مقدماتی راهنمای اجرایی
رمز عبور قوی و مدیر رمز عبور رمز عبور خوب فقط مجموعهای از علامتهای عجیب نیست. مهمترین ویژگی آن این است که طولانی باشد و در هیچ حساب دیگری تکرار نشده باشد. مدیر رمز عبور این امکان را میدهد که برای هر سایت رمز متفاوتی بسازید، بدون اینکه مجبور باشید همه را حفظ کنید.
مناسب برای کاربران عمومی
Password Password Manager
CISA Secure Our World مطالعه آموزش ← مقدماتی راهنمای اجرایی
احراز هویت چندمرحلهای؛ لایه دوم دفاع احراز هویت چندمرحلهای باعث میشود سرقت رمز عبور بهتنهایی برای ورود کافی نباشد. با این حال، همه روشهای MFA مقاومت یکسانی ندارند و روش بازیابی ضعیف میتواند کل کنترل را دور بزند.
مناسب برای کاربران عمومی
MFA Identity
CISA Secure Our World مطالعه آموزش ← مقدماتی راهنمای اجرایی
فیشینگ را پیش از کلیک تشخیص دهید پیام فیشینگ معمولاً تلاش میکند فرصت فکرکردن را از کاربر بگیرد: اخطار بستهشدن حساب، درخواست پرداخت فوری یا فایل جذاب. ظاهر رسمی و لوگوی درست، اصالت پیام را ثابت نمیکند.
مناسب برای کاربران عمومی
Phishing Email Security
CISA Secure Our World مطالعه آموزش ← مقدماتی راهنمای اجرایی
بهروزرسانی امن سیستمعامل و نرمافزار بهروزرسانی امنیتی نقص شناختهشده را اصلاح میکند، اما نصب بیبرنامه روی سامانه حساس میتواند اختلال ایجاد کند. راه درست، ترکیب سرعت با آزمون و کنترل نتیجه است.
مناسب برای کاربران عمومی
Patching Updates
CISA Secure Our World مطالعه آموزش ← متوسط راهنمای اجرایی
پشتیبانگیری مقاوم در برابر باجافزار نسخه پشتیبان فقط زمانی قابل اعتماد است که در حادثه بتوان آن را بازیابی کرد. باجافزارها معمولاً بهدنبال حذف یا رمزکردن Backupهای متصل نیز هستند، بنابراین جداسازی و محدودکردن دسترسی اهمیت دارد.
مناسب برای مدیریت، ریسک و کسبوکار
Backup Ransomware
CISA StopRansomware مطالعه آموزش ← متوسط راهنمای اجرایی
اصل حداقل دسترسی در عمل اصل حداقل دسترسی میگوید هر کاربر یا سرویس فقط مجوز لازم برای کار مشخص را داشته باشد و آن مجوز بیش از زمان لازم باقی نماند. این کار دامنه خسارت سرقت حساب یا خطای انسانی را محدود میکند.
مناسب برای فناوری و زیرساخت
Least Privilege IAM
NIST SP 800-207 مطالعه آموزش ← متوسط مفهومی و آشنایی
اعتماد صفر به زبان ساده Zero Trust نام یک محصول نیست. این رویکرد میگوید حضور کاربر یا دستگاه در شبکه داخلی نباید بهتنهایی باعث اعتماد شود؛ هر درخواست باید با توجه به هویت، وضعیت دستگاه، مقصد و حساسیت عملیات ارزیابی شود.
مناسب برای مدیریت، ریسک و کسبوکار
Zero Trust Architecture
NIST SP 800-207 مطالعه آموزش ← متوسط چکلیست و مرجع
ثبت رویداد؛ چه لاگهایی واقعاً لازماند؟ لاگ باید امکان بازسازی رویداد را بدهد: چه کسی، چه کاری، چه زمانی، از کجا و با چه نتیجهای انجام داده است. جمعکردن حجم زیادی رویداد بدون این اطلاعات، فقط هزینه Storage و جستوجو را بالا میبرد.
مناسب برای عملیات امنیت
Logging SIEM
CISA Logging Guidance مطالعه آموزش ← متوسط راهنمای اجرایی
دسترسی راه دور ایمن دسترسی راه دور باید یک مسیر مشخص و کنترلشده داشته باشد. بازکردن RDP، SSH یا پنل مدیریت روی اینترنت، حتی با رمز قوی، سطح حمله غیرضروری ایجاد میکند.
مناسب برای فناوری و زیرساخت
Remote Access VPN
CISA Cyber Essentials مطالعه آموزش ← مقدماتی چکلیست و مرجع
فهرست دارایی؛ پایه هر برنامه امنیتی فهرست دارایی پاسخ سادهای به یک سؤال مهم است: چه چیزی در سازمان داریم و چه کسی مسئول آن است؟ بدون این اطلاعات، وصله، پشتیبانگیری و پاسخ به حادثه همیشه بخشی از محیط را جا میاندازند.
مناسب برای فناوری و زیرساخت
Asset Inventory Cyber Hygiene
CISA Cyber Essentials مطالعه آموزش ← متوسط راهنمای اجرایی
تفکیک شبکه؛ چرا همه دستگاهها نباید کنار هم باشند؟ تفکیک شبکه یعنی دستگاهها و سرویسها فقط به بخشهایی دسترسی داشته باشند که برای انجام کارشان لازم است. اگر رایانه کاربر، دوربین، تلفن تحت شبکه و سرور مالی در یک محدوده آزاد قرار بگیرند، آلودهشدن ضعیفترین عضو میتواند مسیر رسیدن مهاجم به مهمترین دارایی را باز کند. هدف Segmentation ساختن مرزهای قابل دفاع است، نه تقسیم شبکه به تعداد زیادی VLAN بدون سیاست روشن.
مناسب برای فناوری و زیرساخت
Segmentation Network
CISA StopRansomware مطالعه آموزش ← متوسط راهنمای اجرایی
امنیت DNS؛ از نام دامنه تا مقصد واقعی کاربر و برنامه برای رسیدن به بیشتر سرویسها ابتدا نام دامنه را به نشانی IP تبدیل میکنند. اگر این مرحله دستکاری شود، حتی تایپکردن نام درست نیز میتواند کاربر را به مقصد اشتباه ببرد. در سازمان، DNS علاوه بر دسترسپذیری، منبع مهمی برای کشف بدافزار، دامنه تازهساختهشده و ارتباط غیرمعمول است.
مناسب برای عملیات امنیت
DNS Monitoring
CISA Protective DNS مطالعه آموزش ← مقدماتی چکلیست و مرجع
افزونه مرورگر؛ دسترسی کوچک با اثر بزرگ افزونهای که اجازه خواندن و تغییر داده همه وبسایتها را دارد میتواند محتوای ایمیل، پنل سازمانی و فرمهای ورود را ببیند. حضور در فروشگاه رسمی یا تعداد نصب بالا تضمین نمیکند ناشر، کد یا مالکیت افزونه در آینده تغییر نکند. ریسک واقعی از ترکیب مجوز گسترده، بهروزرسانی خودکار و دسترسی مرورگر به سرویسهای حساس ایجاد میشود.
مناسب برای کاربران عمومی
Browser Privacy
CISA Cyber Essentials مطالعه آموزش ← متوسط راهنمای اجرایی
SPF، DKIM و DMARC به زبان عملی SPF، DKIM و DMARC هرکدام بخش متفاوتی از مسئله جعل ایمیل را حل میکنند. SPF میگوید چه سامانههایی مجازند برای دامنه پیام بفرستند؛ DKIM پیام را با کلید دامنه امضا میکند؛ DMARC نتیجه این دو را با دامنهای که کاربر در From میبیند همراستا میکند و سیاست برخورد و گزارشدهی میدهد. هیچکدام جلوی فریب با دامنه شبیه یا حساب واقعی سرقتشده را بهتنهایی نمیگیرند.
مناسب برای فناوری و زیرساخت
Email DMARC
CISA Phishing Guidance مطالعه آموزش ← مقدماتی چکلیست و مرجع
رسانه قابلحمل و USB؛ کنترل بدون توقف کار حافظه قابلحمل میتواند بدافزار را وارد شبکه یا داده حساس را از آن خارج کند. بااینحال، در بعضی محیطها انتقال فایل به سامانه جدا، دستگاه صنعتی یا مشتری هنوز نیاز کاری واقعی است. ممنوعیت مطلق بدون جایگزین معمولاً باعث دورزدن سیاست میشود؛ آزادی کامل نیز ریسک را به کاربر واگذار میکند.
مناسب برای کاربران عمومی
USB Endpoint
NIST SP 800-111 مطالعه آموزش ← متوسط راهنمای اجرایی
دورکاری امن فراتر از نصب VPN VPN ارتباط دستگاه دورکار با سازمان را در یک مسیر محافظتشده قرار میدهد، اما سالمبودن دستگاه، هویت کاربر و محدودبودن دسترسی را تضمین نمیکند. اگر لپتاپ آلوده یا حساب کاربر سرقت شده باشد، اتصال VPN میتواند همان مشکل را به شبکه داخلی نزدیکتر کند. بنابراین دورکاری امن باید هویت، دستگاه، مسیر و مقصد را همزمان کنترل کند.
مناسب برای فناوری و زیرساخت
Remote Access MFA
NIST SP 800-46r2 مطالعه آموزش ← متوسط راهنمای اجرایی
کلید API و Secret را کجا نگهداری کنیم؟ API Key، Token، رمز پایگاه داده و کلید امضا معمولاً برای ارتباط خودکار سرویسها استفاده میشوند. قرارگرفتن آنها در مخزن Git، Image کانتینر، فایل تنظیمات عمومی یا پیامرسان میتواند به مهاجم دسترسی مستقیم و بینیاز از MFA بدهد. حذف رشته از آخرین Commit نیز کافی نیست؛ تاریخچه و نسخههای ساختهشده ممکن است آن را نگه داشته باشند.
مناسب برای توسعه و هوش مصنوعی
Secrets API
مقدماتی چکلیست و مرجع
خروج کارمند و بستن دسترسیها کارمند یا پیمانکار معمولاً به ایمیل، VPN، فایل اشتراکی، سرویس ابری، مخزن کد و ابزارهای خارج از مدیریت مرکزی دسترسی دارد. غیرفعالکردن حساب Active Directory یا ایمیل همه این مسیرها را نمیبندد. Tokenهای فعال، کلیدهای API، حساب محلی و مالکیت فایل ممکن است پس از خروج باقی بمانند.
مناسب برای فناوری و زیرساخت
Offboarding IAM
CISA Cyber Essentials مطالعه آموزش ← متوسط راهنمای اجرایی
خط مبنای امن؛ تنظیم درست را قابل تکرار کنید نوشتن اینکه «سرور امنسازی شود» قابل اجرا یا ارزیابی نیست. خط مبنا مشخص میکند برای یک نقش و نسخه معین، کدام سرویس فعال، کدام پورت باز، چه سیاست حسابی اعمال و چه لاگی نگهداری شود. این تنظیم باید نسخهدار و قابل مقایسه با وضعیت واقعی باشد.
مناسب برای فناوری و زیرساخت
Baseline Configuration
NIST SP 800-128 مطالعه آموزش ← مقدماتی مفهومی و آشنایی
فرهنگ گزارشدهی؛ خطای کاربر را پنهان نکنیم کاربر ممکن است روی لینک اشتباه کلیک کند، فایل را برای گیرنده نادرست بفرستد یا درخواست MFA ناخواسته را تأیید کند. اگر واکنش سازمان سرزنش و بازجویی باشد، حادثه بعدی دیرتر گزارش میشود. چند دقیقه تأخیر میتواند فرصت لغو نشست یا توقف انتقال داده را از بین ببرد.
مناسب برای کاربران عمومی
Awareness Culture
NIST SP 800-50r1 مطالعه آموزش ←