هوش تهدیدات سایبری (CTI)؛ راهنمای جامع از تحلیل تا مدیریت رخداد
هوش تهدیدات سایبری
طبق تعریف فرهنگ لغت آکسفورد، تهدید به «امکان یک اقدام مخرب برای آسیب رساندن یا مختل کردن یک شبکه یا سیستم رایانهای» گفته میشود. تهدید، وقوع احتمالی یک رویداد ناخواسته است که میتواند به فعالیتهای عملیاتی و کاربردی یک سازمان آسیب بزند و آنها را مختل کند. تهدیدها ممکن است بر محرمانگی، یکپارچگی و دسترسپذیری اطلاعات و سامانههای یک سازمان تأثیر بگذارند. اثر تهدیدات میتواند بسیار گسترده باشد و حتی داراییهای فناوری اطلاعات و زیرساختهای فیزیکی سازمان را تحتالشعاع قرار دهد. تهدیدها ممکن است تصادفی، عمدی یا ناشی از اثرات جانبی یک اقدام باشند.
هوش تهدیدات سایبری، که معمولاً با CTI مخفف میشود، به جمعآوری و تحلیل اطلاعات مربوط به تهدیدها و مهاجمان میپردازد و الگوهایی را شناسایی میکند که به تصمیمگیری آگاهانه برای آمادگی، پیشگیری و واکنش در برابر حملات سایبری کمک میکنند. این فرایند، به شناسایی تهدیدات ناشناختهای میپردازد که ممکن است یک سازمان با آنها مواجه شود تا سازوکارهای دفاعی لازم برای مقابله با آنها بهکار گرفته شود. CTI شامل جمعآوری، تحقیق و تحلیل روندها و تحولات فنی مرتبط با تهدیدات سایبری، از جمله جرایم سایبری، هکتیویسم و جاسوسی سایبری است.
هر دانشی درباره تهدیدات که به برنامهریزی و تصمیمگیری سازمان برای مقابله با آنها کمک کند، یک قطعه از هوش تهدید محسوب میشود. هدف اصلی CTI این است که سازمان را از تهدیدات موجود یا نوظهور آگاه کند و آن را برای توسعه یک وضعیت امنیتی فعال پیش از وقوع سوءاستفاده آماده سازد. این فرایند کمک میکند تهدیدات ناشناخته به تهدیدات شناختهشده یا قابل پیشبینی تبدیل شوند و در نتیجه، سازمان بتواند حملات را پیش از وقوع شناسایی و مدیریت کند. در نهایت، هوش تهدید به ایجاد سازوکارهای امنتر برای تبادل داده و انجام تراکنشهای جهانی میان سازمانها کمک میکند.
فرایندهای هوش تهدید میتوانند برای شناسایی عوامل ریسک مسئول حملات بدافزاری، تزریق SQL، حملات وباپلیکیشن، نشت داده، فیشینگ، حملات محرومسازی از سرویس و سایر حملات مورد استفاده قرار گیرند. چنین ریسکهایی پس از پالایش، میتوانند در قالب یک چکلیست قرار گرفته و بهدرستی مدیریت شوند. هوش تهدید برای سازمانها در مدیریت تهدیدات سایبری، از طریق برنامهریزی و اجرای مؤثر، بسیار سودمند است. CTI علاوه بر تحلیل دقیق تهدید، سیستم دفاعی سازمان را نیز تقویت میکند، آگاهی نسبت به خطرات قریبالوقوع را افزایش میدهد و در پاسخگویی به این خطرات نقش مهمی دارد.
انواع هوش تهدید
هوش تهدید، اطلاعاتی متنی و تحلیلی است که تهدیدات را توصیف میکند و سازمانها را در تصمیمگیریهای تجاری و امنیتی راهنمایی میکند. این اطلاعات از مجموعهای بزرگ از منابع و دادهها استخراج میشود. با نگاهی بیرونسازمانی، بینش عملیاتی ارائه میدهد و هشدارهایی درباره تهدیدات در حال تکامل صادر میکند. برای مدیریت بهتر اطلاعات جمعآوریشده از منابع مختلف، تقسیمبندی هوش تهدید به انواع مختلف ضروری است. این تقسیمبندی بر اساس مصرفکنندگان و اهداف هوش انجام میشود. از منظر مصرف، هوش تهدید به چهار نوع اصلی تقسیم میشود: راهبردی، تاکتیکی، عملیاتی و فنی. این چهار نوع از نظر جمعآوری داده، تحلیل و مصرف با یکدیگر تفاوت دارند.
هوش تهدید راهبردی
هوش تهدید راهبردی، اطلاعات سطحبالایی درباره وضعیت امنیت سایبری، تهدیدها، اثرات مالی فعالیتهای سایبری، روندهای حمله و تأثیر تصمیمات کلان تجاری ارائه میدهد. این نوع اطلاعات توسط مدیران ارشد سازمان، مانند مدیران فناوری اطلاعات و مدیر ارشد امنیت اطلاعات، مورد استفاده قرار میگیرد. این دادهها به مدیریت کمک میکند تا ریسکهای سایبری فعلی، ریسکهای آینده، گروههای تهدید و انتساب رخنهها را شناسایی کند.
اطلاعات حاصل، دیدگاهی مبتنی بر ریسک ارائه میدهد که عمدتاً بر مفاهیم سطحبالای ریسک و احتمال وقوع آنها تمرکز دارد. این نوع هوش بیشتر با مسائل بلندمدت سروکار دارد و هشدارهای بلادرنگی درباره تهدیدات علیه داراییهای حیاتی سازمان، مانند زیرساخت فناوری اطلاعات، کارکنان، مشتریان و برنامههای کاربردی ارائه میدهد. مدیریت با استفاده از این اطلاعات میتواند تصمیمات راهبردی کسبوکار را اتخاذ کرده و بودجه و نیروی انسانی لازم را برای حفاظت از داراییهای حیاتی و فرایندهای کسبوکار تخصیص دهد.
هوش تهدید راهبردی معمولاً در قالب گزارش ارائه میشود و بر راهبردهای کلان کسبوکار تمرکز دارد. به دلیل ماهیت سطحبالای این اطلاعات، جمعآوری داده نیز از منابع سطحبالا انجام میشود و استخراج آن به متخصصان بسیار ماهر نیاز دارد. این اطلاعات از منابعی مانند OSINT، ارائهدهندگان CTI و سایر منابع مرتبط جمعآوری میشود.
هوش تهدید راهبردی به سازمانها کمک میکند رخدادهای مشابه گذشته، اهداف حمله و ویژگیهایی را که میتوانند به شناسایی مهاجمان کمک کنند، شناسایی کنند. همچنین مشخص میکند چرا سازمان در دامنه این حمله قرار گرفته، روندهای اصلی حمله چیست و چگونه میتوان سطح ریسک را کاهش داد.
بهطور کلی، هوش تهدید راهبردی شامل موارد زیر است:
- تأثیر مالی فعالیتهای سایبری
- انتساب نفوذها و نقض داده
- بازیگران تهدید و روندهای حمله
- چشمانداز تهدید برای صنایع مختلف
- آمار مربوط به نقض داده، سرقت داده و بدافزار
- درگیریهای ژئوپلیتیکی مرتبط با حملات سایبری
- نحوه تغییر TTPهای مهاجمان در طول زمان
- بخشهای صنعتی که ممکن است تحت تأثیر تصمیمات کلان تجاری قرار گیرند
هوش تهدید تاکتیکی
هوش تهدید تاکتیکی نقش مهمی در حفاظت از منابع سازمان دارد. این نوع هوش اطلاعاتی درباره تاکتیکها، تکنیکها و رویههایی ارائه میدهد که بازیگران تهدید برای اجرای حملات به کار میگیرند. این اطلاعات توسط متخصصان امنیت سایبری، مانند مدیران خدمات فناوری اطلاعات، مدیران عملیات امنیت، کارکنان مرکز عملیات شبکه، سرپرستان و معماران سیستم، مورد استفاده قرار میگیرد.
این هوش به متخصصان کمک میکند تا بفهمند مهاجمان چگونه قصد دارند حمله را علیه سازمان انجام دهند، نشتیهای احتمالی را شناسایی کنند و قابلیتهای فنی، اهداف و بردارهای حمله را ارزیابی نمایند. با استفاده از هوش تهدید تاکتیکی، تیم امنیت میتواند پیشاپیش راهکارهای شناسایی و کاهش تهدید را از طریق اقداماتی مانند بهروزرسانی محصولات امنیتی با شاخصهای شناساییشده و وصلهکردن سیستمهای آسیبپذیر توسعه دهد.
منابع جمعآوری هوش تهدید تاکتیکی شامل گزارشهای کمپینها، بدافزارها، گزارشهای رخداد، گزارشهای گروههای حمله و اطلاعات انسانی است. این نوع هوش معمولاً از مطالعه وایتپیپرها و مقالات فنی، همکاری با سایر سازمانها یا خرید هوش از ارائهدهندگان شخصثالث بهدست میآید. این اطلاعات شامل دادههای فنی درباره بدافزارها، کمپینها، تکنیکها و ابزارهاست و اغلب در قالب گزارشهای جرمیابی دیجیتال ارائه میشود.
هوش تهدید تاکتیکی با کمک به تحلیلگران در ارزیابی رخدادهای امنیتی، تحقیقات و فعالیتهای مرتبط، پشتیبانی عملیاتی روزمره را فراهم میکند و در عین حال مدیران ارشد را نیز در تصمیمگیریهای راهبردی هدایت مینماید.
هوش تهدید عملیاتی
هوش تهدید عملیاتی اطلاعاتی درباره تهدیدات مشخص علیه یک سازمان ارائه میدهد. این نوع هوش، اطلاعات زمینهای درباره رویدادها و رخدادهای امنیتی فراهم میکند که به مدافعان کمک میکند ریسکهای بالقوه را آشکار کنند، درک عمیقتری از روشها و متدولوژیهای مهاجمان به دست آورند، فعالیتهای مخرب گذشته را شناسایی کنند و تحقیقات امنیتی را کارآمدتر پیش ببرند.
این نوع هوش توسط مدیران امنیت، سرپرستان پاسخگویی به رخداد، مدافعان شبکه، تیمهای جرمیابی امنیتی و تیمهای کشف تقلب استفاده میشود. همچنین به سازمانها کمک میکند بازیگران احتمالی تهدید و قصد، توانایی و فرصت آنها برای حمله به داراییهای آسیبپذیر فناوری اطلاعات و همچنین پیامدهای یک حمله موفق را درک کنند. در بسیاری از موارد، تنها سازمانهای دولتی امکان جمعآوری این نوع هوش را دارند. با این حال، بهرهگیری از آن برای تیمهای پاسخگویی به رخداد و جرمیابی بسیار مفید است، زیرا به آنها کمک میکند منابع امنیتی را برای شناسایی و متوقفکردن حملات قریبالوقوع به کار گیرند و میزان خسارت واردشده به داراییهای فناوری اطلاعات را کاهش دهند.
هوش تهدید عملیاتی معمولاً از منابعی مانند انسانها، شبکههای اجتماعی و اتاقهای گفتوگو جمعآوری میشود. همچنین ممکن است از فعالیتها و رویدادهای دنیای واقعی که به حملات سایبری منجر میشوند بهدست آید. این نوع هوش با تحلیل رفتار انسانی، گروههای تهدید و الگوهای مشابه حاصل میشود. این اطلاعات به پیشبینی حملات آینده کمک کرده و در نتیجه، برنامههای پاسخ به رخداد و راهبردهای کاهش تهدید را تقویت میکند. هوش تهدید عملیاتی معمولاً در قالب گزارشی ارائه میشود که شامل فعالیتهای مخرب شناساییشده، اقدامات پیشنهادی و هشدارهایی درباره حملات نوظهور است.
هوش تهدید فنی
هوش تهدید فنی اطلاعاتی درباره منابعی ارائه میدهد که مهاجم برای اجرای حمله از آنها استفاده میکند؛ از جمله کانالهای فرماندهی و کنترل، ابزارها و سایر مؤلفهها. این نوع هوش نسبت به هوش تهدید تاکتیکی عمر کوتاهتری دارد و معمولاً بر یک شاخص نفوذ خاص تمرکز میکند. همچنین امکان توزیع سریع اطلاعات و واکنش سریع به تهدیدات را فراهم میسازد.
برای مثال، یک نمونه بدافزار که برای اجرای حمله استفاده میشود در حوزه هوش تهدید تاکتیکی قرار میگیرد، در حالی که جزئیات مربوط به پیادهسازی همان بدافزار در حوزه هوش تهدید فنی است. نمونههای دیگر هوش تهدید فنی شامل آدرسهای IP و دامنههایی است که توسط نقاط پایانی مخرب استفاده میشوند، هدرهای ایمیلهای فیشینگ، مقادیر هش بدافزارها و موارد مشابه. این نوع هوش توسط کارکنان مرکز عملیات امنیت و تیمهای پاسخگویی به رخداد مورد استفاده قرار میگیرد.
شاخصها ممکن است از کمپینهای فعال، حملات انجامشده علیه سایر سازمانها یا جریانهای داده ارائهشده توسط طرفهای ثالث خارجی بهدست آیند. این شاخصها معمولاً در جریان تحقیقات مربوط به حملات علیه سازمانهای مختلف جمعآوری میشوند. این اطلاعات به متخصصان امنیت کمک میکند شاخصهای شناساییشده را به سامانههای دفاعی مانند سیستمهای تشخیص و جلوگیری از نفوذ، فایروالها و سامانههای امنیت نقطه پایانی اضافه کنند تا مکانیزمهای تشخیص برای شناسایی حملات در مراحل اولیه تقویت شود. همچنین به آنها کمک میکند ترافیک مخرب، آدرسهای IP مشکوک، فعالیتهای انتشار بدافزار و ایمیلهای اسپم را شناسایی کنند. این نوع هوش بهطور مستقیم در قالب دیجیتال به تجهیزات امنیتی تزریق میشود تا ترافیک مخرب ورودی و خروجی شبکه شناسایی و مسدود شود.
چرخه عمر هوش تهدید
چرخه عمر هوش تهدید یک فرایند پیوسته برای تبدیل داده خام به هوش قابل استفاده است و به سازمانها کمک میکند سازوکارهای دفاعی لازم را برای مقابله با ریسکها و تهدیدات نوظهور ایجاد کنند. مدیران ارشد سازمان از طریق ارزیابی و ارائه بازخورد در هر مرحله، پشتیبانی مداومی از تیم هوش فراهم میکنند.
چرخه عمر هوش تهدید شامل پنج مرحله است:
- برنامهریزی و هدایت
- جمعآوری
- پردازش و بهرهبرداری
- تحلیل و تولید
- توزیع و یکپارچهسازی
- برنامهریزی و هدایت
در این مرحله، برنامهای مناسب بر اساس نیازهای هوش راهبردی تدوین میشود. برای مثال، مشخص میشود الزامات توسعه هوش تهدید چیست، کدام اطلاعات باید در اولویت قرار بگیرند و چه خروجیهایی مورد انتظار است. این مرحله کل برنامه هوش را از جمعآوری داده تا تحویل محصول نهایی تعریف میکند و پایه فرایند هوش به شمار میرود.
این مرحله همچنین شامل شناسایی نیازهای داده، روشهای جمعآوری و تدوین طرح جمعآوری است. نیازها بهگونهای تنظیم میشوند که دادههای واقعی و مؤثر با استفاده از منابع محدود اما متنوعِ اطلاعاتی گردآوری شوند. در کنار این نیازها، درخواستهایی برای جمعآوری داده از منابع داخلی و خارجی مختلف ارسال میشود.
در این مرحله، تیم هوش تشکیل شده و نقشها و مسئولیتهای کلیدی آن تعریف میشود. همچنین برنامهریزی و نیازهای مراحل بعدی چرخه مشخص میگردد تا پشتیبانی مناسب از کل فرایند فراهم شود.
- جمعآوری
در این مرحله تمرکز اصلی بر گردآوری هوش تعریفشده در مرحله نخست است. جمعآوری داده میتواند از طریق روشهای فنی یا انسانی انجام شود. بسته به سطح محرمانگی اطلاعات، این جمعآوری ممکن است بهصورت مستقیم یا محرمانه صورت گیرد.
منابع جمعآوری هوش شامل موارد زیر هستند:
- هوش انسانی
- هوش تصویری
- هوش اندازهگیری و امضا
- هوش سیگنال
- هوش منبع باز
- شاخصهای نفوذ و سایر منابع شخص ثالث
این مرحله شامل جمعآوری داده از برنامههای حیاتی، زیرساخت شبکه، زیرساخت امنیتی و سایر اجزای کلیدی سازمان است. پس از پایان فرایند جمعآوری، دادهها برای پردازش به مرحله بعد منتقل میشوند.
- پردازش و بهرهبرداری
در این مرحله، دادهها هنوز ساختاریافته یا قابل استفاده نیستند و در قالب داده خام قرار دارند. دادههای بهدستآمده از مراحل قبل برای بهرهبرداری پردازش میشوند تا به اطلاعات مفید و قابلفهم برای مصرفکنندگان تبدیل شوند.
دادههای خام توسط متخصصان آموزشدیده و با استفاده از فناوریها و ابزارهای پیشرفته به اطلاعات معنادار تبدیل میشوند. سپس دادههای تفسیرشده به فرمت قابلاستفاده تبدیل میگردند تا در مرحله تحلیل بهکار روند.
برای پردازش مؤثر، درک کامل طرح جمعآوری داده، نیازهای مصرفکننده، راهبرد تحلیلی و نوع دادههای در حال پردازش ضروری است. ابزارهای خودکار متعددی برای انجام این وظایف بهکار میروند، از جمله:
- ساختاردهی
- رمزگشایی
- ترجمه زبانی
- پارسکردن
- کاهش داده
- فیلترکردن
- همبستگی داده
- تجمیع داده
- تحلیل و تولید
پس از پردازش مناسب، در این مرحله تحلیل هوش برای دستیابی به اطلاعات پالایششده انجام میشود. تحلیل شامل واقعیتها، یافتهها و پیشبینیهاست و امکان برآورد و پیشبینی حملات و پیامدهای آنها را فراهم میکند. تحلیل باید عینی، بهموقع، دقیق و قابلاقدام باشد.
برای استخراج اطلاعات دقیق و بهموقع، تحلیلگران باید از چهار نوع روش استدلال استفاده کنند:
- استنتاج
- استقرا
- ربایش منطقی
- روش علمی مبتنی بر اطمینان
از آنجا که اطلاعات از منابع مختلف بهدست میآید، تحلیلگران در این مرحله تلاش میکنند این منابع گوناگون را در قالب یک تصویر واحد ترکیب کنند.
دادههای خام با استفاده از تکنیکهای مختلف تحلیل داده، از جمله تحلیلهای کیفی و کمی، روشهای مبتنی بر ماشین و روشهای آماری، به اطلاعات تبدیل میشوند. زمانی که اطلاعات تحلیلشده زمینه کافی برای شناسایی یک تهدید فراهم کند، به سطح «هوش» ارتقا مییابد. این مرحله تهدیدات بالقوه علیه سازمان را شناسایی کرده و در ادامه به توسعه اقدامات متقابل مناسب کمک میکند.
- توزیع و یکپارچهسازی
اطلاعات تحلیلشده سپس برای یکپارچهسازی و توزیع میان مصرفکنندگان مورد نظر آماده میشود؛ این کار میتواند بهصورت خودکار یا دستی انجام گیرد.
انواع اصلی اطلاعات تهدید که معمولاً برای توزیع استفاده میشوند شامل شاخصهای تهدید، TTPهای مهاجمان، هشدارهای امنیتی، گزارشهای هوش تهدید و اطلاعات پیکربندی ابزارها برای خودکارسازی مراحل هوش تهدید است. گزارشهای مختلفی تولید میشوند تا نیازهای مدیریت و مدیران ارشد را در سطوح راهبردی، عملیاتی، تاکتیکی و فنی برآورده سازند.
هوش تهدید راهبردی توسط مدیران ارشد و مدیریت مصرف میشود و بر راهبردهای کلان کسبوکار تمرکز دارد. هوش تهدید عملیاتی توسط متخصصان امنیت سایبری، مانند مدیران امنیت و مدافعان شبکه، مورد استفاده قرار میگیرد و عمدتاً بر تهدیدات مشخص علیه سازمانها متمرکز است. هوش تهدید تاکتیکی توسط متخصصان امنیت سایبری مانند مدیران خدمات فناوری اطلاعات، SOC، سرپرستان و معماران سیستم مصرف میشود و بر TTPهای مهاجمان تمرکز دارد. هوش تهدید فنی توسط کارکنان SOC و تیمهای پاسخگویی به رخداد مصرف میشود و شامل اطلاعات مرتبط با شاخصهای نفوذ شناساییشده است.
هوش توزیعشده به سازمانها کمک میکند راهبردهای دفاعی و اقدامات کاهش تهدید را برای تهدیدات شناساییشده توسعه دهند. اشتراکگذاری هوش تهدید در داخل و خارج از سازمان، آگاهی موقعیتی را افزایش داده و وضعیت امنیتی و فرایندهای مدیریت ریسک را بهبود میبخشد.
این مرحله همچنین بازخوردی تولید میکند که ورودیهای بیشتری به الزامات اطلاعاتی اضافه کرده و چرخه عمر هوش تهدید را تکرار میکند. بازخورد، ارزیابیای است که مشخص میکند آیا هوش استخراجشده نیازهای مصرفکننده را برآورده کرده است یا خیر. این بازخورد، همراه با ارزیابیهای مرتبط و بهموقع، به تولید هوش دقیقتر کمک میکند.
مدلسازی تهدید
مدلسازی تهدید یک رویکرد ارزیابی ریسک برای تحلیل امنیت یک برنامه کاربردی است که از طریق گردآوری، سازماندهی و تحلیل همه اطلاعات مؤثر بر آن انجام میشود. مدل تهدید از سه مؤلفه اصلی تشکیل شده است: درک دیدگاه مهاجم، مشخصسازی وضعیت امنیتی سیستم و تعیین تهدیدات. هر برنامه کاربردی باید یک مدل تهدید توسعهیافته و مستند داشته باشد که با تکامل برنامه و پیشرفت فرایند توسعه، بهطور منظم بازبینی شود.
مدلسازی تهدید به موارد زیر کمک میکند:
- شناسایی تهدیدات مرتبط با یک سناریوی خاص برنامه کاربردی
- شناسایی آسیبپذیریهای کلیدی در طراحی برنامه
- بهبود طراحی امنیت
در استفاده از این رویکرد، مدیر باید موارد زیر را در نظر داشته باشد:
- بیش از حد درگیر جزئیات مراحل یا پیادهسازیهای خاص نشود و در عوض بر رویکرد کلی تمرکز کند.
- برای تعیین دامنه فعالیت مدلسازی، از سناریوها استفاده کند.
- از مستندات طراحی موجود مانند موارد کاربرد، داستانهای کاربری، نمودارهای معماری، نمودارهای جریان داده (DFD) و سایر مستندات بهره بگیرد.
- پیش از ثبت جزئیات در اسناد، کار را با وایتبرد آغاز کند. استفاده از دوربین دیجیتال یا ابزارهای ثبت تصویر میتواند برای مستندسازی نتایج مفید باشد.
- از یک رویکرد تکرارشونده استفاده کند؛ با پیشرفت طراحی و توسعه، جزئیات بیشتری به مدل اضافه شود تا دقت تحلیل افزایش یابد.
همچنین باید اطلاعات مربوط به محدودیتهای میزبان و شبکه از مدیران سیستم و شبکه دریافت شود. برای درک بهتر نمودار استقرار انتها به انتها، لازم است تا حد ممکن اطلاعاتی درباره پیکربندی میزبانها، سیاستهای فایروال، پروتکلها و پورتهای مجاز و سایر جزئیات مرتبط جمعآوری شود.
فرایند مدلسازی تهدید شامل پنج مرحله است:
- شناسایی اهداف امنیتی
اهداف امنیتی، مقاصد و محدودیتهایی هستند که به محرمانگی، یکپارچگی و دسترسپذیری برنامه کاربردی مربوط میشوند. اهداف امنیتی خاص، تلاشهای مدلسازی تهدید را هدایت کرده و مشخص میکنند چه میزان تلاش باید در مراحل بعدی صرف شود.
برای شناسایی اهداف امنیتی، مدیر باید به پرسشهای زیر پاسخ دهد:
- چه دادههایی باید محافظت شوند؟
- آیا الزامات انطباقی وجود دارد؟
- آیا الزامات خاصی برای کیفیت خدمات وجود دارد؟
- آیا داراییهای نامشهودی برای محافظت وجود دارند؟
- مرور کلی برنامه
در این مرحله، اجزا، جریانهای داده و محدودههای اعتماد شناسایی میشوند. برای طراحی سناریوی استقرار انتها به انتها، مدیر باید از وایتبرد استفاده کند و ابتدا یک نمودار اولیه ترسیم نماید که کارکرد، ساختار برنامه، زیرسیستمها و ویژگیهای استقرار آن را توضیح دهد.
نمودار استقرار باید شامل موارد زیر باشد:
- توپولوژی استقرار انتها به انتها
- لایههای منطقی
- مؤلفههای کلیدی
- سرویسهای کلیدی
- پورتها و پروتکلهای ارتباطی
- هویتها
- وابستگیهای خارجی
شناسایی نقشها
مدیر باید افراد، نقشها و اقداماتی را که میتوانند در برنامه انجام دهند شناسایی کند. برای مثال:
- آیا گروههایی با سطح دسترسی بالاتر وجود دارند؟
- چه کسانی میتوانند دادهها را بخوانند؟
- چه کسانی میتوانند دادهها را بهروزرسانی کنند؟
- چه کسانی میتوانند دادهها را حذف کنند؟
شناسایی سناریوهای کلیدی استفاده
مدیر باید از موارد کاربرد برنامه برای تعیین هدف آن استفاده کند. موارد کاربرد توضیح میدهند که برنامه چگونه مورد استفاده قرار میگیرد و همچنین چگونه ممکن است مورد سوءاستفاده قرار گیرد.
شناسایی فناوریها
مدیر باید فناوریها و ویژگیهای کلیدی نرمافزار را فهرست کند و فناوریهای زیر را نیز مشخص نماید:
- سیستمعاملها
- نرمافزار سرور وب
- نرمافزار سرور پایگاه داده
- فناوریهای مربوط به لایههای ارائه، منطق کسبوکار و دسترسی به داده
- زبانهای توسعه
شناسایی این فناوریها کمک میکند تمرکز بر تهدیدات خاص هر فناوری قرار گیرد.
شناسایی سازوکارهای امنیتی برنامههای کاربردی
مدیر سیستم باید موارد کلیدی زیر را شناسایی کند:
- اعتبارسنجی ورودی و داده
- احراز هویت و مجوزدهی
- دادههای حساس
- مدیریت پیکربندی
- مدیریت نشست
- دستکاری پارامترها
- رمزنگاری
- مدیریت استثناها
- حسابرسی و ثبت رویدادها
این اقدامات با هدف شناسایی جزئیات مرتبط، افزودن اطلاعات لازم یا مشخصکردن بخشهایی که نیاز به بررسی بیشتر دارند انجام میشوند.
- تجزیه برنامه
در این مرحله، مدیر برنامه را تجزیه میکند تا محدودههای اعتماد، جریانهای داده، نقاط ورود و نقاط خروج را شناسایی کند. این کار، شناسایی تهدیدات و آسیبپذیریهای مرتبط را بسیار سادهتر و دقیقتر میکند.
شناسایی محدودههای اعتماد
شناسایی محدودههای اعتماد به مدیر کمک میکند بر بخشهای مرتبط برنامه تمرکز کند. این محدودهها نشان میدهند که در کجا سطح اعتماد تغییر میکند:
- شناسایی مرزهای بیرونی سیستم
- شناسایی نقاط کنترل دسترسی یا مکانهای کلیدی که در آنها دسترسی نیازمند امتیازات بیشتر یا عضویت در یک نقش خاص است
- شناسایی محدودههای اعتماد از دیدگاه جریان داده
شناسایی جریانهای داده
مدیر باید جریان داده برنامه را از ورودی تا خروجی فهرست کند. این کار به درک نحوه ارتباط برنامه با سیستمها و مشتریان خارجی و همچنین نحوه تعامل مؤلفههای داخلی با یکدیگر کمک میکند. توجه ویژه باید به جریان داده در طول محدودههای اعتماد و اعتبارسنجی داده در نقطه ورود مرز اعتماد معطوف شود.
رویکرد مناسب این است که ابتدا از بالاترین سطح شروع شود و سپس برنامه با بررسی جریان داده میان زیرسیستمهای مختلف بهتدریج تجزیه شود.
شناسایی نقاط ورود
نقاط ورود برنامه میتوانند بهعنوان نقاط ورود حمله نیز مورد استفاده قرار گیرند. همه کاربران در این نقاط با برنامه تعامل دارند. همچنین ممکن است نقاط ورود داخلی دیگری وجود داشته باشند که توسط زیرمؤلفههای مختلف در لایههای برنامه آشکار میشوند و تنها برای پشتیبانی از ارتباط داخلی با سایر مؤلفهها استفاده میشوند.
مدیر باید این نقاط را شناسایی کند تا روشهایی را که مهاجم میتواند از طریق آنها وارد سیستم شود مشخص نماید. تمرکز باید بر نقاط ورودیای باشد که دسترسی به قابلیتهای حیاتی را فراهم میکنند و باید برای آنها مکانیزمهای دفاعی کافی در نظر گرفته شود.
شناسایی نقاط خروج
مدیر باید نقاطی را نیز شناسایی کند که در آنها برنامه دادهها را به کاربر یا سیستمهای خارجی منتقل میکند. اولویت باید به نقاط خروجیای داده شود که در آنها دادههای شامل ورودی کاربر یا دادههای منابع غیرقابل اعتماد، مانند پایگاهدادههای مشترک، نوشته یا منتقل میشوند.
- شناسایی تهدیدات
مدیر باید با استفاده از اطلاعات بهدستآمده از مراحل مرور کلی برنامه و تجزیه برنامه، تهدیدات مرتبط با سناریو و زمینه کنترلی را شناسایی کند.
برای این کار باید اعضای تیم توسعه و آزمون گرد هم آیند تا تهدیدات بالقوه را شناسایی کنند. تیم باید کار خود را با فهرستی از تهدیدات رایج آغاز کند که بر اساس دستهبندی آسیبپذیریهای برنامه گروهبندی شدهاند. در این مرحله، از رویکرد مبتنی بر پرسش برای کمک به شناسایی تهدیدات استفاده میشود.
- شناسایی آسیبپذیریها
آسیبپذیری، ضعفی در یک برنامه کاربردی است که در یک سیستم اطلاعاتی مستقر شده و امکان سوءاستفاده توسط مهاجم را فراهم میکند و در نهایت منجر به نقض امنیت میشود.
مدیران امنیت باید هرگونه ضعف مرتبط با تهدیدات شناساییشده را با استفاده از دستهبندیهای آسیبپذیری مشخص کنند و پیش از آنکه مهاجمان بتوانند از آنها سوءاستفاده کنند، آنها را برطرف نمایند.
مدیریت رخداد
مدیریت رخداد مجموعهای از فرایندهای تعریفشده برای شناسایی، تحلیل، اولویتبندی و رفع رخدادهای امنیتی است تا سیستم در سریعترین زمان ممکن به وضعیت عادی عملیاتی بازگردد و از تکرار رخداد جلوگیری شود. این فرایند تنها به پاسخگویی به رخدادها محدود نیست، بلکه شامل ایجاد هشدارهایی برای پیشگیری از ریسکها و تهدیدات بالقوه نیز میشود. یک مدیر امنیت باید پیش از آنکه فردی از آسیبپذیریها سوءاستفاده کند، نرمافزارهای در معرض حمله را شناسایی کند.
مدیریت رخداد شامل موارد زیر است:
- تحلیل آسیبپذیری
- تحلیل آرتیفکتها
- آموزش آگاهی امنیتی
- تشخیص نفوذ
- پایش عمومی یا فناوری
فرایند مدیریت رخداد برای اهداف زیر طراحی شده است:
- بهبود کیفیت خدمات
- حل پیشگیرانه مشکلات
- کاهش تأثیر رخدادها بر سازمان یا کسبوکار
- برآوردهسازی الزامات دسترسپذیری خدمات
- افزایش کارایی و بهرهوری کارکنان
- بهبود رضایت کاربران و مشتریان
- کمک به مدیریت رخدادهای آینده
برگزاری جلسات آموزشی برای افزایش آگاهی کاربران، بخش مهمی از مدیریت رخداد است. چنین جلساتی به کاربران نهایی کمک میکند رویدادها یا رخدادهای مشکوک را راحتتر شناسایی کرده و رفتار مهاجم را به مرجع مناسب گزارش دهند.
افراد زیر در فعالیتهای مدیریت رخداد مشارکت دارند:
- کارکنان منابع انسانی، اقداماتی برای اخراج کارمندانی که به فعالیتهای مخرب رایانهای مشکوک هستند انجام میدهند.
- مشاور حقوقی قوانین و مقررات سازمان را تعیین میکند و این قوانین میتوانند در صورت استفاده مخرب از سیستمهای سازمان توسط فرد داخلی یا مهاجم، بر سیاستها و رویههای امنیت داخلی اثر بگذارند.
- مدیر فایروال فیلترها را در جای خود نگه میدارد؛ این فیلترها اغلب نقاطی هستند که حملات انکار سرویس در آنها انجام میشود.
- ارائهدهنده خدمات برونسپاریشده، سیستمهایی را که به ویروسها و بدافزارها آلوده شدهاند، تعمیر میکند.
پاسخ به رخداد یکی از وظایفی است که در چارچوب مدیریت رخداد انجام میشود، و مدیریت رخداد نیز یکی از خدماتی است که بهعنوان بخشی از مدیریت رخداد کلی ارائه میگردد.
