سرور معمولاً جایی است که مهم‌ترین داده‌ها، سرویس‌های کسب‌وکار و اعتبارنامه‌های حساس کنار هم قرار می‌گیرند. به همین دلیل مهاجم هم وقتی وارد شبکه می‌شود، بیشتر وقتش را صرف رسیدن به سرور می‌کند. تجربه تیم‌های امنیتی نشان می‌دهد بخش بزرگی از نفوذهای موفق با یک بدافزار پیچیده شروع نمی‌شود. یک پورت بی‌دلیل باز، یک حساب مدیریتی فراموش‌شده یا وصله‌ای که ماه‌ها نصب نشده، کار را شروع می‌کند. کارشناسان گروه آتنا نماینده رسمی کسپرسکی هم در پروژه‌های استقرار امنیت سازمانی، همین الگو را بارها مشاهده کرده‌اند. در ادامه، مسیر کاهش ریسک سرور را از شناخت تهدیدها تا انتخاب راهکار مرور می‌کنیم.
تهدیدهای رایج سرورها فقط بدافزار نیستند
وقتی از امنیت سرور حرف می‌زنیم، اغلب ذهن‌ها به سمت ویروس و باج‌افزار می‌رود. بدافزار البته تهدید جدی است، اما یکی از چند مسیر ممکن است. در عمل سه دسته تهدید بیشتر از بقیه دیده می‌شود.
بهره‌برداری از آسیب‌پذیری‌های شناخته‌شده
بیشتر ضعف‌هایی که مهاجمان از آن‌ها استفاده می‌کنند سال‌ها قبل منتشر و وصله آن‌ها ارائه شده است. سرور وب، سرویس پایگاه داده، هایپروایزر یا یک کتابخانه جانبی که به‌روز نشده، همان نقطه‌ای است که ابزارهای اسکن خودکار به‌سرعت پیدایش می‌کنند.
دسترسی غیرمجاز با اعتبارنامه‌های لورفته یا ضعیف
اگر رمز عبور یک حساب مدیریتی در یک نشت اطلاعاتی قدیمی منتشر شده باشد و روی سرور هم احراز هویت چندعاملی وجود نداشته باشد، مهاجم نیازی به هیچ بدافزاری ندارد. او با یک ورود عادی وارد می‌شود و رفتارش در نگاه اول شبیه یک مدیر است.
بدافزار و ابزارهای پس از نفوذ
بعد از ورود، مهاجم معمولاً ابزار می‌آورد: ابزار استخراج رمز، بک‌دور، ابزار حرکت جانبی در شبکه یا در نهایت باج‌افزار. این مرحله همان جایی است که حفاظت تخصصی سرور باید جلوی گسترش حمله را بگیرد.
پیکربندی ناامن، حساب‌های مدیریتی و سرویس‌های در معرض اینترنت
یک سرور سالم از نظر وصله هم می‌تواند ناامن باشد، اگر پیکربندی آن اشتباه باشد. چند نمونه فنی که در بازبینی‌های امنیتی مکرر دیده می‌شود:
سرویس RDP روی پورت پیش‌فرض ۳۳۸۹ مستقیم به اینترنت باز است، بدون VPN یا دروازه دسترسی. SSH با ورود مبتنی بر رمز عبور فعال است و ورود مستقیم کاربر root هم مجاز است. حساب‌های پیش‌فرض یا حساب‌های پیمانکارانی که پروژه‌شان تمام شده هنوز فعال‌اند. رمز مدیر محلی (Local Administrator) روی ده‌ها سرور یکسان است، پس کنترل یک سرور یعنی کنترل همه. پنل‌های مدیریتی پایگاه داده یا ابزارهای مانیتورینگ بدون محدودیت IP در دسترس‌اند. اشتراک‌های شبکه‌ای (SMB) با دسترسی گسترده تعریف شده و کسی بازبینی‌شان نکرده است.
راه‌حل از یک فهرست ساده شروع می‌شود: چه سرویس‌هایی واقعاً باید از بیرون در دسترس باشند؟ هر چیزی که در این فهرست نیست، باید پشت VPN، فایروال یا یک لایه دسترسی کنترل‌شده قرار بگیرد. برای حساب‌های مدیریتی هم احراز هویت چندعاملی، رمزهای یکتا برای هر ماشین (مثلاً با ابزارهایی مثل Windows LAPS) و بازبینی دوره‌ای حساب‌های فعال، حداقل کارهایی است که باید انجام شود.
مدیریت وصله‌ها، حداقل سطح دسترسی و تفکیک شبکه
وصله‌ها را بر اساس ریسک اولویت‌بندی کنید
نصب فوری همه وصله‌ها روی همه سرورها در بسیاری از سازمان‌ها عملی نیست، چون هر سرور وابستگی و پنجره نگهداری خودش را دارد. رویکرد واقع‌بینانه این است که سرورهای در معرض اینترنت و آسیب‌پذیری‌هایی که بهره‌برداری فعال دارند، در اولویت اول قرار بگیرند. بقیه در چرخه ماهانه و پس از تست در محیط آزمایشی وصله شوند. ابزارهایی مثل WSUS در دنیای ویندوز و سازوکارهایی مثل unattended-upgrades در توزیع‌های لینوکسی، این کار را قابل مدیریت می‌کنند.
حداقل سطح دسترسی در عمل
اصل حداقل دسترسی یعنی هر حساب و هر سرویس فقط همان چیزی را داشته باشد که برای کارش لازم است. مثالش این است که سرویس پشتیبان‌گیری فقط حق خواندن داده را داشته باشد، نه حق مدیریت دامنه. مدیر پایگاه داده هم نباید بتواند روی سرور وب لاگین کند. استفاده از حساب‌های جداگانه برای کار روزمره و کار مدیریتی، و ثبت زمان‌دار دسترسی‌های ویژه، هزینه فنی کمی دارد و اثر زیادی بر محدود کردن خسارت دارد.
تفکیک شبکه، سد جلوی حرکت جانبی
اگر همه سرورها در یک شبکه تخت قرار داشته باشند، نفوذ به یکی از آن‌ها می‌تواند به معنای دسترسی به همه شود. سگمنت‌بندی ساده شامل جدا کردن شبکه وب، برنامه، پایگاه داده، مدیریت و پشتیبان‌گیری با قوانین فایروال مشخص است. حتی اگر مهاجم یک سرور وب را بگیرد، رسیدن به پایگاه داده یا سرور پشتیبان برایش آسان نخواهد بود.
پس از این لایه‌های پایه، نوبت حفاظت اختصاصی روی خود سرور می‌رسد. برای محیط‌هایی که ترکیبی از سرورهای فیزیکی، مجازی و ابری دارند، Kaspersky Hybrid Cloud Security یکی از گزینه‌هایی است که باید بررسی شود. بر اساس مستندات رسمی کسپرسکی، این راهکار برای حفاظت از بارهای کاری ویندوز و لینوکس طراحی شده و ماژول‌هایی مانند حفاظت در برابر بدافزار، جلوگیری از بهره‌برداری، پایش یکپارچگی، بازرسی لاگ، کنترل برنامه‌ها و قابلیت‌های ضدباج‌افزار را در بر می‌گیرد. دامنه پوشش آن هم سرورهای فیزیکی، مجازی و محیط‌های ابری خصوصی، عمومی و ترکیبی است.
تفاوت حفاظت از سرورها با Endpoint های کاربران
یک اشتباه رایج این است که همان آنتی‌ویروسی که روی لپ‌تاپ کارمندان نصب است، روی سرور هم نصب شود و موضوع تمام‌شده تلقی گردد. اما نیازهای این دو محیط فرق دارد.
روی Endpoint کاربر، تهدید اصلی از مرورگر، ایمیل و فایل‌های دانلودشده می‌آید. روی سرور، سرویس‌هایی در حال اجرا هستند که نباید متوقف شوند و منابع پردازشی آن‌ها حساس است. مصرف بالای CPU در ساعت اوج یعنی کندی سرویس برای صدها کاربر. سرور سرویس‌های شبکه‌ای متعددی دارد که هر کدام سطح حمله جداگانه‌ای هستند. در محیط مجازی و ابری، ماشین‌ها با سرعت ساخته و حذف می‌شوند و حفاظت باید به‌صورت خودکار پوشش بدهد. علاوه بر این، روی سرور کنترل برنامه‌ها اهمیت بیشتری دارد: بر خلاف سیستم کاربر، فهرست نرم‌افزارهای مجاز روی سرور معمولاً کوتاه و قابل‌پیش‌بینی است، پس مجاز کردن فقط همان‌ها منطقی است. همین موضوع تفاوت یک راهکار مخصوص سرور با یک محصول عمومی Endpoint را مشخص می‌کند.
موضوع مجوز هم در این مرحله مطرح می‌شود. بر اساس اطلاعات رسمی کسپرسکی، مدل لایسنس این خانواده از محصولات انعطاف‌پذیر است و می‌توان قابلیت‌های موردنیاز را انتخاب کرد. اگر در حال برآورد پوشش سرورهای سازمان هستید، پیش از تصمیم باید تعداد و نوع بارهای کاری را مشخص کنید. برای بررسی گزینه‌ها و روند خرید لایسنس کسپرسکی هم بهتر است از نماینده رسمی مشاوره بگیرید تا مجوز با معماری واقعی شما هماهنگ باشد.
نقش پایش رخداد، ثبت لاگ، پشتیبان‌گیری و برنامه بازیابی
هیچ سیستم حفاظتی صددرصدی نیست. بنابراین بخشی از امنیت سرور یعنی داشتن توان تشخیص سریع و بازگشت از حادثه.
لاگ و پایش
اگر لاگ‌ها فقط روی همان سرور نگهداری شوند، مهاجم می‌تواند آن‌ها را پاک کند. بهتر است رخدادهای مهم به یک سامانه متمرکز (مثل syslog یا SIEM) ارسال شوند. در ویندوز، رخدادهایی مثل ورودهای ناموفق (شناسه ۴۶۲۵)، ورودهای موفق (۴۶۲۴)، ایجاد حساب جدید (۴۷۲۰) و اختصاص امتیازهای ویژه (۴۶۷۲) ارزش پایش دارند. در لینوکس، لاگ‌های احراز هویت مثل auth.log یا secure و تغییرات فایل sudoers اهمیت دارند. هشدارهای ساده مثل «ده ورود ناموفق در یک دقیقه» یا «ورود مدیر در ساعت غیرکاری» اغلب پیش از رسیدن حمله به مرحله خطرناک، خبر می‌دهند.
پشتیبان‌گیری قابل اتکا
پشتیبانی که هرگز بازیابی آن تست نشده، فقط یک فرض است. قاعده شناخته‌شده ۳-۲-۱ (سه نسخه، روی دو نوع رسانه، یک نسخه خارج از سایت) نقطه شروع مناسبی است. نسخه‌ای که به شبکه اصلی متصل است، در حمله باج‌افزاری هدف قرار می‌گیرد. پس یک نسخه ایزوله یا غیرقابل تغییر لازم است.
برنامه بازیابی
مشخص کنید هر سرویس حداکثر چقدر می‌تواند از دسترس خارج بماند (RTO) و حداکثر چه مقدار داده را می‌توان از دست داد (RPO). سپس مراحل بازیابی را روی کاغذ بنویسید: چه کسی تصمیم می‌گیرد، سرور آلوده چطور ایزوله می‌شود، ترتیب راه‌اندازی سرویس‌ها چیست. یک تمرین فصلی کوتاه، خیلی از ضعف‌های پنهان این برنامه را آشکار می‌کند.
معیارهای انتخاب راهکار امنیت سرور برای محیط‌های مختلف
انتخاب راهکار باید از نیاز واقعی شروع شود، نه از فهرست قابلیت‌ها. این پرسش‌ها کمک می‌کنند:
سرورها کجا اجرا می‌شوند؟
اگر همه چیز روی سخت‌افزار داخلی است، نیازهای شما با سازمانی که ترکیبی از مجازی‌سازی، ابر عمومی و کانتینر سکیوریتی دارد متفاوت است. راهکار باید سیستم‌عامل‌ها و پلتفرم‌های شما را پشتیبانی کند و این پشتیبانی را از مستندات رسمی تأیید کنید.
اثر بر کارایی چقدر است؟
پیش از استقرار گسترده، راهکار را روی چند سرور نماینده در محیط آزمایشی ارزیابی کنید و مصرف منابع را در ساعات اوج بسنجید.
مدیریت یکپارچه امکان‌پذیر است؟
وقتی تعداد سرورها زیاد می‌شود، کنسول مرکزی برای سیاست‌گذاری، گزارش‌گیری و پایش وضعیت اهمیت پیدا می‌کند. کسپرسکی هم در معرفی رسمی این محصول به کنسول ابری یکپارچه اشاره کرده است.
الزامات انطباق چیست؟
اگر سازمان تحت استانداردها یا مقررات خاصی است، بررسی کنید راهکار چه گزارش‌ها و کنترل‌هایی برای اثبات رعایت آن‌ها فراهم می‌کند.
پشتیبانی و تداوم مجوز
راهکار امنیتی با نصب تمام نمی‌شود. به‌روزرسانی پایگاه داده‌های تهدید و دسترسی به پشتیبانی فنی به مجوز فعال وابسته است. برنامه‌ریزی برای تمدید لایسنس کسپرسکی پیش از پایان اعتبار، از ایجاد وقفه در حفاظت جلوگیری می‌کند.
جمع‌بندی
امنیت سرور مجموعه‌ای از لایه‌هاست. پیکربندی درست، کنترل دسترسی، وصله‌های به‌موقع، تفکیک شبکه، حفاظت تخصصی، لاگ‌گیری و پشتیبان‌گیری آزمون‌شده هر کدام بخشی از تصویر را می‌سازند. اگر فقط روی یکی تکیه کنید، مهاجم از لایه‌ای که ضعیف‌تر است وارد می‌شود. پیشنهاد عملی این است که از یک ممیزی ساده شروع کنید: فهرست سرورها، سرویس‌های در معرض اینترنت، حساب‌های مدیریتی و وضعیت وصله‌ها را تهیه کنید، سپس شکاف‌ها را بر اساس ریسک اولویت‌بندی کنید.
