Threat Management یا مدیریت تهدیدات مجموعه فرایندهای شناسایی، اولویت‌بندی، پیشگیری، تشخیص و پاسخ به تهدیدهایی است که امنیت یک سامانه را به خطر می‌اندازند. این موضوع محدود به نصب فایروال نیست و فرایند عملیاتی، تحلیل لاگ‌ها، مدیریت آسیب‌پذیری و هماهنگی تیم توسعه با تیم امنیت را هم در بر می‌گیرد.
چرخه مدیریت تهدیدات در یک فروشگاه اینترنتی
- دارایی‌های مهم مانند حساب کاربران، اطلاعات سفارش و کلیدهای API را مشخص کنید.
- تهدیدهای محتمل مانند Brute Force، سرقت نشست، تزریق و نشت Secret را شناسایی کنید.
- با کنترل‌هایی مثل MFA، اعتبارسنجی ورودی، Rate Limiting و حداقل سطح دسترسی احتمال حمله را کاهش دهید.
- رخدادهای امنیتی را با لاگ‌گذاری، هشدار و ابزار پایش شناسایی کنید.
- در صورت وقوع رخداد، دسترسی آسیب‌دیده را محدود کنید، شواهد را حفظ کنید و اصلاحات لازم را اعمال کنید.
- با بازبینی رخداد و آزمون مجدد، احتمال تکرار را کاهش دهید.
تفاوت Threat Blocking و Detection و Prevention
| مفهوم | معنی در عمل | مثال |
|---|---|---|
| Threat Prevention | کاهش احتمال موفقیت حمله پیش از وقوع | MFA و به‌روزرسانی بسته آسیب‌پذیر |
| Threat Detection | تشخیص نشانه‌های فعالیت مشکوک | هشدار روی تعداد ورود ناموفق غیرعادی |
| Threat Blocking | متوقف کردن درخواست یا عملیات مشکوک | مسدودسازی درخواست توسط WAF یا IPS |
| Threat Response | اقدام بعد از شناسایی تهدید | باطل‌کردن نشست، غیرفعال کردن کلید افشاشده |
| Threat Modeling | تحلیل ساختاری تهدیدها پیش از ساخت یا تغییر سیستم | بررسی سوءاستفاده از API دریافت سفارش |
Threat Blocking ممکن است در نام‌گذاری محصولات امنیتی استفاده شود، اما معمولاً بهتر است آن را یکی از اقدامات مدیریت تهدیدات بدانیم، نه عنوانی که به‌تنهایی تمام فرایند امنیت را نشان می‌دهد.
ابزارها در کدام مرحله قرار می‌گیرند؟
| ابزار یا فناوری | کاربرد | محدودیت |
|---|---|---|
| WAF | فیلترکردن بعضی حملات HTTP | جایگزین کنترل دسترسی سمت سرور نیست |
| IDS / IPS | شناسایی و در بعضی حالت‌ها جلوگیری از ترافیک مخرب | نیازمند تنظیم قواعد و مدیریت False Positive |
| EDR / XDR | پایش و پاسخ به رخدادهای Endpoint و چند منبع | به‌تنهایی ضعف معماری برنامه را اصلاح نمی‌کند |
| SIEM | تجمیع و هم‌بسته‌سازی لاگ‌ها و ساخت هشدار | بدون لاگ مناسب و تنظیم تحلیل، خروجی محدود است |
| SAST / DAST / SCA | یافتن بخشی از ضعف‌های کد، برنامه اجراشده و وابستگی‌ها | نتایج نیازمند بررسی زمینه و اولویت‌بندی است |
| SOAR | خودکارسازی بخشی از روند پاسخ امنیتی | اقدامات خودکار حساس نیازمند کنترل و امکان بازگشت‌اند |
مثال دفاع در برابر تلاش ورود پرتکرار
در وب‌سرور می‌توان برای مسیر ورود محدودیت نرخ درخواست تنظیم کرد. این فقط یکی از کنترل‌های دفاعی است. در لایه برنامه همچنان باید گزارش رویداد، حفاظت از حساب، تشخیص رفتار غیرعادی و احراز هویت چندعاملی را در نظر گرفت.
http {
limit_req_zone $binary_remote_addr zone=login_rate:10m rate=5r/m;
server {
listen 80;
server_name shop.example.org;
location = /login {
limit_req zone=login_rate burst=5 nodelay;
proxy_pass http://shop_backend;
}
}
}نکته امنیتی
محدودسازی صرفاً بر اساس IP در شبکه‌های اشتراکی یا پشت پراکسی ممکن است کاربران واقعی را نیز محدود کند. مقدار Client IP باید از پراکسی مورد اعتماد خوانده شود. برای ورود حساس، Rate Limiting را با محدودیت حساب، MFA و تشخیص رفتار ترکیب کنید.
مدیریت تهدید در تیم مهندسی نرم‌افزار
برای تیم توسعه، تصمیم عملی این است که هر تهدید مالک مشخص داشته باشد، شدت و احتمال آن ثبت شود، ابزارها نقش مکمل داشته باشند و زمان پاسخ به هشدارها تعریف شود. تنها داشتن داشبورد یا فایروال، بدون فرایند پاسخ‌گویی، مدیریت تهدید کامل نیست.
برای مطالعه بیشتر، تعریف تهدید در NIST و راهنمای Threat Detection and Response را ببینید.
اصطلاحات مرتبط: مدل‌سازی تهدید، دیوار آتش برنامه وب، فایروال، حمله بروت فورس، ریت لیمیتینگ، تست امنیت ایستای نرم‌افزار، تست امنیت پویای نرم‌افزار، سی‌وی‌ای، اوواسپ، سنتری.