شناسایی و کاهش ریسک‌های آی‌تی با 20 کنترل امنیتی

بسیاری از حملات که خارج از محیط سازمان شروع می‌شوند، متدولوژی آشنایی را دنبال می‌کنند: مهاجمی که یک دستگاه شبکه، لپ‌تاپ، ایستگاه کاری یا گوشی هوشمند را به خطر می‌اندازد از یک آسیب‌پذیری شناخته‌شده برای نفوذ در یک سازمان استفاده‌ ‌کند. پس از آن مهاجم از مجوز دسترسی دستگاه یا قربانی برای حرکت جانبی در محیط آی‌تی استفاده می‌کند و از دستگاه کم‌ارزش به خطر افتاده به فایل‌های به اشتراک گذاشته مهم کسب‌وکار، پایگاه داده‌ها و سرورهای کاربردی دربرگیرنده داده‌های حساس و مالکیت معنوی دسترسی می‌یابد.برای مبارزه با حملات رایج از این نوع، 20 کنترل امنیتی شاخص تدوین شده است. بیست کنترل امنیتی شاخص مهم به محوری‌ترین برنامه‌های امنیتی مؤثر در سراسر دولت فدرال ایالات‌متحده و چارچوبی برای مبارزه با تهدیدهای اینترنتی در صنعت تبدیل شده‌است. این کنترل‌ها یک الگوی مشترک را ارائه می‌دهند تا افراد مسئول انطباق و کسانی که مسئول امنیت هستند، بتوانند در مورد آنچه برای ایجاد امنیت در بیشتر سیستم‌ها باید به انجام برسد به توافق برسند. هیچ پیشرفتی در امنیت، تأثیری چنین ژرف و گسترده ندارد. نگاه کوتاهی داشته باشیم به اینکه این 20 کنترل امنیتی شاخص مهم در چه زمینه‌هایی هستند.موجودی مجاز و غیرمجاز دستگا‌ه‌ها :CSC 1هکرهای مجرم تلاش می‌کنند در شبکه شما از طریق هر وسیله با یک آدرس از اینکه فیزیکی، مجازی یا تلفن همراه باشد و یا از طریق ابر متصل باشد. کنترل شاخص 1 از طریق ارائه فرایندها و ابزارهایی که دستگاه‌های مجاز و غیرمجاز را در شبکه شما شناسایی می‌کنند به کاهش این خطر کمک می‌کند. شما تنها زمانی می‌توانید از دستگاه محافظت کنید که آنها شناسایی شوند، بنابراین کامپایل کردن یک موجودی دقیق، اولین گام حیاتی برای امنیت شبکه است.لیست مجاز و غیرمجاز نرم‌افزار :CSC 2مهاجمان تلاش می‌کنند تا با استفاده از آسیب‌پذیری در برنامه‌های کاربردی بر روی سرورها و ایستگاه‌های کاری متصل به شبکه به آن حمله کنند. کنترل شاخص 2 با ارائه ابزار و فرایندهایی که برنامه‌های کاربردی را در شبکه شما شناسایی می‌کنند به کاهش این خطر کمک می‌کند. برنامه‌ها باید ابتدا شناسایی شوند تا بتوان آنها را مدیریت و امن کرد، بنابراین کامپایل کردن یک فهرست دقیق از برنامه‌ها، گام مهم ابتدایی در حفاظت از سازمان شماست.پیکره‌بندی امن برای سخت‌افزار و نرم‌افزار در دستگاه‌های همراه، ایستگاه‌های کاری و سرورهای تلفن :CSC 3پیکره‌بندی پیش‌فرض شناخته‌شده سخت‌افزاری و نرم‌افزاری در دستگاه‌های تلفن همراه، لپ‌تاپ‌ها، ایستگا‌ه‌های کاری و سرورها یکی از آسیب‌پذیری‌های اصلی مورداستفاده توسط مهاجمان است. کنترل شاخص برای کاهش این ریسک شامل انجام ارزیابی‌های مداوم برای بررسی پیکره‌بندی‌های پیش‌فرض و گزارش نتایج برای دستور راهنماها و به‌روش‌ها است.ارزیابی و رفع مداوم آسیب‌پذیری :CSC 4همه‌روزه آسیب‌پذیری‌های جدیدی در دستگاه‌ها و برنامه‌های کاربردی کشف می‌شود. مهاجمان می‌کوشند تا از این موضوع بهره ببرند و به شبکه شما دسترسی پیدا کنند. ارزیابی مداوم آسیب‌پذیری‌ها جهت شناسایی نقاط ضعف و برطرف کردن سریع آنها به ترتیب اولویت کارکرد کسب‌وکار در دارایی‌های مربوطه، امری حیاتی است. شما باید آسیب‌پذیری‌های شناخته‌شده را در تنظیمات تمام دستگاه‌ها و نرم‌افزارهای موجود در کنترل‌های شاخص 1 و 2 ارزیابی کنید.استفاده کنترل‌شده از امتیازهای ادمین :CSC 5یک مسیر رایج حمله از طریق سوءاستفاده از اختیارات ادمین است. یک سوءاستفاده ممکن است از یک فرد که به‌عنوان یک کاربر مجاز کار می‌کند یا از مهندسی اجتماعی و یا کرک رمز عبور ساده استفاده کند. دسترسی غیرمجاز ادمین می‌تواند رخنه امنیتی بسیار جدی را از مختل کردن فعالیت‌های تجاری تا حذف و بهره‌برداری از اطلاعات حساس ایجاد کند. کنترل شاخص 5، فرایندها و ابزار برای ردیابی، کنترل، جلوگیری و تصحیح استفاده، تخصیص و پیکره‌بندی امتیازات ادمین در سرورها، دستگاه‌ها، لپ‌تاپ‌ها، ایستگاه‌های کاری، شبکه‌ها و برنامه‌های کاربردی را فراهم می‌کند.نگهداری، پایش و تجزیه‌وتحلیل لاگ‌های ممیزی :CSC 6این کنترل در تشخیص، پیشگیری و تعمیر سیستم‌ها و موارد اطلاعات‌محور بر اساس لاگ‌های ممیزی رویدادهایی که انتظار می‌رود بر امنیت سازمان تأثیر بگذارند، کمک می‌کند.محافظت از ایمیل و مرورگر وب :CSC 7محبوبیت فیشینگ به‌خاطر سادگی آن است که اغلب از طریق یکی از ضعیف‌ترین لینک‌ها در امنیت سایبری، شخص به یک فرد یا سازمان دسترسی پیدا می‌کند. این کنترل بر توانایی محافظت در برابر این حملات و کاهش خطر در صورت استفاده از آنها تمرکز دارد.دفاع در مقابل بدافزارها :CSC 8هکرهای مجرم اغلب از نرم‌افزارهای مخرب برای سوءاستفاده از آسیب‌پذیری‌های سیستم استفاده می‌کنند و به یک دارایی دسترسی پیدا کرده یا اعتبارنامه کاربر را سرقت می‌کنند. کنترل شاخص 8 شامل فرایندها و ابزارهایی است که جهت شناسایی، جلوگیری و اصلاح نصب و اجرای نرم‌افزارهای مخرب در تمام دستگاه‌ها و شبکه‌های سازمان استفاده‌ می‌شود.محدودسازی و کنترل پروتکل‌ها، درگاه‌ها و خدمات شبکه:CSC 9آسیب‌پذیری‌ها در سرویس‌های شبکه قابل‌دسترسی از راه دور توسط مهاجمانی مورد استفاده قرارمی‌گیرد که تلاش می‌کنند فرصتی جهت سوءاستفاده از نام‌های کاربری و کلمه عبور پیش‌فرض یا اسکریپت‌های گسترده موجود یابند. این کنترل شامل فرایندها و ابزارهایی است که استفاده از پورت‌ها، پروتکل‌ها و سرویس‌ها را در دستگاه‌های شبکه ردیابی، کنترل، جلوگیری و رفع می‌کنند.قابلیت بازیابی اطلاعات :CSC 10این کنترل بر تهیه موفقیت‌آمیز نسخه پشتیبان از اطلاعات و بازیابی به‌موقع داده‌ها و عملیات کسب‌وکار در صورت وقفه در تداوم آن، تمرکز می‌کند. این امر هرگونه اتلاف داده از خرابی‌های فیزیکی تا بدافزار و باج‌افزار و امنیت پشتیبان‌ها از طریق رمزگذاری و سرقت فیزیکی را در برمی‌گیرد تا از یکپارچگی قابل شناسایی پردازش داده‌ها اطمینان یابد.تنظیمات امن برای دستگاه‌های شبکه مانند روترهای فایروال و سوئیچ‌ها:CSC 11شایع‌ترین نوع حمله این است که از آسیب‌پذیری‌ها در دستگاه‌هایی که محیط اطراف شبکه را شامل می‌شوند، نظیر فایروال‌ها، روترها و سوئیچ‌ها استفاده شود. کنترل شاخص 11 کمک می‌کند تا نقاط ضعف در پیکره‌بندی این دستگاه‌های شبکه بر اساس ارزیابی آسیب‌پذیری، مدیریت پیکربندی رسمی و فرایندها و ابزار کنترل تغییرات شناسایی و تضعیف شود.دفاع از قلمرو :CSC 12طراحی مناسب شبکه امن ایجاد نواحی مختلف و سطوح دسترسی، عملیات و بخش‌بندی مطمئن داده‌ها می‌کند. این کنترل نیاز به نظارت بر جریان داده، صدور مجوز و پایش ارتباطات بین نواحی را مورد توجه قرار می‌دهد تا اطمینان حاصل کند استخراج نامناسب داده‌ها رخ نمی‌دهد.حفاظت از داده‌ها :CSC 13حفاظت از داده‌ها را می‌توان به چندین حالت تقسیم کرد: داده‌ها در حالت استراحت، داده‌ها در حال حرکت و زمانی که داده‌ها در فرم‌هایی هستند که برای شرکت و سیاست‌های رگولاتوری قابل‌قبول نیست. ابزار، سیاست‌ها و رویه‌هایی که داده‌های حساس را شناسایی می‌کنند در زمان استراحت و حرکت از آن محافظت می‌کنند و استفاده نامناسب اجباری توسط این کنترل تحت‌نظر قرار می‌گیرد.دسترسی کنترل‌شده بر اساس نیاز به دانستن :CSC 14نیاز به دانستن یک سیاست امنیتی با تاریخچه قوی در دولت و عملیات تجاری است. دسترسی کنترل نشده به تمامی یا اکثر اطلاعات در یک شبکه، استخراج داده‌های مهم را برای مهاجمان پس از کسب دسترسی، آسان می‌کند. این کنترل دسترسی را بر اساس طبقه‌بندی تاییدشده و کاربران، دستگاه‌ها و برنامه‌های کاربردی مجاز، ردیابی و کنترل می‌کند.کنترل دسترسی بی‌سیم :CSC 15شبکه‌های بی‌سیم به یک منبع رایج اتصال برای کسب‌وکار و کاربران تجاری تبدیل شده‌است. بسیاری از مواقع شرکت‌ها چندین شبکه بی‌سیم را برای خدمت دادن به عملیات کسب‌وکار و مهمان‌ها اداره می‌کنند. درهرصورت، ایمن‌سازی مناسب، امنیت، پایش و عملیات باید بی‌خطر باشند تا از بخش‌بندی اطمینان حاصل شود و مناطق بی‌سیم را با بالاترین سلامت حفظ کند. این کنترل نحوه استفاده از ابزارها و طراحی شبکه‌های بی‌سیم جهت دسترسی امن به این شبکه‌ها را مورد بحث قرار می‌دهد.پایش و کنترل حساب‌های کاربری :CSC 16حساب‌های کاربری به‌عنوان ابزاری مورد سوءاستفاده مهاجمان قرار می‌گیرند که از آنها برای دسترسی به شبکه و منابع آن استفاده می‌کنند. از آنجایی که بسیاری از این حساب‌ها قانونی هستند، پیدا کردن و ردیابی فعالیت غیرقانونی برای فعالان امنیت شبکه مشکل است. این کنترل، فرایندها و ابزارهایی را برای مدیریت و ممیزی استفاده از حساب‌های سیستم و برنامه اجرا می‌کند.ارزیابی مهارت‌های امنیتی و آموزش مناسب برای پر کردن شکاف‌ها:CSC 17امنیت فناوری اطلاعات، یک رشته به‌سرعت در حال تغییر با آسیب‌پذیری‌ها، الگوهای حمله و سوءاستفاده‌های جدید است که روزانه اتفاق می‌افتند. غیرمنطقی است که فرض کنیم همه می‌توانند همه‌چیز را درباره امنیت بدانند. این کنترل کمک می‌کند تا شکاف در آموزش کارکنان شناسایی شود و اطمینان به وجود آید که مهارت‌های مناسب موجود است و آموزش در همه سطوح سازمان که به آن نیاز دارند در دسترس است.امنیت نرم‌افزار کاربردی :CSC 18امنیت نرم‌افزار به تست امنیت برنامه‌های تحت وب محدود نمی‌شود. این امر امنیت همه برنامه‌ها را کنترل می‌کند بدون اینکه پیاده‌سازی آنها از طریق وب تا نصب‌کننده‌ها و فناوری داخلی مورداستفاده برای استقرار برنامه را در نظر بگیرد. این امر اشتباهات برنامه‌نویسی را مشابه آسیب‌پذیری‌ها کنترل می‌کند که از طریق وصله‌های امنیتی، تغییرات پیکره‌بندی و سایر روش‌های کاهش آن شناسایی و اصلاح می‌شود. این کنترل نیاز به آزمودن تمام برنامه‌هایی را مورد توجه قرار می‌دهند که جهت نقیصه‌هایی که می‌تواند خلاف سازمان اعمال نفوذ کند، کشف و یا توسعه داده می‌شود، صرف‌نظر از اینکه آنها به‌صورت عمومی و یا فقط داخلی ظاهر می‌شوند.مدیریت و پاسخگویی به حوادث :CSC 19هنگامی که حادثه، رخنه و یا ناهنجاری امنیتی کشف شد، مدیریت مناسب جهت کاهش خطر، خودداری از رخنه و اطلاع‌رسانی به تمامی گروه‌های مناسب موقعیت مورد نیاز است. این امر نیاز به یک گردش کاری مستقر و مستند شده با فرایندهای قابل تکرار دارد تا حادثه را مدیریت کند. این کنترل می‌تواند در بسیاری از اشکال در یک سازمان ظاهر شود، اما نیاز به تفکر درباره یک رویداد واقعی را از ابتدا و قبل از اینکه شرایط رخ دهد، مورد توجه قرار می‌دهد.تست‌های نفوذ و تمرین‌های تیم قرمز :CSC 20مهاجمی که یک سازمان را مورد هدف قرار می‌دهد، هیچ رحم و شفقتی ندارد و از هر وسیله‌ای یا تکنیکی که در اختیار آنها قرار می‌گیرد به‌منظور رخنه در زیرساخت شما استفاده می‌کند. در حال حاضر تنها روشی که بتوان در مقابل حمله قدرتمند به‌صورت موفقیت‌آمیز دفاع کرد، آزمودن این است که چگونه محیط پیرامون شما در مقابل این قبیل رویدادها رفتار می‌کند. مراحل تست نفوذ جهت شبیه‌سازی یک حمله واقعی از فیشینگ تا منع سرویس، طراحی شده‌است و پاسخ و روش مناسب در سازمان شما برای واکنش نشان دادن را تعیین کند. این کنترل نیاز به تست‌های ملایم مداخله را مورد توجه قرار می‌دهد و اینکه چگونه نتایج را از افراد تا سیاست‌ها مدیریت کرد.