نویسنده
در رویداد «امن و امان» اسپارا، محسن امیری کارشناس ارشد امنیت، در ارائهاش با عنوان «بازپسگیری قدرت» از اهمیت داشتن استراتژی تدافعی درست و یکپارچه در امنیت سایبری گفت و توضیح داد که چطور با داشتن استراتژی میتوانیم نه یک قدم، بلکه چند قدم از مهاجم جلوتر باشیم. در ادامه میتوانید بخشی از صحبتهای امیری درباره پیادهسازی یک ساختار امن را بخوانید.
بازپسگیری قدرت
چند وقت پیش درگیر یک حمله سایبری بودم و تا مدتها ذهن من درگیر شده بود که چرا باتوجه به اینکه تمام الزامات امنیتی را در نظر گرفته بودیم، بازهم نتوانسته بودیم جلوی حمله را بگیریم. جوابی برایش پیدا نکرده بودم و کمکم رسیده بودم به ضربالمثلی که بین امنیتیها رایج است: «مهاجم همیشه یک قدم از ما جلوتر است» اما نمیخواستم این جمله را قبول کنم. چیزی که به من در رسیدن به جواب کمک کرد این بود که از کالبد کارشناس ارشد بیام بیرون و نگاه مدیریتی به موضوع داشته باشم. اینجوری بود که به جواب سوالم رسیدم: استراتژی.
چیزی که باعث میشد ما یک قدم از مهاجم عقبتر باشیم، استراتژی بود. مهاجم استراتژی داشت و ما نداشتیم. رفتار مهاجم مشخص است، خلاقیتش باعث انجام تکنیکهای مختلف میشود و تمام اینها در استراتژیش مشخص میشود.
اما نکته مهم در چیدمان استراتژی، یکپارچه بودن آن است. یعنی باید یک استراتژی تعریف کنیم و به آن پایبند بمانیم. در چیدمان استراتژی، باید در مرحله اول Prevention را در نظر بگیرم. سپس هرکسی که تلاش ناموفق داشته را شناسایی کنیم و با شناسایی، ریسپانس خوب داشته باشیم. به عبارت دیگر، اول Prevention، دوم Detection و در انتها Response.
چطور یک ساختار امن پیادهسازی کنیم؟
اگر کمی عمیقتر به استراتژی Prevention, Detection and Response نگاه کنیم متوجه میشویم که این طرز فکر به Zero trust network architect بسیار شبیه است. این مفهوم به این معناست که نباید به هیچ چیزی اعتماد داشته باشیم و اساس و معماری شبکه را باید بر پایه عدم اعتماد طراحی کنیم. بهعنوان مثال، در فرایند شلیک موشک معمولا دو دکمه تعبیه شده است، یکی برای راهبر و دیگری برای تائیدیه شلیک. در صورتی که تائیدیه زده نشود، موشکی شلیک نمیشود. این یعنی من به راهبر اعتماد ندارم.
حالا در شبکه ما باید حتی در لایه اکتیودایرکتوری اصل را بر اساس عدم اعتماد پیادهسازی کنیم. به هیچ سیستمی اعتماد نداشته باشیم، به هیچ کاربری اعتماد نداشته باشیم و حتی به CIS که در ساختار از آن استفاده کردیم هم اعتماد نداشته باشیم.
خود مایکروسافت برای پیادهسازی Zero Trust در سطح اکتیودایرکتوری میگوید که ازAzure من استفاده کن؛ اما خب ما خیلی نمیتوانیم از Azure این استفاده را بگیریم. حالا راهکار چیست؟
راهکار این است که علاوه بر انتخاب استراتژی، در کنارش از یک سری ابزار استفاده کنیم که به معماری Zero Trust برسیم. بهعنوان مثال از MFA (احراز هویت چندعاملی) استفاده کنیم تا اگر مهاجم حتی به پسورد Clear Text کاربر هم برسد، بتوانیم متوفقش کنیم. رفتار کاربرها را شناسایی کنیم و اگر رفتار غیر متعارفی دیدیم، در لحظه جلویش را بگیریم.
این دیدگاه مکمل استراتژی است که به پیادهسازی یک ساختار امن منتهی میشود.
