امنیت شبکه سازمانی؛ اصول، تهدیدها و راهکارهای حفاظت از زیرساخت

امنیت شبکه سازمانی مجموعه‌ای از سیاست‌ها، فناوری‌ها و فرآیندهایی است
که برای محافظت از کاربران، تجهیزات، سرورها، اطلاعات و سرویس‌های شبکه
در برابر دسترسی غیرمجاز، اختلال و سوءاستفاده به کار گرفته می‌شود.

در یک سازمان، امنیت فقط به نصب Firewall یا Antivirus محدود نیست.
ساختار شبکه، مدیریت دسترسی، حساب‌های کاربری، تجهیزات، سرورها،
Wi-Fi، Backup، Monitoring و نحوه مدیریت تغییرات همگی بخشی از
امنیت زیرساخت هستند.

هدف این مقاله ارائه یک دید عملی برای شناخت مهم‌ترین بخش‌های
امنیت شبکه سازمانی و اقداماتی است که می‌توان برای کاهش ریسک
در زیرساخت شبکه انجام داد.

امنیت شبکه چیست؟

امنیت شبکه به مجموعه اقداماتی گفته می‌شود که برای محافظت از
ارتباطات، تجهیزات، سرویس‌ها و داده‌های موجود در یک شبکه انجام می‌شود.

این اقدامات می‌توانند شامل کنترل دسترسی، تفکیک شبکه،
Firewall، احراز هویت، رمزنگاری، Monitoring، مدیریت به‌روزرسانی‌ها
و Backup باشند.

چرا امنیت شبکه سازمانی اهمیت دارد؟

شبکه سازمانی مسیر ارتباط کاربران با سرورها، اینترنت،
نرم‌افزارها و تجهیزات مختلف است.
اختلال یا دسترسی غیرمجاز در این مسیر می‌تواند روی عملکرد
سرویس‌های سازمان تأثیر بگذارد.

به همین دلیل امنیت باید از مرحله طراحی شبکه در نظر گرفته شود
و بعد از راه‌اندازی نیز به‌صورت مستمر مدیریت شود.

مهم‌ترین اجزای امنیت شبکه سازمانی

• Firewall
• Network Segmentation
• VLAN
• Access Control
• امنیت تجهیزات شبکه
• امنیت سرورها
• امنیت Wi-Fi
• مدیریت حساب‌های کاربری
• Monitoring و Logging
• Backup
• به‌روزرسانی نرم‌افزار و Firmware
• آموزش کاربران

Firewall چیست؟

Firewall ابزاری برای کنترل ترافیک شبکه بر اساس Ruleها و Policyهای
مشخص است.
Firewall می‌تواند در مرز اینترنت و شبکه داخلی یا در بخش‌های
مختلف معماری شبکه قرار داشته باشد.

Policyهای Firewall باید بر اساس نیاز واقعی سازمان طراحی شوند.
مسدود کردن همه ترافیک یا باز گذاشتن بیش از حد دسترسی‌ها
هر دو می‌توانند باعث ایجاد مشکل شوند.

محدود کردن دسترسی مدیریتی

دسترسی مدیریتی به Router، Switch، Firewall، Server، NVR و سایر
تجهیزات حساس باید فقط برای افراد و شبکه‌های مجاز امکان‌پذیر باشد.

• استفاده از رمز عبور قوی
• محدود کردن IPهای مدیریتی
• غیرفعال کردن سرویس‌های غیرضروری
• استفاده از حساب‌های کاربری جداگانه
• ثبت تغییرات مدیریتی

VLAN و جداسازی شبکه

VLAN یکی از روش‌های متداول برای جداسازی منطقی بخش‌های مختلف شبکه است.
برای مثال می‌توان کاربران، سرورها، دوربین‌ها، VoIP و شبکه مدیریت
را در بخش‌های جداگانه قرار داد.

جداسازی شبکه به‌تنهایی امنیت کامل ایجاد نمی‌کند؛
ارتباط بین VLANها نیز باید با Policy مناسب کنترل شود.

برای آشنایی بیشتر با طراحی شبکه سازمانی،
مقاله

طراحی شبکه سازمانی؛ اصول، مراحل و استانداردهای مهم

را مطالعه کنید.

امنیت تجهیزات شبکه

Routerها، Switchها و Access Pointها بخش مهمی از زیرساخت هستند
و در صورت دسترسی غیرمجاز می‌توانند روی کل شبکه تأثیر بگذارند.

تغییر رمزهای پیش‌فرض، محدود کردن دسترسی مدیریتی،
به‌روزرسانی Firmware و تهیه Backup از Configuration
از اقدامات مهم در این بخش هستند.

امنیت MikroTik

اگر MikroTik نقش Router، Gateway یا Firewall سازمان را داشته باشد،
تنظیمات امنیتی آن اهمیت ویژه‌ای پیدا می‌کند.

دسترسی مدیریتی، Firewall، NAT، VPN، سرویس‌های فعال و
Logها باید مطابق نیاز سازمان بررسی شوند.

برای آشنایی با تنظیمات پایه MikroTik می‌توانید مقاله

تنظیم MikroTik؛ راهنمای تنظیمات پایه و کاربردی برای شبکه سازمانی

را مطالعه کنید.

امنیت سرورها

سرورها معمولاً میزبان سرویس‌های مهم سازمان هستند و باید
دسترسی به آن‌ها به‌صورت کنترل‌شده انجام شود.

• مدیریت حساب‌های کاربری
• محدود کردن دسترسی شبکه
• به‌روزرسانی سیستم‌عامل
• Backup منظم
• Monitoring
• ثبت Log
• غیرفعال کردن سرویس‌های غیرضروری

امنیت Wi-Fi سازمانی

شبکه بی‌سیم یکی از نقاط دسترسی مهم به زیرساخت سازمان است.
استفاده از تنظیمات امنیتی مناسب و کنترل دسترسی کاربران
برای جلوگیری از اتصال افراد غیرمجاز اهمیت دارد.

همچنین شبکه مهمان بهتر است از شبکه داخلی سازمان جدا باشد
تا دسترسی آن به منابع حساس کنترل شود.

امنیت دوربین‌های تحت شبکه

دوربین‌های IP و NVR نیز بخشی از شبکه سازمان هستند و نباید
بدون کنترل دسترسی در معرض شبکه‌های غیرمجاز قرار بگیرند.

تغییر رمز پیش‌فرض، جداسازی شبکه دوربین‌ها در صورت نیاز،
محدود کردن دسترسی مدیریتی و به‌روزرسانی Firmware
از اقدامات مهم هستند.

برای آشنایی بیشتر با طراحی سیستم نظارت تصویری،
مقاله

NVR و دوربین تحت شبکه؛ راهنمای طراحی، نصب و عیب‌یابی سیستم نظارت تصویری

را مطالعه کنید.

مدیریت دسترسی کاربران

هر کاربر باید فقط به منابعی دسترسی داشته باشد که برای انجام
وظایف خود نیاز دارد.
این اصل می‌تواند سطح دسترسی غیرضروری را کاهش دهد.

حساب‌های کاربری مشترک نیز مدیریت و پیگیری فعالیت‌ها را دشوار می‌کنند.
در سیستم‌های حساس بهتر است حساب‌ها به افراد مشخص اختصاص داده شوند.

امنیت رمزهای عبور

رمزهای عبور پیش‌فرض یا ساده یکی از نقاط ضعف رایج در تجهیزات و سرویس‌ها هستند.
برای حساب‌های مهم باید از رمزهای مناسب استفاده شود و در صورت امکان
احراز هویت چندمرحله‌ای نیز فعال شود.

Monitoring و Logging

فقط جلوگیری از حمله کافی نیست؛ سازمان باید بتواند وضعیت
زیرساخت و رویدادهای مهم را نیز مشاهده و بررسی کند.

• تغییرات Configuration
• Loginهای مدیریتی
• خطاهای تجهیزات
• مصرف منابع
• ترافیک غیرعادی
• قطع شدن سرویس‌ها
• رویدادهای Firewall

Backup و امنیت اطلاعات

Backup یکی از اجزای مهم برنامه امنیت و تداوم سرویس است.
Backup باید برای داده‌ها و Configurationهای مهم در نظر گرفته شود.

داشتن یک نسخه Backup روی همان دستگاه یا همان محل،
در برابر برخی خرابی‌ها و حوادث محافظت کافی ایجاد نمی‌کند.
بهتر است سیاست نگهداری و بازیابی Backup از قبل مشخص باشد.

به‌روزرسانی تجهیزات و نرم‌افزارها

سیستم‌عامل سرورها، Firmware تجهیزات شبکه، Firewall،
NVR و سایر تجهیزات باید طبق فرآیند مشخص بررسی و در صورت نیاز
به‌روزرسانی شوند.

قبل از Update تجهیزات حساس، بررسی سازگاری و تهیه Backup
اهمیت زیادی دارد.

امنیت فیزیکی تجهیزات

امنیت شبکه فقط دیجیتال نیست.
دسترسی فیزیکی غیرمجاز به Router، Switch، Server، NVR یا تجهیزات رک
نیز می‌تواند باعث تغییر Configuration یا اختلال در سرویس شود.

تجهیزات مهم بهتر است در محیط کنترل‌شده و با دسترسی محدود نگهداری شوند.

Network Segmentation

تقسیم شبکه به بخش‌های منطقی می‌تواند به کنترل بهتر ارتباطات کمک کند.
برای مثال می‌توان شبکه‌های زیر را از یکدیگر جدا کرد:

• شبکه کاربران
• شبکه سرورها
• شبکه مدیریت
• شبکه VoIP
• شبکه دوربین‌ها
• شبکه مهمان

امنیت VoIP

سیستم‌های VoIP نیز باید در معماری امنیتی شبکه در نظر گرفته شوند.
محدود کردن دسترسی به IP-PBX، جداسازی Voice VLAN و کنترل
مسیرهای ارتباطی می‌تواند بخشی از این معماری باشد.

مهندسی اجتماعی و نقش کاربران

بخشی از امنیت سازمان به رفتار کاربران وابسته است.
کلیک روی لینک‌های ناشناس، استفاده از رمزهای ضعیف،
نصب نرم‌افزارهای غیرمجاز یا اشتراک‌گذاری اطلاعات حساس
می‌تواند ریسک ایجاد کند.

آموزش کاربران و ایجاد فرآیند مشخص برای گزارش رویدادهای مشکوک
بخشی از برنامه امنیت سازمانی است.

مستندسازی امنیت شبکه

مستندات شبکه باید شامل اطلاعاتی مانند IP Addressing،
VLANها، تجهیزات، ارتباطات، سرویس‌های مهم و دسترسی‌های مدیریتی باشد.

مستندسازی باعث می‌شود تغییرات شبکه قابل پیگیری باشند
و در زمان عیب‌یابی یا بازیابی سرویس، اطلاعات لازم در دسترس باشد.

عیب‌یابی مشکلات امنیتی شبکه

هنگام مشاهده رفتار غیرعادی، بهتر است ابتدا محدوده مشکل مشخص شود.
سپس تجهیزات، Logها، ترافیک، حساب‌های کاربری و تغییرات اخیر بررسی شوند.

روش مرحله‌ای عیب‌یابی شبکه در مقاله

عیب‌یابی شبکه کامپیوتری؛ راهنمای شناسایی و رفع مشکلات رایج شبکه

توضیح داده شده است.

امنیت و پشتیبانی شبکه

امنیت شبکه یک فرآیند یک‌باره نیست.
تجهیزات، کاربران، سرویس‌ها و نیازهای سازمان در طول زمان تغییر می‌کنند
و بنابراین Policyهای امنیتی نیز باید به‌صورت دوره‌ای بازبینی شوند.

پشتیبانی منظم شبکه می‌تواند به شناسایی تغییرات،
خطاها و نقاط ضعف عملیاتی کمک کند.

برای آشنایی با فرآیند پشتیبانی شبکه،
مقاله

پشتیبانی شبکه شرکت‌ها؛ خدمات، فرآیند و نکات مهم

را مطالعه کنید.

اشتباهات رایج در امنیت شبکه

• استفاده از رمزهای پیش‌فرض
• باز گذاشتن سرویس‌های غیرضروری
• دسترسی مدیریتی بدون محدودیت
• نبود Backup از Configuration
• عدم به‌روزرسانی تجهیزات
• نبود Logging و Monitoring
• قرار دادن همه تجهیزات در یک شبکه
• عدم تفکیک شبکه مهمان
• عدم مستندسازی تغییرات
• عدم بررسی دوره‌ای دسترسی کاربران

چک‌لیست امنیت شبکه سازمانی

• بررسی Firewall
• محدود کردن دسترسی مدیریتی
• تغییر رمزهای پیش‌فرض
• بررسی VLANها
• جداسازی شبکه مهمان
• بررسی امنیت Wi-Fi
• بررسی امنیت سرورها
• بررسی امنیت NVR و دوربین‌ها
• به‌روزرسانی Firmware و نرم‌افزارها
• تهیه Backup
• بررسی Logها
• Monitoring تجهیزات
• بازبینی دسترسی کاربران
• مستندسازی زیرساخت
• آموزش کاربران

چه زمانی باید امنیت شبکه بررسی شود؟

بررسی امنیت فقط زمانی که یک مشکل رخ می‌دهد کافی نیست.
بهتر است در زمان طراحی شبکه، اضافه شدن سرویس جدید،
تغییر تجهیزات، افزایش کاربران و تغییر معماری شبکه،
وضعیت امنیت نیز بازبینی شود.

همچنین پس از تغییرات مهم زیرساخت، دسترسی‌ها و Ruleهای امنیتی
باید دوباره بررسی شوند.

جمع‌بندی

امنیت شبکه سازمانی یک مجموعه به‌هم‌پیوسته از کنترل‌های فنی
و مدیریتی است و به یک ابزار خاص محدود نمی‌شود.

Firewall، VLAN، کنترل دسترسی، امنیت تجهیزات،
Backup، Monitoring، به‌روزرسانی و آموزش کاربران
همگی بخشی از یک زیرساخت امن هستند.

مهم‌ترین اصل این است که امنیت از مرحله طراحی شبکه در نظر گرفته شود
و پس از راه‌اندازی نیز به‌صورت مستمر بررسی و مستندسازی شود.

سؤالات متداول

امنیت شبکه سازمانی چیست؟

مجموعه‌ای از سیاست‌ها، فناوری‌ها و فرآیندها برای محافظت
از کاربران، تجهیزات، سرویس‌ها و اطلاعات شبکه در برابر
دسترسی غیرمجاز و اختلال است.

آیا Firewall به‌تنهایی برای امنیت شبکه کافی است؟

خیر. Firewall فقط یکی از اجزای امنیت شبکه است و کنترل دسترسی،
تفکیک شبکه، امنیت تجهیزات، Backup، Monitoring و مدیریت کاربران
نیز اهمیت دارند.

آیا VLAN باعث امن شدن شبکه می‌شود؟

VLAN می‌تواند شبکه را از نظر منطقی جدا کند، اما به‌تنهایی
یک راهکار کامل امنیتی نیست. ارتباط میان VLANها نیز باید
با Policy مناسب کنترل شود.

آیا دوربین‌های IP هم نیاز به تنظیمات امنیتی دارند؟

بله. دوربین‌ها و NVR بخشی از زیرساخت شبکه هستند و باید
دسترسی مدیریتی، رمز عبور، Firmware و مسیرهای ارتباطی آن‌ها
به‌درستی مدیریت شود.

چرا Backup در امنیت شبکه اهمیت دارد؟

Backup امکان بازیابی اطلاعات و Configurationهای مهم را
در زمان خرابی، حذف اطلاعات یا برخی حوادث امنیتی فراهم می‌کند.