به هرحال، حتي اگر امنيت پاياني نداشته باشد، لازم است که از مسايل موجود در اين مسير آگاه باشيد. آن چه که در زير مي‌آيد، مواردي هستند که شما بايستي براي بهبود وضع امنيت سازمانتان انجام دهيد.
بهبود امنيت فيزيکي
در مقوله امنيت جمله‌اي است که مي‌گويد: «اگر آدم بده بتوانند کنترل فيزيکي کامپيوتر را به دست گيرد، بازي تمام است». وقتي که دستگاه به دست اين افراد افتاد، آنها مي‌توانند با استفاده از ابزاري که در دست دارند به اطلاعات هارد ديسک و هر اطلاعاتي که به کامپيوتر آمده و از آن خارج مي‌شود دسترسي يابند. از اين رو، پيش از اينکه به ديگر روش‌هاي امنيت فکر کنيد، امنيت فيزيکي بايستي مساله اصلي تان باشد.
امنيت فيزيکي مي‌تواند شامل موارد زير باشد:
• کنترل دسترسي به اتاق هاي کامپيوتر با استفاده از کارت، کليد و قابليت هاي بيومتريک
• ضبط ويديو از ورود و خروج اتاق‌هايي که کاميپوترها در آن جاي گرفته‌اند.
• ثبت و ضبط ورود و خروج‌ها به اتاق‌هايي که کامپيوترها در آن جاي گرفته‌اند.
• تعيين نگهبان يا ديگر ناظران براي ورودي و خروجي‌هايي که کامپيوترها در آن جاي گرفته‌اند.
براي اجتناب از حملات بزرگ عليه سيستم، امنيت فيزيکي مسير طولاني در پيش روي دارد. اما اين تنها اولين گام است. وقتي که مي‌دانيم همه چيز بسيار عالي است، اگر کامپيوتري به شبکه‌اي متصل باشد، افراد مجرم نمي‌توانند دسترسي فيزيکي داشته باشند تا موجب خسارات بزرگ شوند.
استفاده از ديوارهاي آتش (فايروال) مبتني بر ميزبان
به نظر مي‌رسد به فايروال هاي سخت افزاري که درون شبکه نصب مي شوند، توجه بسياري مي‌شود. بسياري آنها را مدافعاني با قدرت هاي جادويي مي دانند. اما امروزه در عمل بيشتر ديوارهاي آتش امنيت به مراتب کمتري کمتر از آن چيزي است که بايد باشد. به عبارت ديگر، در ظاهر ديواره آتش بخش بزرگي از امنيت است. اما از آن نقشي که قرار است در امنيت شبکه شما بازي کند، سهم بسيار کمتري را بر عهده دارد. يکي از دلايل اين موضوع اين است که بيشتر حملات شديد اغلب از داخل شبکه حادث مي‌شود، بنابراين وظيفه ديوار آتش در جلوگيري از کاربران بيروني براي دسترسي به منابع داخلي شبکه بازده کمي دارد.
در مقابل، «ديوار آتش مبتني بر سيستم ميزبان» قادر به حفاظت کامپيوتر از تمام حملات داخلي و خارجي مي‌باشد. علاوه بر اين، ديوارهاي آتش مبتني بر ميزبانِ حرفه اي مي‌توانند به شکلي پيکربندي شوند تا امکان ارتباطات ورودي را تنها براي سرويس‌هاي مشخصي فراهم نمايند. اين ديوارهاي آتش مبتني بر ميزبان (مانند Windows Firewall with Advanced Security) حتي مي‌توانند کاربران يا ماشين‌ها را ملزم به تاييد هويت در لايه شبکه نمايد، به طوري که اگر کاربري معتبر شناخته نشود يا اختيارات لازم را نداشته باشد، هرگز به نزديکي لايه اپليکيشن نرسد – لايه اپليکيشن، لايه‌ايي است که اغلب رخنه‌هاي امنيتي در آنجا بوده و داده‌هاي شما تماما در آنجا قرار دارد.
تفکيک شبکه به بخش هاي امنيتي مجزا
هنگامي که قرار بر تفکيک و منطقه بندي امنتيتي باشد، يک وب‌سرور که سايت را در اختيار بيننده مي گذارد با سروري که حاويپايگاه‌داده است بايد به صورت مجزا نگهداري شوند. يک سرور فايل که فايل‌هاي در دسترس عموم کاربران را ميزباني مي‌کند، متفاوت از سرور شيرپوينت است که طرح‌هاي درون شرکتي مانند بازاريابي محرمانه براي محصولات جديد که قرار است در ماه‌هاي آتي ارايه شود را ميزباني مي‌کند. يک سرور ايميل (SMTP) با يک سرور پراکسي متفاوت است، چرا که در ناحيه امنيتي متفاوتي قرار دارد.
شما بايستي تجهيزات کامپيوتري‌تان را به مکان هاي امنيتي متفاوتي تقسيم کنيد و سپس پارتيشن هاي منطقي يا فيزيکي جداکننده بين آن نواحي ايجاد کنيد. اگر مي‌خواهيد از پارتيشن فيزيکي استفاده کنيد، بايستي اطمينان يابيد که منابعي سيستمي تقسيم شده در نواحي مختلف با فايروال ها با هر نوع ابزار کنترل دسترسي ديگر از يکديگر جدا شده باشند.
اگر مي‌خواهيد از نواحي امنيتي منطقي استفاده کنيد، مي‌توانيد از مزايايي مانند IPsec و سرور و جداسازي دامنه استفاده کنيد تا پارتيشن هاي مجازي بين نواحي امنيتي ايجاد شود.
ايجاد نواحي امنيتي به شما اين اجازه را مي‌دهد تا بر با ارزش ترين بخش تجهيزات و اطلاعات تان متمرکز شويد. همچنين تجهيزات با ارزش کمتر که در مناطقي با امنيت پايين‌تر قرار مي گيرند، نيز محافظت شده هستند. اما مقدار زمان و سرمايه‌اي که شما به تجهيزات در مناطقي با امنيت پايين‌تر اختصاص مي‌دهيد بسيار اندک است، چرا که هزينه به خطر افتادن آنها کمتر از هزينه به خطر افتادن دارايي ها در مناطق با امنيت بالاتر است.
اختصاص کمترين ميزان دسترسي براي تمام منابع
اصل کمترين دسترسي اظهار مي‌دارد که کاربران و ادمين ها بايستي تنها به منابع و کنترل‌هايي که براي انجام کارشان لازم است، دسترسي يابند. کاربران بايستي تنها قادر به دسترسي به وب‌سايت‌هايي باشند که براي انجام کارشان لازم است. آنها بايستي تنها قادر به استفاده از برنامه‌هايي باشند که براي انجام کارشان لازم دارند. ادمين نيز بايستي تنها قادر به پيکربندي تنظيماتي باشد که مناسب با سطح اختيارات و نياز کاريش است و دسترسي و قدرت تغييري بالاتر از آن نداشته باشد.
هر ميزان که سطح دسترسي کاربر يا ادمين سيستم بالاتر از ميزان ضروري براي انجام کارش برود، به همان ميزان ريسک و خطر نفوذ و رخنه افزايش مي يابد. اينکه روز به روز کاربران بيشتري مي خواهند به دارايي اطلاعاتي شرکت از طريق آي پدشان دسترسي داشته باشند، اصلا بدين معني نيست که چنين کاري از نظر امنيتي ايده خوبي است. ما خيلي وقت ها به کاربران و مصرف کننده ها به جاي آن چيزي که لازم است داشته باشند، آن چيزي را که مي خواهند مي دهيم و اين خود ريسک امنيتي را در کارمان بالا مي برد.
داستان درباره ادمين هاي سيستم از اين هم بدتر است. آنها هميشه مي خواهند هر کاري را که دوست دارند انجام دهند، تنها به اين دليل که آنها مديران (administrators) سيستم هستند.
در مورد کاربران نهايي هم تنها و تنها به آنها دسترسي به چيزي را بدهيد که کارشان را راه بياندازد و نبايد به هيچ چيز ديگري دسترسي داشته باشند. در خصوص اپليکيشن ها و برنامه ها هم داستان به همين صورت است. اگر اپليکيشني در ليست برنامه هاي تاييد شده نيست، به صورت خودکار جلوي نصب و فعاليت آن را در سيستم هاي تان بگيريد.
رمزگذاري همه چيز
رمزگذاري تمام ديسک با استفاده از BitLocker مي‌تواند کمک بسياري در حفاظت از اطلاعات حساس‌تان نمايد. اين کار حتي مي‌تواند در صورت به خطر افتادن فيزيکي سيستم به شما کمک کند. براي مثال، اگر شخصي کامپيوتر سرور را از اتاق سرور شما به سرقت برد، فرد مجرم مي‌تواند درايو را بر روي سرور با کمک بوت لايو لينوکس و خواندن فايل‌هاي سيستمي فراخواني کند، که به اين روش، حمله آفلاين گفته مي‌شود. خبر خوب اما اين است که حملات آفلاين با استفاده از BitLocker قابل پيشگيري هستند. اما رمزگذاري تنها به درايوهاي سخت داخلي محدود نمي‌شود. با ويندوز 7 و ويندوز سرور 2008 سرويس پک دو شما مي‌توانيد از برنامه BitLocker در دستگاه‌هاي USB، و ديگر ابزارهاي مانند آن هم استفاده کنيد. بايستي قوانيني در شرکت وضع شود تا ابزارهاي قابل حمل مانند درايوهاي يو اس بي که داده‌هاي شرکت در آنها ذخيره شده است، همواره با استفاده از BitLocker رمزگذاري شوند.
ابزارهاي قابل حمل و حافظه هاي جانبي که در گوشي‌هاي هوشمند کارمندان سازمان‌ها هم استفاده مي‌شوند، بايستي رمزگذاري شوند. در صورتي که قرار است داده‌هاي شرکت بر روي ابزارهايي مانند درايوهاي USB ذخيره شود، قوانين بايستي کاربران را ملزم گرداند که از برنامه‌ها يا سيستم عامل تلفن هوشمندي که از رمزگذاري کارت‌هاي MicroSD پشتيباني مي‌کند، استفاده کنند. داده‌هاي ذخيره شده بر روي حافظه داخلي گوشي نيز بايستي رمزگذاري شوند. کاربران بايستي از گوشي‌هاي هوشمندي استفاده نمايند که در صورت دزديده شدن يا مفقود شدن گوشي‌شان، بتوان از راه دور اطلاعات درون آنها را از بين برد.
به روز رساني، به روز رساني، به روز رساني!
احتمالا از اين موضوع باخبر هستيد، اما يکي از موثرترين معيارهايي که شما مي‌توانيد با استفاده از آن وضعيت کلي امنيت‌تان را افزايش دهيد، به روز نگاه داشتن سيستم‌تان همراه با برنامه‌ها و به روز رساني‌هاي امنيتي است. در حاليکه بسياري از مديران شکايت مي‌کنند که محصولات مايکروسافت لازم است تا به کرات به دليل موارد امنيتي به روز رساني شود، حقيقت اين است که مايکروسافت نسبت به ديگر سيستم عامل‌ها امن تر است. چرا که مايکروسافت بسيار درباره به روز رساني نرم‌افزارهايش با پشتکار و جديت عمل مي‌کند. اگر شما از نرم‌افزاري استفاده مي‌کنيد که به ندرت به روز رساني مي‌شود، خودتان را با فکر اينکه نبود به روز رساني‌ها ارتباطي با رخنه‌هاي امنيتي نرم افزار ندارد فريب ندهيد.
استفاده از مکانيسم تاييد اعتبار امن
با پيچيده‌تر شدن تکنيک‌هاي شکستن رمزعبور، کشف رمزهاي عبور کوتاه آسان شده، و حتي رمزهاي عبور طولاني‌تر نيز قرباني تکنيک‌هاي رمزگشايي پيشرفته مي‌شود. اگر قرار است تنها از رمزعبور و نام کاربري براي مکانيسم تعيين اعتبار استفاده کنيد، بنابراين حداقل لازم است که تمام رمزهاي عبور 15 کاراکتر يا بيشتر بوده و شامل حروف بزرگ، حروف کوچک، اعداد و کاراکترهاي غيرعددي نيز باشد. در دنياي موبايل مشکلي ديگر نيز وجود دارد. اگرچه به خاطر سپردن اين نوع رمزهاي عبور مي‌تواند آسان باشد، اما واردسازي آنها در کادر رمزعبور يک گوشي هوشمند يا ديگر دستگاه‌هاي بدون صفحه کليد فيزيکي مي‌تواند چالش برانگيز باشد.
روشي بهتر استفاده از شيوه تعيين اعتبار دو عاملي است، که در آن کاربر ملزم مي‌شود تا دستگاهي مانند کارت را در اختيار داشته و همچنين رمزعبور را نيز بداند. زماني که تعيين اعتبار دو فاکتوري استفاده شود، حتي اگر رمزعبور به خطر بيافتد، آن رمزعبور ارزش کمي پيدا مي‌کند. مگر اينکه مجرم، مالکيت فيزيکي کارت را نيز در اختيار داشته باشد. براي پياده‌سازي‌هاي امن‌تر، عوامل بيومتريک ديگري نيز مي‌تواند افزوده شود، مانند تصديق صدا، تصديق چهره، اثر انگشت يا بررسي شبکيه چشم.
امنيت براي جلوگيري از نشت داده ها
شما مي‌توانيد کنترل‌هاي دسترسي بسيار مفيد را در طول اطلاعات اعمال نماييد به طوري که تنها کاربران مجاز بتوانند به آن اطلاعات دسترسي يابند. اما بعد از آن چه؟ کاربر مجاز چه کاري با آن اطلاعات مي‌تواند انجام دهد؟ آن کاربر مي‌تواند تبديل به کاربر غيرمجاز شود؟ آن کاربر مي‌تواند آن اطلاعات را پرينت کرده و يا به ديگران ايميل کند؟ در جايي که قرار است اطلاعات تنها خواندني باشند، کاربر مي‌تواند تغييراتي در آن اطلاعات ايجاد کرده و آن را همراه با تغييرات به منبع ذخيره داده‌ها منتقل کند؟
به اين فکر کنيد که چگونه اين داده‌ها را در برابر کاربران مجاز امن نماييد. اگر از آفيس و شرپوينت و Exchange مايکروسافت استفاده مي‌کنيد، مي‌توانيد از مزاياي Microsoft Rights Management Services جهت ايجاد قوانيني براي کنترل رفتار کاربراني که به صورت قانوني به اطلاعات دسترسي يافتند، بهره جوييد.
منبع:نگهبان ارسال توسط کاربر محترم سايت :king007