مقاله · شبکه
امنیت شبکه برای دفترهای کوچک، هماهنگ با شیوه کار امروز شما
شبکه دفتر شما لپتاپ کارکنان، چاپگرها، تلفن‌ها، دوربین‌ها، مهمانان و کارکنان دورکار را به هم وصل میکند. بدون کمی ساختار، هر یک از این‌ها میتواند به راهی برای رسیدن به همه چیزهای دیگر تبدیل شود. این‌ها کنترل‌های عملی هستند که برای یک کسبوکار کوچک یا متوسط بیشترین اهمیت را دارند.
- تاریخ انتشار
- ۷ دقیقه مطالعه
در این صفحه
نکات کلیدی
- فریمور فایروال و تجهیزات شبکه را بهروز نگه دارید و وقتی سازنده دیگر به‌روزرسانی امنیتی منتشر نمی‌کند، سخت‌افزار را تعویض کنید.
- شبکه را بخشبندی کنید تا مهمانان، دستگاه‌های اینترنت اشیا، تلفن‌ها و رایانههای کارکنان نتوانند آزادانه به یکدیگر دسترسی داشته باشند.
- وای‌فای مهمان را کاملاً از سامانه‌های کسبوکار جدا کنید و برای کارکنان از امنیت قوی و بهروز وای‌فای استفاده کنید.
- دسترسی از راه دور را با احراز هویت چندعاملی (MFA) ایمن کنید، تجهیزات VPN را سریع وصله کنید و برای دسترسی در سطح برنامه، دسترسی شبکه‌ای با اعتماد صفر (ZTNA) را در نظر بگیرید.
- هرگز ریموت دسکتاپ یا رابط‌های مدیریت دستگاه‌ها را مستقیماً در معرض اینترنت قرار ندهید.
- همه دستگاه‌های متصل را فهرست کنید، چون از چیزی که نمی‌دانید وجود دارد نمی‌توانید محافظت کنید.
فایروال: هنوز ضروری، اغلب فراموش‌شده
در بسیاری از دفترهای کوچک، فایروال همان دستگاهی است که شرکت اینترنت نصب کرده، یا یک فایروال تجاری که یک بار پیکربندی شده و دیگر هیچ‌وقت سراغش نرفته‌اند. فایروال‌ها و دیگر تجهیزات لبه شبکه اهداف رایجی هستند، چون ذاتاً رو به اینترنت‌اند و یک آسیب‌پذیری میتواند به مهاجم دسترسی مستقیم به شبکه داخلی بدهد.
به‌روزرسانی فریمور تجهیزات لبه را فوری بدانید، به‌ویژه وقتی سازنده اعلام میکند یک آسیب‌پذیری به‌طور فعال مورد سوءاستفاده است. مشترک اطلاعیه‌های امنیتی سازنده شوید. بررسی کنید دستگاه هنوز پشتیبانی می‌شود؛ وقتی مدلی به پایان عمر می‌رسد، دیگر اصلاحیه دریافت نمی‌کند و باید تعویض شود. مطمئن شوید رابط مدیریتی از اینترنت در دسترس نیست، حساب‌های مدیر فردی هستند و در صورت پشتیبانی با MFA محافظت می‌شوند و پس از هر تغییر از پیکربندی پشتیبان گرفته می‌شود.
مجموعه قواعد را دستکم سالی یک بار بازبینی کنید. پورت‌فورواردها و قواعدی را که کسی نمی‌تواند توضیحشان دهد حذف کنید، در صورت امکان ترافیک خروجی را محدود کنید و قابلیت‌هایی را که لایسنسشان را دارید، مانند جلوگیری از نفوذ، فیلترینگ وب و اشتراک‌های اطلاعات تهدید، پس از آزمایش اثرشان فعال کنید.
شبکه را بخشبندی کنید
در یک شبکه تخت، که در آن هر دستگاه با هر دستگاه دیگری ارتباط دارد، یک چاپگر یا لپتاپ آلوده میتواند به سرور فایل برسد. VLANها و قواعد فایروال میان آنها این گسترش را محدود می‌کنند.
دستگاه‌های کارکنان
لپ‌تاپ‌ها و رایانههای رومیزی مدیریت‌شده شرکت، با دسترسی به برنامه‌ها و سرورهای کسبوکار که به آنها نیاز دارند.
سرورها و زیرساخت
سرورهای فایل، دستگاه‌های پشتیبان‌گیری و مدیریت شبکه، که فقط از سامانهها و مدیرانی که به آنها نیاز دارند قابل دسترسی‌اند. به‌ویژه سامانه‌های پشتیبان‌گیری باید به‌شدت محدود شوند.
تلفن‌ها و چاپگرها
تلفن‌های VoIP و چاپگرها در بخش‌های جداگانه، با اجازه دسترسی فقط به سرویس‌هایی که لازم دارند، مانند ارائه‌دهنده سامانه تلفن یا سرور چاپ.
اینترنت اشیا و سامانه‌های ساختمان
دوربین‌ها، کنترل تردد درها، تلویزیون‌های هوشمند، ترموستات‌ها و دیگر دستگاه‌هایی که به‌ندرت به‌روزرسانی می‌شوند، به‌صورت ایزوله تا نتوانند به داده‌های کسبوکار برسند.
مهمانان
فقط دسترسی به اینترنت، بدون هیچ مسیری به بخش‌های داخلی.
وای‌فای برای کارکنان و مهمانان
شبکه‌های بی‌سیم از دیوارهای شما فراتر می‌روند. آنها را طوری پیکربندی کنید که انگار کسی در پارکینگ در حال تلاش برای اتصال است، چون گاهی واقعاً هست.
- در صورتی که همه دستگاه‌ها پشتیبانی می‌کنند از WPA3 استفاده کنید، یا از حالت انتقالی WPA2/WPA3؛ WEP و WPA-TKIP را به‌کلی کنار بگذارید.
- برای دفترهای بزرگ‌تر، WPA2-Enterprise یا WPA3-Enterprise با 802.1X را در نظر بگیرید تا هر کاربر یا دستگاه جداگانه احراز هویت شود؛ این روش اغلب به Microsoft Entra ID یا گواهی‌هایی که از طریق Intune صادر می‌شوند متصل است.
- اگر برای کارکنان از کلید مشترک (pre-shared key) استفاده می‌کنید، آن را طولانی و تصادفی انتخاب کنید، وقتی کارکنانی که آن را می‌دانند می‌روند تغییرش دهید و آن را با مهمانان به اشتراک نگذارید.
- یک شبکه مهمان جداگانه روی VLAN مخصوص خودش با جداسازی کلاینت‌ها، محدودیت پهنای باند و بدون دسترسی به منابع داخلی راه‌اندازی کنید و گذرواژه‌اش را به‌طور منظم عوض کنید یا از صفحه ورود (captive portal) استفاده کنید.
- قابلیت WPS را غیرفعال کنید، اعتبارنامه‌های پیش‌فرض مدیر را روی اکسس‌پوینت‌ها تغییر دهید و فریم‌ورشان را بهروز نگه دارید.
- اکسس‌پوینت‌ها را طوری قرار دهید که فضای شما را پوشش دهند، بدون آنکه بی‌دلیل سیگنال را به واحدهای همسایه یا خیابان بفرستند.
دسترسی از راه دور: VPN و دسترسی شبکه‌ای با اعتماد صفر
دورکاری یعنی مرز شبکه شما اکنون میز آشپزخانه‌ها و کافه‌ها را هم در بر می‌گیرد. VPNهای سنتی یک تونل رمزگذاری‌شده به شبکه دفتر ایجاد می‌کنند و اگر به‌خوبی پیکربندی شوند همچنان گزینه معقولی هستند: برای هر اتصال MFA را الزامی کنید، به کاربران دورکار فقط به بخش‌هایی که لازم دارند دسترسی بدهید، نرم‌افزار و دستگاه VPN را سریع وصله کنید و اتصالات را ثبت کنید. دستگاه‌های VPN بارها هدف مهاجمان بوده‌اند، پس وصله‌نشده رها کردن آنها خطری جدی است.
دسترسی شبکه‌ای با اعتماد صفر (ZTNA) رویکرد متفاوتی دارد. به‌جای قرار دادن دستگاه دورکار روی شبکه، پس از بررسی هویت و سلامت دستگاه، اغلب از طریق یک سرویس ابری، دسترسی به برنامههای مشخص را واسطه‌گری میکند. کاربران هرگز شبکه گسترده‌تر را نمی‌بینند و همین، دامنه آنچه مهاجم با اعتبارنامه دزدیده‌شده به آن می‌رسد را محدود میکند. برای سازمان‌هایی که برنامه‌هایشان عمدتاً در Microsoft 365 و دیگر سکوهای SaaS است، ممکن است نیاز به VPN اندک باشد و ZTNA یا انتشار برنامه بتواند برای معدود سامانه‌های داخلی باقی‌مانده جایگزین آن شود.
هر رویکردی را انتخاب کنید، هرگز Remote Desktop Protocol (RDP)، اشتراک فایل SMB یا صفحه‌های مدیریت دستگاه‌ها را مستقیماً در معرض اینترنت قرار ندهید. RDP در معرض اینترنت یکی از رایج‌ترین راه‌های ورود باج‌افزار است.
اینترنت اشیا و دستگاه‌هایی که کسی آنها را رایانه نمی‌داند
دوربین‌های امنیتی، دستگاه‌های ضبط تصویر، نمایشگرهای اتاق جلسه، تلویزیون‌های هوشمند، چاپگرها، کارت‌خوان‌ها و کنترل‌کننده‌های سرمایش و گرمایش همگی رایانههای متصل به شبکه‌اند. بسیاری از آنها با گذرواژه پیش‌فرض عرضه می‌شوند، به‌ندرت به‌روزرسانی دریافت می‌کنند و به‌جای واحد فناوری اطلاعات، پیمانکاران نصبشان می‌کنند. برخی هم به سرویس‌های ابری‌ای که شما انتخاب نکرده‌اید اتصال خروجی برقرار می‌کنند.
آنها را فهرست کنید، اعتبارنامه‌های پیش‌فرض را تغییر دهید، فریمور را هر وقت در دسترس بود بهروز کنید، قابلیت‌هایی را که استفاده نمی‌کنید مانند UPnP و دسترسی ابری از راه دور غیرفعال کنید و آنها را در بخشی ایزوله با حداقل دسترسی لازم قرار دهید. هنگام خرید دستگاه جدید، از فروشنده بپرسید بهروزرسانیهای امنیتی تا چه مدت ارائه می‌شود.
دید و نگهداری
امنیت شبکه یک پروژه یک‌باره نیست. یک روال سبک و منظم از فرسوده شدن آن جلوگیری میکند.
فهرست دارایی‌ها را نگه دارید
هر دستگاه شبکه، مدل، نسخه فریمور، وضعیت پشتیبانی، محل و مسئولش را ثبت کنید. تجهیزات شرکت اینترنت و هر چیزی را که پیمانکار نصب کرده هم بیاورید.
از فیلترینگ DNS استفاده کنید
فیلتر کردن درخواست‌های DNS دامنه‌های مخرب و فیشینگ شناخته‌شده را برای همه دستگاه‌های شبکه مسدود میکند و از طریق یک عامل نرم‌افزاری میتواند لپ‌تاپ‌های خارج از دفتر را هم پوشش دهد.
ثبت و پایش
گزارش‌های فایروال و وای‌فای را به مکانی بفرستید که در آن نگهداری و بازبینی شوند و برای تغییرات پیکربندی و ورودهای ناموفق مکرر هشدار تنظیم کنید.
بازبینی منظم
وضعیت فریمور و پشتیبانی را ماهانه بررسی کنید، قواعد فایروال و حساب‌های VPN را هر فصل بازبینی کنید و پس از تغییرات، بخشبندی را آزمایش کنید؛ یعنی تأیید کنید دستگاه مهمان واقعاً به سامانه‌های داخلی دسترسی ندارد.
لایه فیزیکی را ایمن کنید
اتاق یا کمد شبکه را قفل کنید، پریزهای شبکه بلااستفاده روی دیوار را غیرفعال کنید یا به یک VLAN محدود اختصاص دهید و بدانید چه کسی به تجهیزات شبکه دسترسی فیزیکی دارد.
با سه بررسی شروع کنید
تأیید کنید فایروال شما هنوز پشتیبانی می‌شود و فریمور بهروز دارد، تأیید کنید چیزی مانند RDP در معرض اینترنت نیست و تأیید کنید وای‌فای مهمان به هیچ دستگاه داخلی دسترسی ندارد. همین سه بررسی برخی از رایج‌ترین شکاف‌های شبکه دفترهای کوچک را می‌بندد.
پرسش‌های متداول
آیا مودم یا روتری که شرکت اینترنت داده کافی است؟
برای یک دفتر بسیار کوچک ممکن است محافظت پایه فراهم کند، اما روترهای شرکت‌های اینترنت اغلب امکان بخشبندی، ثبت گزارش و به‌روزرسانی به‌موقع فریمور را ندارند. بیشتر کسب‌وکارها از یک فایروال تجاری اختصاصی بهره می‌برند، در حالی که دستگاه شرکت اینترنت در حالت bridge یا عبور مستقیم قرار دارد.
اگر همهچیز ما در Microsoft 365 است، باز هم به VPN نیاز داریم؟
شاید نه. اگر همه برنامههای کسبوکار ابری باشند و با دسترسی مشروط محافظت شوند، ممکن است VPN فقط برای چند سامانه داخلی لازم باشد یا اصلاً لازم نباشد. ZTNA میتواند بدون دسترسی کامل به شبکه، دسترسی به آن سامانهها را فراهم کند.
بخشبندی شبکه چیست و چرا اهمیت دارد؟
بخشبندی، شبکه را به ناحیههایی با قواعد مشخص میان آنها تقسیم میکند تا دستگاه آلوده در یک ناحیه، مانند دوربین یا لپتاپ مهمان، نتواند آزادانه به سرورها و رایانههای کارکنان در ناحیه دیگر برسد.
فریمور فایروال را هر چند وقت یک بار باید بهروز کرد؟
بهروزرسانیهای امنیتی را بهمحض انتشار اعمال کنید و برای آسیبپذیریهایی که سازنده اعلام میکند مورد سوءاستفاده قرار گرفتهاند، فوری اقدام کنید. دستکم ماهانه بهروزرسانیها را بررسی کنید و پیش از پایان دوره پشتیبانی دستگاه برای تعویض برنامهریزی کنید.
تصویری روشن از شبکه دفترتان به دست آورید
ارزیابی سلامت شبکه، فایروال، وای‌فای، بخشبندی، دسترسی از راه دور و فهرست دستگاه‌های شما را بررسی میکند و برنامه‌ای اولویت‌بندی‌شده برای بهبود به شما می‌دهد.