روزهای مقابله با ویروس‌های ساده مانند Love Bug گذشته است. امروزه، امنیت سایبری به معنای مبارزه با صنعت جرایم سایبری پیچیده و با انگیزه مالی است. حملات هوشمندتر، سریع‌تر و مخرب‌تر شده‌اند و این موضوع چالش‌های جدیدی برای تیم‌های محصول ایجاد کرده است.
توسعه مبتنی بر حادثه (Incident-Driven Development) رویکردی است که در آن تیم‌های توسعه و امنیت بر اساس حوادث واقعی امنیتی (مثل نفوذها، حملات سایبری یا نشت اطلاعات) تصمیم‌گیری، اولویت‌بندی و برنامه‌ریزی می‌کنند. در این زمینه، نقش مدیر محصول امنیت سایبری (Cybersecurity Product Manager یا Cybersecurity PM) بسیار کلیدی و چندوجهی است.
چالش‌های امنیتی برای مدیر محصول امنیت سایبری
مدیران محصول (PM) باید بدانند که مهاجمان به‌طور مداوم از نقاط ضعف تکراری مانند اطلاعات کاربری سرقت‌شده مدیران، نبود احراز هویت چندمرحله‌ای (MFA) در VPNها، رمزگذاری از راه دور و تکنیک‌های LOTL مانند استفاده از Office برای اجرای PowerShell سوءاستفاده می‌کنند. حتی یک فایروال پچ‌نشده یا یک درایو USB غیرمجاز می‌تواند راه را برای نفوذ باز کند.
آسیب‌پذیری‌ها و روز-صفرهای جدید به‌طور مداوم ظاهر می‌شوند و تیم‌های محصول باید هوشیار باشند. چند نمونه:
- WannaCry (2017): از نقص EternalBlue در SMBv1 برای گسترش سریع باج‌افزار استفاده کرد و شرکت‌ها را مجبور به غیرفعال کردن SMBv1 کرد.
- نقص‌های Exchange Server: به مهاجمان اجازه اجرای اسکریپت‌های مخرب و گاهی اوقات استقرار باج‌افزار را داد.
- Log4j: نقصی در چارچوب لاگ‌گیری جاوا که اجرای کد دلخواه را ممکن کرد و هنوز در فایروال‌ها و VPNهای قدیمی دیده می‌شود.
- Follina (MSDT): به برنامه‌های Office اجازه داد بدون تعامل کاربر PowerShell را اجرا کنند.
پچ به‌موقع کمک می‌کند؛ اما کافی نیست، زیرا همیشه فاصله‌ای بین کشف نقص و رفع آن وجود دارد. به همین دلیل، تیم‌ها به دفاع‌های لایه‌ای و رویکردی آماده برای پاسخگویی به حوادث در لحظه نیاز دارند.
تأثیر گزارش‌های نفوذ بر توسعه محصول
سری وبینارهای «۱۰۰ روز برای ایمن‌سازی محیط» از ThreatLocker نمونه‌ای از توسعه مبتنی بر حوادث است که به رهبران امنیتی کمک می‌کند در ماه‌های اولیه بر اولویت‌ها تمرکز کنند. نفوذهای واقعی اغلب مستقیما به ویژگی‌های جدید محصول یا تغییرات سیاستی منجر می‌شوند:
- دستگاه‌های قفل‌نشده: مهاجمی از یک کامپیوتر بیمارستانی بازمانده برای اجرای PowerShell استفاده کرد. اکنون، محافظ صفحه‌نمایش با رمز عبور الزامی است.
- سرقت داده از USB: درایوهای USB همچنان برای سرقت داده استفاده می‌شوند. محصولات اکنون کنترل‌های دقیق USB، مانند مسدود کردن درایوهای رمزنگاری‌نشده یا محدود کردن نوع و تعداد فایل‌ها برای کپی، ارائه می‌دهند.
- گسترش در شبکه: باج‌افزارها از حساب‌های قدیمی مدیران پخش می‌شوند. ابزارها اکنون این حساب‌ها را شناسایی و حذف می‌کنند.
- حملات LOTL: نقص Follina نشان داد که ابزارهای قانونی می‌توانند سوءاستفاده شوند. فناوری Ringfencing از اجرای غیرمجاز برنامه‌ها جلوگیری می‌کند.
- سوءاستفاده از ترافیک خروجی: حملاتی مانند SolarWinds از اتصالات خروجی استفاده کردند. سیاست‌های پیش‌فرض رد (default-deny) برای ترافیک سرورها اکنون رایج است.
- اطلاعات کاربری سرقت‌شده: MFA برای حساب‌های ابری، دسترسی از راه دور و کنترل‌کننده‌های دامنه ضروری است.
- VPNهای آسیب‌پذیر: VPNهای پچ‌نشده ریسک بالایی دارند. ویژگی‌ها شامل کنترل‌های دسترسی مبتنی بر IP یا غیرفعال کردن VPNهای بلااستفاده است.
مسئولیت مدیر محصول امنیت سایبری
مدیران محصول سایبری باید فراتر از صدور اطلاعیه‌های امنیتی، محصولاتی هوشمندتر و ایمن‌تر بسازند:
- دید کامل: با استفاده از عامل‌های نظارتی، فعالیت فایل‌ها، تغییرات دسترسی، اجرای برنامه‌ها و ترافیک شبکه رصد می‌شود.
- اولویت‌بندی ریسک‌ها: تمرکز بر ابزارها و رفتارهای پرریسک مانند ابزارهای دسترسی از راه دور (TeamViewer، AnyDesk)، نرم‌افزارهای با دسترسی بیش از حد (7-Zip، Nmap)، افزونه‌های مرورگر پرریسک، یا نرم‌افزارهای از مناطق پرخطر.
- ایجاد سیاست‌های تطبیقی: سیاست‌های امنیتی باید با چشم‌انداز تهدیدات تکامل یابند. چند نمونه سیاست امنیتی به شرح زیر است:
- آزمایش اولیه در حالت نظارتی و گروه‌های آزمایشی.
- استفاده از ACLهای پویا، Ringfencing و حقوق مدیریتی خاص برنامه.
- ارائه فروشگاه برنامه‌های تأییدشده، ساده‌سازی درخواست نرم‌افزار جدید و توضیح دلایل محدودیت‌ها برای جلب اعتماد.
- استفاده از گزارش‌های سلامت برای شناسایی پیکربندی‌های نادرست، مسدود کردن کپی فایل‌های USB در صورت تجاوز از حد و حذف سیاست‌ها یا برنامه‌های بلااستفاده.
- مدیریت پچ‌ها: اطمینان از به‌روزرسانی همه‌چیز، از سیستم‌عامل تا برنامه‌های قابل‌حمل مانند PuTTY، با ابزارهایی برای شناسایی و آزمایش پچ‌ها.
- حفاظت از نسخه‌های پشتیبان: نسخه‌های پشتیبان، با محدود کردن دسترسی برنامه‌ها، الزام MFA و آزمایش منظم قابلیت بازیابی، باید از دسترسی غیرمجاز محافظت شوند.
نتیجه‌گیری
مدیران محصول سایبری در خط مقدم استفاده از حفاظت‌های واقعی در برابر تهدیدات واقعی قرار دارند. با آگاهی از تهدیدات، جمع‌آوری داده‌های دقیق و طراحی با در نظر گرفتن کاربران، می‌توان ریسک را کاهش داد بدون اینکه کار تیم‌ها دشوار شود.
