ایمن‌سازی سرور و زیرساخت

دسترسی مدیران و حساب‌های سرویس

حساب‌های مدیریتی، حساب‌های مشترک و دسترسی سرویس‌ها بررسی می‌شوند. دسترسی کارهای روزمره از مدیریت سامانه جدا می‌شود و برای مجوزهای اضافی، دلیل و مسئول مشخص در نظر می‌گیریم.

روش بازبینی دسترسی‌ها هنگام تغییر نیروها، مسئولیت‌ها یا سرویس‌ها مشخص می‌شود.

رمزها، کلیدها و اطلاعات دسترسی

محل نگه‌داری رمزها و کلیدهای دسترسی و سرویس‌های وابسته به آن‌ها را بررسی می‌کنیم. اطلاعات حساس در فایل‌های تنظیمات و فرایند استقرار شناسایی می‌شوند و مسئول نگه‌داری، تعویض و لغو آن‌ها مشخص می‌شود.

تعویض رمز یا کلید باید با توجه به سرویس‌های وابسته انجام شود.

کنترل ارتباطات شبکه

سرویس‌های در دسترس اینترنت، پنل‌های مدیریتی و ارتباط میان بخش‌های شبکه بررسی می‌شوند. پیش از محدودکردن هر مسیر، ارتباطات موردنیاز کاربران و سرویس‌ها را مشخص می‌کنیم.

پس از اصلاح، هم محدودیت اعمال‌شده و هم ارتباطات ضروری آزمایش می‌شوند.

یک نمونه از محدودهٔ کار

دسترسی به پنل مدیریت را محدود و بررسی‌پذیر کنید

ابتدا کاربران مجاز پنل و سرویس‌های وابسته مشخص می‌شوند. سپس مسیر دسترسی مناسب تعیین و محدودیت توافق‌شده اعمال می‌شود. در پایان بررسی می‌کنیم که دسترسی غیرمجاز بسته شده و کار کاربران مجاز مختل نشده باشد؛ نتیجه و موارد استثنا نیز ثبت می‌شوند.

برای شروع بررسی چه اطلاعاتی لازم است؟

سرویس‌ها و مسئولان آن‌ها را مشخص کنید

فهرست سرویس‌های مهم، محدودیت‌های زمانی و نیازهای دسترس‌پذیری را آماده کنید. مسئول سامانه‌ها، شبکه، اطلاعات دسترسی و استقرار هم مشخص باشد. نقشهٔ زیرساخت، یافته‌های قبلی و موارد استثنا را از مسیر امنِ مورد توافق در اختیار تیم فنی بگذارید.

رمز عبور، کلید دسترسی یا اطلاعات محرمانه را در فرم تماس ننویسید.

پیکربندی سرور و سرویس‌ها

سرویس‌های فعال، تنظیمات مدیریتی و مسئولیت نصب به‌روزرسانی‌ها را متناسب با کاربرد سامانه بررسی می‌کنیم. تنظیمات مبنا مشخص می‌شوند و هر استثنای عملیاتی با دلیل ثبت می‌شود.

محدودیت دسترس‌پذیری و مسئول تغییر تنظیمات باید روشن باشد.

امنیت فرایند ساخت و استقرار

مسیر ورود نرم‌افزار و تنظیمات به محیط عملیاتی را بررسی می‌کنیم؛ از دسترسی به مخزن کد و حساب‌های استقرار تا انتخاب و نگه‌داری وابستگی‌های نرم‌افزاری. مجوزهای این فرایند باید با سامانه‌هایی که تغییر می‌دهند متناسب باشند.

مسئول بازبینی و نگه‌داری هر بخش در محدودهٔ پروژه مشخص می‌شود.

آزمایش نتیجه و پیگیری موارد باز

پیش از اجرا، روش بررسی نتیجه را مشخص می‌کنیم. اصلاح انجام‌شده، نتیجهٔ آزمایش و ریسک‌های باقی‌مانده ثبت می‌شوند و برای نگه‌داری یا بازبینی دوباره، مسئول مشخص تعیین می‌شود.

هر مورد باید اصلاح مشخص، نتیجهٔ قابل بررسی و مسئول پیگیری داشته باشد.

تنظیمات مبنا

پیکربندی موردنیاز، دسترسی‌های مجاز و استثناهای ثبت‌شده.

نتیجهٔ بررسی

اصلاحات انجام‌شده، آزمایش‌ها، نتیجه‌ها و ریسک‌های باقی‌مانده.

مسئولیت‌ها

مسئول تنظیمات، اطلاعات دسترسی، به‌روزرسانی‌ها و بازبینی بعدی.