فرض نفوذ یکی از اصول امنیت مدرن است: باید آماده باشیم که روزی بخشی از سیستم مورد حمله موفق قرار گیرد. در آن روز، زمان کشف و زمان پاسخ تعیین می‌کند که حادثه کوچک می‌ماند یا به بحران تبدیل می‌شود.
سه لایه دیده‌پذیری
۱. پایش سلامت و دسترس‌پذیری
CPU، حافظه، دیسک، وضعیت سرویس‌ها و زمان پاسخ. بسیاری از «رخدادها» در واقع مشکلات ظرفیت‌اند؛ مثلاً پر شدن دیسک یک نود بلاکچین که با پایش فضای دیسک و هشدار به‌موقع قابل پیشگیری است. ابزارهایی مثل Prometheus و Grafana این لایه را پوشش می‌دهند.
۲. لاگ‌های امنیتی
ورودها، تغییر دسترسی، خطاهای احراز هویت، لاگ فایروال، DNS و وب‌سرور. این لاگ‌ها باید در یک مکان مرکزی و غیرقابل‌دستکاری جمع شوند.
۳. ترافیک شبکه
جریان‌های شبکه (NetFlow) و سیستم‌های تشخیص نفوذ (IDS) رفتارهایی مانند اسکن داخلی یا ارتباط با سرورهای فرمان‌وکنترل را آشکار می‌کنند.
SIEM چه می‌کند؟
سامانه مدیریت اطلاعات و رویدادهای امنیتی (SIEM) لاگ‌ها را از منابع مختلف جمع، نرمال و همبسته می‌کند. یک ورود ناموفق عادی است؛ اما ۵۰۰ ورود ناموفق از یک IP و سپس یک ورود موفق، یک هشدار جدی است.
- قوانین همبستگی برای الگوهای حمله شناخته‌شده
- داشبوردهای وضعیت و روند
- نگهداری لاگ برای تحقیقات و الزامات قانونی
مرکز عملیات امنیت (SOC)
SOC ترکیبی از افراد، فرایند و ابزار است که هشدارها را بررسی و به رخدادها پاسخ می‌دهد. برای سازمان‌های کوچک‌تر، SOC مدیریت‌شده یا ترکیبی از هشدار خودکار و کشیک تیم فنی، جایگزین مقرون‌به‌صرفه است.
چرخه پاسخ به رخداد
- آمادگی: فهرست دارایی‌ها، تماس‌های اضطراری، دسترسی‌ها و Playbookها از قبل آماده باشد.
- شناسایی: تشخیص و تأیید رخداد و تعیین شدت.
- مهار: ایزوله کردن سیستم آلوده، مسدودسازی حساب یا IP، بدون از بین بردن شواهد.
- ریشه‌کنی: حذف عامل نفوذ و بستن راه ورود.
- بازیابی: بازگرداندن سرویس از نسخه پشتیبان سالم و پایش دقیق‌تر.
- درس‌آموزی: تحلیل پس از رخداد و به‌روزرسانی کنترل‌ها و Playbookها.
شروع کم‌هزینه
- لاگ همه سرورها و روترها را به یک سرور مرکزی بفرستید.
- برای فضای دیسک، در دسترس نبودن سرویس و ورودهای مدیریتی هشدار تعریف کنید.
- از پشتیبان‌ها نسخه آفلاین نگه دارید و بازیابی را هر فصل تمرین کنید.
- یک Playbook ساده برای سناریوهای رایج (باج‌افزار، نشت گذرواژه، از دسترس خارج شدن سرور) بنویسید.
آنچه دیده نمی‌شود، قابل دفاع نیست.
