب* مدیریت وصله‌های امنیتی* کنترل اتصال به شبکه‌های بی‌سیم* امکان مدیریت و پاک‌سازی از راه دور در صورت نیاز* اعمال سیاست‌های امنیتی برای دستگاه‌های سازمانیاصل مهم این است که اتصال امن، جایگزین کنترل دسترسی مناسب نیست.۷. طراحی برای خرابی، نه فقط برای جلوگیری از نفوذمعماری امنیتی زمانی کامل‌تر می‌شود که برای شرایط شکست نیز برنامه داشته باشد.اختلال در یک سرویس حیاتی، خرابی تجهیزات، حمله باج‌افزاری یا از دست رفتن مرکز داده می‌تواند فعالیت سازمان را مختل کند.برای کاهش این ریسک‌ها باید به موارد زیر توجه شود:افزونگی (Redundancy): حذف نقاط شکست منفرد در بخش‌های حیاتی، متناسب با نیازهای دسترس‌پذیری.پشتیبان‌گیری (Backup): تهیه نسخه‌های پشتیبان با حفاظت مناسب در برابر حذف، دست‌کاری و دسترسی غیرمجاز.بازیابی از فاجعه (Disaster Recovery): تعریف فرایندها، مسئولیت‌ها و منابع لازم برای بازگرداندن سرویس‌ها پس از یک حادثه جدی.آزمون بازیابی: بررسی عملی امکان بازگردانی اطلاعات و سرویس‌ها، نه صرفاً اطمینان از موفقیت عملیات پشتیبان‌گیری.اهداف زمانی بازیابی نیز باید مشخص باشند:* RTO: حداکثر زمان قابل‌قبول برای بازگرداندن سرویس* RPO: حداکثر میزان قابل‌قبول ازدست‌رفتن داده، بر اساس فاصله زمانی بازیابیپشتیبان‌گیری‌ای که بازیابی آن هرگز آزمایش نشده است، به‌تنهایی تضمینی برای تداوم کسب‌وکار نیست.۸. مستندسازی و مدیریت تغییر؛ بخش فراموش‌شده امنیتبسیاری از مشکلات امنیتی نه از طراحی اولیه، بلکه از تغییرات کنترل‌نشده در طول زمان ایجاد می‌شوند.یک قانون فایروال موقت ممکن است سال‌ها باقی بماند. یک سرویس جدید ممکن است بدون بررسی وابستگی‌ها در شبکه مستقر شود. یا تغییر پیکربندی یک شعبه، سطح امنیت آن را از استاندارد سازمان خارج کند.برای جلوگیری از این وضعیت، باید موارد زیر به‌صورت مستمر مدیریت شوند:* نقشه به‌روز توپولوژی شبکه* فهرست دارایی‌ها و مالکان سرویس‌ها* مستندات جریان‌های ارتباطی* استانداردهای پیکربندی امن* فرایند ثبت، ارزیابی و تأیید تغییرات* بازبینی دوره‌ای قوانین فایروال و مجوزهای دسترسی* بررسی انطباق پیکربندی سایت‌ها با استانداردهای سازمانهرچه پیچیدگی شبکه بیشتر شود، شناخت وابستگی سرویس‌ها اهمیت بیشتری پیدا می‌کند.مستندسازی خوب فقط برای تحویل پروژه نیست؛ بخشی از کنترل امنیتی زیرساخت است.۹. نقشه راه عملی برای پیاده‌سازی معماری امنیت شبکهبرای سازمانی که قصد دارد معماری امنیتی خود را به‌صورت مرحله‌ای بهبود دهد، ترتیب زیر می‌تواند نقطه شروع مناسبی باشد:مرحله اول: شناخت۱. شناسایی دارایی‌ها و سرویس‌های حیاتی۲. ترسیم جریان‌های ارتباطی و وابستگی سرویس‌ها۳. ارزیابی تهدیدها و اولویت‌بندی ریسک‌هامرحله دوم: طراحی۴. تعریف اصول Defense in Depth، Least Privilege و Zero Trust۵. طراحی Macro Segmentation و تعیین مرزهای امنیتی۶. شناسایی بخش‌های نیازمند Micro-Segmentationمرحله سوم: کنترل دسترسی۷. تقویت مدیریت هویت و اجرای MFA۸. جداسازی شبکه مدیریت و محدودکردن دسترسی‌های مدیریتی۹. بازبینی نقش‌ها و حذف مجوزهای غیرضروریمرحله چهارم: پایش و تاب‌آوری۱۰. جمع‌آوری متمرکز رویدادها و تعریف هشدارهای امنیتی۱۱. امن‌سازی دسترسی از راه دور و دستگاه‌های همراه۱۲. طراحی افزونگی، پشتیبان‌گیری و آزمون بازیابیمرحله پنجم: نگهداری۱۳. مستندسازی تغییرات و به‌روزرسانی نقشه شبکه۱۴. بازبینی منظم قوانین فایروال و سیاست‌های دسترسی۱۵. ارزیابی مستمر اثربخشی کنترل‌ها و اصلاح نقاط ضعفپنج اشتباه رایج که باید از آن‌ها اجتناب کرد۱. خرید تجهیزات امنیتی پیش از شناخت دارایی‌ها و نیازهای واقعی۲. فرض اینکه ایجاد VLAN به‌تنهایی شبکه را امن می‌کند۳. استفاده از SSO بدون درنظرگرفتن MFA و کنترل‌های تکمیلی۴. نادیده‌گرفتن بازبینی دوره‌ای مجوزهای دسترسی۵. طراحی شبکه بدون برنامه مشخص برای پایش، پاسخ به حادثه و بازیابیجمع‌بندی: امنیت شبکه یک معماری است، نه یک محصولطراحی حرفه‌ای امنیت شبکه با شناخت دارایی‌ها و جریان‌های ارتباطی آغاز می‌شود؛ با ارزیابی ریسک و تعیین سیاست‌های دسترسی ادامه می‌یابد؛ و از طریق تقسیم‌بندی، مدیریت هویت، پایش مستمر و برنامه‌ریزی برای بازیابی به یک معماری قابل اتکا تبدیل می‌شود.فایروال، سوئیچ، سامانه مدیریت هویت یا ابزار SIEM هرکدام می‌توانند بخشی از این معماری باشند؛ اما هیچ‌یک به‌تنهایی جایگزین طراحی اصولی نمی‌شوند.هدف نهایی این نیست که صرفاً از ورود مهاجم جلوگیری کنیم؛ بلکه باید احتمال نفوذ، دامنه گسترش حمله و پیامدهای آن را تا حد امکان کاهش دهیم.امنیت مؤثر زمانی شکل می‌گیرد که هر ارتباط دلیل مشخصی برای مجازبودن داشته باشد، هر دسترسی قابل ارزیابی باشد و هر حادثه امکان شناسایی، مهار و بازیابی داشته باشد.⸻منابع پیشنهادی برای مطالعه بیشتر* NIST SP 800-207 — Zero Trust Architecture* NIST Cybersecurity Framework 2.0* راهنماهای Microsoft درباره Zero Trust و Network Segmentation#NetworkSecurity #Cybersecurity #ZeroTrust #NetworkSegmentation #InfrastructureSecurity #NetworkArchitecture #InformationSecurity

CISSP Domain 3 از مبانی امنیت تا حفاظت از زیرساخت‌های فناوری اطلاعات

vafa.akhtarkhavari — Tue, 13 Oct 2026 10:30:46 +0330

نویسنده: Vafa Akhtar Khavari وفا اخترخاوریحوزه تخصصی: زیرساخت IT، امنیت شبکه و معماری امنیتیمقدمهمهندسی امنیت (Security Engineering) یکی از حوزه‌های کلیدی امنیت اطلاعات است که بر طراحی، پیاده‌سازی و حفاظت از سیستم‌ها در برابر تهدیدات تمرکز دارد.در چارچوب CISSP Domain 3 – Security Engineering، شناخت مدل‌های امنیتی، اصول طراحی امن، حفاظت از حافظه، امنیت مجازی‌سازی، رایانش ابری و انواع حملات، به متخصصان کمک می‌کند ارتباط میان مفاهیم نظری و زیرساخت‌های واقعی فناوری اطلاعات را بهتر درک کنند.هدف این مقاله، بررسی کاربردی این مفاهیم در سیستم‌عامل‌ها، سرورها، شبکه‌های سازمانی و محیط‌های مجازی است.۱. مدل‌های امنیتی: Bell-LaPadula، Biba و Clark-Wilsonمدل‌های امنیتی چارچوب‌هایی برای تعریف و اجرای سیاست‌های حفاظتی ارائه می‌کنند.Bell-LaPadula: تمرکز بر محرمانگی اطلاعات؛ با اصول No Read Up و No Write Down.Biba: تمرکز بر یکپارچگی اطلاعات؛ با اصول No Read Down و No Write Up.Clark-Wilson: حفاظت از یکپارچگی از طریق تراکنش‌های کنترل‌شده، اعتبارسنجی و تفکیک وظایف.شناخت تفاوت این مدل‌ها به متخصصان امنیت کمک می‌کند متناسب با نیازهای هر سیستم، کنترل‌های مناسب‌تری انتخاب کنند.۲. اصول طراحی امن و مدل CPU Ringاصول طراحی امن، دسترسی‌های غیرضروری را کاهش می‌دهند و احتمال گسترش نفوذ را محدود می‌کنند. مهم‌ترین آن‌ها عبارت‌اند از:حداقل سطح دسترسی (Least Privilege)دفاع در عمق (Defense in Depth)تفکیک وظایف (Separation of Duties)پیش‌فرض امن (Fail-Safe Defaults)بررسی کامل دسترسی‌ها (Complete Mediation)در معماری سنتی x86، مدل حلقه‌های پردازنده (CPU Privilege Rings) سطوح دسترسی را از Ring 0، که معمولاً برای هسته سیستم‌عامل استفاده می‌شود، تا Ring 3، که معمولاً محل اجرای برنامه‌های کاربری است، تفکیک می‌کند.این جداسازی به حفاظت از منابع حساس سیستم و محدودکردن دسترسی برنامه‌ها کمک می‌کند.۳. حفاظت از حافظه، سخت‌افزار و سیستم‌عاملحفاظت از حافظه یکی از پایه‌های امنیت سیستم‌عامل است. سازوکارهایی مانند حافظه مجازی، جداسازی فضای آدرس فرایندها، تفکیک User Mode و Kernel Mode و فناوری‌هایی مانند DEP/NX، احتمال دسترسی غیرمجاز یا اجرای کد مخرب در نواحی محافظت‌شده حافظه را کاهش می‌دهند.بااین‌حال، امنیت مؤثر به ترکیب این قابلیت‌ها با به‌روزرسانی منظم، سخت‌سازی سیستم‌عامل و مدیریت آسیب‌پذیری‌ها وابسته است.۴. امنیت مجازی‌سازی و رایانش ابریپلتفرم‌های مجازی‌سازی مانند VMware vSphere نقش مهمی در زیرساخت‌های سازمانی دارند؛ اما امنیت ماشین‌های مجازی به حفاظت از هایپروایزر و لایه مدیریتی نیز وابسته است.اقدامات مهم شامل کنترل دسترسی مدیریتی، بخش‌بندی شبکه، نصب وصله‌های امنیتی، پایش تغییرات و حفاظت از نسخه‌های پشتیبان است.دو تهدید مهم این حوزه عبارت‌اند از:VM Escape: عبور از مرز ایزوله‌سازی ماشین مجازی و دسترسی به منابع خارج از محدوده مجاز.Hyperjacking: به‌دست‌گرفتن کنترل هایپروایزر یا استفاده مخرب از این لایه.در رایانش ابری نیز مدیریت هویت و دسترسی (IAM)، رمزنگاری، پایش رویدادها، پیکربندی امن و مدل مسئولیت مشترک (Shared Responsibility Model) اهمیت اساسی دارند.۵. امنیت رایانش ابری (Cloud Security)امنیت فضای ابری فقط به ارائه‌دهنده خدمات وابسته نیست؛ مشتری نیز مسئولیت‌هایی در زمینه پیکربندی، مدیریت دسترسی و حفاظت از داده‌ها دارد.کنترل‌های کلیدی عبارت‌اند از:مدیریت هویت و دسترسیرمزنگاری و حفاظت از داده‌هامدیریت پیکربندی و آسیب‌پذیری‌هاثبت رویدادها و پایش امنیتیپشتیبان‌گیری و تداوم کسب‌وکاربرای مثال، تنظیم نادرست مجوزها یا انتشار ناخواسته یک سرویس در اینترنت می‌تواند حتی در یک زیرساخت ابری پیشرفته، ریسک امنیتی جدی ایجاد کند.۶. خانواده‌های بدافزار و حملات سمت کاربر و سمت سرورشناخت بدافزارها و روش‌های حمله برای طراحی کنترل‌های دفاعی مؤثر ضروری است.خانواده‌های مهم بدافزار:Virus: بدافزاری که برای تکثیر به فایل یا میزبان دیگری متصل می‌شود.Worm: بدافزاری که می‌تواند به‌صورت مستقل در شبکه منتشر شود.Trojan: نرم‌افزاری مخرب که خود را معتبر یا بی‌خطر نشان می‌دهد.Ransomware: بدافزاری که معمولاً با رمزگذاری داده‌ها یا تهدید به افشای آن‌ها، از قربانی اخاذی می‌کند.Rootkit: ابزار یا قابلیتی برای پنهان‌سازی فعالیت مخرب و حفظ دسترسی غیرمجاز.Spyware: نرم‌افزاری برای جمع‌آوری مخفیانه اطلاعات یا پایش فعالیت‌ها.حملات سمت کاربر (Client-Side Attacks)این حملات برنامه‌ها، مرورگرها و تعاملات کاربران را هدف قرار می‌دهند؛ مانند فیشینگ، فایل‌های مخرب و سوءاستفاده از آسیب‌پذیری نرم‌افزارهای کاربری.حملات سمت سرور (Server-Side Attacks)این حملات سرویس‌ها، برنامه‌های تحت وب و زیرساخت سرورها را هدف می‌گیرند؛ مانند اجرای کد از راه دور، بهره‌برداری از آسیب‌پذیری سرویس‌ها و حملات تزریق.برای کاهش این تهدیدها، سازمان‌ها باید از ترکیبی از کنترل‌ها شامل مدیریت وصله‌ها، بخش‌بندی شبکه، حفاظت از نقاط پایانی، کنترل دسترسی، پایش امنیتی و پشتیبان‌گیری استفاده کنند.نتیجه‌گیریمهندسی امنیت فراتر از حفظ تعاریف و مدل‌های نظری است. درک نحوه کاربرد این اصول در سیستم‌عامل‌ها، شبکه‌ها، سرورها، مجازی‌سازی و فضای ابری، به متخصصان کمک می‌کند ریسک‌ها را بهتر ارزیابی کرده و زیرساخت‌های مقاوم‌تری طراحی کنند.هدف من از تهیه یادداشت‌های مطالعاتی CISSP، پیوند دادن دانش نظری با تجربه عملی در زیرساخت‌های فناوری اطلاعات و امنیت شبکه است.درک امنیت فقط شناخت مدل‌ها نیست؛ بلکه فهم کاربرد آن‌ها در سیستم‌های واقعی است.مطالعه فایل آموزشی در ResearchGateنسخه منتشرشده یادداشت‌های من با عنوان CISSP Study Notes – Domain 3: Security Engineering در ResearchGate:https://www.researchgate.net/publication/415651171_CISSP_Study_Notes_Domain_3_-_Security_Engineeringعضویت در گروه تخصصی LinkedInاز متخصصان امنیت سایبری، مهندسان شبکه و زیرساخت و داوطلبان آزمون CISSP برای مشارکت در یادگیری و تبادل تجربه دعوت می‌کنم:https://www.linkedin.com/groups/40617146/?highlightedUpdateUrn=urn%3Ali%3Aactivity%3A7515658687911342080&q=highlightedFeedForGroupsدرباره نویسنده:Vafa Akhtar Khavari، متخصص زیرساخت فناوری اطلاعات و امنیت شبکه با تمرکز بر شبکه‌های سازمانی، سیستم‌ها، مجازی‌سازی و معماری امنیتی.

تحلیل دو حمله رایج در مجازی‌سازی: VM Escape و Hyperjacking

vafa.akhtarkhavari — Thu, 08 Oct 2026 23:46:48 +0330

نویسنده: وفا اخترخاوری | Vafa Akhtar Khavariمهندس زیرساخت و امنیت شبکه | ۱۷+ سال سابقه | متخصص VMware، Cisco، Microsoft و Firewallچکیدهمجازی‌سازی، پایه زیرساخت‌های مدرن فناوری اطلاعات است. هایپروایزر به‌عنوان لایه بنیادین این معماری، جداسازی میان ماشین‌های مجازی را تضمین می‌کند. دو حمله رایج، این جداسازی را هدف می‌گیرند: VM Escape و Hyperjacking. این مقاله مکانیزم فنی، راه‌های نفوذ، و راهبردهای امن‌سازی مبتنی بر ISO/IEC 27001 را تحلیل می‌کند، آن را به دامین‌های CISSP مرتبط می‌سازد، و با یک سناریوی عملیاتی و جمع‌بندی نهایی به پایان می‌رسد.چرا این موضوع مهم است؟روی هر هاست فیزیکی، چندین ماشین مجازی در حال اجرا هستند. هر ماشین مجازی یک محیط ایزوله است که منابع سخت‌افزاری خود را از طریق هایپروایزر دریافت می‌کند. هایپروایزر لایه‌ای است که این جداسازی را مدیریت می‌کند و دسترسی ماشین‌ها به حافظه، پردازنده، شبکه و دیسک را کنترل می‌نماید. اگر مهاجم بتواند این جداسازی را بشکند و به هایپروایزر برسد، کنترل تمام ماشین‌های مجازی روی آن میزبان را به دست می‌گیرد. این دقیقاً همان چیزی است که در حملات VM Escape و Hyperjacking اتفاق می‌افتد.این حملات با کدام دامین‌های CISSP هم‌خوانی دارند؟وقتی صحبت از امنیت مجازی‌سازی می‌شود، سه دامین CISSP مستقیماً درگیر می‌شوند. Domain 1: Security and Risk Management این حملات را به‌عنوان تهدیدهایی می‌بیند که از آسیب‌پذیری‌های لایه مجازی‌سازی بهره می‌برند. هایپروایزر یک دارایی Tier 0 است و از دست دادن آن یعنی از دست دادن کنترل تمام ماشین‌های مجازی. در این دامین، ریسک این حملات باید با محاسبات کمی مثل ALE (بر اساس AV، EF، SLE و ARO) ارزیابی شود و راهبردهای کاهش، انتقال، پذیرش یا اجتناب برای آن تعریف گردد.Domain 3: Security Architecture and Engineering مستقیماً به معماری امنیتی سیستم‌های مجازی‌سازی می‌پردازد. مدل‌های جداسازی، لایه Ring -1 که هایپروایزر در آن اجرا می‌شود، و مکانیزم‌های حفاظت از حافظه همه در این دامین بررسی می‌شوند. VM Escape دقیقاً نقض مدل جداسازی است و Hyperjacking حمله به لایه Ring -1 محسوب می‌شود.Domain 4: Communication and Network Security به جداسازی شبکه مدیریت هایپروایزر از شبکه تولید، استفاده از VLAN اختصاصی، و پیاده‌سازی IPS/IDS در سطح هایپروایزر مربوط می‌شود. حمله به رابط مدیریتی هایپروایزر مثل vCenter یا SSH به ESXi یک تهدید شبکه‌ای است.مهاجم چطور نفوذ می‌کند؟VM Escape: شکستن جداسازی ماشین مجازیدر حمله VM Escape، مهاجم ابتدا باید یکی از ماشین‌های مجازی روی هاست را compromise کند. این کار از طریق آسیب‌پذیری اپلیکیشن، سرقت اعتبارنامه یا یک سرویس ناامن روی ماشین مجازی انجام می‌شود. بعد از اینکه مهاجم داخل ماشین مجازی مستقر شد، دنبال راهی به بیرون می‌گردد. ماشین مجازی برای کار کردن نیاز به ارتباط با سخت‌افزارهای مجازی دارد که توسط هایپروایزر شبیه‌سازی می‌شوند. این سخت‌افزارها شامل کارت شبکه مجازی VMXNET3، کنترل‌کننده دیسک، درایور گرافیکی و سرویس‌های اشتراک‌گذاری مثل VMware Tools هستند.مهاجم از آسیب‌پذیری‌های موجود در این شبیه‌سازها استفاده می‌کند. در VMware، فرآیند VMX که وظیفه مدیریت ماشین مجازی را بر عهده دارد، هدف اصلی است. اگر مهاجم در VMX دسترسی پیدا کند، می‌تواند یک نوشتن دلخواه در هسته را فعال کند که منجر به فرار از ماشین مجازی و اجرای کد در سطح هایپروایزر می‌شود.یک مثال واقعی، CVE-2025-22224 است. این یک آسیب‌پذیری TOCTOU با نمره CVSS 9.3 در رابط VMCI بود که منجر به نوشتن خارج از محدوده و اجرای کد به‌عنوان فرآیند VMX می‌شد. این آسیب‌پذیری همراه با دو آسیب‌پذیری دیگر در یک زنجیره حمله پیچیده برای فرار از ماشین مجازی و نصب بدافزار VSOCKpuppet روی ESXi استفاده شد. بیش از ۳۰,۰۰۰ نمونه ESXi در معرض اینترنت در معرض خطر این آسیب‌پذیری قرار داشتند.مثال دیگر CVE-2026-47876 است. یک آسیب‌پذیری نوشتن خارج از محدوده در کارت شبکه مجازی VMXNET3 که به مهاجم دارای دسترسی ادمین محلی در یک ماشین مجازی اجازه می‌داد کد دلخواه را روی میزبان اجرا کند. این آسیب‌پذیری ناشی از اعتبارسنجی نادرست ورودی و مدیریت حافظه بود.Hyperjacking: تسخیر مستقیم هایپروایزرHyperjacking با VM Escape فرق دارد. در این حمله، مهاجم از همان اول سراغ هایپروایزر می‌رود، نه از داخل ماشین مجازی. این کار سخت‌تر است اما اگر موفق شود، کنترل کامل همه چیز را به دست می‌گیرد. ابزارهای امنیتی سنتی مثل فایروال، IDS/IPS و آنتی‌ویروس در برابر Hyperjacking ناکارآمد هستند، چون هایپروایزر در لایه‌ای پایین‌تر از سیستم‌عامل و ابزارهای امنیتی فعالیت می‌کند.سه روش اصلی برای Hyperjacking وجود دارد. روش اول تزریق هایپروایزر مخرب در زیر هایپروایزر قانونی است. مهاجم یک لایه مخرب (Virtual Machine-Based Rootkit – VMBR) را در سطحی پایین‌تر از هایپروایزر اصلی نصب می‌کند. این لایه کاملاً مخفی می‌ماند و تمام ترافیک و عملیات VMها را نظارت می‌کند. روش دوم جایگزینی کامل هایپروایزر قانونی با یک نسخه مخرب است. روش سوم اجرای لایه مخرب در بالای هایپروایزر موجود و به دست گرفتن کنترل آن است.شناسایی Hyperjacking بسیار دشوار است. هایپروایزر مخرب در حالت Stealth فعالیت می‌کند و عملیات سیستم را طوری شبیه‌سازی می‌کند که گویی هیچ لایه‌ای وجود ندارد. VMBRها می‌توانند با استفاده از قابلیت‌های مجازی‌سازی سخت‌افزاری مثل Intel VT-x و AMD-V یک لایه مجازی‌سازی مخفی ایجاد کنند و سیستم‌عامل را از اجرای فیزیکی به اجرای مجازی منتقل کنند، بدون اینکه سیستم‌عامل متوجه شود. شناسایی این حملات نیازمند ابزارهای تخصصی است که در سطحی پایین‌تر از VMBR اجرا شوند و بتوانند حافظه فیزیکی یا دیسک را بررسی کنند.چطور امن‌سازی کنیم؟ رویکرد ISMS بر پایه ISO/IEC 27001رویکرد امن‌سازی باید سیستماتیک و مبتنی بر کنترل‌های ISO/IEC 27001 باشد. در ادامه، هر کنترل با اقدامات عملی متناظر ارائه می‌شود.مدیریت پیکربندی (A.8.9): این کنترل مستلزم آن است که پیکربندی‌های امنیتی سخت‌افزار، نرم‌افزار، خدمات و شبکه‌ها ایجاد، مستند، پیاده‌سازی، نظارت و بازبینی شوند. به‌طور عملی، باید CIS VMware ESXi 8.0 Benchmark v1.4.0 را پیاده‌سازی کنید که شامل ۱۰۶ کنترل امنیتی برای پیکربندی امن ESXi است. این بنچمارک شامل کنترل‌هایی مثل الزام به UEFI Secure Boot، رمزنگاری فریمور سخت‌افزار و احراز هویت امن کنترلر مدیریت سخت‌افزار یکپارچه است. تمام تغییرات پیکربندی باید مستند شوند و فرآیند مدیریت تغییر اعمال شود. بررسی دوره‌ای انطباق پیکربندی با بنچمارک‌های CIS و VMware Hardening Guidelines ضروری است.کنترل دسترسی (A.5.15 / A.8.2 / A.8.3): باید اصل حداقل دسترسی و RBAC را برای دسترسی به هایپروایزر و vCenter اعمال کنید. دسترسی پرسنل به تمام توابع مدیریت هایپروایزر و کنسول‌های اداری را محدود کنید. احراز هویت چندعاملی (MFA) را برای دسترسی به رابط مدیریتی هایپروایزر پیاده‌سازی کنید. از Privileged Access Workstation (PAW) برای مدیریت هایپروایزر استفاده کنید. شبکه مدیریت هایپروایزر را کاملاً از شبکه تولید با VLAN اختصاصی جدا کنید.امنیت شبکه (A.8.20 / A.8.21 / A.8.22): جداسازی شبکه را با پیاده‌سازی فایروال مجازی یا فیزیکی در سطح هایپروایزر و VM انجام دهید. سیستم‌های جلوگیری از نفوذ (IPS) را در سطح هایپروایزر، VM یا هر دو برای شناسایی و مسدودسازی ترافیک ناخواسته پیاده‌سازی کنید. ترافیک مدیریتی هایپروایزر را جدا کنید و از دسترسی Guest OS به هایپروایزر جلوگیری نمایید. ابزارهای مدیریتی نباید از داخل Guest OS اجرا شوند.مدیریت آسیب‌پذیری (A.8.8): وصله‌گذاری فوری هایپروایزر و vCenter ضروری است. آسیب‌پذیری‌های CVE-2025-22224 و CVE-2026-47876 نمونه‌هایی از آسیب‌پذیری‌هایی هستند که باید بلافاصله پس از انتشار وصله اعمال شوند. CVEهای جدید را از منابع معتبر مثل NVD و وب‌سایت Broadcom/VMware پیگیری کنید. اگر به VMCI نیازی نیست، آن را غیرفعال کنید، چون CVE-2025-22224 از این رابط برای فرار از ماشین مجازی استفاده می‌کند. اگر امکان دارد، آداپتورهای VMXNET3 را غیرفعال کنید یا دسترسی ادمین به ماشین‌هایی که از این آداپتور استفاده می‌کنند را محدود نمایید.پایش و ثبت رویداد (A.8.15 / A.8.16): لاگ‌گیری جامع را روی هایپروایزر فعال کنید و لاگ‌ها را به یک SIEM مرکزی ارسال نمایید. یکپارچگی فایل‌های سیستمی هایپروایزر را نظارت کنید. ناهنجاری‌ها در رفتار VMها و فرآیند VMX را شناسایی کنید. از ابزارهای تشخیص VMBR که در سطحی پایین‌تر از هایپروایزر اجرا می‌شوند استفاده کنید.پشتیبان‌گیری و بازیابی (A.8.13 / A.8.14): پشتیبان‌گیری منظم و تست‌شده از ماشین‌های مجازی و پیکربندی هایپروایزر انجام دهید. پشتیبان‌ها را در محیطی جدا از شبکه تولید ذخیره کنید. فرآیند بازیابی را مستندسازی و دوره‌ای تست کنید.امنیت فیزیکی (A.7): دسترسی فیزیکی به سرورهای هایپروایزر را محدود کنید، چون Hyperjacking می‌تواند از طریق دسترسی فیزیکی رخ دهد. از قفل‌های فیزیکی، نظارت تصویری و کنترل تردد در اتاق سرور استفاده کنید.یک سناریوی واقعیتصور کنید یک سازمان با یک کلاستر VMware ESXi 8.0 و ۲۰۰ ماشین مجازی را اداره می‌کنید. در مارس ۲۰۲۵، Broadcom سه آسیب‌پذیری روز-صفر (CVE-2025-22224، CVE-2025-22225 و CVE-2025-22226) را منتشر می‌کند. تیم امنیت سازمان شما هنوز وصله را اعمال نکرده است.مهاجم ابتدا از طریق یک VPN آسیب‌پذیر (SonicWall) وارد شبکه می‌شود. سپس به یک ماشین مجازی دسترسی پیدا می‌کند و با استفاده از CVE-2025-22224 از یک آسیب‌پذیری TOCTOU در VMCI بهره می‌برد تا یک نوشتن خارج از محدوده در هسته ESXi ایجاد کند. این عمل منجر به فرار از ماشین مجازی و اجرای کد به‌عنوان فرآیند VMX می‌شود. مهاجم سپس یک درپشتی پایدار (VSOCKpuppet) روی هایپروایزر نصب می‌کند و به‌صورت مخفیانه به نظارت و کنترل تمام ۲۰۰ ماشین مجازی می‌پردازد.اگر سازمان شما CIS VMware ESXi 8.0 Benchmark را پیاده‌سازی کرده بود، VMCI را غیرفعال کرده بود (در صورتی که به آن نیاز نداشت)، وصله‌های امنیتی را فوراً اعمال کرده بود، و لاگ‌های ESXi را به SIEM ارسال کرده بود، این حمله می‌توانست در مراحل اولیه شناسایی و متوقف شود. این سناریو نشان می‌دهد که ترکیب مدیریت پیکربندی (A.8.9)، مدیریت آسیب‌پذیری (A.8.8) و پایش (A.8.15) می‌تواند از یک فاجعه جلوگیری کند.جمع‌بندیحملات VM Escape و Hyperjacking دو تهدید جدی برای امنیت محیط‌های مجازی‌سازی هستند که هر دو اصل جداسازی را نقض می‌کنند. VM Escape از داخل یک ماشین مجازی آغاز می‌شود و از آسیب‌پذیری‌های نرم‌افزاری مثل CVE-2025-22224 و CVE-2026-47876 بهره می‌برد. Hyperjacking مستقیم به هایپروایزر حمله می‌کند و کنترل کامل لایه مجازی‌سازی را هدف می‌گیرد. ابزارهای امنیتی سنتی در برابر Hyperjacking ناکارآمد هستند.در چارچوب CISSP، این حملات به Domain 1 (تحلیل ریسک)، Domain 3 (معماری امنیتی و مجازی‌سازی) و Domain 4 (امنیت شبکه) مرتبط هستند. رویکرد مقابله مؤثر نیازمند پیاده‌سازی سیستم مدیریت امنیت اطلاعات (ISMS) بر پایه ISO/IEC 27001:2022 است که شامل مدیریت پیکربندی (A.8.9)، کنترل دسترسی (A.5.15)، امنیت شبکه (A.8.20)، مدیریت آسیب‌پذیری (A.8.8)، پایش (A.8.15) و پشتیبان‌گیری (A.8.13) می‌شود.نکته کلیدی این است که هایپروایزر باید به‌عنوان دارایی Tier 0 در نظر گرفته شود و بالاترین سطح حفاظت برای آن اعمال گردد. ترکیب مدیریت پیکربندی، مدیریت آسیب‌پذیری و پایش مداوم می‌تواند از یک فاجعه جلوگیری کند. در نهایت، امنیت مجازی‌سازی یک فرآیند مداوم است، نه یک پروژه یک‌باره.منابع1. NIST. (2018). Security Recommendations for Server-based Hypervisor Platforms. NIST Special Publication 800-125A Revision 1. https://csrc.nist.gov/publications/detail/sp/800-125a/rev-1/final2. NIST. (2011). Guide to Security for Full Virtualization Technologies. NIST Special Publication 800-125. https://csrc.nist.gov/publications/detail/sp/800-125/final3. NIST. (2018). Secure Virtual Network Configuration for Virtual Machine (VM) Protection. NIST Special Publication 800-125B. https://csrc.nist.gov/publications/detail/sp/800-125b/final4. ISC2. (2024). CISSP Domain 3: Security Architecture and Engineering – Virtualization Security. https://www.isc2.org/certifications/cissp5. ISC2. (2024). CISSP Domain 4: Communication and Network Security – Virtualized Network Security. https://www.isc2.org/certifications/cissp6. VulDB. (2026). CVE-2026-47876: VMware ESX VMXNET3 Virtual Network Adapter Out-of-Bounds Write. https://vuldb.com/vuln/3847997. The Hacker News. (2026, January 9). China-Linked Hackers Exploit VMware ESXi Zero-Days to Escape Virtual Machines. https://thehackernews.com/2026/01/chinese-linked-hackers-exploit-vmware.html8. SecurityWeek. (2026, January 9). Exploit for VMware Zero-Day Flaws Likely Built a Year Before Public Disclosure. https://www.securityweek.com9. Safeguard.sh. (2026, March 31). VMware Zero-Days March 2025 – ESXi VM Escape Analysis. https://safeguard.sh10. Center for Internet Security. (2026). CIS VMware ESXi 8.0 Benchmark v1.4.0. https://www.cisecurity.org/benchmark/vmware11. ISO/IEC 27001:2022. Information Security Management Systems – Requirements. Annex A Controls: A.5.15, A.8.2, A.8.3, A.8.8, A.8.9, A.8.13, A.8.14, A.8.15, A.8.16, A.8.20, A.8.21, A.8.22.12. ISMS.online. (2025, September 2). ISO 27001:2022 Annex A 8.9 – Configuration Management. https://www.isms.online13. Lawson, N. (2026). A Deep Dive Into Hyperjacking. GeekChamp. https://geekchamp.com14. Wiley Online Library. (2022, July 30). Virtualization Security: The Present State and Future. https://onlinelibrary.wiley.com

CISSP دامنه ۱: امنیت اطلاعات و مدیریت ریسک

vafa.akhtarkhavari — Mon, 05 Oct 2026 11:33:25 +0330

مفاهیم پایه و مبانی حقوقی، بخش اولنوشته وفا اخترخاوری · ۱۳ مهر ۱۴۰۵ (۵ اکتبر ۲۰۲۶)دامنه اول آزمون CISSP زبان مشترک امنیت اطلاعات را می‌سازد و همه دامنه‌های بعدی روی آن بنا می‌شوند. این مقاله بخش اول این دامنه را به فارسی و با مثال‌های کاری مرور می‌کند: مفاهیم پایه امنیت و مبانی حقوقی که هر متخصص امنیت و هر شرکت‌کننده آزمون باید بشناسد.اصطلاحات انگلیسی در هر بخش در کادر جداگانه آمده‌اند تا هم خواندن متن راحت‌تر باشد و هم بتوانید اصطلاح را برای آزمون و جست‌وجو به خاطر بسپارید.سه‌گانه CIAهر تصمیم امنیتی در نهایت از یکی از سه ستون زیر محافظت می‌کند.محرمانگیپرسش اصلی: چه کسی می‌تواند بخواند؟ نمونه حمله، سرقت داده کارت اعتباری است. کنترل‌های اصلی رمزنگاری و فهرست کنترل دسترسی هستند.Confidentiality Control: Encryption, ACLیکپارچگیپرسش اصلی: چه کسی می‌تواند تغییر بدهد؟ نمونه حمله، تغییر مبلغ یک تراکنش است. کنترل‌ها: هش و محدود کردن دسترسی نوشتن.Integrity Control: Hash, restrict write accessدسترس‌پذیریپرسش اصلی: آیا داده در لحظه نیاز در دسترس است؟ نمونه حمله، ازکارانداختن سرویس است. کنترل‌ها: افزونگی و پشتیبان‌گیری.Availability Attack: DoS Control: Redundancy, Backupضد CIA و انواع یکپارچگیبرای شناخت حمله باید ضد هر ستون را بدانید: افشا ضد محرمانگی، تغییر ضد یکپارچگی و نابودی (یا در دسترس نبودن) ضد دسترس‌پذیری است.DAD = Disclosure, Alteration, Destructionیکپارچگی دو نوع دارد. یکپارچگی داده یعنی داده بدون مجوز تغییر نکند، مثل یک جدول مالی. یکپارچگی سیستم یعنی خود سیستم بدون مجوز تغییر نکند، مثل فایل‌های سیستم‌عامل و پیکربندی سرور.Data integrity / System integrityزنجیره هویت و پاسخ‌گوییچهار مرحله دارد و ترتیبشان مهم است. اول شناسایی: ادعای «من فلانی هستم». دوم احراز هویت: اثبات ادعا با رمز، توکن یا بایومتریک. سوم مجوزدهی: مشخص می‌کند چه کارهایی مجاز است، یعنی خواندن، نوشتن یا اجرا. چهارم پاسخ‌گویی: ثبت و تحلیل لاگ‌ها.Identification → Authentication → Authorization → Accountability (AAA)مرحله شناسایی در اختصار AAA جا افتاده است، اما بدون آن سه مرحله دیگر ممکن نیست.عدم انکارIntegrity + Authentication = Nonrepudiationفرض کنید در قرارداد خرید یک ماشین هویت خریدار ثابت شده، اما قیمت از ۲۰ به ۴۰ تغییر کرده است. احراز هویت برقرار است ولی یکپارچگی نقض شده و سند بی‌ارزش می‌شود. هر دو شرط لازم‌اند. امضای دیجیتال دقیقاً همین ترکیب را فراهم می‌کند.چهار اصل بنیادینکمترین دسترسی: حداقل دسترسی لازم برای انجام کار، نه بیشتر.Least privilegeنیاز به دانستن: دقیق‌تر از اصل قبلی است؛ برای هر داده خاص باید نیاز واقعی وجود داشته باشد.Need to knowسوژه و آبجکت: سوژه فعال است (انسان یا برنامه) و آبجکت منفعل است (فایل، جدول، سند).Subject / Objectدفاع در عمق: کنترل‌های لایه‌ای، چون هر کنترل ممکن است شکست بخورد.Defense in depthسه نظام حقوقی اصلیحقوق مدنی بر قوانین مدون تکیه دارد و آرای قبلی دادگاه‌ها وزن زیادی ندارند. حقوق مشترک بر رویه قضایی تکیه دارد؛ رأی قاضی می‌تواند از قانون هم پیشی بگیرد و تفسیر با تغییر جامعه عوض می‌شود. حقوق دینی و عرفی بر آموزه‌های دینی یا عرف استوار است؛ شریعت نمونه رایج حقوق دینی است و حقوق عرفی یعنی عرفی که جایگاه قانون پیدا کرده است.Civil law / Common law / Religious & Customary lawیک اصل مشترک: ناآگاهی از قانون، عذر قابل‌قبول نیست.شاخه‌های حقوق در رویه قضاییکیفری: قربانی جامعه است، هدف بازدارندگی و مجازات است و بار اثبات سنگین است (فراتر از هر شک معقول).مدنی و مسئولیت مدنی: قربانی فرد یا سازمان است، هدف جبران خسارت است و بار اثبات سبک‌تر است (غلبه شواهد).اداری: هدف اجرای مقررات دولتی است؛ مثال‌ها HIPAA، FCC و FDA.Criminal: Beyond reasonable doubt Civil / Tort: Preponderance of evidence Administrative: HIPAA, FCC, FDAدام رایج: عبارت «حقوق مدنی» هم نام یک نظام حقوقی کامل است و هم نام یک شاخه داخل نظام حقوق مشترک. معنی را از متن سؤال تشخیص دهید.سه نوع خسارت مالیخسارت قانونی مبلغی است که قانون تعیین کرده و حتی بدون ضرر واقعی قابل پرداخت است. خسارت جبرانی ضرر واقعی را که مستقیماً از تخلف ناشی شده جبران می‌کند. خسارت تنبیهی برای تنبیه و بازدارندگی در تخلف‌های فاحش است.Statutory / Compensatory / Punitiveمراقبت لازم و راستی‌آزماییمراقبت لازم یعنی انجام کار معقول. معیار آن «قاعده انسان معقول» است: یک انسان معقول چه می‌کرد؟ مثال: انتظار از کارکنان که سیستم‌ها را وصله‌گذاری کنند. راستی‌آزمایی یعنی پیگیری و تأیید مراقبت لازم با یک فرایند مشخص؛ مثلاً بررسی اینکه وصله‌ها واقعاً نصب شده‌اند.Due care (Prudent man rule) Due diligence Gross negligence = opposite of due careضد مراقبت لازم، غفلت فاحش است. اگر اطلاعات شخصی افراد لو برود و بتوانید مراقبت لازم را اثبات کنید، موقعیت حقوقی شما بسیار قوی‌تر خواهد بود.اصول شواهد در تحقیقات دیجیتالقاعده بهترین شاهد می‌گوید دادگاه بهترین شاهد ممکن را ترجیح می‌دهد، یعنی اصل سند را به کپی و شیء ملموس را به شهادت شفاهی. برای صحت شواهد با هش ثابت می‌کنیم داده دیسک بعد از جمع‌آوری و تحلیل تغییر نکرده است. زنجیره نگهداری یعنی مستندسازی کامل اینکه شاهد دست چه کسی بوده، کی و کجا؛ هر شکاف در آن ارزش شاهد را کم می‌کند.Best evidence rule Evidence integrity: MD5 or SHA-1 hash Chain of custodyانواع شواهدشاهد فیزیکی خود شیء ملموس است، مثل دیسک. شاهد مستقیم شهادت درباره چیزی است که شاهد با حواس خودش تجربه کرده؛ ضعفش وابستگی به صداقت و حافظه شاهد است. شاهد قرینه‌ای از شرایط پیرامونی به نتیجه می‌رسد. شاهد تقویت‌کننده از یک ادعای مورد تردید پشتیبانی می‌کند. شنیده‌ها اظهارات دست‌دوم‌اند. شاهد ثانویه کپی سند یا توصیف شفاهی است و لاگ‌های کامپیوتری معمولاً در این دسته قرار می‌گیرند.Real / Direct / Circumstantial / Corroborative / Hearsay / Secondaryمثال شاهد قرینه‌ای: ورود به سرور ساعت ۳ بامداد با حساب یک کارمند ثبت شده، فایل‌های حساس روی سیستم او پیدا شده و لاگ‌ها درست قبل از استعفای او پاک شده‌اند. هیچ‌کدام به‌تنهایی نمی‌گوید او این کار را کرد، اما کنار هم قوی هستند.جرایم رایانه‌ای و به دام انداختنرایانه می‌تواند هدف باشد، مثل حمله ازکارانداختن سرویس یا نصب بدافزار برای ارسال هرزنامه. می‌تواند ابزار هم باشد، مثل سرقت اطلاعات کارت، شناسایی هدف برای جاسوسی یا آزار و اذیت.به دام انداختن یعنی مأمور کسی را که قصد جرم نداشت به جرم ترغیب کند، و این کار غیرقانونی است. فریب یعنی فرد از قبل مصمم یا مرتکب بوده و مأمور فقط شرایط را فراهم می‌کند؛ هانی‌پات نمونه آن است.Entrapment (illegal) Enticement (e.g. honeypot)شروع مالکیت فکریثبت اختراع انحصار ساخت و فروش یک اختراع را در ازای افشای عمومی آن می‌دهد و معمولاً ۲۰ سال از تاریخ ثبت اعتبار دارد. علامت تجاری برندی است که منبع محصول را مشخص می‌کند، مثل نام و لوگو؛ نماد ™ برای ثبت‌نشده و نماد ® برای ثبت‌شده است. حق نشر، مجوزها و اسرار تجاری در بخش بعد می‌آیند.Patent / Trademark (™ vs ®)جمع‌بندیعدم انکار از ترکیب احراز هویت و یکپارچگی به دست می‌آید. کمترین دسترسی یعنی حداقل لازم برای کار، و نیاز به دانستن یعنی دسترسی به یک داده خاص. معیار غفلت، مراقبت لازم و قاعده انسان معقول است. بار اثبات در پرونده کیفری سخت‌تر است. و ثبت اینکه شاهد دست چه کسی بوده، زنجیره نگهداری نام دارد.پرسش‌های متداولسه‌گانه CIA چیست؟سه ستون اصلی امنیت اطلاعات: محرمانگی، یکپارچگی و دسترس‌پذیری.تفاوت مراقبت لازم و راستی‌آزمایی چیست؟مراقبت لازم انجام کار معقول است و راستی‌آزمایی تأیید اینکه آن کار واقعاً انجام شده است.عدم انکار چگونه به دست می‌آید؟با ترکیب یکپارچگی و احراز هویت؛ امضای دیجیتال همین کار را می‌کند.درباره نویسندهوفا اخترخاوری (Vafa AkhtarKhavari)، متخصص زیرساخت شبکه و امنیت با بیش از ۱۸ سال تجربه در شبکه، مجازی‌سازی، امنیت و پشتیبان‌گیری.لینکدین: linkedin.com/in/v-akhtarkhavariگیت‌هاب: github.com/vafaakhtarkhavari-jpgگروه مطالعه CISSP: هدف من از ساخت این گروه، ایجاد فضایی برای یادگیری و تمرین CISSP به زبان فارسی است؛ جایی برای مرور هفتگی دامنه‌ها، حل سؤال تمرینی و تبادل تجربه. این گروه غیررسمی است و به ISC2 وابسته نیست. اگر دوست داشتید، عضو شوید:https://www.linkedin.com/groups/40617146/

دسترسی امن از راه دور به سرور: یک سناریوی واقعی، بدون پورت باز

vafa.akhtarkhavari — Sat, 03 Oct 2026 13:39:49 +0330

راهنمای حرفه‌ای دسترسی امن از راه دور به سرورهای حیاتی بدون باز کردن پورت ۳۳۸۹. نوشتهٔ وفا اخترخاوری، متخصص زیرساخت و امنیت شبکه.دسترسی امن از راه دور به سرور: یک سناریوی واقعی، بدون پورت بازوفا اخترخاوری | ۱۱ مهر ۱۴۰۵ (۳ اکتبر ۲۰۲۶)خلاصه: سریع‌ترین راه پشتیبانی از راه دور، باز کردن پورت روی اینترنت است و پرریسک‌ترین راه هم همین است. در این مقاله با یک سناریوی کاری واقعی می‌بینید که چطور همین کار را بدون هیچ پورت عمومی، با کنترل هویت، اعتبار موقت و ردگیری کامل انجام دهیم.سناریو: به‌روزرسانی شبانهٔ سرور مالیسازمانی چند سرور حیاتی دارد: مالی، مدیریت مشتریان، دایرکتوری، فایل و چند سرویس دیگر. شرکت پشتیبان باید ساعت ۲۲ سرور مالی را به‌روزرسانی کند. مهندس پشتیبان، آقای «الف»، بیرون از سازمان است.روش رایج و مشکلشرایج‌ترین راه این است که مدیر شبکه پورت ۳۳۸۹ سرور مالی را روی اینترنت باز کند و نام کاربری و گذرواژه را به پشتیبان بدهد. اتصال برقرار می‌شود، اما از همان لحظه سرور مالی برای همهٔ اینترنت دیده می‌شود. اسکنرها پیدایش می‌کنند، حدس گذرواژه شروع می‌شود و هر آسیب‌پذیری وصله‌نشده‌ای یک دعوت‌نامه است. گذرواژهٔ مشترک هم یعنی بعداً معلوم نیست چه کسی چه کاری کرده است.مشکل خودِ ریموت دسکتاپ نیست. مشکل این است که سرویسی که فقط یک نفر باید ببیند، به همه نشان داده می‌شود.روش امن: همان سناریو، قدم‌به‌قدمدرخواست دسترسی :مدیر شبکه برای آقای «الف» یک حساب فردی می‌سازد و بازه نگهداری را تعریف می‌کند. توکن سخت‌افزاری او قبلاً برنامه‌ریزی و به نام خودش ثبت شده است. هیچ پورتی روی اینترنت باز نیست.آقای «الف» با نرم‌افزار وی‌پی‌ان و حساب شخصی خود به فایروال سازمان وصل می‌شود. فایروال فقط اتصال مجاز از منبع مجاز در زمان مجاز را می‌پذیرد. حتی پس از ورود هم او به کل شبکه دسترسی ندارد، فقط به سروری که ما بواسطه نوشتن رول در فایروال مشخص کرده ایم دسترسی خواهد داشت.آقای «الف» توکن شخصی خود را به رایانه‌اش وصل می‌کند و کد یک‌بارمصرف را می‌گیرد. سامانهٔ مدیریت دسترسی ویژه همین کد را می‌خواهد و تأیید می‌کند. اگر گذرواژهٔ وی‌پی‌ان او لو رفته بود، مهاجم بدون این دستگاه فیزیکی همین‌جا متوقف می‌شد.کلید موقت(رمز یکبار مصرف):سامانه فقط برای سرور مالی و فقط برای همین بازه یک اعتبار موقت صادر می‌کند. آقای «الف» گذرواژهٔ دائمی مدیر را نمی‌بیند و به سرور مدیریت مشتریان یا دایرکتوری هم راه ندارد و تنها می تواند روی سرور مورد نظر لاگین کند.در بازه زمانی مشخص کارش را انجام می دهد:او به سرور مالی وصل می‌شود و به‌روزرسانی را انجام می‌دهد. شبکه‌های مجازی جدا از هم باعث می‌شوند حتی اگر او (یا رایانهٔ آلودهٔ او) بخواهد جای دیگری برود، مسیر بسته است و کل نشست (Session) قابل ضبط است.انجام آپدیت مورد نظر روی سرور و پایان کار:نشست(season) بسته می‌شود و اعتبار موقت منقضی می‌شود. فردا هیچ کلید معتبری دست او نیست.صبح روز بعد بازبینی انجام می شود:مدیر شبکه در سامانهٔ همبستگی رویداد می‌بیند چه کسی، چه زمانی از کدام نشانی، با کدام درخواست و روی کدام سرور کار کرده است. اگر اتفاقی افتاده باشد، همه‌چیز قابل ردیابی است.چه لایه‌هایی پشت این سناریو هستند؟فایروال ها : تنها نقطهٔ ورود از اینترنت. اگر یکی خراب شود، دیگری جایگزین می‌شود.وی‌پی‌ان رمزگذاری‌شده: حساب فردی برای هر مهندس و تونلی که مستقیم روی خود فایروال بسته می‌شود.مسیریاب و سوئیچ مرکزی: فقط ترافیک را هدایت می‌کنند.مدیریت دسترسی ویژه و توکن: عامل دوم احراز هویت با توکن سخت‌افزاری شخصی و صدور مجوز موقت.بخش‌بندی شبکه: سرورها، ابزارهای مدیریت و رایانه‌های کاربران هر کدام شبکهٔ مجازی جدا دارند و هر طبقه شبکهٔ خودش را دارند.محدودیت زمانی و جغرافیایی: دسترسی فقط در بازهٔ نگهداری مصوب و از مناطق مصوب. این‌ها لایه‌های مکمل‌اند و جای بقیه را نمی‌گیرند.ثبت و همبستگی رویداد: دید کامل روی همه‌چیز.این معماری بر سه اصل دفاع در عمق، حداقل دسترسی و اعتماد صفر بنا شده است. براساس سند ۸۰۰-۲۰۷ مؤسسهٔ ملی استاندارد و فناوری آمریکا، اعتماد فقط به‌خاطر جای قرارگرفتن در شبکه داده نمی‌شود و هویت و مجوز پیش از هر دسترسی بررسی می‌شود.درستی کار چطور سنجیده می‌شود؟آزمون کنترل‌شده انجام می‌شود. از جمله:اتصال مستقیم از اینترنت باید رد شود.اسکن بیرونی نباید پورت ۳۳۸۹ را باز ببیند.درخواست دسترسی بدون توکن باید رد شود.کاربر مجاز نباید به سرور خارج از حوزه‌اش برسد.اتصال خارج از بازهٔ زمانی باید توسط سیاست رد شود.یک نشست کامل مجاز باید با همهٔ رویدادهایش ثبت و همبسته شود.فواید مدیریت دسترسیگذرواژهٔ دائمی دست پیمانکار نمی‌رسد. برای هر کار یک اعتبار موقت صادر می‌شود و با پایان نشست منقضی می‌شود.حداقل دسترسی. هر مجوز به کاربر، سرور مقصد، حساب ویژه، نوع کار و بازهٔ زمانی مشخص گره می‌خورد. مجوز سرور مالی، راهی به سرورهای دیگر باز نمی‌کند.پاسخگویی کامل. هر دسترسی به یک درخواست و یک فرد مشخص وصل است، نه یک حساب مشترک.ضبط و بازبینی. فقط ثبت نمی‌شود که کسی وصل شد؛ کارهای انجام‌شده در نشست هم قابل نگهداری و بازبینی است. این برای پیمانکاران بیرونی بسیار مهم است.کنترل مرکزی. همهٔ مجوزها از یک نقطه صادر می‌شوند و در صورت نیاز فوراً لغو می‌شوند.فواید توکنعامل دوم مستقل. حتی اگر گذرواژهٔ وی‌پی‌ان لو برود، مهاجم بدون توکن از مرحلهٔ مدیریت دسترسی جلوتر نمی‌رود.کد یک‌بار مصرف در بازه زمانی مشخص. کدی که دزدیده یا شنود شود، بعد از استفاده یا انقضا بی‌ارزش است.جداسازی دو کنترل. هویت نزد فایروال تأیید می‌شود و مجوز ویژه در سامانهٔ دیگر. شکستن یکی، دیگری را باز نمی‌کند.ردگیری تلاش‌ها. هر درخواست موفق یا ناموفق ثبت می‌شود و تلاش‌های مشکوک زود دیده می‌شوند.شخصی و فیزیکی. هر مهندس توکن برنامه‌ریزی‌شدهٔ خودش را دارد. کسی که فقط گذرواژه را بداند، بدون دستگاه نمی‌تواند کد بسازد.در کنار هم: وی‌پی‌ان می‌گوید «شما کی هستید»، توکن «اثباتش کنید» و مدیریت دسترسی ویژه «چه کاری و تا کی مجاز هستید».ریسک باقی‌مانده و راه مدیریت آنهیچ طرح امنیتی ریسک را صفر نمی‌کند، اما این طرح ریسک‌های باقی‌مانده را شناسایی کرده و برای هرکدام کنترل در نظر گرفته است.رایانهٔ آلودهٔ مهندس و لو رفتن اطلاعات ورود با عامل دوم، حساب فردی و اعتبار موقت محدود می‌شود.خطای پیکربندی با ده آزمون اعتبارسنجی و بازبینی دوره‌ای کشف می‌شود.سامانهٔ مدیریت دسترسی ویژه چون کد توکن را تأیید می‌کند و تصمیم دسترسی را هم می‌گیرد، مهم‌ترین هدف است. به همین دلیل سخت‌سازی، وصله‌گذاری و محدودکردن دسترسی به آن اولویت اول است.گم‌شدن یا سرقت توکن با غیرفعال‌سازی فوری آن و صدور توکن جایگزین مدیریت می‌شود.مسیریاب قدیمی از نظر پشتیبانی امنیتی بررسی می‌شود.لینک همگام‌سازی دو فایروال در زمان اجرا آزمایش می‌شود.پایش مداوم، مدیریت وصله و بازبینی دوره‌ای این کنترل‌ها را زنده نگه می‌دارد.جمع‌بندی: فواید این روشاین طرح نشان می‌دهد دسترسی از راه دور به سرورهای حیاتی لازم نیست به قیمت باز گذاشتن پورت تمام شود. فایروال دوتایی، وی‌پی‌ان، توکن، مدیریت دسترسی ویژه، بخش‌بندی شبکه و ثبت رویداد کنار هم کاری می‌کنند که مهاجم باید چند کنترل مستقل را جداگانه بشکند.هیچ سرور یا پورت مدیریتی روی اینترنت دیده نمی‌شود.هر مهندس فقط به همان سرور، همان کار و همان بازهٔ زمانی دسترسی دارد.پیمانکار بیرونی هرگز گذرواژهٔ دائمی را نمی‌بیند.هر نشست قابل بازسازی و ضبط است.خرابی یک فایروال کار را متوقف نمی‌کند.اصل کار برای سازمان کوچک و بزرگ یکسان است.چه مشکلاتی را پوشش می‌دهد؟انتشار پورت ۳۳۸۹ روی اینترنت و خطر اسکن و حملهٔ مستقیمحدس گذرواژه و حملات مبتنی بر اعتبارکافی‌بودن یک گذرواژهٔ لو رفته برای نفوذحساب مشترک پیمانکار و نبود پاسخگوییحرکت جانبی از یک سرور یا رایانهٔ آلوده به بقیهٔ شبکهدسترسی بیش از نیاز و گذرواژهٔ دائمی ادمین در دست افراد بیرونیدسترسی در ساعات یا از مناطق غیرمجازنبود ردگیری و ناتوانی در بازسازی رخدادنقطهٔ شکست واحد در فایروالپرسش‌های متداولآیا ریموت دسکتاپ ذاتاً ناامن است؟خیر. ریسک از انتشار آن روی اینترنت ناشی می‌شود.آیا وی‌پی‌ان به‌تنهایی کافی است؟خیر. وی‌پی‌ان هویت را نزد فایروال تأیید می‌کند، اما دسترسی ویژه به توکن و مجوز موقت جداگانه نیاز دارد.چرا حساب مشترک ممنوع است؟چون پاسخگویی را از بین می‌برد و ردگیری عملکرد هر فرد ممکن نیست.آیا این رویکرد برای سازمان‌های کوچک هم کاربرد دارد؟بله. اصل یکسان است: پورت مدیریتی منتشر نکنید، لایه‌های مستقل بگذارید و همه‌چیز را ثبت کنید.دربارهٔ نویسنده: وفا اخترخاوری بیش از ۱۸ سال سابقه در زیرساخت شبکه، مجازی‌سازی، امنیت و پشتیبان‌گیری دارد. او مدرس دوره‌های شبکه و مجازی‌سازی است و در مسیر تخصصی‌شدن در حوزهٔ مرکز عملیات امنیت فعالیت می‌کند.LinkedIn: linkedin.com/in/v-akhtarkhavariGitHub: github.com/vafaakhtarkhavari-jpgواژه‌نامهٔ فنیپورت ۳۳۸۹ = RDP portوی‌پی‌ان = IPsec / IKEv2 VPNجفت فایروال = HA pairمدیریت دسترسی ویژه = PAMتوکن = OTP (one-time password)نشست = Sessionشبکهٔ مجازی = VLANاعتماد صفر = Zero Trustهمبستگی رویداد = SIEM correlation (FortiSIEM)

امن سازی زیرساخت و عملیات بر اساس روش CISSP: پلی از تئوری به عمل در دنیای واقعی

vafa.akhtarkhavari — Thu, 01 Oct 2026 18:20:30 +0330

امن ‌سازی زیرساخت و عملیات بر اساس روش CISSP: پلی از تئوری به عمل در دنیای واقعینویسنده: وفا اخترخاوریمقدمهدر طول سال‌ها تجربه‌ام به عنوان مدیر شبکه و مدرس دوره‌های تخصصی امنیت، همواره با یک چالش مشترک مواجه بوده‌ام: شکاف عمیق بین تئوری و عمل. بسیاری از دانشجویان و متخصصان، مسیر سخت و ارزشمند CISSP را طی می‌کنند و مفاهیم مدیریتی و استراتژیک را به خوبی فرا می‌گیرند، اما زمانی که پشت کنسول سوئیچ‌ها، سرورهای مایکروسافت یا پلتفرم‌های مجازی‌سازی می‌نشینند، در ترجمه آن چارچوب‌های انتزاعی به دستورات و تنظیمات عملی دچار مشکل می‌شوند.مأموریت من به عنوان یک مربی و مدیر زیرساخت، شفاف‌سازی این مفاهیم و ساختن پلی برای رشد و درک عمیق تکنیک‌های CISSP در دنیای واقعی شبکه است. در این مقاله، فراتر از مفاهیم سطح بالا حرکت می‌کنم و Port Security (امنیت پورت) را به عنوان یک مثال عملی و واقعی انتخاب کرده‌ام تا نشان دهم چگونه اصول CISSP در سنگرهای دفاعی واقعی پیاده‌سازی می‌شوند.دامنه‌های CISSP و ارتباط آن‌ها با Port Securityچارچوب CISSP یک استراتژی کلان است، اما زیبایی و کاربرد عملی آن زمانی آشکار می‌شود که این مفاهیم انتزاعی را به تجهیزات واقعی می‌گسترانیم. برای درک عملی این موضوع، بیایید به دامنه‌های کلیدی نگاه کنیم و ببینیم هر کدام در زمینه Port Security چگونه ترجمه می‌شوند.در دامنه امنیت و مدیریت ریسک (Security and Risk Management)، هدف من به عنوان مدیر، کاهش ریسک نفوذ به شبکه است. فعال‌سازی Port Security به عنوان یک کنترل کاهش ریسک عمل می‌کند که احتمال دسترسی غیرمجاز را به حداقل می‌رساند. در دامنه امنیت دارایی‌ها (Asset Security)، با محدود کردن پورت‌های سوئیچ، از دارایی‌های فیزیکی و منطقی شبکه مانند سرورها و ایستگاه‌های کاری در برابر اتصال دستگاه‌های غیرمجاز محافظت می‌کنم.در دامنه معماری و مهندسی امنیت (Security Architecture and Engineering)، اصل «دفاع در عمق» به من می‌گوید که امنیت نباید تنها به یک فایروال محیطی محدود شود (ISC2, 2021). Port Security تجلی این اصل در لایه دسترسی است. اگر مهاجمی از فایروال محیطی عبور کند، Port Security به عنوان خط دفاعی بعدی عمل می‌کند و از حرکت آزادانه یک دستگاه ناشناس در شبکه جلوگیری می‌کند.در همین دامنه، با انتخاب حالت نقض (violation mode)، بین دو فلسفه شکست تعادل برقرار می‌کنم. اولی fail-closed است: حالت shutdown پورت را به طور کامل غیرفعال (Err-disabled) می‌کند و امنیت را در اولویت قرار می‌دهد. دومی تمایل به fail-open دارد: حالت‌های protect و restrict فقط فریم‌های متخلف را حذف می‌کنند و پورت را بالا نگه می‌دارند و دسترس‌پذیری را در اولویت قرار می‌دهند. به طور دقیق، هیچ‌کدام از protect یا restrict یک fail-open واقعی نیستند، زیرا ترافیک غیرمجاز همچنان مسدود می‌شود و پورت صرفاً برای دستگاه‌های مجاز قابل استفاده باقی می‌ماند. من عمداً از اصطلاح "fail-safe" در اینجا اجتناب می‌کنم، زیرا در CISSP به محافظت از جان انسان و ایمنی اشاره دارد، مانند باز شدن درها هنگام قطع برق.در دامنه امنیت ارتباطات و شبکه (Communication and Network Security)، مفهوم کنترل دسترسی به شبکه (NAC) پدیدار می‌شود. Port Security یک شکل ابتدایی و سطح پورت از کنترل دسترسی است که در سوئیچ‌های سیسکو وجود دارد و اهداف NAC را تقریب می‌زند. با محدود کردن آدرس‌های MAC، از اتصال دستگاه‌های غیرمجاز جلوگیری کرده و مستقیماً با حملاتی مانند MAC Flooding مقابله می‌کند. با این حال، NAC واقعی مبتنی بر هویت است و معمولاً با IEEE 802.1X پیاده‌سازی می‌شود؛ من در بخش محدودیت‌ها به این تفاوت بازمی‌گردم.در دامنه مدیریت هویت و دسترسی (Identity and Access Management)، اصل «کمترین دسترسی» اعمال می‌شود (ISC2, 2021). تعیین حداکثر تعداد آدرس‌های MAC مجاز روی یک پورت سوئیچ، یکی از بیان‌های عملی این اصل است: به پورت تنها حداقل اتصال لازم برای انجام وظایفش (مثلاً اتصال یک لپ‌تاپ یا تلفن VoIP) داده می‌شود.در دامنه ارزیابی و تست امنیت (Security Assessment and Testing)، به عنوان یک اپراتور، باید به صورت دوره‌ای تنظیمات Port Security را تست کنم تا مطمئن شوم یک دستگاه غیرمجاز واقعاً نمی‌تواند به شبکه متصل شود.در دامنه عملیات امنیت (Security Operations)، کار من به پایان نمی‌رسد؛ بلکه تازه شروع می‌شود. وقتی Port Security فعال است، سوئیچ به یک سنسور امنیتی تبدیل می‌شود که پیام‌های Syslog تولید می‌کند. این دامنه همچنین مدیریت تنظیمات و تغییرات را پوشش می‌دهد: باید فریم‌ور سوئیچ را به‌روز نگه دارم و رابط‌های مدیریتی آن (مانند SNMP) را به درستی ایمن کنم تا مکانیزم امنیتی خودش به یک آسیب‌پذیری تبدیل نشود.در نهایت، دامنه امنیت توسعه نرم‌افزار (Software Development Security) معادل مستقیمی در Port Security ندارد، زیرا به کدنویسی ایمن و چرخه توسعه نرم‌افزار می‌پردازد، نه پیکربندی تجهیزات شبکه. اصول آن تنها زمانی مرتبط می‌شوند که یک سازمان ابزارهای اتوماسیون یا مدیریتی خود را حول سوئیچ‌ها بسازد، مثلاً اسکریپت‌های پیکربندی یا پایپ‌لاین‌های تدارکات.پیاده‌سازی عملی: جلوگیری از نفوذ و حملات با Port Securityدر دنیای واقعی، تهدیدات لایه ۲ بسیار خطرناک هستند زیرا فایروال‌های سنتی معمولاً آن‌ها را نمی‌بینند. یکی از رایج‌ترین این حملات MAC Flooding است. مهاجم با ارسال هزاران فریم با آدرس‌های MAC جعل‌شده، جدول CAM سوئیچ را پر می‌کند و سوئیچ را مجبور می‌کند ترافیک را به همه پورت‌ها ارسال کند (Flood) و بدین ترتیب امکان شنود ترافیک شبکه فراهم می‌شود (Cisco Press, 2020).برای مقابله با این تهدید، من از Port Security روی سوئیچ‌های سیسکو استفاده می‌کنم. این ویژگی به من اجازه می‌دهد حداکثر تعداد آدرس‌های MAC مجاز را تعیین کنم، MACهای مجاز را به صورت Static یا Sticky تعریف کنم و واکنش سوئیچ را هنگام تشخیص MAC غیرمجاز مشخص کنم. سه حالت نقض رفتار متفاوتی دارند: protect فریم‌های متخلف را بی‌صدا حذف می‌کند؛ restrict آن‌ها را حذف می‌کند، شمارنده نقض را افزایش می‌دهد و پیام Syslog تولید می‌کند؛ shutdown پورت را در وضعیت Err-disabled قرار می‌دهد و پیام Syslog تولید می‌کند.یک پیکربندی حداقلی پورت دسترسی به این صورت است:```interface GigabitEthernet0/1switchport mode accessswitchport port-securityswitchport port-security maximum 2switchport port-security mac-address stickyswitchport port-security violation shutdown!errdisable recovery cause psecure-violationerrdisable recovery interval 300logging host ```مزایای این پیاده‌سازی بسیار فراتر از یک پیکربندی ساده است: جلوگیری از دسترسی دستگاه‌های غیرمجاز، خنثی‌سازی حملات شنود، افزایش دید نسبت به دستگاه‌های متصل، و ایجاد یک لایه دفاعی اضافی که حتی در صورت عبور مهاجم از فایروال، او را در لایه دسترسی متوقف می‌کند.محدودیت‌های Port Security و کنترل‌های مکملارزیابی صادقانه هر کنترل شامل نقاط ضعف آن است. محدودیت اصلی Port Security این است که آدرس MAC یک شناسه است، نه اثبات هویت. آدرس‌های MAC به راحتی جعل می‌شوند، بنابراین مهاجمی که آدرس یک دستگاه مجاز را یاد بگیرد یا حدس بزند، می‌تواند خود را جای آن جا بزند. Port Security محدود می‌کند که چه تعداد و کدام آدرس‌ها می‌توانند روی یک پورت ظاهر شوند، اما هویت چه کسی یا چه چیزی پشت آن‌ها را احراز نمی‌کند. همچنین رفتار لایه‌های بالاتر را بازرسی نمی‌کند.به همین دلیل، Port Security باید یک لایه درون یک استراتژی گسترده‌تر سخت‌سازی لایه ۲ باشد، که دقیقاً همان چیزی است که دفاع در عمق می‌طلبد. کنترل‌های زیر آن را تکمیل می‌کنند:· IEEE 802.1X: احراز هویت مبتنی بر پورت کاربران و دستگاه‌ها در برابر یک سرور مرکزی RADIUS. این مکانیزم واقعی NAC است که دسترسی شبکه را به هویت گره می‌زند، نه به یک آدرس قابل جعل.· DHCP Snooping: سرورهای DHCP جعلی را مسدود می‌کند و یک جدول اتصال مورد اعتماد از نگاشت IP به MAC به پورت می‌سازد.· Dynamic ARP Inspection (DAI): از جدول اتصال DHCP Snooping برای توقف جعل ARP و حملات مرد میانی استفاده می‌کند.· BPDU Guard: پورت‌های دسترسی که BPDUهای درخت پوشا را دریافت می‌کنند خاموش می‌کند و از نفوذ سوئیچ‌های جعلی به توپولوژی جلوگیری می‌کند.عملیات و ارتباط آن با CISSPپیاده‌سازی امنیت تنها نیمی از کار من است. عملیات و نظارت مستمر نیمه دیگر است که در دامنه عملیات امنیت پوشش داده می‌شود (ISC2, 2021). وقتی Port Security فعال است، سوئیچ به یک سنسور امنیتی تبدیل می‌شود. هر بار که یک نقض امنیتی در حالت restrict یا shutdown رخ می‌دهد، سوئیچ یک پیام Syslog ارسال می‌کند که نشان‌دهنده تلاش برای نفوذ است.نقش من در این چرخه عملیاتی حیاتی است. باید لاگ‌های Syslog را به یک سرور مرکزی (مانند SIEM) ارسال کنم تا تلاش‌های نفوذ را نظارت کنم (Microsoft, 2023). وقتی یک پورت به وضعیت Err-disabled می‌رود (خاموشی کامل)، منبع حمله (MAC مهاجم) را با بررسی دستوراتی مانند show port-security و show mac address-table secure شناسایی می‌کنم.برای جلوگیری از خاموش ماندن دائمی پورت‌ها به دلیل خطای کاربر، می‌توانم مکانیزم بازیابی خودکار (Errdisable Recovery) را پیکربندی کنم تا پورت پس از مدتی دوباره فعال شود. با این حال، این یک مصالحه آگاهانه بین دسترس‌پذیری و امنیت است. بازیابی خودکار سرویس را بدون دخالت مدیر بازمی‌گرداند، اما به یک مهاجم سرسخت فرصت‌های مکرر می‌دهد، زیرا پورت هر بازه زمانی بالا می‌آید و نقض می‌تواند تکرار شود. بازه‌های کوتاه‌تر به نفع دسترس‌پذیری هستند؛ بازه‌های طولانی‌تر، یا بازیابی دستی روی پورت‌های حساس، به نفع امنیت. انتخاب درست به ریسک‌پذیری و حیاتی بودن پورت بستگی دارد، که دقیقاً همان نوع تصمیمی است که CISSP ما را برای گرفتنش آموزش می‌دهد. در هر صورت، نقض‌های مکرر روی یک پورت باید به عنوان یک رخداد (Incident) تلقی شوند، نه نویز در لاگ‌ها.این چرخه (نظارت، شناسایی، پاسخ، بازیابی) دقیقاً چرخه مدیریت رخداد در CISSP است. یک مدیر شبکه بدون درک این چرخه صرفاً یک تکنسین است؛ اما با درک آن، به یک اپراتور امنیتی تبدیل می‌شود.چک‌لیست موضوعی سخت‌سازی زیرساختبه جای حفظ کردن دستورات، به عنوان یک اپراتور، این چک‌لیست موضوعی را در پروژه‌های سخت‌سازی خود در نظر می‌گیرم:· طراحی معماری: آیا اصل دفاع در عمق را با فعال‌سازی Port Security روی تمام پورت‌های دسترسی پیاده‌سازی کرده‌ام؟· کنترل دسترسی: آیا دستگاه‌های غیرمجاز می‌توانند به پورت‌های سوئیچ متصل شوند؟ آیا آدرس‌های MAC با استفاده از Static یا Sticky محدود شده‌اند؟· محدودیت‌ها: آیا Port Security با 802.1X، DHCP Snooping، DAI و BPDU Guard تکمیل شده است، با توجه به اینکه آدرس‌های MAC قابل جعل هستند؟· احراز هویت: آیا از سیستم‌های متمرکز (مانند RADIUS/TACACS+) برای دسترسی مدیران استفاده می‌کنم؟· نظارت و لاگ‌گیری: آیا لاگ‌های Syslog سوئیچ (مانند پیام‌های %PORT_SECURITY-2-PSCURE_VIOLATION) به صورت مرکزی جمع‌آوری و تحلیل می‌شوند؟· پاسخ به رخداد: آیا پروتکل مشخصی برای مقابله با پورت‌های Err-disabled یا نفوذهای شناسایی‌شده دارم و آیا آگاهانه بین بازیابی خودکار و دستی انتخاب کرده‌ام؟· مجازی‌سازی: آیا ترافیک شرق-غرب بین ماشین‌های مجازی با استفاده از سوئیچ‌های توزیع‌شده کنترل و نظارت می‌شود؟نتیجه‌گیریامنیت زیرساخت یک محصول نیست؛ یک فرآیند مستمر از طراحی، پیاده‌سازی و عملیات است. چارچوب CISSP به من می‌آموزد چه چیزی مهم است و چرا، اما هنر یک مدیر شبکه و متخصص زیرساخت دانستن نحوه پیاده‌سازی این مفاهیم روی سوئیچ‌های سیسکو، سرورهای مایکروسافت و پلتفرم‌های مجازی‌سازی است. هدف من از نوشتن این مقاله کمک به رشد جامعه متخصصان زیرساخت و ایجاد درک عمیق‌تر از امنیت بود. امیدوارم این متن به عنوان پلی بین کتاب‌های قطور CISSP و کنسول‌های خالی تجهیزات شما عمل کرده باشد.منابع · Cisco Press (2020) CCNA Security Lab Manual. Indianapolis: Cisco Press.· ISC2 (2021) CISSP Certified Information Systems Security Professional Official Study Guide. 9th ed. Hoboken: Wiley.· Microsoft (2023) Security, Compliance, and Identity Fundamentals. Available at: https://learn.microsoft.com/en-us/training/ (Accessed: 1 October 2026).· VMware (2022) vSphere Security Guide. Palo Alto: VMware Inc.

امنیت ترمز است یا فرمان!؟ همسو کردن امنیت اطلاعات با راهبرد کسب‌وکار | وفا اخترخاوری

vafa.akhtarkhavari — Wed, 30 Sep 2026 11:09:10 +0330

نوشتهٔ وفا اخترخاوریVafa Akhtar Khavari | ITmentorدر بسیاری از سازمان‌ها، تیم امنیت را آخر از همه صدا می‌زنند. پروژه طراحی شده، بودجه تصویب شده، و بعد می‌پرسند: «امنیتش چطور است؟» در این حالت امنیت مثل ترمز است. کار را کند می‌کند، هزینه اضافه می‌کند و معمولاً با جملهٔ «نه» شناخته می‌شود.اما امنیت می‌تواند فرمان هم باشد: چیزی که به سازمان کمک می‌کند با اطمینان بیشتر و سرعت بیشتر به مقصد برسد. تفاوت این دو در یک مفهوم ساده است: همسویی امنیت با راهبرد کسب‌وکار.من وفا اخترخاوری هستم و بیش از ۱۸ سال در زیرساخت، شبکه، مجازی‌سازی و امنیت کار کرده‌ام. در این نوشته، هم مفاهیم علمی و تخصصی را توضیح می‌دهم و هم تجربه‌ای واقعی را می‌گویم.همسویی چیست؟هر سازمان مأموریتی دارد و هدف‌هایی که برای رسیدن به آن دنبال می‌کند: رشد درآمد، ورود به بازار تازه، حفظ مشتری، ارائهٔ خدمت بدون وقفه. همسویی یعنی هر تصمیم امنیتی را با این پرسش بسنجیم:این کار به کدام هدف سازمان کمک می‌کند؟اگر جوابی نداشته باشد، یا کنترل زائد است یا اهداف را درست نشناخته‌ایم. اگر جواب روشن باشد، دفاع از بودجه و اولویت آن هم آسان‌تر می‌شود.سه لایهٔ همسویی۱. مأموریتامنیت باید از همان چیزی محافظت کند که سازمان برایش وجود دارد. برای سازمانی که خدمتش «بی‌وقفه بودن» است، دسترس‌پذیری مهم‌ترین ضلع امنیت است. برای سازمانی که با اطلاعات حساس مشتری کار می‌کند، محرمانگی در صدر می‌نشیند. یک فهرست کنترل یکسان برای همه، همسو نیست.۲. حاکمیتامنیت نباید بیرون از ساختار تصمیم‌گیری بماند. یعنی سیاست‌های روشن، مسئولیت‌های مشخص، مدیریت ریسک مستمر و بازبینی دوره‌ای. مهم‌تر از همه اینکه تصمیم دربارهٔ پذیرش یا کاهش ریسک با مدیریت است، نه صرفاً تیم فنی. وظیفهٔ متخصص امنیت این است که ریسک را روشن و قابل‌فهم به مدیر منتقل کند.۳. نوآوریسازمانی که فناوری تازه را نمی‌پذیرد از رقبا عقب می‌ماند. امنیتی که هر تغییر را متوقف کند، خودش به ریسک تبدیل می‌شود. هدف، تعادل میان مدیریت ریسک و چابکی است، طوری که تیم‌ها بتوانند سریع حرکت کنند و کنترل‌ها از همان ابتدای طراحی کنارشان باشند.تجربهٔ من از پروژه کاریبرای حفظ محرمانگی، نام سازمان را نمی‌آورم، اما ماجرا واقعی است.(درد کشیده هاش کامل درک می کنند!)از سازمان یکی از دوستانم که با آن ها به صورت پروژه ای کار کرده بودم با من تماس گرفته شد، متاسفانه با حملهٔ باج‌افزار روبه‌رو شده بودند. پشتیبان‌گیری وجود داشت و همه فکر می‌کردیم مسئله حل‌شده است. ولی آن نسخه‌های پشتیبان هرگز آزمایش بازیابی نشده بودند. وقتی لازم شد از آن‌ها استفاده کنیم، چند سرور مالی فقط توانستند به وضعیت دو ماه قبل برگردند.نتیجه فقط یک مشکل فنی نبود. کار سازمان عملاً دو ماه به عقب برگشت. اطلاعات آن دو ماه باید دوباره بازسازی می‌شد و تصمیم‌های مدیریتی در این مدت بر پایهٔ داده‌های ناقص گرفته می‌شد.درسی که گرفتم این است: پشتیبان آزمایش‌نشده، پشتیبان نیست؛ فقط یک امید است.مدیران معمولاً وقتی هزینهٔ آزمایش بازیابی را می‌شنوند، آن را هزینهٔ فنی می‌بینند. اما کسی که یک بار دو ماه کار را از دست داده باشد می‌فهمد این هزینه، بیمهٔ تداوم کسب‌وکار است. از آن روز، وقتی دربارهٔ پشتیبان‌گیری با مدیران صحبت می‌کنم، از ظرفیت دیسک شروع نمی‌کنم. می‌پرسم:«اگر فردا این سرورها از بین بروند، سازمان چند روز کار را از دست می‌دهد؟»این پرسش، زبان فنی را به زبان کسب‌وکار ترجمه می‌کند. من پیش‌تر در مقاله‌ای در ResearchGate دربارهٔ بازیابی تأییدشده و یک تصور غلط رایج در پشتیبان‌گیری نوشته‌ام. اگر علاقه‌مند بودی، اینجا هست:researchgate.net/publication/414483507چهار قدم عملیاهداف را بشناس. با مدیران بنشین و بپرس سال آینده چه چیزی برایشان مهم است.اولویت را بر اساس هدف بچین. کنترل‌هایی که مستقیماً به آن اهداف کمک می‌کنند اول می‌آیند.با زبان کسب‌وکار اندازه بگیر. به جای «تعداد حمله‌های مسدودشده»، از چیزهایی بگو که مدیر می‌فهمد: مدت توقف خدمت، مقدار کاری که ممکن است از دست برود، هزینهٔ حادثه. و این اعداد را با آزمایش واقعی بازیابی به دست بیاور، نه با فرض. اگر آزمایش نکرده‌ای، عددی نداری.گفت‌وگو را قطع نکن. همسویی یک بار انجام نمی‌شود. با تغییر کسب‌وکار باید دوباره تنظیم شود.جمع‌بندیامنیت زمانی ارزشمند است که سازمان را به هدفش نزدیک‌تر کند. اگر امنیت را از ابتدا در برنامه‌ریزی راهبردی بگذاریم، اثرش را با زبان مدیریت بسنجیم، فرض‌ها را با آزمایش واقعی جایگزین کنیم و رابطه با تصمیم‌گیرندگان را زنده نگه داریم، از ترمز به فرمان تبدیل می‌شود.

امنیت دیجیتال به زبان ساده: تهدیدهای رایج و راه‌های مقابله

vafa.akhtarkhavari — Tue, 29 Sep 2026 11:20:23 +0330

وفا اخترخاوریمتخصص زیرساخت و امنیت شبکهاگر فردا صبح ساعت هشت، سیستم‌های سازمان شما در دسترس نباشند، کدام فرایند نخست متوقف می‌شود؟ فروش، حقوق و دستمزد یا ارتباط با مشتریان؟ و مهم‌تر از آن، چه مدت طول می‌کشد تا مدیران بتوانند به این پرسش پاسخ دقیق بدهند؟تجربه‌ی من در پروژه‌های زیرساخت و امنیت شبکه، در سازمان‌هایی با اندازه و حوزه‌ی فعالیت متفاوت، الگوی تکرارشونده‌ای را نشان می‌دهد: امنیت سایبری معمولاً در جلسات مدیریتی به‌عنوان «موضوعی فنی» مطرح می‌شود، در حالی که پیامدهای آن کاملاً کسب‌وکاری است. هدف این مقاله، بازگرداندن تهدیدهای رایج به زبان ریسک، هزینه و تصمیم‌گیری است.امنیت، مدیریت ریسک استچهار مفهوم بنیادین، از منظر مدیریتی، چنین تعریف می‌شوند:آسیب‌پذیری: نقطه‌ضعفی در سیستم، فرایند یا رفتار افراد.تهدید: عاملی که قصد و توان بهره‌برداری از آن نقطه‌ضعف را دارد.ریسک: ترکیب احتمال وقوع و اثر آن بر کسب‌وکار.اقدام کاهنده: هر تدبیری که احتمال یا اثر ریسک را کاهش دهد.همه‌ی ریسک‌ها حذف‌شدنی نیستند. وظیفه‌ی مدیریت این است که تصمیم بگیرد کدام ریسک را کاهش دهد، کدام را بپذیرد و برای کدام برنامه‌ی جایگزین داشته باشد.پنج سناریوی رایج و پیامد آن‌ها برای کسب‌وکار۱. قطع سرویس. در حملات «قطع سرویس» (DoS) و شکل توزیع‌شده‌ی آن (DDoS) هدف سرقت اطلاعات نیست؛ منابع سرویس چنان مصرف می‌شود که پاسخ‌گویی به مشتریان واقعی ممکن نیست. پیامد: افت فروش، آسیب به اعتبار برند و نقض تعهدات سطح خدمات.پرسش مدیریتی: هزینه‌ی چند ساعت قطعی سرویس اصلی چقدر است و برنامه‌ی ما چیست؟۲. جعل هویت. مهاجم اطلاعاتی را که افراد یا سیستم‌ها به آن اعتماد دارند جعل می‌کند؛ برای نمونه ایمیلی که ظاهراً از مدیرعامل یا یک تأمین‌کننده ارسال شده است. پیامد: کلاهبرداری مالی و نشت اطلاعات.پرسش مدیریتی: آیا درخواست‌های مالی حساس تنها با یک ایمیل قابل اجراست، یا تأیید از مسیر دوم الزامی است؟۳. مهندسی اجتماعی و فیشینگ. این حمله‌ها به‌جای ضعف فنی، اعتماد و عجله‌ی انسان را هدف می‌گیرند. برخی کارکنان یک سازمان را نشانه می‌روند (فیشینگ هدفمند)، برخی مدیران ارشد را (نهنگ‌گیری) و برخی از طریق تماس تلفنی یا پیامک انجام می‌شوند. در نوعی دیگر، کاربر حتی با وارد کردن آدرس صحیح به سایت جعلی هدایت می‌شود.پرسش مدیریتی: آیا کارکنان، از جمله مدیران، آموزش دوره‌ای دیده‌اند و مسیر ساده‌ای برای گزارش پیام مشکوک دارند؟۴. بدافزار. بدافزارها از نظر شیوه‌ی ورود و انتشار متفاوت‌اند: برخی در قالب نرم‌افزار مفید ظاهر می‌شوند، برخی خود را درون برنامه‌ی دیگری جا می‌دهند و برخی بدون دخالت کاربر میان سیستم‌ها منتشر می‌شوند. پیامد: توقف عملیات و از دست رفتن داده.پرسش مدیریتی: آخرین آزمون واقعی بازیابی از پشتیبان چه زمانی انجام شده است؟۵. رمز عبور ضعیف. مهاجم می‌تواند با آزمودن رمزهای رایج یا ترکیب‌های ممکن به حساب‌ها دست یابد؛ گاهی مستقیم روی صفحه‌ی ورود و گاهی پس از دستیابی به رمزهای رمزنگاری‌شده و آزمودن آن‌ها در محیطی دیگر. رمزهای کوتاه و تکراری در برابر این روش‌ها آسیب‌پذیرند.پرسش مدیریتی: آیا احراز هویت چندعاملی روی ایمیل، سامانه‌های مالی و دسترسی‌های مدیریتی فعال است؟سه پرسش بنیادین هر سامانهمعماری امنیت بر سه پرسش استوار است:این فرد کیست؟ (احراز هویت)چه اجازه‌ای دارد؟ (سطح دسترسی)چه اقداماتی انجام داده است؟ (ثبت و ردگیری فعالیت)ضعف در هر یک، یا ورود غیرمجاز را آسان می‌کند، یا دسترسی بیش از نیاز می‌دهد، یا تحلیل حادثه را غیرممکن می‌سازد.عامل انسانی و امنیت فیزیکیآموزش: آگاهی کارکنان از مؤثرترین و اقتصادی‌ترین لایه‌های دفاعی است، مشروط بر اینکه رسمی، دوره‌ای و منطبق با سیاست‌های خود سازمان باشد.امنیت فیزیکی: اتاق سرور و تجهیزات شبکه باید دارای کنترل دسترسی و ثبت تردد باشند و دسترسی کارکنان خارج‌شده بلافاصله قطع شود.هفت پرسش برای گفت‌وگو با تیم فنیدارایی‌های اطلاعاتی و سامانه‌های حیاتی سازمان کدام‌اند و در کجا قرار دارند؟حداکثر زمان قابل‌تحمل قطعی هر یک چقدر است؟آخرین آزمون بازیابی از پشتیبان چه زمانی انجام شد و نتیجه چه بود؟احراز هویت چندعاملی روی کدام حساب‌ها فعال است؟چه کسی به چه منابعی دسترسی دارد و آخرین بازبینی دسترسی‌ها چه زمانی بوده است؟اگر کارمندی ایمیل مشکوک دریافت کند، به چه کسی و از چه مسیری باید گزارش دهد؟آیا برای حوادث امنیتی سناریوی مکتوب و مسئول مشخص وجود دارد؟ابهام در پاسخ به این پرسش‌ها، خود یک یافته‌ی ارزشمند است.برنامه‌ی پیشنهادی ۹۰ روزهماه اول، شفاف‌سازی: فهرست دارایی‌ها و سامانه‌های حیاتی، تعیین مالکان و بازبینی دسترسی‌ها؛ فعال‌سازی احراز هویت چندعاملی روی حساب‌های حساس.ماه دوم، کاهش ریسک‌های اصلی: به‌روزرسانی سامانه‌ها، آزمون بازیابی از پشتیبان و تعریف فرایند تأیید دوم برای درخواست‌های مالی.ماه سوم، آمادگی: آموزش کارکنان، تدوین سناریوی مقابله با حادثه و برگزاری یک تمرین کوتاه.جمع‌بندیبه پرسش آغاز مقاله بازگردیم: اگر فردا صبح سیستم‌ها در دسترس نباشند، چه می‌شود؟سازمانی که پیش از آن روز پاسخ را می‌داند، بخش دشوار کار را انجام داده است: می‌داند چه چیزی حیاتی است، چه مدت قطعی را تحمل می‌کند، چه کسی مسئول است و بازگشت از کجا آغاز می‌شود. تفاوت سازمان‌های تاب‌آور با دیگران معمولاً در ابزار گران‌تر نیست؛ در این است که این پرسش‌ها را پیش از بحران پرسیده‌اند.مدیران ارشد نیازی به تسلط بر جزئیات فنی ندارند، اما باید بتوانند پرسش درست را مطرح کنند و به پاسخ مبهم رضایت ندهند. امنیت سایبری از همین‌جا آغاز می‌شود: از تصمیمی که مدیریت می‌گیرد، نه صرفاً از نرم‌افزاری که تیم فنی نصب می‌کند.https://www.linkedin.com/pulse/تحلیل-دو-حمله-رایج-در-مجازیسازی-vafa-akhtar-khavari-pd1geوفا اخترخاوری، متخصص زیرساخت و امنیت شبکه. برای بررسی وضعیت امنیتی سازمان، آموزش تیم‌های فنی یا مشاوره‌ی مسیر یادگیری، از طریق لینکدین در ارتباط باشید.