کنترل های امنیتی 20 گانه (CIS) از دیدگاه SANS

کنترل های امنیتی و حیاتی CIS از دیدگاه SANS

حملات امنیت سایبری به سرعت در حال افزایش و تحول هستند بطوریکه امروزه پیشگیری و دفاع در برابر آنها دشوارتر از همیشه شده است. بنابراین ممکن است این سوال برای شما پیش آید که آیا سازمان شما از روش مؤثری برای شناسای، خنثی کردن و نظارت بر تهدیدات خارجی و داخلی برای جلوگیری از نقض امنیت استفاده کرده است یا خیر؟

از آنجاییکه همزمان با رشد و گسترش روز افزون زیرساخت های فناوری اطلاعات، موضوع تأمین امنیت به یکی از اساسی ترین و مهم ترین دغدغه های موجود در این حوزه بدل شده است، از این رو سازمان های کوچک و بزرگ با خرید تجهیزات و تدوین فعالیت ها و برنامه های گوناگون بیش از همیشه مسئله امنیت را مد نظر قرار داده و سعی در تأمین بی کم و کاست آن دارند.

کنترل های امنیتی حیاتی 20 گانه موسوم به CIS CSC 20 که توسط موسسه CIS یا Center for Internet Security‌ منتشر شده اند، به عنوان بهترین دستورالعمل های اجرایی در تأمین امنیت سایبری شناخته می شوند. لازم به ذکر است، این پروژه در سال 2008 به دنبال بروز آسیب های شدید امنیتی در سازمان های دفاعی امریکا کلید خورد و در ابتدا موسسه SANS اقدام به تهیه این دستورالعمل ها کرد.

کنترل های یک چارچوب امنیتی مؤثر هستند، زیرا مبتنی بر حملات واقعی بوده که بطور منظم علیه شبکه ها اجرا می شوند. اولویت با کنترل هایی است که حملات شناخته شده را کاهش می دهند، حملات گسترده ای را در بر می گیرد و مهاجمین را در اوایل چرخه خطر یا Compromise Cycle (یا همان Cyber Kill Chain) شناسایی و متوقف می کنند.

مرکز حفاظت از زیرساخت های ملی دولت انگلیس، Controls را “خط مقدم اقدامات و اطلاعات کنترل اولویت با امنیت بالا توصیف می کند که می تواند در یک سازمان به منظور بهبود دفاع سایبری خود اعمال شود.” (در مقاله ای جداگانه به موضوع Cyber Kill Chain و فازهای مختلف آن خواهم پرداخت).

آموزش های جامع و عمیق SANS به شما می آموزد که چگونه بر تکنیک ها و ابزارهای خاص مورد نیاز برای اجرای و ممیزی کنترل های بحرانی تسلط پیدا کنید. بنابراین SANS در دوره SEC 566 کمک خواهد کرد که متخصصان امنیت نه تنها درک کنند که چگونه می توانند یک تهدید را متوقف کنند، بلکه یاد خواهند گرفت چرا این تهدید وجود دارد و چگونه می توان اطمینان حاصل کرد که اقدامات امنیتی مستقر امروزه علیه نسل بعدی تهدیدات مؤثر هستند.

دوره SANS SEC 566 به متخصصان امنیتی را نشان می دهد که چگونه می توانند کنترل ها CIS20 را در یک شبکه موجود از طریق اتوماسیون مقرون به صرفه انجام دهند و برای Auditorها، CIOها و Risk Officerها، بهترین روش برای درک چگونگی سنجش عملکرد کنترل ها به طور دقیق است.

کنترل های 20 گانه حیاتی یا CIS20 در آخرین نسخه ارائه شده توسط موسسه CIS در ورژن 7.1 آن به طور کلی به سه زیر دسته بندی میشوند:

1. کنترل های Basic (پایه ای)
2. کنترل های Foundational (اساسی)
3. کنترل های Organizational (سازمانی)

در ادامه قصد داریم هر یک از این کنترل های حیاتی را که به حفظ امنیت در لایه های مختلف زیرساخت شبکه در شرکت وسازمان ما کمک می کنند، به اختصار مورد بررسی قرار دهیم.

منابع:

1. مستند CIS Controls1
2. سایت SANS
3. اسلایدهای دوره SANS SEC 566