آنچه در مقاله میخوانید
امروزه اطلاعات، زیرساختها و سرویسهای آنلاین بخش مهمی از سرمایه هر کسبوکار محسوب میشوند. از دسترس خارج شدن یک سرویس، از بین رفتن اطلاعات یا افشای دسترسیهای حساس میتواند در مدت کوتاهی باعث ایجاد خسارتهای مالی، کاهش اعتماد مشتریان و اختلال در فعالیتهای روزمره شود.
بسیاری از مشکلات امنیتی که برای کسبوکارها اتفاق میافتد، لزوما نتیجه حملات پیچیده و پیشرفته نیست، بلکه از موارد سادهای مانند استفاده از رمزهای عبور ضعیف، نگهداری نامناسب اطلاعات دسترسی، نداشتن نسخه پشتیبان قابل اعتماد یا بهروزرسانی نکردن سیستمها و سرویسها شروع میشود.
با افزایش سرعت توسعه فناوری و گسترش استفاده از ابزارهای هوش مصنوعی، شناسایی و بهرهبرداری از برخی آسیبپذیریهای امنیتی نیز سریعتر از گذشته انجام میشود. به همین دلیل، داشتن یک رویکرد پیشگیرانه و بررسی منظم وضعیت امنیتی زیرساختها، اهمیت بیشتری پیدا کرده است.
این چکلیست با هدف کمک به مدیران کسبوکارها، مدیران فنی و صاحبان سرویسهای آنلاین تهیه شده است تا بتوانند مهمترین موارد امنیتی را بررسی کرده، نقاط ضعف احتمالی را شناسایی کنند و قبل از وقوع یک اتفاق جدی، اقدامات لازم را انجام دهند.
به یاد داشته باشید که امنیت یک اقدام یکباره نیست، بلکه فرآیندی مداوم است که با رعایت چند اصل ساده مانند مدیریت صحیح رمزهای عبور، تهیه بکاپ منظم، کنترل دسترسیها و بهروزرسانی سرویسها میتوان بخش بزرگی از ریسکهای احتمالی را کاهش داد.
بخش اول: مدیریت رمزهای عبور
رمزهای عبور اولین لایه محافظتی برای دسترسی به سرویسها و اطلاعات حساس هستند. استفاده از رمزهای ساده، تکراری یا قابل حدس میتواند امنیت چند سرویس را بهصورت همزمان در معرض خطر قرار دهد. برای هر سرویس باید یک رمز عبور طولانی و اختصاصی در نظر گرفته شود و اطلاعات دسترسی نیز در محیطی امن نگهداری شوند.
چکلیست مدیریت رمزهای عبور
☐ آیا رمزهای عبور سرویسهای مهم طولانی و پیچیده هستند؟
☐ آیا رمزهای عبور ترجیحاً حداقل ۱۲ کاراکتر دارند؟
☐ آیا برای هر سرویس از یک رمز عبور اختصاصی و غیرتکراری استفاده میکنید؟
☐ آیا رمزهای عبور شامل ترکیبی از حروف بزرگ و کوچک، اعداد و کاراکترهای خاص هستند؟
☐ آیا از اطلاعات قابل حدس مانند نام، شماره تلفن، تاریخ تولد یا نام شرکت در رمز عبور استفاده نشده است؟
☐ آیا رمزهای عبور در فایلهای متنی، فایلهای اکسل، یادداشتهای معمولی یا پیامرسانها نگهداری نمیشوند؟
☐ آیا برای نگهداری امن اطلاعات دسترسی از یک ابزار مدیریت رمز عبور استفاده میکنید؟
☐ آیا برای حسابهای مهم مانند سرورها، ایمیلها، پنلهای مدیریتی و سرویسهای زیرساختی، احراز هویت چندمرحلهای فعال شده است؟
☐ آیا رمزهای عبور مشکوک، افشاشده یا در معرض خطر، بلافاصله تغییر داده میشوند؟
☐ آیا دسترسی افرادی که دیگر با مجموعه همکاری ندارند، حذف یا غیرفعال شده است؟
☐ آیا از استفاده یک حساب کاربری مشترک بین چند نفر جلوگیری میشود؟
☐ آیا دسترسیهای حساس بهصورت دورهای بازبینی میشوند؟
بخش دوم: اشتراکگذاری امن اطلاعات حساس
نحوه ارسال و اشتراکگذاری اطلاعات حساس بهاندازه انتخاب یک رمز عبور قوی اهمیت دارد. رمزهای عبور، کلیدهای امنیتی، اطلاعات اتصال و سایر دادههای محرمانه نباید بهصورت متن ساده در پیامرسانها، ایمیل یا فایلهای معمولی ارسال شوند. برای انتقال این اطلاعات باید از روشهای امن مانند لینکهای یکبارمصرف دارای زمان انقضا یا محدودیت مشاهده استفاده شود.
چکلیست اشتراکگذاری امن اطلاعات
☐ آیا از ارسال رمز عبور بهصورت متن ساده و قابل مشاهده خودداری میکنید؟
☐ آیا رمزهای عبور و اطلاعات حساس از طریق پیامرسانهای معمولی ارسال نمیشوند؟
☐ آیا از ارسال اطلاعات حساس در ایمیلهای معمولی خودداری میشود؟
☐ آیا برای انتقال اطلاعات محرمانه، یک روش مشخص و امن در مجموعه تعریف شده است؟
☐ آیا برای ارسال رمزهای عبور و اطلاعات حساس از لینکهای یکبارمصرف استفاده میکنید؟
☐ آیا لینکهای یکبارمصرف دارای زمان انقضا هستند؟
☐ آیا تعداد دفعات مشاهده لینکها محدود شده است؟
☐ آیا اطلاعات پس از مشاهده یا پایان زمان تعیینشده، از دسترس خارج میشوند؟
☐ آیا پیش از ارسال اطلاعات حساس، هویت دریافتکننده بررسی میشود؟
☐ آیا دسترسی هر فرد فقط به اطلاعات و سرویسهای مورد نیاز خودش محدود شده است؟
☐ آیا اطلاعات حساس فقط برای افراد ضروری ارسال میشوند؟
☐ آیا دسترسیهای قبلی و اطلاعات بهاشتراکگذاشتهشده بهصورت دورهای بازبینی و حذف میشوند؟
☐ آیا در صورت پایان همکاری یک فرد، دسترسیها و رمزهای مرتبط بررسی و در صورت نیاز تغییر داده میشوند؟
اطلاعاتی که نباید بهصورت ناامن ارسال شوند
☐ رمز عبور سرورها و دسترسی SSH
☐ اطلاعات ورود به vCenter و ESXi
☐ اطلاعات ورود به پنلهای مدیریتی
☐ اطلاعات اتصال به دیتابیس
☐ کلیدهای API و Tokenها
☐ کلیدهای خصوصی و فایلهای امنیتی
☐ اطلاعات ورود به کنترلپنلها
☐ فایلهای بکاپ و اطلاعات محرمانه کسبوکار
بخش سوم: بکاپگیری و بازیابی اطلاعات
داشتن فایل بکاپ بهتنهایی کافی نیست؛ بکاپ زمانی قابل اعتماد است که سالم، کامل و قابل بازیابی باشد. نسخههای پشتیبان نباید فقط روی همان سرور یا همان زیرساخت اصلی نگهداری شوند. حداقل یک نسخه باید در یک زون، دیتاسنتر یا زیرساخت مستقل قرار داشته باشد تا در زمان خرابی یا حادثه امنیتی قابل استفاده باشد.
چکلیست بکاپگیری
☐ آیا از اطلاعات مهم بهصورت منظم نسخه پشتیبان تهیه میکنید؟
☐ آیا زمانبندی بکاپگیری متناسب با اهمیت و میزان تغییر اطلاعات مشخص شده است؟
☐ آیا از دیتابیسها، فایلها، تنظیمات و اطلاعات سرویسهای مهم بکاپ تهیه میشود؟
☐ آیا بکاپها در محلی جدا از سرور یا سرویس اصلی نگهداری میشوند؟
☐ آیا حداقل یک نسخه از بکاپ در زون یا موقعیت دیگری نگهداری میشود؟
☐ آیا حداقل یک نسخه خارج از زیرساخت یا دیتاسنتر اصلی در دسترس است؟
☐ آیا دسترسی به فایلهای بکاپ محدود و کنترل شده است؟
☐ آیا فایلهای بکاپ در برابر حذف یا تغییر غیرمجاز محافظت میشوند؟
☐ آیا وضعیت موفق یا ناموفق بودن فرآیند بکاپ بررسی میشود؟
☐ آیا بکاپهای ناقص یا ناموفق شناسایی میشوند؟
☐ آیا فرآیند بازیابی اطلاعات بهصورت دورهای آزمایش میشود؟
☐ آیا زمان مورد نیاز برای بازیابی سرویسها مشخص شده است؟
☐ آیا اولویت بازیابی اطلاعات و سرویسها تعیین شده است؟
☐ آیا قبل از تغییرات مهم یا بهروزرسانیهای حساس، نسخه پشتیبان تهیه میشود؟
بخش چهارم: بهروزرسانی سیستمعامل و سرویسها
عملکرد صحیح یک سرویس به معنی امن بودن آن نیست. بسیاری از آسیبپذیریهای شناختهشده از طریق بهروزرسانیهای امنیتی برطرف میشوند و تأخیر در نصب آنها میتواند امکان سوءاستفاده را افزایش دهد. بهروزرسانیها باید طبق برنامه، پس از بررسی سازگاری و تهیه بکاپ انجام شوند.
چکلیست بهروزرسانی
☐ آیا سیستمعامل سرورها بهصورت منظم بهروزرسانی میشود؟
☐ آیا آخرین بهروزرسانیهای امنیتی سیستمعامل نصب شدهاند؟
☐ آیا Kernel سیستمعامل در برنامه بررسی و بهروزرسانی قرار دارد؟
☐ آیا وبسرورها مانند Nginx و Apache بهروز هستند؟
☐ آیا سرویسهای دیتابیس بهصورت منظم بهروزرسانی میشوند؟
☐ آیا کنترلپنلها و پنلهای مدیریتی بهروز هستند؟
☐ آیا Runtimeها و فریمورکهای مورد استفاده بهروز هستند؟
☐ آیا سیستمهای مدیریت محتوا بهروزرسانی شدهاند؟
☐ آیا افزونهها، قالبها و اجزای جانبی بهروز هستند؟
☐ آیا نسخههای قدیمی و بدون پشتیبانی شناسایی شدهاند؟
☐ آیا نرمافزارها و سرویسهای بدون استفاده حذف شدهاند؟
☐ آیا قبل از بهروزرسانیهای مهم از اطلاعات و تنظیمات بکاپ تهیه میشود؟
☐ آیا سازگاری نسخه جدید با سرویسهای موجود بررسی میشود؟
☐ آیا بهروزرسانی ابتدا در یک محیط آزمایشی یا کنترلشده بررسی میشود؟
☐ آیا برای انجام بهروزرسانیهای حساس، زمانبندی مشخصی در نظر گرفته شده است؟
☐ آیا پس از بهروزرسانی، عملکرد سرویسها و لاگهای خطا بررسی میشوند؟
☐ آیا برای بازگشت به نسخه قبلی در صورت بروز مشکل، برنامه مشخصی وجود دارد؟
بخش پنجم: مدیریت دسترسی کاربران و سرویسهای مدیریتی
هر کاربر باید فقط به اندازهای دسترسی داشته باشد که برای انجام وظایف خود نیاز دارد. همچنین سرویسهای حساس مانند SSH، vCenter، ESXi، کنترلپنلها و صفحات ورود مدیریتی نباید بدون محدودیت از اینترنت عمومی قابل دسترس باشند. دسترسی به این سرویسها باید تا حد امکان به IPهای مشخص، شبکه داخلی یا مسیرهای ارتباطی کنترلشده محدود شود.
چکلیست مدیریت دسترسی کاربران
☐ آیا هر کاربر فقط به سرویسها و اطلاعات مورد نیاز خودش دسترسی دارد؟
☐ آیا دسترسی مدیریتی فقط برای افراد ضروری فعال شده است؟
☐ آیا از ایجاد حسابهای مشترک بین چند نفر جلوگیری شده است؟
☐ آیا برای هر مدیر یا کاربر فنی، حساب جداگانه ایجاد شده است؟
☐ آیا دسترسی افرادی که دیگر با مجموعه همکاری ندارند، حذف یا غیرفعال شده است؟
☐ آیا دسترسیهای موقت پس از پایان نیاز حذف میشوند؟
☐ آیا سطح دسترسی کاربران بهصورت دورهای بررسی میشود؟
☐ آیا کاربران غیرضروری از گروههای مدیریتی حذف شدهاند؟
☐ آیا ورودهای حساس ثبت و بررسی میشوند؟
☐ آیا فعالیت کاربران دارای دسترسی مدیریتی قابل پیگیری است؟
☐ آیا احراز هویت چندمرحلهای برای حسابهای مدیریتی فعال شده است؟
چکلیست محدودسازی دسترسی به سرویسهای حساس
☐ آیا دسترسی به SSH فقط به IPهای مشخص و مورد تأیید محدود شده است؟
☐ آیا دسترسی به vCenter فقط برای IPهای مشخص امکانپذیر است؟
☐ آیا دسترسی به ESXi از اینترنت عمومی محدود یا مسدود شده است؟
☐ آیا دسترسی به کنترلپنلها و صفحات مدیریتی به IPهای مشخص محدود شده است؟
☐ آیا سرویسهای مدیریتی غیرضروری از دسترس مستقیم اینترنت خارج شدهاند؟
☐ آیا در صورت امکان، دسترسی مدیریتی فقط از طریق شبکه داخلی یا VPN انجام میشود؟
☐ آیا پورتهای مدیریتی غیرضروری در فایروال مسدود شدهاند؟
☐ آیا فقط IPهای مورد نیاز در فایروال مجاز شدهاند؟
☐ آیا در صورت امکان، دسترسی سرویسهای حساس بهصورت ایران اکسس تنظیم شده است؟
☐ آیا دسترسی این سرویسها از اینترنت جهانی در صورت امکان مسدود یا محدود شده است؟
☐ آیا پس از تغییر IPهای مجاز، قوانین دسترسی و فایروال بهروزرسانی میشوند؟
☐ آیا تلاشهای ورود ناموفق و IPهای مشکوک بررسی میشوند؟
بخش ششم: امنیت سرویسهای تحت وب
وبسایتها، پنلهای مدیریتی و سامانههای آنلاین به دلیل ارتباط مستقیم با اینترنت، در معرض ریسک بیشتری قرار دارند. بهروزرسانی نرمافزارها، حذف اجزای غیرضروری، استفاده از WAF و محافظت چندلایه از صفحات ورود میتواند سطح حمله را کاهش دهد. صفحات مدیریتی باید علاوه بر رمز عبور اصلی، با لایههای حفاظتی دیگری نیز محافظت شوند.
چکلیست امنیت سرویسهای تحت وب
☐ آیا برای تمام سرویسهای آنلاین گواهی SSL معتبر فعال شده است؟
☐ آیا ارتباطهای ناامن HTTP به HTTPS هدایت میشوند؟
☐ آیا سیستم مدیریت محتوا بهروز است؟
☐ آیا افزونهها و قالبهای مورد استفاده بهروز هستند؟
☐ آیا افزونهها، قالبها و نرمافزارهای بدون استفاده حذف شدهاند؟
☐ آیا برای سرویسهای تحت وب از WAF یا راهکار مشابه استفاده میشود؟
☐ آیا دسترسی به صفحات مدیریتی محدود شده است؟
☐ آیا صفحات ورود مدیران از اینترنت عمومی مخفی یا محدود شدهاند؟
☐ آیا برای صفحات ورود مدیریتی محدودیت IP اعمال شده است؟
☐ آیا برای مسیرهای مدیریتی از Folder Protection استفاده شده است؟
☐ آیا در صورت امکان، احراز هویت جداگانه در سطح وبسرور یا مسیر مدیریتی فعال شده است؟
☐ آیا برای صفحات ورود احراز هویت چندمرحلهای فعال شده است؟
☐ آیا تعداد تلاشهای ورود ناموفق محدود شده است؟
☐ آیا تلاشهای ورود مشکوک ثبت و بررسی میشوند؟
☐ آیا مسیرهای پیشفرض مدیریتی در صورت امکان تغییر داده شدهاند؟
☐ آیا دسترسی کاربران و مدیران از یکدیگر تفکیک شده است؟
☐ آیا فایلها و پوشههای حساس از دسترسی عمومی محافظت شدهاند؟
☐ آیا دسترسی به فایلهای تنظیمات، بکاپها و لاگها مسدود شده است؟
☐ آیا لاگهای امنیتی و خطاهای سرویسهای وب بررسی میشوند؟
☐ آیا سرویسها، پورتها و قابلیتهای غیرضروری غیرفعال شدهاند؟
بخش هفتم: امنیت ایمیل و حسابهای مهم
ایمیلهای مدیریتی و حسابهایی که برای بازیابی سرویسها استفاده میشوند، از حساسترین نقاط زیرساخت هستند. دسترسی غیرمجاز به یک ایمیل اصلی ممکن است امکان تغییر رمز عبور یا تصاحب سایر سرویسها را فراهم کند. این حسابها باید با رمز عبور اختصاصی، احراز هویت چندمرحلهای و اطلاعات بازیابی معتبر محافظت شوند.
چکلیست امنیت ایمیل و حسابها
☐ آیا برای ایمیلهای مهم از رمز عبور اختصاصی و غیرتکراری استفاده میشود؟
☐ آیا احراز هویت چندمرحلهای برای حسابهای مهم فعال شده است؟
☐ آیا ایمیل مدیران و حسابهای حساس با تنظیمات امنیتی مناسب محافظت شدهاند؟
☐ آیا ایمیلهای مورد استفاده برای بازیابی حسابها بررسی شدهاند؟
☐ آیا شمارههای تماس و اطلاعات بازیابی بهروز هستند؟
☐ آیا حسابهای قدیمی یا بلااستفاده حذف یا غیرفعال شدهاند؟
☐ آیا دسترسی افراد قبلی به ایمیلهای سازمانی حذف شده است؟
☐ آیا فعالیتهای ورود غیرمعمول بررسی میشوند؟
☐ آیا اعلانهای امنیتی حسابها فعال هستند؟
☐ آیا دستگاهها و نشستهای فعال بهصورت دورهای بررسی میشوند؟
☐ آیا دستگاهها یا نشستهای ناشناس از حساب خارج میشوند؟
☐ آیا ایمیلهای مشکوک و تلاشهای فیشینگ به کاربران گزارش و آموزش داده میشوند؟
☐ آیا اطلاعات ورود به ایمیلها بهصورت متن ساده ارسال نمیشوند؟
☐ آیا برای ارسال اطلاعات حساس مربوط به حسابها از روش امن استفاده میشود؟
بخش هشتم: آمادگی در برابر بحران و شرایط اضطراری
هیچ زیرساختی کاملاً بدون ریسک نیست. خرابی سختافزار، خطای انسانی، حملات امنیتی یا مشکلات نرمافزاری ممکن است برای هر کسبوکاری رخ دهد. آمادگی برای بحران به این معنی است که مسئولیتها، راههای ارتباطی، نسخههای پشتیبان و مراحل بازیابی قبل از وقوع حادثه مشخص شده باشند.
چکلیست آمادگی در برابر بحران
☐ آیا فرد یا تیم مسئول مدیریت شرایط اضطراری مشخص شده است؟
☐ آیا وظایف هر فرد در زمان حادثه مشخص و مستند شده است؟
☐ آیا شماره تماس افراد کلیدی و راههای ارتباطی اضطراری ثبت شدهاند؟
☐ آیا فرآیند بازیابی اطلاعات و سرویسها مستند شده است؟
☐ آیا نسخههای پشتیبان در یک زون یا موقعیت مستقل نگهداری میشوند؟
☐ آیا نسخههای پشتیبان در زمان بحران قابل دسترسی هستند؟
☐ آیا امکان بازیابی بکاپها آزمایش شده است؟
☐ آیا زمان مورد نیاز برای بازگردانی سرویسها مشخص شده است؟
☐ آیا سرویسهای حیاتی و اولویت بازیابی آنها تعیین شدهاند؟
☐ آیا سناریوی از دسترس خارج شدن سرور بررسی شده است؟
☐ آیا سناریوی حذف یا خرابی دیتابیس بررسی شده است؟
☐ آیا سناریوی افشای دسترسی مدیریتی بررسی شده است؟
☐ آیا سناریوی آلوده شدن یا رمزگذاری اطلاعات بررسی شده است؟
☐ آیا برای قطع دسترسی فرد یا IP مهاجم، فرآیند مشخصی وجود دارد؟
☐ آیا امکان تغییر سریع رمزهای عبور و کلیدهای حساس وجود دارد؟
☐ آیا لاگها و شواهد مورد نیاز برای بررسی حادثه نگهداری میشوند؟
☐ آیا برنامهای برای اطلاعرسانی داخلی در شرایط اضطراری وجود دارد؟
☐ آیا برنامهای برای بازگشت سریع سرویسها پس از حادثه تدوین شده است؟
☐ آیا فرآیند واکنش به بحران بهصورت دورهای بازبینی یا تمرین میشود؟
امنیت یعنی آماده بودن قبل از وقوع مشکل
هدف از برنامهریزی امنیتی این نیست که احتمال وقوع هر مشکلی را به صفر برسانیم، بلکه هدف این است که در صورت وقوع یک اتفاق، بتوانیم سریعتر واکنش نشان دهیم و کمترین آسیب را متحمل شویم.
گاهی یک اقدام ساده مانند تهیه یک بکاپ خارج از زیرساخت اصلی، فعالسازی MFA یا ثبت یک فرآیند بازیابی مشخص، میتواند از خسارتهای بزرگ جلوگیری کند.
امنیت اطلاعات یک هزینه اضافی نیست، یک سرمایهگذاری برای حفظ تداوم کسبوکار است.
