SOC چیست؟

معمولا با گسترش روزافزون استفاده از ارتباطات و انتقال اطلاعات در بستر شبکه‌ها و اینترنت، حجم وسیعی از مبادلات تجاری و اداری، از این طریق صورت می‌پذیرد. امروزه سرویس‌های اینترنتی و تحت‌شبکه، به عنوان قابل‌اعتمادترین، سریع‌ترین و در دسترس‌ترین ابزارهای ارتباطی به شمار می‌روند. با توجه به اهمیت فوق العاده‌ای که شرکت‌های بزرگ به استفاده از چنین بسترهایی در اداره امور خود می‌دهند، جایگاه و اهمیت مقوله امنیت به وضوح مشخص است. زمانی که نوبت به امنیت می‌رسد، هر سازمانی نیاز و سیاست مختص خود را دارد. به این ترتیب راه‌حل‌های امنیتی، باید به گونه‌ای استاندارد طراحی شوند تا بتوانند نیازهای کلیه سازمان‌ها را بدون نیاز به تغییرات اساسی در ساختار سیستم‌های آن‌ها، پوشش دهند

تعریف SOC:

مخفف عبارت Security Operation Center به معنای مرکز عملیات امنیت می باشد .

مرکز عملیات امنیت شبکه، (SOC) مکانی جهت مانیتورینگ و کنترل ۲۴ ساعته  ورود و خروج اطلاعات در شبکه می باشد.

این مرکز از طریق یک کنسول مرکزی وضعیت آنچه را که در حال حاضر در شبکه در حال اتفاق است را نشان می دهد و تمامی زوایای امنیتی را به صورت بلادرنگ از یک نقطه مرکزی مدیریت و مانیتور می کند و راهکارهای مناسبی را متناسب با هر رویداد، اجرا یا پیشنهاد می نماید
سیستم‌هایی که در SOC جهت مدیریت امنیت شبکه نصب و راه‌اندازی می‌گردند، دارای مکانیزم‌های بررسی تجهیزات شبکه به صورت خودکار می باشند. تجهیزاتی که توسط این سیستم مورد‌بررسی قرار می‌گیرند، محدود به سیستم‌های امنیتی نیستند، بلکه کلیه تجهیزات زیرساختی شبکه نیز توسط این سیستم مدیریت امنیت یکپارچه مورد بررسی قرار می‌گیرند.
این سیستم در‌حقیقت الگوهای ترافیکی ارسالی از کلیه تجهیزات شبکه از جمله سرورها، مسیریاب‌ها، فایروال‌ها و سیستم‌های امنیتی فیزیکی را مورد بررسی قرار داده و هر‌کدام از آن‌ها که توان ایجاد یک ریسک امنیتی را دارند مشخص می‌سازد و راه نفوذ به آن سیستم را می‌بندد. هر الگوی ترافیکی غیرعادی مشاهده شده، توسط زیرسیستم‌های آنالیزکننده مورد بررسی قرار می‌گیرد و متناسب با نوع خطای تشخیص داده‌شده، اخطارهای لا‌زم در شبکه برای هر یک از تجهیزات مربوطه ارسال می‌گردد.

به طور کلی هر مرکز SOC  به سه سطح عمده تقسیم می شود که هر یک وظایف خاصی را بر عهده دارند. این سطوح عبارتند از: سطح یکم، نقطه تماس Client‌ها و مسئول پاسخ گویی به اخطارهای دریافتی ازClient ‌هاست. در این سطح به کلیه اخطارهایی که از پیچیدگی پایین‌تری برخوردارند، پاسخ داده می‌شود.

سطح دوم، در حقیقت مکمل سطح یکم است و مسئول پاسخ‌گویی به مشکلات پیچیده تر در سیستم‌های امنیتی شبکه می‌باشد. برای اخطارهایی که از اهمیت بالایی برخوردارند، سیستم های سطح دوم به طور کامل درگیر می‌شوند.

سطح سوم، در این سطح کارشناسان ارشد و مشاوران امنیتی شبکه قرار دارند. این سطح در حقیقت پشتیبان دو سطح پایین‌تر است. در صورتی که به اشکالات امنیتی در دو سطح پایین پاسخ داده نشود، کارشناسان و سیستم‌های این سطح، درگیر می‌شوند. کلیه تدابیر امنیتی و مدیریت امنیت شبکه، در این سطح اندیشیده می‌شود.

در هر یک از سطوح مطرح‌شده، ابزاری برای مدیریت سیستم‌های امنیتی در نظر گرفته می شود. این ابزارها امنیت شبکه را از دو دیدگاه درون‌سازمانی و برون‌سازمانی مورد بررسی قرار می‌دهند. برای این منظور، هر SOC دارای یک سری تجهیزات در داخل شبکه و یک سری تجهیزات در خود مرکز می باشد. همه سرویس‌هایی که از مراکز SOC  ارائه می‌گردند، مانیتورینگ و مدیریت‌شده هستند. دیگر سرویس‌هایی که از طریق این مراکز قابل‌ارائه می‌باشند، سرویس‌های پیشرفته‌ای به شرح زیر می‌باشد:

– توسعه سیاست‌های امنیتی‌
– آموزش مباحث امنیتی‌
– طراحی دیواره‌های آتش‌
– پاسخگویی آنی‌
– مقابله با خطرات و پیاده‌سازی

سرویس‌هایی که از طریق این مراکز ارائه می‌گردند، عبارتند از سرویس‌های مدیریت شده‌ای که از تجهیزات و ارتباطات مرکز SOC محافظت می‌نمایند. این سرویس‌ها از متدولوژی و ابزارهای نرم‌افزاری و سخت افزاری قدرتمندی برای مدیریت امنیت استفاده می‌نمایند. اجزای سخت‌افزاری که در شبکه‌ها توسط سیستم‌های مدیریت‌شده برای اعمال سیاست‌های امنیتی مورد استفاده قرار می‌گیرند، عبارتند از: سیستم‌های کشف و رفع حملات (Intrusion Detection System)، سیستم‌های‌ فایروال و سیستم‌های مدیریت امنیت در شبکه‌های خصوصی مجازی.

دلایل نیاز به SOC
با وجود تجهیزات و نرم افزارهای امنیتی مانند فایروالها، سیستم های تشخیص نفوذ و آنتی ویروس ها باز هم نیاز به مرکزی یک پارچه که تمام فعالیت های امنیتی یک سازمان را مدیریت کند دیده می شود. مشکلاتی که این تجهیزات و نرم افزارها می توانند در حین فعالیت خود داشته باشند شامل موارد ذیل می باشد:
• امکان حمله به تجهیزات و نرم افزارهای امنیتی مورد استفاده در سازمان
• تاخیر در گرفتن Event های جدید از تجهیزات و نرم افزارهای امنیتی مورد استفاده در سازمان
• عدم یکپارچگی Event ها و تحلیل و پاسخدهی مناسب
• تولید Event های بسیار زیاد که تحلیل آنها برای نیروی انسانی امکان پذیر نیست
• پیچیدگی بعضی حملات سایبری که درک مراحل مختلف آنها برای نیروی انسانی امکان پذیر نیست.

بخش های اصلی مرکز عملیات امنیت (SOC)
• تولید کننده وقایع :این ماژول، شامل تمامی تجهیزات امنیتی به صورت سخت افزاری و نرم افزاری می باشد که در بخش های مختلف شبکه قرار گرفته اند و وقایع امنیتی را شناسایی و برای تجهیزات مربوط به ماژول     Event Collector ارسال می نمایند.
• جمع کننده وقایع: این ماژول، شامل تجهیزاتی است که مسئول دریافت وقایع از تجهیزات داخل شبکه یا تولید کننده های وقایع می باشند. تمامی وقایع برای Event Collectorها ارسال شده و بعد از دسته بندی وقایع، آنها را برای ماژول های دیگر ارسال می کنند.
• پایگاه داده وقایع : این ماژول شامل پایگاه داده هایی می باشد که بعد از دریافت اطلاعات از جمع کننده وقایع، آنها را ذخیره کرده و در اختیار ماژول های دیگر قرار می دهد.
• تحلیلگر وقایع :این ماژول شامل تجهیزاتی می باشد که بعد از ثبت وقایع در پایگاه داده، آنها را آنالیز و بررسی کرده و نتیجه آن را در اختیار ماژول های دیگر قرار می دهد. این تحلیل می تواند منجر به شناسایی رخداد در شبکه شده که با ارائه آن به ماژول واکنش دهنده از بروز رخداد جلوگیری نماید.
• واکنش دهنده وقایع : این ماژول در صورت تشخیص رخداد توسط تحلیلگر وقایع، می تواند به تجهیزات امنیتی فرمان داده و از عبور ترافیک مخرب در شبکه جلوگیری نماید.
• گزارش دهنده وقایع :این ماژول به منظور ارائه گزارش رخدادهای صورت گرفته در شبکه به مدیران شبکه و یا اپراتورهای بخش SOC می باشد. اطلاعات رخدادها توسط ماژول تحلیلگر، شناسایی گشته و توسط ماژول گزارش، اعلام خواهند شد.

ساختار کلی مرکز عملیات امنیت
رخدادهای امنیتی در یک زیرساخت اطلاعاتی توسط حسگرهای شبکه آن تولید می گردند. حسگرهای شبکه شامل کلیه سیستم عامل ها، کاربردها، نرم افزارها و تجهیزات سخت افزاری شبکه است. رخدادهای امنیتی به روش های مختلف از حسگرها جمع آوری و با قالب یکسانی در بانک اطلاعاتی رخدادها ذخیره می گردند. رخدادهای جمع آوری شده توسط تحلیلگر SOC مورد تحلیل قرار گرفته و پس از بررسی همبستگی بین رخدادها، حملات و تهدیدهای امنیتی زیرساخت اطلاعاتی مربوطه به صورت رویداد اعلام می شود.

تحلیلگر SOC جهت آنالیز و تشخیص همبستگی مابین رخدادها از دانش ذخیر شده در پایگاه دانش مرکز عملیات امنیت بهره می برد.معیار اصلی کشف حملات و تهدیدها، اطلاعات پایگاه دانش است. اطلاعات مربوط به آسیب پذیری های سامانه، سیاست های امنیتی تعریف شده و همچنین وضعیت فعلی سامانه ها از اطلاعات مهم ذخیره شده در پایگاه دانش می باشد که توسط واحدی در SOC به طور مرتب باید بروز گردد.

در بالاترین لایه مرکز عملیات امنیت که کاربران با آن سرو کار دارند، پورتال و کنسول قرار دارد. پورتال به صورت داشبود SOC عمل کرده و امکان مشاهده و مرور وضعیت امنیتی زیرساخت اطلاعاتی بصورت گرافیکی، تهیه انواع مختلفی از گزارش ها و همچنین تنظیم مؤلفه های SOC را فراهم می سازد.در ادامه این بخش عملکرد هر کدام از بخش های اصلی سامانه SOC را مورد بررسی قرار می دهیم.

حسگرها
حسگرها در SOC منابع جمع آوری رخدادهای امنیتی می باشند.از جمله حسگرهای مهم و معمول جهت جمع آوری رخدادها می توان به IDS ها، IPSها، فایروال ها، تجهیزات شبکه شامل سوئیچ ها و مسیریاب ها، سیستم عامل ها، سرویس های اینترنت و ضد بدافزارها اشاره نمود.
IDSها بسته های عبوری از شبکه را شنود کرده و با تحلیل بسته های شنود شده براساس الگوی حملات شناخته شده و یکسری قواعد، برخی از حملات، تهدیدها و وضعیت غیر عادی در شبکه را کشف و نتایج را به صورت رخدادهایی ثبت می کند. یک IDS، روزانه حجم زیادی از رخدادها را تولید می کند. به عنوان مثال، در یک مرکز داده ممکن است به طور متوسط روزانه چندین میلیون رخداد توسط IDS تولید گردد، که بخش عمده آنها بلااستفاده می باشد. بررسی این حجم عظیم رویدادهای تولید شده توسط IDS ها و کشف حملات و تهدیدهای واقعی از چالش های بزرگ مدیریت امنیتی می باشد.

فایروال ها براساس قواعد و سیاست های امنیتی تعریف شده به پایش بسته های شبکه به منظور کنترل دسترسی به منابع می پردازند. این دستگاه ها رخدادهای مربوط به پایش ترافیک شبکه را ثبت می کنند. این رخدادها یکی از منابع مهم جمع آوری داده در SOC می باشند.البته امروزه به دلیل پیچیده شدن روش های حملات، معمولاً مهاجمان فایروال ها را دور می زنند. با این حال اطلاعات ثبت شده توسط این تجهیزات هنگامیکه در کنار سایر اطلاعات قرارگرفته و تحلیل می شود، به کشف حملات توسط SOC کمک می کند.

منبع دیگر جمع آوری رخدادهای امنیتی، تجهیرات شبکه هستند. از آنجا که تمام ترافیک یک شبکه از سوئیچ ها و مسیریاب های اصلی می گذرد، مؤلفه های مختلف مدیریتی بر روی این تجهیزات قابل دسترسی هستند و از ابزارها و معیارهای مهم کشف بسیاری از حملات می باشند.

سیستم عامل ها، کاربردها و نرم افزارهای مختلف نصب شده بر روی کارگزارها انواع مختلفی از رخدادها را تولید می کنند. اطلاعات مربوط به دسترسی کاربران به منابع، احراز هویت کاربران، تغییرات پیکربندی، خطاهای رخ داده و غیره، توسط این منابع ثبت می شوند.

جمع آوری رخدادهای امنیتی از حسگرها توسط این واحد انجام می شود. بطورکلی این واحد رخدادها را از منابع مختلف و با استفاده از روش ها و پروتکل های مربوطه جمع آوری و پس از انجام عمل پیش پردازش و پایش، آنها را در بانک اطلاعاتی رخدادها ذخیره می کند. از آنجا که رخدادهای مربوط به حسگرهای مختلف دارای قالب های متفاوتی هستند، قبل از ذخیره شدن توسط واحد تجمیع رخدادها به قالب یکسانی تبدیل می شوند.

واحد آنالیز و تشخیص همبستگی رخدادها
هر یک از سامانه های یک زیرساخت اطلاعاتی، روزانه حجم بسیار زیادی از رخدادها را تولید می کند که لزوماً تمامی آنها به طور مستقیم یا غیر مستقیم مربوط به مسائل امنیتی نمیشوند. با افزایش تعداد کارگزارها، خدمات و در نتیجه ترافیک شبکه، بررسی بی درنگ رخدادهای تولید شده توسط نیروی انسانی غیرممکن می شود. تنها راه حل پیشِرو، انتقال دانش و مهارتهای کارشناسان امنیتی خبره به یک برنامۀ هوشمند است که بتواند با تحلیل گزارشها و رخدادهای دریافتی از اجزای موجود، اقدام به تشخیص حملات و تهدیدها و یا خلاصه کردن رخدادها نمایند، همچنین در صورت تشخیص هر نوع حملۀ احتمالی بتواند نسبت به آن واکنش مناسب نشان دهد. این واکنش بسته به شرایط، ممکن است تغییر در پیکربندی یک فایروال یا مسیریاب، از کار انداختن موقت یک یا چند سامانه و یا سرویس، و یا ارسال اعلان خطر از طریق روش های ارتباطی تعبیه شده در سامانه (مانند پست الکترونیک، پیامک، ارتباط تلفنی، اخطار صوتی و ….) باشد.

واحد تحلیل و Correlation رخدادها در مرکز عملیات امنیت، وظیفه آنالیز رخدادهای جمع آوری شده از سراسر زیرساخت اطلاعاتی را بر عهده دارد. تحلیل رخدادها به منظور کشف تهدیدها، بر اساس اطلاعاتی است که در پایگاه دانش ذخیره و نگهداری می شود.

روش ها و الگوریتم های آنالیز رخدادها و تشخیص حملات در حال حاضر از موضوعات روز تحقیقاتی در سراسر دنیا می باشد از آنجا که هر کدام از الگورتیم های تحلیل و Correlation دسته های خاصی از حملات را تشخیص می دهند، باید ماژول های متعددی جهت آنالیز رخداد در SOC طراحی و پیاده سازی گردند. سامانه SOC باید همواره امکان اضافه کردن ماژول جدید تحلیل را به سهولت فراهم نماید.

زیرسامانه دیگری در واحد تحلیل رخدادها وجود دارد که وظیفه واکنش به رویدادهای تولید شده را بر عهده خواهد داشت. این زیر سامانه نسبت به برخی از رویدادهای امنیتی کشف شده توسط موتورهای تحلیل، درصورت اضطرار و بر اساس قواعد واکنش تعریف شده در SOC واکنش های لازم را انجام می دهد.

مدیریت وصله ها و مرور پیکربندی
یکی از وظایف مهم مرکز عملیات امنیت، مدیریت مؤثر وصله های نرم افزاری و همچنین پیکربندی وضعیت فعلی کلیه سامانه ها می باشد.
آسیب پذیری های امنیتی مربوط به سیستم عامل ها و همچنین کاربردهای مختلف پس از کشف آنها توسط تولید کننده با ارائه وصله نرم افزاری ترمیم می گردد. مدیریت صحیح وصله ها و اعمال به موقع آنها، علاوه بر اینکه درجه امنیتی سامانه ها را ارتقا می بخشد، کشف حملات و تهدیدات در فرآیند تحلیل رخدادها و همچنین واکنش به رویدادهای تولید شده توسط مدیران امنیتی را بهبود می بخشد.

علاوه بر مدیریت وصله ها، مدیریت پیکربندی و نگهداری آخرین وضعیت سامانه ها (مشخصات سخت افزاری، سیستم عامل، سرویس های فعال، نرم افزارهای نصب شده، پورت های باز، پیکربندی) نیز از وظایف این واحد از SOC می باشد. وضعیت سامانه ها به عنوان دانش در تحلیل رخدادها مورد استفاده قرار می گیرد. از آنجا که کلیه پیکربندی اجزاء و همچنین آخرین وضعیت سامانه ها توسط این واحد بروز و نگهداری می شود، امکان مرور اطلاعات آنها از طریق پورتال SOC فراهم خواهد بود. این اطلاعات جهت کشف ریشه حملات و آسیب های امنیتی و همچنین انجام بهترین واکنش هنگام وقوع رویدادهای امنیتی بسیار سودمند خواهد بود.

پیاده سازی سامانه مدیریت موثر وصله ها در SOC به دلایل متعددی دارای اهمیت است: اولاً حجم بالای وصله هایی که منتشر میشوند، عملاً کنترل دستی آنها را ناممکن می کند. ثانیاً فرآیند استفاده از یک وصله جدید پیچیده بوده و شامل مراحل ارزیابی، دریافت، آزمایش، نصب و نگهداری وصله میباشد که مدیریت کل این فرآیند به صورت دستی خطازا می باشد. ثالثاً، سرعت از ملزومات مدیریت وصله های منتشر شده است، چراکه نفوذگران بسرعت از رخنه های امنیتی کشف شده سوءاستفاده میکنند و باید این زمان را از آنان گرفت.

پورتال و کنسول SOC
به طور کلی پورتال و کنسول مرکز عملیات امنیت وظایفی از قبیل اعلان بی درنگ رویدادهای امنیتی، تنظیم پارامترهای مربوط به هرکدام از زیر سامانه های SOC و تهیه انواع مختلفی از گزارش ها از وضعیت امنیت شبکه، رخدادها و رویدادهای امنیتی تولید شده و همچنین گزارش های تحلیل مخاطرات امنیتی را برعهده دارد.

پیاده سازی SOC در یک زیرساخت اطلاعاتی از جنبه های مختلف دارای اهمیت است که در ادامه این بخش به برخی از آنها می پردازیم.
• مدیریت تهدید (Thread Manager): این قابلیت باعث می شود حملات و رخدادهای امنیتی بصورت مرکزی مدیریت شده و بصورت هوشمندانه ای بر روی آنها کنترل صورت گیرد و امکان تحلیل تهدیداتی که در شبکه وجود دارد با استفاده از گزارشات میسر باشد.
• تشخیص آسیب پذیری (Vulnerability assessment): یکی از بهترین روش های جلوگیری از حملات در شبکه، تشخیص نقاط آسیب پذیر، قبل از وقوع رخداد است.
• مدیریت تجهیزات  (Security Device Management) : این قابلیت باعث می شود برای انجام تنظیمات بر روی تجهیزات امنیتی داخل شبکه، نیاز به مراجعه به بخش های دیگر نبوده و تمامی تنظیمات بر روی نرم افزارها و سخت افزارهای موجود در شبکه به صورت مرکزی قابل انجام باشد.
• نمایشگر لحظه ای وضعیت امنیت شبکه (Online Security Dashboard) : وضعیت رخدادها و خروجی بخش های اصلی SOC را نمایش می دهد تا نیروهای فنی بتوانند به صورت لحظه ای از تمامی وقایع در شبکه اطلاع یابند.
• سیستم پیگیری مشکلات (Trouble Ticket System) : بعد از پیاده سازی SOC یکی از قابلیت هایی که ایجاد می شود، سیستم رهگیری مشکلات توسط تجهیزات مرکز عملیات است، به این صورت که بعد از وقوع رخداد در شبکه، سیستم این مشکل را به شخص تعریف شده ای اختصاص می دهد و شماره ای را برای آن ثبت می نماید تا هر زمان که یکی از مسئولین خواست مشکلات را پیگیری نماید، بتواند از روی شماره های ایجاد شده مراحل رفع مشکل را بررسی کند.
• سیستم اعلام گزارش (Reporting System) : این قابلیت باعث می شود که گزارشاتی از عملکرد شبکه و اتفاقاتی که در آن در حال رخداد می باشند، ایجاد شده و در اختیار مسئولین و مدیران شبکه قرار گیرد. همچنین قابلیتی ایجاد می شود که در هر زمان نیاز باشد، بتوان در تاریخ های مورد نظر گزارشی را تهیه کرد.

نیاز به سرویس‌های مدیریت شده
حملات چه از طریق منابع داخلی چه از طریق منابع خارجی، در هر لحظه شبکه و برنامه‌های کاربردی ارائه شده از طریق آن را تهدید می‌نماید. هکرها در جاهای مختلف دنیا در هر لحظه کل تجهیزات امنیتی شبکه را مانیتور می‌نمایند و در صورتی که یکی از تجهیزات به طور دقیق فعالیت خود را انجام ندهد، از آن نقطه، یک ورودی برای خود  ایجاد خواهند نمود. به منظور جلوگیری از نفوذ هکرها به شبکه، لازم است سیستم امنیتی در SOC از قابلیت اطمینان بالایی برخوردار باشد.

برای ایجاد یک سیستم امنیتی با ویژگی‌های مناسب برای مدیریت یک شبکه با برنامه‌های کاربردی متنوع، پرسنل کارآمدی لازم است که بتوانند کلیه سیستم های امنیتی از ضد ویروس ها تا شبکه‌های خصوصی مجازی را بدون وابستگی به محصول خاص و یا تکنولوژی مشخص مدیریت نمایند.

سیستم‌هایی که در SOC جهت مدیریت امنیت شبکه نصب و راه‌اندازی می‌گردند، دارای مکانیزم‌های بررسی تجهیزات شبکه به صورت خودکار می باشند. تجهیزاتی که توسط این سیستم مورد‌بررسی قرار می‌گیرند، محدود به سیستم‌های امنیتی نیستند، بلکه کلیه تجهیزات زیرساختی شبکه نیز توسط این سیستم مدیریت امنیت یکپارچه مورد بررسی قرار می‌گیرند. این سیستم در‌حقیقت الگوهای ترافیکی ارسالی از کلیه تجهیزات شبکه از جمله سرورها، مسیریاب‌ها، فایروال‌ها و سیستم‌های امنیتی فیزیکی را مورد بررسی قرار داده و هر‌کدام از آن‌ها که توان ایجاد یک ریسک امنیتی را دارند مشخص می‌سازد و راه نفوذ به آن سیستم را می‌بندد. هر الگوی ترافیکی غیرعادی مشاهده شده، توسط زیرسیستم‌های آنالیزکننده مورد بررسی قرار می‌گیرد و متناسب با نوع خطای تشخیص داده‌شده، اخطارهای لا‌زم در شبکه برای هر یک از تجهیزات مربوطه ارسال می‌گردد. در حالت عادی نیز با توجه به برنامه Polling در نظر گرفته شده، کلیه سیستم‌ها در شبکه مانیتور می‌گردند و با توجه به Profile های امنیتی موجود برای هر سیستم، حمله‌های احتمالی تشخیص داده شده و دفع می‌گردند.

انواع سرویس های مدیریت شده در SOC 
● دیواره آتش (Firewall)
فایروال‌ها اولین سد ورودی بین اطلاعات محرمانه در یک شبکه و دنیای خارج از آن می باشند. در یک مرکز SOC ،  لازم است این تجهیزات به طور مداوم از نظر امنیتی بررسی گردند. برای اطمینان کامل از امنیت این تجهیزات، به طور معمول از مارک‌های مختلف فایروال‌ها در شبکه استفاده می‌گردد. به طور مثال در یک شبکه که چندین فایروال وجود دارد، معمولاً این تجهیزات را از سازنده های مختلف انتخاب می‌کنند و با استفاده از یک مدیریت متمرکز، آن‌ها را کنترل می‌نمایند.

برای مدیریت امنیت این تجهیزات مراحل زیر پیموده می گردد:
– بررسی عملکرد Firewallها
– پاسخ به اخطارها پس از اعلام شدن
– بررسی log ‌های ثبت شده در فایروال
– بررسی نرم افزار و سخت افزارهای مربوط به  فایروال

●  سیستم های تشخیص حملات (IDS)
سیستم‌هایی نظیر IDSها در یک شبکه به کارآمدی کلیه تجهیزات، فرآیندها و کارکنانی وابسته می‌باشند که در مواقع لزوم به رخدادها پاسخ می‌دهند. با توجه به این نکته که حسگرهای IDS در هر زمان تعداد زیادی اخطار تولید می‌کنند و در شبکه امکان پاسخگویی به همه آن‌ها وجود ندارد، لازم است حساسیت IDSها را به گونه‌ای تنظیم نمود که فقط تهدیدات اساسی را اعلام نمایند. اما این کار باعث می‌شود تعدادی از حمله‌ها تشخیص داده‌نشود. برای جلوگیری از بروز اشکال، می‌توان هر یک از IDSها را برای یک Application خاص تخصیص داد.

با استفاده از ویژگی‌های مختلف این سیستم‌ها، می‌توان از طریق مرکز SOC  حملات را کنترل نمود. در مراکزSOC  از ویژگی‌های IDSها نظیر کمتر‌نمودن False Positives ، Stateful Signature که یک فرم پیشرفته تشخیص حمله‌ها با استفاده از Signatureها می‌باشد،Protocol Anomaly Detection  که قابلیت تحلیل ترافیک و اطمینان از عدم وجودPacketهای غیر قانونی با استفاده از مقایسه Protocol portion را دارد، می‌باشد،Traffic Anomaly Detection  جهت مقایسه ترافیک‌های نرمال و غیرنرمال برای مقابله طبیعی و غیرطبیعی با حملات، استفاده می‌شود. در مراکزSOC  با ترکیب‌کردن تکنولوژی‌های Stateful Signature Detection  و Protocol Anormaly ، Traffic Anomaly Detection  قابلیت تشخیص حمله‌ها افزایش داده می‌شود.

• امکان فیلتر کردن محتوا
  یکی از اصلی ترین سرویس‌ها در مراکز SOC ، امکان فیلترکردن محتوای ورودی به سرورها می‌باشد. فیلتر کردن محتوا در SOCبا هدف جلوگیری از دسترسی به سایت‌های غیرلازم، جلوگیری از دسترسی به انواع خاصی از فایل‌ها و محدود کردن حملات ویروس‌ها، Wormها و Trojanها (بسیاری از ویروس‌های خطرناک مانند Nimda وCodeRed به عنوان برنامه‌های اجرایی با استفاده از HTTPو یا پروتکل‌های رایج دیگر که Firewallها به آن‌ها اجازه ورود می‌دهند، وارد شبکه می‌شوند. در نتیجه کاربران به صورت ناآگاهانه این محتویات را از سایت‌های ایمنDownload  می‌کنند.) صورت می‌پذیرد.

نرم افزار URL Filtering کلیه Page ها را در گروه‌های از‌پیش‌تعیین‌شده دسته‌بندی می‌کند و بر‌طبق آن دسته‌بندی‌ها، دسترسی به یک Page را ممکن و یا غیر‌ممکن می‌سازد. همچنین قادر است لیستی از سایت‌هایی که کاربران می‌توانند به آن‌ها دسترسی داشته باشند، تهیه نماید. به طور عمده لازم است این نرم‌افزار قادر باشد دسترسی به محتویات دسته‌بندی‌شده را فیلتر کند. همچنین لازم است بتواند استثناهایی برای سیاست خاص خود بر مبنای فاکتورهای مختلفی از جمله گروه کاربران‌، موقعیت کاربران، ساعت استفاده و… قائل شود.

نرم افزارهایی که در این مراکز برای فیلتر کردن مورد استفاده قرار می‌گیرند، باید از متدهای مناسبی جهت  جلوگیری از دسترسی، دسته بندی پایگاه های اطلاعاتی و لیست‌های کنترلی برخوردار باشند. همچنین بروزرسانی‌ها باید با فواصل کوتاه انجام شوند و بهتر است به طور کامل صورت پذیرند نه به صورت تفاضلی. بروزرسانی‌ها نباید سیستم‌های عملیاتی را دچار وقفه سازند.

• امکان تشخیص ویروس
  ویروس‌ها بیشتر توسطEmai lو ترافیک اینترنتی منتقل می‌شوند. بنابراین، دفاع در خط مقدم یعنی Internet Gateway بهترین راه مقابله با آن‌ها می‌باشد. با افزودن قابلیت Virus Scanning برروی Cacheها، می‌توان با اعمال روش‌های مختلف ویروس‌یابی، اقدامات مناسبی جهت از بین بردن آن‌ها در Internet Gateway انجام داد. مرکز SOC، عملیات کنترل و اسکن ویروس‌ها را با بهره‌گیری از نرم‌افزارهای مناسب برعهده دارد.
• سرویس‌های AAA
  در مرکزSOC برای تعریف و کنترل دسترسی به تجهیزات و سرویس‌های شبکه از AAA (Authentication , Authorization, Accounting ) استفاده می‌شود. سرورها در مراکز مختلف و برای سرویس‌های گوناگون به کار گرفته می‌شوند و مدیران شبکه و کاربران نیز از طریق آن اجازه دسترسی به منابع شبکه را در سطوح مختلف کسب می‌کنند. یکی از روش‌هایی که در مراکز SOC برای تشخیص هویت کاربران و اعمال سیاست‌های امنیتی به کار می‌رود، استفاده از CA یا Certificate Authority است. CAها کلیدعمومی یک شخص یا یک سازمان را به همراه دیگر مشخصات تشخیص هویت در گواهینامه دیجیتال قرار داده و سپس آ‌ن ‌را امضا می‌نمایند. این کار صحت اطلاعات موجود در آن ‌را اعلام و تأیید می‌نماید. گواهی‌نامه‌های دیجیتال، فایل‌هایی هستند که در اصل به عنوان نوعی گذرنامه عمل می‌نمایند و توسط  CAها صادر می‌شوند. نقش CA در این پروسه، تأیید فردی است که یک گواهینامه به آن اختصاص داده شده است. در واقع همان کسی است که خود شخص اظهار می دارد.

با قرار دادن CA در یک مرکز  SOC، می‌توان محدوده وسیعی از  Applicationها را با ایمنی بالاتری نسبت به امنیتی که توسط نام کاربری و رمز عبور فراهم می شود، پشتیبانی کرد.

پیاده سازی امنیت در مرکز SOC
با بهره گیری از ابزارهای مختلف امنیت شبکه در SOC، حملات به شبکه در سه رده و از جهات مختلف مورد بررسی قرار می‌گیرد. این سه رده عبارتند از: Visibility ، Verification و vulnerability که با ادغام عملیاتی که در هر رده انجام می‌پذیرد، می‌توان امکان کنترل و مدیریت امنیت را در شبکه ایجاد نمود. در هر یک از این رده‌ها فعالیت‌های خاصی انجام می‌گیرد که به واسطه آن‌ها از نفوذ به داخل شبکه جلوگیری می‌شود و در صورت ورود نیز از پیشروی آن‌ها جلوگیری به عمل می‌آید. در هر یک از این رده‌ها، تجهیزاتی وجود دارند که می‌توانند متناسب با وظایفشان از شبکه محافظت نمایند.

● Vulnerability
تجهیزاتی که در این رده مورد استفاده قرار می‌گیرند، به محض این‌که نصب و راه‌اندازی می‌شوند، باید Update  گردند. فاکتورهایی که از طریق این تجهیزات Update می‌گردند، شامل پیکربندی سرورها، برنامه‌های کاربردی، پکیج‌های نرم‌افزارهای امنیتی مرتبط با سیستم‌عامل‌ها می‌باشند که با توجه به سرعت رشد راه‌های نفوذ، به سرعت از درجه اعتبار ساقط می‌گردد. با در نظر گرفتن این نکته، این رده کمترین تاثیر را در برخورد با حملات دارد.

● Visibility

با استفاده از تجهیزات این سطح که عمدتاً شامل فایروال‌ها می‌باشند، می‌توان امنیت کلیه تجهیزات شبکه را مانیتورینگ نمود. در این قسمت کلیه امکانات‌ مربوط به دیواره‌های آتش Update می‌شود و پیکربندی آن‌ها متناسب با عملکردشان در شبکه، تغییر می‌کند. این تغییرات بدون زمان‌بندی خاص و در ازای تغییر مکانیزم‌ها و روند حملات به شبکه اعمال می‌گردند. مشکلاتی که در رابطه با تغییر پیکربندی فایروال‌ها به‌وجود می‌آیند، منحصر به تکنولوژی نیست. هر بار که پیکربندی این تجهیزات توسط پرسنل Update می‌گردد، امکان دارد که با یک اشتباه در پیکربندی راه نفوذی برای هکرها ایجاد گردد.

• Verification
  اصلی ترین و البته مشکل ترین قسمت در یک مرکز SOC، حصول اطمینان از امنیت قسمت‌هایی است که کنترل مستقیمی بر آن‌ها وجود ندارد. برای این منظور باید ابزاری به‌کار گرفته شود که از طریق آن بتوان به صورت غیرمستقیم تجهیزات مربوطه را کنترل نمود. در حقیقت باید راه نفوذ از طریق آن تجهیزات را مسدود ساخت.

سرویس های پیشرفته در مراکز SOC
سرویس‌های پیشرفته‌ای که از طریق این مراکز قابل‌ارائه می‌باشد، در‌حقیقت سرویس‌هایی است که به واسطه آن می‌توان سیاست‌های امنیتی را مطابق با نیازها پیش‌بینی نمود. در مراکز SOC علاوه بر مدیریت امنیت تجهیزات شبکه، زیرساخت‌های اطلاعاتی نیز از لحاظ امنیتی پشتیبانی می‌شوند. این زیرساخت‌ها به طور کلی شامل پرسنل، فرآیندها و روال‌های کاری در شبکه می‌باشند. در استانداردهای تدوین‌شده برای امنیت نظیر استانداردهای BS9977 نحوه پیاده‌سازی روال‌های مدیریت امنیت در شبکه‌ها مشخص شده است.

در بخش مدیریت امنیت فرآیندها در مرکز SOC مراحل مختلفی طی می‌شود تا به‌واسطه آن یک روال در شبکه از هر لحاظ ایمن گردد. مرحله اول مرحله سیاست‌گذاری است. پس از تدوین سیاست‌ها و تطبیق آن‌ها با استانداردهای موجود در زمینه امنیت شبکه، روال‌های استخراج‌شده جهت پیاده‌سازی به مسئولا‌ن تحویل می‌شوند. نکته دیگری که در این زمینه قابل‌بررسی است، آگاهی پرسنل SOC از تهدیدات امنیتی است. باتوجه به وجود طیف وسیعی از سخت‌افزارهای امنیت شبکه، که هر کدام متناسب با شرکت سازنده خود نیاز به مهارت‌های خاصی برای استفاده دارند، و همچنین تغییرات سریع تکنولوژی و نحوه حمله به تجهیزات شبکه، نیاز است پرسنل SOC از مهارت‌های خاصی برخوردار بوده و همواره به کسب اطلاعات جدید مشغول باشند. برای بروز نگه‌داشتن اطلاعات پرسنل از کلاس‌های آموزشی جهت تشخیص حملات جدید و نحوه برخورد با آن‌ها استفاده می‌شود. با توجه به حساسیت وظایف در مراکز SOC،  پرسنل این مراکز اهمیت بالا‌یی دارند. به این ترتیب حفظ منافع و رضایت خاطر پرسنل از مهم‌ترین مسئولیت‌های صاحبان SOC می‌باشد.

نتیجه گیری
با توجه به گسترش شبکه های اطلاعاتی در فضای سایبر و روند رو به تزاید آسیب پذیری ها و مخاطرات در این بستر، تأمین امنیت و پایداری داده ها و خدمات این شبکه ها از یک سو در بالاترین سطح اهمیت در هر کشور قرار می گیرد و از سوی دیگر نیل به این هدف بدون برنامه ریزی و استفاده از راهکارهای استاندارد و کارا ناممکن می نماید. مرکز عملیات امنیت یک راهکار مؤثر جهت مدیریت روش ها و تجهیزات متنوع و گسترده امنیتی مورد استفاده در زیرساخت های بزرگ اطلاعاتی مsی باشد. که می تواند به نحو مؤثری مسئولین تأمین امنیت هر شبکه را در انجام مسئولیت خود یاری دهد. مرکز عملیات امنیت دید جامعی از معماری امنیتی شبکه ارائه می دهد، حملات را تحلیل کرده و از نتایج آن برای تشخیص کاراتر بهره می برد، اطلاعات را به صورت دسته بندی شده و قابل استفاده به متخصصین ارائه و عکس العمل های لازم را در مواقع اضطرار انجام می دهد. تأمین امنیت پایدار فضای تبادل اطلاعات در زیرساخت های کشور بدون استفاده از این نقطه مدیریتی غیرممکن است و عدم توجه به آن می تواند تبعات نامطلوبی در امنیت ملی کشور داشته باشد.

برای اطلاع از فن آوری های نوین ارتباطی شبکه های وایرلس و مایکرو ویو و مراکز تلفنی تحت شبکه از کانال تلگرامی ما به آدرسهای Wireless_tech@و Voip_Tech@  دیدن فرمایید.