Network Security & Firewall
امنیت شبکه و فایروال سازمانی
امنیت شبکه یک محصول نیست که نصب شود؛ مجموعه‌ای از تصمیم‌هاست دربارهٔ اینکه چه چیزی اجازهٔ عبور دارد.
معرفی تخصصی
امنیت شبکه و فایروال در عمل چه کاری انجام می‌دهد
بیشتر حوادث امنیتی در سازمان‌های متوسط از پیچیدگی فنی مهاجم ناشی نمی‌شوند؛ از دری ناشی می‌شوند که باز مانده است. پورتی که برای راحتی باز شد، رابط مدیریتی تجهیزی که روی اینترنت دیده می‌شود، یا قاعده‌ای در فایروال که قرار بود موقت باشد و نماند.
طراحی امنیت از همین‌جا شروع می‌شود: فهرست کامل آنچه از بیرون قابل دیدن است، حذف موارد غیرضروری و انتقال موارد لازم به مسیر کنترل‌شده.
لایهٔ دوم، محدود کردن دامنهٔ یک حادثه است. در شبکهٔ تخت، یک سیستم آلوده به همهٔ دستگاه‌ها دسترسی دارد. با تقسیم‌بندی منطقی و قواعد عبور صریح، همان حادثه در محدودهٔ خود باقی می‌ماند.
مسئله
چه مشکلی را حل می‌کند
فایروال‌ها معمولاً خوب شروع می‌شوند و بد پیر می‌شوند. هر درخواست فوری یک قاعدهٔ تازه اضافه می‌کند و تقریباً هیچ‌وقت کسی قاعده‌ای را حذف نمی‌کند. پس از چند سال، مجموعه‌ای از قواعد باقی می‌ماند که هیچ‌کس جرئت دست زدن به آن‌ها را ندارد.
نتیجه، مرزی است که روی کاغذ وجود دارد اما در عمل پر از استثناست.
- سرویس‌های داخلی مانند دسترسی از راه دور یا دوربین که مستقیم روی اینترنت باز شده‌اند
- شبکهٔ تخت که در آن هر دستگاه به همهٔ دستگاه‌های دیگر دسترسی دارد
- قواعد فایروال انباشته و بدون مالک، که دلیل وجودشان مستند نیست
- رابط مدیریتی تجهیزات با رمز پیش‌فرض یا قابل دسترس از شبکهٔ عمومی
- نبود لاگ و ناتوانی در پاسخ به اینکه چه چیزی و چه زمانی عبور کرده است
- فریم‌ور قدیمی تجهیزات مرزی با آسیب‌پذیری‌های شناخته‌شده
کاربرد سازمانی
کجا به این خدمت نیاز پیدا می‌شود
بازطراحی مرز شبکه
بازبینی کامل آنچه از بیرون در دسترس است و تعریف مجدد قواعد بر پایهٔ نیاز واقعی سرویس‌ها.
تقسیم‌بندی شبکه
جدا کردن کاربران اداری، سرورها، دوربین‌ها، تلفن و مهمان، با قواعد عبور مشخص میان آن‌ها.
حفاظت از سرویس‌های منتشرشده
قرار دادن سرویس‌هایی که باید از بیرون در دسترس باشند پشت لایهٔ کنترل، به‌جای انتشار مستقیم.
بازبینی دوره‌ای قواعد
پاک‌سازی قواعد بلااستفاده و مستندسازی دلیل وجود هر قاعدهٔ باقی‌مانده.
معماری پیشنهادی
ساختاری که پیشنهاد می‌کنیم
مرز امن در چهار لایه ساخته می‌شود، با این اصل که دسترسی پیش‌فرض بسته است و هر عبور باید صریحاً تعریف شده باشد.
برای دیدن کامل نمودار، آن را به چپ و راست بکشید.
- مرز بیرونیتنها نقطهٔ تماس با اینترنت، با فهرست مشخص و مستند از آنچه اجازهٔ ورود دارد.
- تقسیم‌بندی داخلیجداسازی منطقی بخش‌ها و تعریف صریح ارتباط مجاز میان آن‌ها، تا حادثه در یک بخش محصور بماند.
- کنترل دسترسی مدیریتیمحدود کردن رابط مدیریت تجهیزات به شبکهٔ مدیریت و حساب‌های مشخص، نه از هر نقطهٔ شبکه.
- ثبت و بازبینیفعال بودن لاگ روی تجهیزات مرزی و چرخهٔ بازبینی دوره‌ای قواعد، تا مرز با گذر زمان فرسوده نشود.
قابلیت‌ها
اجزا و قابلیت‌های فنی
ارزیابی سطح در معرض دید
شناسایی کامل سرویس‌هایی که از اینترنت قابل دیدن‌اند و تعیین اینکه کدام‌یک واقعاً باید باشند.
پیکربندی و مقاوم‌سازی فایروال
بازنویسی قواعد بر پایهٔ حداقل دسترسی لازم، با مستندسازی دلیل هر قاعده.
تقسیم‌بندی شبکه
طراحی و اجرای جداسازی بخش‌ها و قواعد عبور میان آن‌ها، متناسب با جریان کار واقعی سازمان.
مقاوم‌سازی تجهیزات مرزی
تغییر اعتبارهای پیش‌فرض، محدودسازی دسترسی مدیریتی و به‌روزرسانی کنترل‌شدهٔ فریم‌ور.
فعال‌سازی ثبت رویداد
پیکربندی لاگ روی تجهیزات مرزی و ارسال آن به مقصد مرکزی برای نگهداشت و بررسی.
بازبینی دوره‌ای قواعد
پاک‌سازی قواعد بلااستفاده و تأیید مجدد قواعد باقی‌مانده، به‌عنوان یک چرخهٔ تعریف‌شده.
مزیت‌ها
چه چیزی در عملیات روزمره تغییر می‌کند
سطح حملهٔ کوچک‌تر
آنچه لازم نیست از بیرون دیده شود، دیده نمی‌شود.
حادثهٔ محدود
تقسیم‌بندی مانع از گسترش یک مشکل به کل سازمان می‌شود.
مرزی که فرسوده نمی‌شود
بازبینی دوره‌ای از انباشت استثناها جلوگیری می‌کند.
قابلیت پیگیری
لاگ‌ها امکان بررسی رویدادها پس از وقوع را فراهم می‌کنند.
سناریوهای استفاده
سه وضعیت پرتکرار و پاسخ ما به آن‌ها
این سناریوها الگوی طراحی‌اند، نه شرح پروژه‌های انجام‌شده؛ برای هر سازمان با اندازه‌گیری وضعیت واقعی بازنویسی می‌شوند.
- وضعیت
سازمانی که رابط مدیریتی دستگاه ضبط دوربین و یک سرویس دسترسی از راه دور را مستقیماً روی اینترنت منتشر کرده است.
رویکردبستن انتشار مستقیم، انتقال دسترسی‌های لازم به مسیر کنترل‌شده، و جدا کردن شبکهٔ دوربین‌ها از شبکهٔ کاربران و سرورها.
نتیجهٔ مورد انتظارسطح در معرض دید سازمان به حداقل می‌رسد و دوربین آلوده دیگر مسیری به سرورها ندارد.
- وضعیت
فایروالی با بیش از صد قاعده که بخش بزرگی از آن‌ها قدیمی‌اند و مالک مشخصی ندارند.
رویکردتحلیل ترافیک واقعی عبوری، شناسایی قواعد بلااستفاده، حذف مرحله‌ای آن‌ها با امکان بازگشت و مستندسازی قواعد باقی‌مانده.
نتیجهٔ مورد انتظارمجموعهٔ قواعد کوچک، قابل فهم و قابل بازبینی می‌شود و تغییرات بعدی ریسک کمتری دارند.
مراحل اجرا
از ارزیابی تا بهره‌برداری
ارزیابی وضعیت
بررسی قواعد فعلی، سرویس‌های در معرض اینترنت، ساختار شبکه و وضعیت فریم‌ور تجهیزات.
طراحی مرز و تقسیم‌بندی
تعریف بخش‌ها، قواعد عبور و سیاست دسترسی مدیریتی، به‌صورت مستند و قابل بازبینی.
اجرای مرحله‌ای
اعمال تغییرات در بازه‌های توافق‌شده با امکان بازگشت، و پایش اثر هر گام پیش از گام بعدی.
تحویل و چرخهٔ بازبینی
تحویل مستندات قواعد و تعریف دورهٔ بازبینی منظم برای جلوگیری از انباشت مجدد.
فناوری‌ها
سکوها و فناوری‌های مرتبط
فهرست فناوری‌هایی که در این حوزه با آن‌ها کار می‌کنیم. انتخاب نهایی در مرحلهٔ طراحی و بر پایهٔ وضعیت موجود سازمان انجام می‌شود.
- MikroTik RouterOS
- pfSense / OPNsense
- Fortinet FortiGate
- VLAN Segmentation
- IPsec / WireGuard
- Syslog Collection
پرسش‌های متداول — امنیت شبکه و فایروال
آیا سخت‌گیری امنیتی کار کاربران را کند می‌کند؟
اگر بدون شناخت جریان کار اعمال شود، بله. به همین دلیل قواعد پس از بررسی نیاز واقعی هر بخش تعریف می‌شوند و تغییرات مرحله‌ای و قابل بازگشت‌اند. هدف بستن مسیرهای غیرضروری است، نه ایجاد مانع در کار روزمره.
فایروال سخت‌افزاری جداگانه لازم داریم؟
بستگی به ابعاد و نیاز سازمان دارد. در بسیاری از مجموعه‌ها، تجهیز مرزی موجود با پیکربندی درست بخش بزرگی از نیاز را پوشش می‌دهد. پیشنهاد خرید فقط وقتی مطرح می‌شود که محدودیت واقعی در ظرفیت یا قابلیت وجود داشته باشد.
تفاوت این خدمت با تست نفوذ چیست؟
این خدمت مرز و قواعد را طراحی و مقاوم می‌کند؛ تست نفوذ وضعیت موجود را از دید مهاجم ارزیابی می‌کند. معمولاً ترتیب منطقی این است که ابتدا موارد آشکار اصلاح شوند و سپس ارزیابی انجام شود.
هر چند وقت یک‌بار قواعد باید بازبینی شوند؟
دست‌کم سالی یک بار، و حتماً پس از هر تغییر مهم در سرویس‌ها یا ساختار سازمان. قاعده‌ای که روزی لازم بوده، امروز ممکن است فقط یک در باز اضافی باشد.
خدمات مرتبط
دربارهٔ امنیت شبکه و فایروال در سازمان خود صحبت کنیم
در جلسهٔ تخصصی، وضعیت فعلی، محدودیت‌ها و اهداف قابل اندازه‌گیری شما بررسی می‌شود و تصویر روشنی از معماری پیشنهادی و مراحل اجرا ارائه می‌گردد.