إنشاء وصيانة عملية التكوين الآمن للبنية التحتية للشبكة
الوصف
إنشاء وصيانة عملية (عمليات) التكوين الآمن لأجهزة البنية التحتية للشبكة. مراجعة وتحديث الوثائق سنويًا أو عند حدوث تغييرات مؤسسية كبيرة قد تؤثر على هذا الضمان.
قائمة التحقق من التطبيق
توصيات الأدوات
أداة تقييم آلية لمعايير مركز أمن الإنترنت لفحص امتثال التكوين عبر أنظمة التشغيل والتطبيقات والسحابة
Center for Internet Security · عضوية حزمة الأمان من مركز أمن الإنترنت
منصة سحابية لتقييم التكوين والامتثال مع دعم معايير مركز أمن الإنترنت والمراقبة المستمرة
Qualys · اشتراك لكل أصل
منصة إدارة تكوين الأمان ومراقبة سلامة الملفات مع امتثال السياسات واكتشاف الانحراف
Fortra (Tripwire) · اشتراك لكل عقدة
منصة إدارة نقاط النهاية الموحدة لتسجيل الأجهزة ونشر البرمجيات والتكوين والامتثال عبر أنظمة التشغيل المختلفة
Microsoft · اشتراك لكل مستخدم أو لكل جهاز
التهديدات والثغرات (CIS RAM)
سيناريوهات التهديد
اختراق أجهزة الشبكة عبر بيانات الاعتماد الافتراضية
السريةيحصل المهاجمون على وصول إداري إلى الموجهات والمحولات وجدران الحماية باستخدام بيانات اعتماد افتراضية معروفة أو سلاسل مجتمع SNMP التي لم يتم تغييرها من إعدادات المورد.
سوء تكوين الموجه/المحول يمكّن اعتراض حركة المرور
السريةتسمح أجهزة الشبكة المكونة بدون تقوية أمنية بنسخ حركة المرور والوصول غير المصرح به إلى شبكات VLAN أو التلاعب بالتوجيه مما يمكّن هجمات الوسيط.
الثغرات (عند غياب الإجراء الوقائي)
أجهزة البنية التحتية للشبكة غير مقواة
بدون عملية تكوين آمن لأجهزة الشبكة، تعمل الموجهات والمحولات وجدران الحماية بالإعدادات الافتراضية التي تكشف واجهات الإدارة والخدمات غير الضرورية.
عدم وجود التحقق من الامتثال لمعايير تقوية الشبكة
بدون عمليات تكوين موثقة تشير إلى معايير مثل CIS Benchmarks أو DISA STIGs، لا توجد طريقة للتحقق من أن أجهزة الشبكة تلبي المتطلبات الأمنية.
متطلبات الأدلة
| النوع | عنصر الدليل | تكرار الجمع |
|---|---|---|
| وثيقة | وثيقة السياسة الحاكمة (حالية، معتمدة، مُبلغة) | يُراجع سنوياً |