⬅️
هشدارباش: ایجاد ساز و کار پایش تشدید شده بعد از اتصال به شبکه جهانی اینترنت و وقفه طولانی
با توجه به اتصال مجدد به شبکه جهانی اینترنت، از منظر «هوش‌تهدیدات سایبری»، بازگشت به شبکه پس از یک دوره خاموشی یا جداسازی موقت، مخاطرات امنیتی منحصر‌به‌فردی را به همراه دارد. در واقع، این برهه زمانی
«فاز حساس‌گذار» محسوب می‌شود که پتانسیل بالایی برای بهره‌برداری‌های مخرب دارد.
در ادامه، توصیه‌های فنی و استراتژیک در سطوح مختلف برای ایمن‌سازی دارایی‌های دیجیتال ارائه می‌شود:
۱. مدیریت وصله‌ها و آسیب‌پذیری‌های معوقدر طول دوره قطعی، تعداد کثیری از آسیب‌پذیری‌های روز صفر (Zero-day) به آسیب‌پذیری‌های روز - اِن (N-day) تبدیل شده‌اند.
اولویت‌بندی بروزرسانی‌ها: بلافاصله پس از اتصال، تمامی سیستم‌های عامل، کتابخانه‌های هسته و نرم‌افزارهای کاربردی باید بر اساس لیست CVEهای منتشر شده در ماه‌های اخیر بروزرسانی شوند.
بروزرسانی میان‌افزارها: تجهیزات لبه شبکه مانند روترها و فایروال‌ها در اولویت اول قرار دارند.
۲. بازنگری در مدیریت دسترسی و هویت (IAM)قطع ارتباط طولانی‌مدت می‌تواند منجر به نادیده گرفته شدن پروتکل‌های احراز هویت شده باشد.
چرخش کلیدها و رمزهای عبور: توصیه اکید می‌شود که تمامی رمزهای عبور مدیریتی، کلیدهای API و گواهی‌های SSL/TLS بازنشانی یا تمدید شوند.
تغییر وضعیت به Zero Trust: پیاده‌سازی معماری «اعتماد صفر» بیش از هر زمان دیگری حیاتی است. فرض را بر این بگذارید که شبکه داخلی ممکن است در طول دوره قطعی (از طریق بردارهای فیزیکی یا آفلاین) آلوده شده باشد.
۳. تحلیل رفتار شبکه و شناسایی ناهنجاریهاپس از اتصال مجدد، حجم ترافیک به شدت افزایش می‌یابد. مهاجمان معمولاً از این «نویز» برای پنهان کردن فعالیت‌های خود استفاده می‌کنند.
تحلیل ترافیک خروجی: به شدت مراقب اتصالات خروجی به مقاصد ناشناخته باشید. این ترافیک می‌تواند نشان‌دهنده فعالیت بدافزارهای خفته باشد که اکنون سعی در ارتباط با سرورهای فرماندهی و کنترل (C2) دارند.
بررسی ترافیک DNS: نظارت بر درخواست‌های DNS برای شناسایی تکنیک‌های DNS Tunneling یا DGA (الگوریتم‌های تولید دامنه) ضروری است.
۴. بررسی یکپارچگی سیستم‌ها اسکن بدافزارهای آفلاین: پیش از برقراری تبادل داده گسترده، سیستم‌ها باید با استفاده از پایگاه داده‌های بروز شده آنتی‌ویروس و ابزارهای EDR اسکن شوند تا بدافزارهایی که در زمان قطعی به صورت جانبی (Lateral Movement) منتشر شده‌اند، شناسایی گردند.
بررسی فایل‌های سیستم:استفاده از ابزارهای HIDS (سیستم تشخیص نفوذ مبتنی بر میزبان) برای اطمینان از عدم تغییر فایل‌های حیاتی سیستم عامل.
۵. ممیزی گزارش‌ها گزارش‌های ثبت شده در زمان آفلاین بودن شبکه باید به دقت بررسی شوند.
تلاش‌های ناموفق برای ورود: هرگونه تلاش برای دسترسی فیزیکی یا محلی به سرورها در زمان قطعی باید به عنوان یک رخداد امنیتی تلقی شود.
ارزیابی Shadow IT: اطمینان حاصل کنید که در زمان قطعی، کاربران برای دور زدن محدودیت‌ها از تجهیزات یا نرم‌افزارهای غیرمجاز استفاده نکرده باشند.
۶. امنیت زنجیره تأمیندر زمان اتصال مجدد، دریافت پکیج‌های نرم‌افزاری و وابستگی‌ها افزایش می‌یابد.
کنترل مخازن:از صحت و سلامت مخازن نرم‌افزاری (مانند npm، PyPI یا مخازن توزیع‌های لینوکس) اطمینان حاصل کنید و از Mirrorهای محلی معتبر استفاده نمایید.
جمع‌بندی فنی:وضعیت کنونی مانند باز کردن دروازه‌های یک دژ پس از محاصره‌ای طولانی است. نباید اجازه داد شور و اشتیاق ناشی از دسترسی مجدد، موجب سهل‌انگاری در لایه‌های حفاظتی شود. پیشنهاد می‌شود یک دوره ۴۸ تا ۷۲ ساعته «پایش تشدید شده» در تمامی سطوح شبکه اعمال گردد.
مرکز فرماندهی عملیات امنیت سایبری
✅
Channel💬
Groupکانال در پیام‌رسان بله:
ble.ir/join/3FPZrprqKe
