در مرحله نخست، وضعیت فعلی شبکه، تجهیزات، ارتباطات و دسترسی‌ها بررسی می‌شود. این ارزیابی شامل معماری شبکه، تنظیمات تجهیزات، مسیرهای ارتباطی، دسترسی کاربران و سرورها، سرویس‌های فعال و نقاط احتمالی نفوذ است.

• ساختار فیزیکی و منطقی شبکه
• VLANها، Subnetها و Routing
• تنظیمات فایروال و Access Listها
• دسترسی سرورها به اینترنت
• ارتباط کاربران با سرورها
• ارتباط میان شبکه‌های داخلی
• دسترسی‌های مدیریتی
• سرویس‌ها و پورت‌های فعال
• دسترسی پیمانکاران و کاربران راه دور
• تنظیمات VPN
• تجهیزات دارای Firmware یا سیستم‌عامل قدیمی
• حساب‌های کاربری و دسترسی‌های غیرضروری
• نقاط فاقد مانیتورینگ یا ثبت لاگ

پس از ارزیابی، معماری امنیتی متناسب با زیرساخت و نیازهای واقعی سازمان طراحی می‌شود. این معماری می‌تواند شامل تفکیک نواحی مختلف شبکه و تعیین سیاست‌های ارتباطی میان آن‌ها باشد.

• شبکه کاربران
• شبکه سرورها
• شبکه تجهیزات مدیریتی
• شبکه تجهیزات امنیتی
• شبکه مهمان
• شبکه VoIP
• شبکه دوربین‌ها و تجهیزات IoT
• شبکه پشتیبان‌گیری
• شبکه ذخیره‌سازی
• شبکه مجازی‌سازی
• شبکه پایگاه‌های داده
• ناحیه DMZ
• ناحیه سرویس‌های منتشرشده روی اینترنت
• شبکه مدیریت خارج از باند یا OOBM

یکی از مهم‌ترین اقدامات در امن‌سازی شبکه، محدودکردن حرکت جانبی مهاجم است. در این روش، شبکه به بخش‌های کنترل‌شده تقسیم می‌شود و هر سیستم فقط به منابعی دسترسی خواهد داشت که برای انجام وظیفه خود به آن‌ها نیاز دارد.

• تفکیک شبکه کاربران و سرورها
• جداسازی سرورهای حساس
• تفکیک Database، Application و Web Server
• محدودکردن ارتباط میان VLANها
• تعریف دسترسی بر اساس مبدأ، مقصد، سرویس و پورت
• جلوگیری از دسترسی عمومی سرورها به اینترنت
• جداسازی تجهیزات Backup و Storage
• تفکیک شبکه مدیریت
• کنترل ارتباط میان سایت‌ها و شعب
• طراحی DMZ برای سرویس‌های منتشرشده
• پیاده‌سازی سیاست Least Privilege

وجود Ruleهای زیاد، قدیمی یا بدون مستندات می‌تواند فایروال را به یکی از نقاط ضعف شبکه تبدیل کند. در بازطراحی سیاست‌های فایروال، Ruleها بر اساس نیاز واقعی سرویس‌ها بررسی و اصلاح می‌شوند.

• بررسی Ruleهای موجود
• حذف Ruleهای بلااستفاده و تکراری
• محدودکردن دسترسی‌های Any-to-Any
• اصلاح Ruleهای بیش از حد باز
• شناسایی Ruleهای بدون استفاده
• گروه‌بندی آدرس‌ها و سرویس‌ها
• استانداردسازی نام‌گذاری Ruleها
• ثبت مالک و دلیل ایجاد هر دسترسی
• تعریف تاریخ انقضا برای دسترسی‌های موقت
• فعال‌سازی Logging مناسب
• کنترل دسترسی خروجی سرورها
• اعمال محدودیت جغرافیایی در صورت نیاز
• بهینه‌سازی NAT و Publishing
• مستندسازی کامل سیاست‌های فایروال

دسترسی کارکنان، مدیران، پیمانکاران و تیم‌های پشتیبانی به شبکه سازمان باید کنترل‌شده، قابل‌ثبت و محدود به نیاز واقعی باشد.

• طراحی و پیاده‌سازی VPN امن
• استفاده از احراز هویت چندمرحله‌ای
• محدودکردن دسترسی کاربران VPN
• تعریف دسترسی بر اساس نقش
• محدودکردن زمان و مقصد دسترسی پیمانکاران
• ثبت فعالیت کاربران راه دور
• ایجاد Jump Server یا Bastion Host
• جلوگیری از دسترسی مستقیم مدیریتی از اینترنت
• محدودکردن دسترسی‌های RDP، SSH و پنل‌های مدیریتی

تجهیزات شبکه و امنیت باید بر اساس اصول Hardening پیکربندی شوند. تنظیمات پیش‌فرض، پروتکل‌های ناامن و دسترسی‌های مدیریتی کنترل‌نشده می‌توانند زمینه نفوذ را فراهم کنند.

• غیرفعال‌سازی سرویس‌ها و پورت‌های غیرضروری
• حذف حساب‌های پیش‌فرض
• اعمال سیاست رمز عبور مناسب
• محدودکردن دسترسی مدیریتی
• استفاده از SSH و پروتکل‌های امن
• حذف Telnet، HTTP و پروتکل‌های ناامن
• تنظیم SNMPv3
• تعریف NTP امن و یکپارچه
• ارسال لاگ به سامانه مرکزی
• تهیه نسخه پشتیبان از تنظیمات
• به‌روزرسانی Firmware
• محدودکردن Management Plane
• پیاده‌سازی AAA و اتصال به سامانه احراز هویت مرکزی

دسترسی باید بر اساس نقش، مسئولیت و نیاز واقعی کاربران تعریف شود. در این بخش، اصل حداقل دسترسی یا Least Privilege مبنای طراحی قرار می‌گیرد.

• بررسی حساب‌های کاربری
• حذف دسترسی‌های غیرضروری
• تفکیک حساب‌های مدیریتی و روزمره
• تعیین سطح دسترسی بر اساس نقش
• کنترل حساب‌های مشترک
• اعمال احراز هویت چندمرحله‌ای
• مدیریت حساب‌های پیمانکاران
• بازبینی دوره‌ای دسترسی‌ها
• ثبت تغییرات دسترسی
• طراحی فرآیند ایجاد، تغییر و حذف دسترسی

با استفاده از راهکارهای کنترل دسترسی، تنها کاربران و تجهیزات مجاز امکان اتصال به شبکه را خواهند داشت.

• پیاده‌سازی Network Access Control
• احراز هویت کاربران و تجهیزات
• کنترل اتصال تجهیزات ناشناس
• جداسازی تجهیزات غیرمجاز
• بررسی وضعیت امنیتی Endpointها
• اعمال دسترسی بر اساس نوع دستگاه
• ایجاد شبکه مهمان کنترل‌شده
• مدیریت اتصال تجهیزات BYOD

برای شناسایی و جلوگیری از حملات، می‌توان سامانه‌های تشخیص و جلوگیری از نفوذ را در نقاط مناسب شبکه پیاده‌سازی کرد.

• اسکن پورت و شناسایی شبکه
• تلاش برای نفوذ
• سوءاستفاده از آسیب‌پذیری‌ها
• ارتباط با مقصدهای مخرب
• ترافیک غیرعادی
• حملات Brute Force
• انتقال مشکوک اطلاعات
• الگوهای شناخته‌شده بدافزار
• رفتارهای خارج از الگوی معمول شبکه

سرویس‌هایی که از طریق اینترنت در دسترس هستند، باید در برابر حملات وب، سوءاستفاده از آسیب‌پذیری‌ها و حملات اختلال سرویس محافظت شوند.

• طراحی DMZ
• امن‌سازی Web Serverها
• طراحی Reverse Proxy
• پیاده‌سازی Web Application Firewall
• محدودکردن پورت‌ها و دسترسی‌های ورودی
• محافظت از پنل‌های مدیریتی
• اعمال SSL/TLS امن
• بررسی گواهی‌های دیجیتال
• محدودکردن دسترسی‌های جغرافیایی
• Rate Limiting
• مقابله با حملات متداول وب
• ثبت و تحلیل درخواست‌های مشکوک

امن‌سازی شبکه یک پروژه یک‌باره نیست. زیرساخت، نرم‌افزارها و روش‌های حمله به‌طور مداوم تغییر می‌کنند. به همین دلیل، آسیب‌پذیری‌ها باید به‌صورت دوره‌ای شناسایی، اولویت‌بندی و اصلاح شوند.

• اسکن دوره‌ای شبکه و سرورها
• شناسایی سرویس‌های آسیب‌پذیر
• اولویت‌بندی بر اساس شدت و اهمیت سرویس
• ارائه راهکار اصلاحی
• برنامه‌ریزی Patch Management
• کنترل اجرای اصلاحات
• اسکن مجدد و تأیید رفع آسیب‌پذیری
• ثبت وضعیت آسیب‌پذیری‌ها
• تهیه گزارش مدیریتی و فنی

بدون لاگ مناسب، شناسایی و بررسی رخدادهای امنیتی دشوار خواهد بود. لاگ تجهیزات و سرویس‌ها باید به‌صورت متمرکز جمع‌آوری و تحلیل شود.

• فایروال
• Switch و Router
• VPN
• Active Directory
• سرورها
• سیستم‌عامل‌ها
• پایگاه‌های داده
• تجهیزات امنیتی
• سرویس‌های وب
• آنتی‌ویروس و EDR
• تجهیزات مجازی‌سازی
• سامانه‌های کاربردی

پایش مستمر کمک می‌کند رفتارهای غیرعادی، تغییرات مشکوک و تهدیدهای امنیتی سریع‌تر شناسایی شوند.

• افزایش غیرعادی ترافیک
• تلاش‌های ناموفق ورود
• تغییر تنظیمات تجهیزات
• قطع‌شدن سرویس‌های امنیتی
• ارتباط با مقصدهای مشکوک
• بازشدن پورت‌های غیرمجاز
• تغییر وضعیت VPN
• رخدادهای مهم فایروال
• افزایش حملات روی سرویس‌های اینترنتی
• فعالیت غیرعادی کاربران یا سرورها