محافظت در زمان اجرا و پایش مداوم

ارزیابی WAF (فایروال اپلیکیشن وب) اثربخشی پیکربندی، قوانین و تنظیمات WAF شما را ارزیابی می‌کند. این مهم است زیرا یک WAF نادرست پیکربندی شده می‌تواند یا ترافیک مشروع را مسدود کند (مثبت کاذب) یا حملات را عبور دهد (منفی کاذب). ارزیابی ما عملکرد بهینه WAF را با حداکثر محافظت و حداقل اختلال تضمین می‌کند.

اثربخشی را با آزمون می‌سنجیم، نه با فرض. مجموعه‌ای از حمله‌های شناخته‌شده در کلاس‌های مختلف (تزریق، اسکریپت میان‌سایتی، پیمایش مسیر و مانند آن‌ها) را از WAF عبور می‌دهیم و نرخ تشخیص را در کنار نرخ مثبت کاذب روی ترافیک واقعی می‌سنجیم. سپس خانواده‌های دور زدن رایج مانند کدگذاری، تغییر نوع محتوا و بدنه‌های بزرگ را آزمایش می‌کنیم و قواعد را بر همان اساس تنظیم می‌کنیم. مرجع کار، مجموعه قواعد هسته‌ی OWASP (CRS) است.

تنظیم WAF یک حلقه است، نه یک اقدام یک‌باره. ابتدا در حالت پایش اجرا می‌کنیم تا ببینیم چه چیزی مسدود می‌شد، سپس قواعد پرخطا را برای مسیرها و پارامترهای مشخص محدود می‌کنیم و استثناها را به‌جای خاموش‌کردن کل قاعده، دقیق و هدفمند می‌نویسیم. با هر دور، آستانه‌ی امتیازدهی ناهنجاری را بازبینی می‌کنیم تا امنیت حفظ شود و ترافیک سالم آزاد بماند.

نظارت مستمر امنیتی شامل نظارت خودکار و پیوسته بر سطح حمله شما، تشخیص تهدید و قابلیت‌های پاسخ خودکار است. ما برای آسیب‌پذیری‌های جدید، تغییرات پیکربندی، فعالیت‌های مشکوک و تهدیدات نوظهور نظارت می‌کنیم و هشدارهای بلادرنگ و توصیه‌های قابل اجرا ارائه می‌دهیم تا دارایی‌های شما محافظت شوند.

سطح حمله همه‌ی چیزی است که یک مهاجم از بیرون می‌بیند: دامنه‌ها و زیردامنه‌ها، سرویس‌های باز، گواهی‌ها و دارایی‌هایی که شاید فراموش شده باشند. در مدیریت سطح حمله، این دارایی‌ها را به‌طور پیوسته کشف و پایش می‌کنیم و هر تغییر یا در معرض قرارگرفتن تازه را زودتر از مهاجم می‌بینیم. خروجی، فهرستی همیشه به‌روز از آنچه در معرض دید اینترنت است، همراه با اولویت رسیدگی.

ATT&CK یک زبان مشترک برای توصیف رفتار مهاجم است: از دسترسی اولیه تا حرکت جانبی و خروج داده. به‌جای دنبال‌کردن امضای یک بدافزار خاص، تشخیص را حول این رفتارها می‌چینیم تا حمله‌های تازه هم که امضای شناخته‌شده ندارند دیده شوند. همین نقشه کمک می‌کند بفهمیم پوشش تشخیص کجا حفره دارد.

محافظت زمان اجرا شامل مکانیزم‌های دفاعی فعال (مانند WAF، محدودسازی نرخ، دفاع چندلایه) است که حملات را به صورت بلادرنگ جلوگیری می‌کند. نظارت امنیتی بر دید، تشخیص تهدید و ارزیابی مستمر وضعیت امنیتی شما تمرکز دارد. هر دو با هم کار می‌کنند: محافظت از حملات جلوگیری می‌کند، در حالی که نظارت اطمینان می‌دهد که از تهدیدات آگاه هستید و می‌توانید به طور مؤثر پاسخ دهید.

هیچ کنترل واحدی کامل نیست؛ هر لایه ممکن است دور زده شود. دفاع چندلایه یعنی چند کنترل مستقل روی هم بنشینند، طوری‌که عبور از یکی به معنای عبور از همه نباشد: اعتبارسنجی ورودی در برنامه، محدودسازی نرخ، جداسازی شبکه و پایش در کنار WAF. اگر یک لایه شکست بخورد، لایه‌ی بعدی هنوز جلوی مهاجم را می‌گیرد یا دست‌کم صدای آن را درمی‌آورد.

تشخیص بدون پاسخ نیمی از کار است. برای رویدادهای مهم، مسیر پاسخ از پیش روشن است: چه کسی مطلع می‌شود، چه اقدام فوری‌ای انجام می‌گیرد و چه شواهدی برای بررسی بعدی نگه داشته می‌شود. هدف کوتاه‌کردن فاصله‌ی میان دیدن و مهارکردن است تا یک هشدار به یک رخنه تبدیل نشود.

یک اسکن، عکسی از یک لحظه است؛ مدیریت آسیب‌پذیری یک چرخه است. دارایی‌ها را پیوسته پویش می‌کنیم، یافته‌ها را بر پایه‌ی ریسک و قابلیت بهره‌برداری اولویت می‌دهیم، رفع را تا بسته‌شدن دنبال می‌کنیم و درست بودن رفع را دوباره می‌سنجیم. چون آسیب‌پذیری‌های تازه هر روز منتشر می‌شوند، تنها یک فرآیند مستمر می‌تواند شما را جلو نگه دارد.

بستگی به سرویس دارد. کشف سطح حمله از بیرون و بدون هیچ نصبی انجام می‌شود. تنظیم WAF به دسترسی به پیکربندی همان WAF نیاز دارد و پایش داخلی ممکن است به یک عامل سبک یا دسترسی به گزارش‌ها نیاز داشته باشد. در هر حالت، کمترین دسترسی لازم را می‌گیریم و دامنه را از پیش با شما توافق می‌کنیم.

زمان‌بندی پیاده‌سازی بسته به سرویس متفاوت است. ارزیابی WAF معمولاً 1-2 هفته، تنظیم WAF 2-4 هفته، راه‌اندازی برنامه امنیتی مستمر 4-8 هفته و نظارت بر سطح حمله می‌تواند در 1-2 هفته راه‌اندازی شود. ما از رویکرد تکراری پیروی می‌کنیم و می‌توانیم سرویس‌های بحرانی را اولویت‌بندی کنیم.