مقاومسازی امنیتی · پیکربندی امن
گروه خدمات: امنیت سایبریراههای نفوذ آسان را از دستگاه‌ها، سرورها و تنت ابری خود حذف کنید
تنظیمات پیش‌فرض به نفع راحتی است، نه امنیت. ما پیکربندی‌های پایه امن و مستند را روی رایانه‌ها، سرورها، تنت Microsoft 365 و تجهیزات شبکه شما اعمال میکنیم، آن‌ها را با شیوه واقعی کار کارکنانتان می‌آزماییم و نمی‌گذاریم به مرور از حالت پایه فاصله بگیرند.
در یک نگاه
- خدمت
- طراحی، اجرای مرحله‌ای و نگهداری پیکربندی‌های پایه امن برای دستگاه‌ها، سرورها، سرویس‌های ابری و تجهیزات شبکه
- مناسب برای
- سازمان‌هایی با حدود ۵ تا ۲۰۰ کارمند که تنظیمات دستگاه‌هایشان یکدست نیست یا پیکربندی ابری‌شان در حالت پیش‌فرض مانده است
- موارد اصلی
- طراحی پیکربندی پایه با الهام از CIS Benchmarks و خطوط پایه امنیتی Microsoft، آزمون آزمایشی، اجرای مرحله‌ای، ثبت استثناها و بررسی انحراف از پیکربندی
- به‌طور پیش‌فرض شامل نمی‌شود
- تغییر در کد نرم‌افزارها، جایگزینی سخت‌افزار سیستم‌های فاقد پشتیبانی، آزمون نفوذ و گواهی رسمی انطباق
- مبنای قیمت‌گذاری
- پروژه مقاومسازی با هزینه ثابت، به‌همراه مدیریت اختیاری انحراف پیکربندی به‌ازای هر دستگاه، ماهانه؛ تأییدشده در پیشفاکتور کتبی
- مناطق
- ارائه از راه دور در سراسر کانادا؛ کار حضوری در ونکوور بزرگ، دره فریزر و کلگری برای هر آدرس جداگانه تأیید می‌شود
- نحوه شروع
- با «ارزیابی امنیت» یا «ارزیابی امنیت دستگاه» شروع کنید و سپس محدوده پروژه مقاومسازی را تعیین کنید
مقاومسازی امنیتی چیست
مقاومسازی یعنی کاهش سطح حمله یک سیستم با تغییر پیکربندی آن: غیرفعال کردن قابلیت‌ها و پروتکل‌هایی که استفاده نمی‌کنید، اجباری کردن رمزگذاری، محدود کردن افرادی که میتوانند نرمافزار نصب یا اسکریپت اجرا کنند، محدود کردن دسترسی مدیریتی و فعال کردن قابلیت‌های امنیتی‌ای که به‌طور پیش‌فرض خاموش‌اند. این کار شامل لپ‌تاپ‌ها و رایانه‌های رومیزی، سرورها، تنت Microsoft 365، فایروال‌ها و Wi-Fi می‌شود.
پیکربندی‌های پایه را از منابع معتبر، از جمله CIS Benchmarks، خطوط پایه امنیتی Microsoft و راهنمای مرکز امنیت سایبری کانادا می‌سازیم و سپس آن‌ها را با نرم‌افزارها و گردش کار شما تطبیق میدهیم. پیکربندی‌ای که نرمافزار حسابداری شما را از کار بیندازد یا یک ماکروی ضروری را مسدود کند، توسط کارکنان کلافه برگردانده خواهد شد؛ بنابراین آزمون و مدیریت استثناها بخشی از کار است.
مقاومسازی معمولاً یک پروژه است که پس از آن نگهداری می‌آید. با تعویض دستگاه‌ها، نصب نرمافزار و تغییرات حین عیب‌یابی، تنظیمات به مرور از حالت پایه فاصله می‌گیرند. بررسی مستمر انحراف، پیکربندی پایه را سر جای خود نگه می‌دارد.
ضعف‌های رایج پیکربندی
همه مدیر محلی هستند
کارکنان میتوانند هر چیزی نصب کنند و بدافزاری که با حساب کاربر اجرا شود، کنترل کامل دستگاه را به ارث می‌برد.
پروتکل‌های قدیمی همچنان فعال
SMBv1، NTLMv1، نسخه‌های قدیمی TLS و سرویس‌های از راه دور بلااستفاده فعال مانده‌اند، چون کسی آن‌ها را خاموش نکرده است.
دستگاه‌های رمزگذاری‌نشده
لپ‌تاپ‌های بدون BitLocker یا FileVault در صورت گم شدن یا سرقت، اطلاعات مشتریان را در معرض افشا قرار می‌دهند.
تنظیمات پیش‌فرض ابری
Microsoft 365 به‌طور پیش‌فرض یا بر اساس تصمیم‌های گذشته، پیوندهای اشتراک‌گذاری ناشناس، رضایت کاربر برای برنامه‌ها و ارسال خودکار به بیرون را مجاز می‌داند.
چه چیزهایی را مقاومسازی میکنیم
دستگاه‌های Windows و macOS
رمزگذاری دیسک، حذف دسترسی مدیر محلی، Windows LAPS، قوانین کاهش سطح حمله، محدودیت ماکروها، قفل صفحه و تنظیمات فایروال، همگی از طریق Intune.
سرورهای Windows
حذف نقش‌ها و سرویس‌های بلااستفاده، خاموش کردن پروتکل‌های قدیمی، محدود کردن دسترسی از راه دور، ثبت رویدادهای ممیزی و لایه‌بندی دسترسی مدیریتی.
تنت Microsoft 365
پیش‌فرض‌های اشتراک‌گذاری، ارسال خودکار به بیرون، رضایت کاربر، ثبت ممیزی، ممیزی صندوق‌های ایمیل و محدودیت‌های پرتال مدیریت.
فایروال‌ها و Wi-Fi
حذف قوانین بلااستفاده، بستن رابط‌های مدیریتی، به‌روزرسانی فرم‌ویر، WPA3 یا WPA2-Enterprise در صورت پشتیبانی و جداسازی شبکه مهمان.
مدیریت استثناها
هر انحراف از پیکربندی پایه همراه با دلیل، مسئول و تاریخ بازبینی ثبت می‌شود.
تشخیص انحراف
گزارش‌های انطباق در Intune و بررسی‌های دوره‌ای پیکربندی، دستگاه‌هایی را که از حالت پایه خارج شده‌اند مشخص می‌کنند.
محدوده خدمات
سیستمها و پیکربندی‌های پایه مشمول در پیشنهاد شما فهرست می‌شوند.
معمولاً شامل می‌شود
- طراحی پیکربندی پایه برای دسته‌های دستگاه، سرور، تنت و شبکه داخل محدوده
- اجرای آزمایشی روی یک گروه آزمون همراه با پیگیری مشکلات
- اجرای مرحله‌ای همراه با اطلاع‌رسانی به کارکنان
- ثبت مستند استثناها با دلیل و تاریخ بازبینی
- مستندات پیکربندی برای سوابق شما
- بررسی انحراف پیکربندی، در صورت انتخاب مدیریت مستمر
نیازمند محدوده یا پیشفاکتور جداگانه
- تغییر در کد منبع نرم‌افزارها یا نرمافزارهای فروشندگان
- جایگزینی سخت‌افزار یا سیستم‌عاملی که نمی‌تواند الزامات پیکربندی پایه را برآورده کند
- آزمون نفوذ برای سنجش مقاومسازی
- گواهی یا تأییدیه انطباق با هر استانداردی
- مقاومسازی سیستم‌هایی که با ابزارهای در دسترس ما مدیریت نمی‌شوند
ابزارها و منابع مرجع
- پروفایل‌های پیکربندی، خطوط پایه امنیتی و سیاست‌های انطباق Microsoft Intune
- Group Policy برای محیط‌های Active Directory در محل
- Windows LAPS، BitLocker و FileVault
- CIS Benchmarks و خطوط پایه امنیتی Microsoft
- Microsoft Secure Score برای پیکربندی تنت
- کنسول‌های مدیریت فروشندگان فایروال و Wi-Fi
این خدمت برای چه کسانی مناسب است
سازمان‌هایی که به‌صورت غیررسمی رشد کرده‌اند
کسب‌وکارهایی که دستگاه‌هایشان طی سال‌ها یکی‌یکی و بدون استاندارد مشترک راه‌اندازی شده‌اند.
تیم‌هایی که به Intune مهاجرت می‌کنند
سازمان‌هایی که مدیریت ابری دستگاه را به کار می‌گیرند و می‌خواهند پیکربندی‌های پایه امنیتی از ابتدا در آن گنجانده شود.
شرکت‌هایی که ارزیابی انجام داده‌اند
کسب‌وکارهایی که فهرستی از یافته‌های پیکربندی حاصل از یک ارزیابی دارند و می‌خواهند آن‌ها به‌طور نظام‌مند برطرف شوند.
مزایا
- راه‌های کمتر برای بدافزار و مهاجمان جهت به دست گرفتن کنترل
- تنظیمات یکدست روی همه دستگاه‌ها و سرورها
- محافظت از لپ‌تاپ‌های گم‌شده یا سرقت‌شده با رمزگذاری
- استثناهای مستند به‌جای تفاوت‌های بی‌توضیح
- مستندات پیکربندی برای مشتریان و بیمه‌گران
روند اجرای پروژه مقاومسازی
وضعیت فعلی
داده‌های پیکربندی را از دستگاه‌ها، سرورها، تنت و تجهیزات شبکه جمع‌آوری میکنیم.
پیشنهاد پیکربندی پایه
تنظیمات هر دسته را پیشنهاد میدهیم و مواردی را که احتمالاً بر کاربران یا نرم‌افزارها اثر می‌گذارند مشخص میکنیم.
اجرای آزمایشی
پیکربندی‌های پایه روی یک گروه آزمون، اغلب ابتدا در حالت ممیزی، اعمال و مشکلات برطرف می‌شوند.
اجرای مرحله‌ای
تنظیمات در چند مرحله و همراه با اطلاع‌رسانی و پشتیبانی اعمال می‌شوند.
مستندسازی و نگهداری
پیکربندی‌های پایه و استثناها مستند می‌شوند و در صورت انتخاب، بررسی انحراف آغاز می‌شود.
روش‌های خرید
قیمت‌ها پیشنهادی هستند و در پیشفاکتور کتبی تأیید می‌شوند.
پروژه مقاومسازی
پروژهای با هزینه ثابت برای دسته‌های دستگاه، سرور، تنت و شبکه‌ای که انتخاب می‌کنید.
مدیریت مستمر انحراف
بررسی و اصلاح ماهانه به‌ازای هر دستگاه برای حفظ پیکربندی‌های پایه.
ابتدا ارزیابی
یک «ارزیابی امنیت» یا «ارزیابی امنیت دستگاه» برای تشخیص اینکه کدام دستهها مهم‌ترند.
پرسش‌های متداول
آیا مقاومسازی نرمافزارهای ما را از کار میاندازد؟
اگر بیدقت انجام شود ممکن است. ما تنظیمات را ابتدا روی یک گروه آزمون اجرا میکنیم، در صورت امکان از حالت ممیزی استفاده میکنیم و برای نرمافزارهایی که واقعاً نیاز دارند استثنا ثبت میکنیم.
آیا باید دسترسی مدیریتی را از همه بگیریم؟
برای حسابهای کاربری روزمره اکیداً توصیه میکنیم. کارکنانی که باید نرمافزار نصب کنند میتوانند درخواست دهند یا از یک فرایند کنترلشده ارتقای دسترسی استفاده کنند.
آیا مقاومسازی ما را با CIS منطبق میکند؟
ما از CIS Benchmarks بهعنوان مرجع استفاده و آن را با محیط شما تطبیق میدهیم. این با ارزیابی رسمی انطباق متفاوت است؛ چنین ارزیابیای پروژهای جداگانه با یک ارزیاب مستقل خواهد بود.
یک پروژه مقاومسازی چقدر طول میکشد؟
به تعداد سیستمها، دستهها و سرعت دریافت بازخورد از اجرای آزمایشی بستگی دارد. جدول زمانی را در پیشفاکتور شما تأیید میکنیم.
خدمات مرتبط
صنایعی که پشتیبانی میکنیم
تنظیمات پیش‌فرض را با یک پیکربندی پایه مستند جایگزین کنید
یک جلسه مشاوره رزرو کنید تا انتخاب کنید کدام سیستمها اول مقاومسازی شوند و پیشنهادی با هزینه ثابت دریافت کنید.