در سال‌هایی که سایه رکود اقتصادی بر کسب‌وکارها سنگینی می‌کند، امنیت سایبری معمولاً اولین بخشی است که قربانی کاهش بودجه می‌شود. این موضوع یک الگوی تکرارشونده است، الگویی که در بحران مالی ۲۰۰۸ نیز به‌وضوح دیده شد. در آن دوره، نرخ بیکاری آمریکا به ۱۰٪ رسید و تنها در یک سال، شکایات جرایم سایبری ۲۲.۳٪ افزایش یافت.

پادکست اخیر Cisco Talos یک واقعیت تلخ اما شفاف را بیان می‌کند:

🚨 هرجا بودجه امنیت کاهش پیدا می‌کند، حملات افزایش می‌یابد.

این‌بار اما شرایط خطرناک‌تر از همیشه است. ترکیبی از هوش مصنوعی، باج‌افزارهای صنعتی و زیرساخت‌های قدیمی باعث شده سطح آسیب‌پذیری سازمان‌ها به‌شدت افزایش یابد.

در این مقاله از سلام دیجی، بر اساس تحلیل‌های Talos، یک نگاه مرحله‌به‌مرحله، فنی و کاملاً عملی ارائه می‌دهیم تا ببینیم در شرایط رکود اقتصادی، چگونه می‌توان با منابع کمتر، امنیت مؤثرتری ایجاد کرد.

۱. معماری شبکه در دوران بحران: جایی که همه‌چیز شروع می‌شود

یافته‌های Cisco نگران‌کننده‌اند:

۴۸٪ از دارایی‌های شبکه جهانی فرسوده یا کاملاً منسوخ شده‌اند.

به‌عبارت ساده، نیمی از زیرساخت اینترنت جهان مانند خانه‌ای قدیمی با درهای نیمه‌باز عمل می‌کند.

چرا رکود اقتصادی این وضعیت را خطرناک‌تر می‌کند؟

طبق توضیحات «یوری کارماز» در پادکست Talos :

✔ تیم‌های IT کوچک‌تر می‌شوند.

✔ کارکنان اخراج‌شده گاهی به تهدید داخلی تبدیل می‌شوند.

✔ سرویس‌های قدیمی که سال‌ها بدون نظارت مانده‌اند، مستقیماً در معرض اینترنت قرار می‌گیرند.

✔ فناوری‌هایی که باید سال‌ها پیش بازنشسته می‌شدند، حالا به نقطه ورود مهاجمان تبدیل می‌شوند.

راهکارهای سریع و کم‌هزینه برای کاهش ریسک شبکه

۱.Segmentation داخلی برای سیستم‌های EOL

اگر بودجه ندارید، حداقل دارایی‌های قدیمی را از شبکه اصلی جدا کنید.

۲ .انتقال سرویس‌های Legacy از لبه شبکه به داخل

حتی یک تغییر ساده در topology می‌تواند سطح حمله را تا ۵۰٪ کاهش دهد.

۳. فعال‌سازی لاگ‌گیری کامل، به‌ویژه در Citrix NetScaler

مشکل رایج این است که NetScaler فقط ۲۴ تا ۴۸ ساعت لاگ نگه می‌دارد.
یعنی اگر حمله آخر هفته رخ دهد، شواهد کاملاً از بین می‌روند.

راهکار: فوروارد لاگ‌ها به SIEM

syslog -t -h <SIEM_IP> -p 514 -f /var/log/netscaler/access.log

و مهم‌تر از آن، فعال‌سازی تمام Log Moduleها در ADC .

۲. پایان عصر آنتی‌ویروس| چرا EDR تنها گزینه امن امروز است؟

به گفته «نیت» در پادکست Talos :

اگر هنوز از آنتی‌ویروس سنتی استفاده می‌کنید، مهاجمان عاشق شما هستند.

اصل طلایی در سازمان‌های کم‌بودجه

پوشش ۱۰۰٪ نقاط انتهایی (Endpoint Coverage) یعنی تمام کامپیوترها، لپ‌تاپ‌ها و سرورها باید EDR داشته باشند. حتی یک سیستم بدون EDR می‌تواند نقطه ورود مهاجم باشد.

عمق تله‌متری (Telemetry Depth)

EDR  باید بتواند Process Tree  کامل بسازد و بداند:

✔️ چه برنامه‌ای اجرا شده

✔️ از کجا اجرا شده

✔️ چه فرایندهایی ایجاد کرده

✔️ چه فایل‌هایی باز شده

✔️ به چه شبکه‌هایی متصل شده

✔️ این همان داده‌ای است که تحلیلگران SOC برای تشخیص حمله نیاز دارند.

پاسخ سریع (Response Time < 2 Hours)

اگر EDR بتواند سیستم آلوده را زیر دو ساعت قرنطینه کند، سازمان هنوز شانس دفاع دارد.

ابزارهای Open Source| فرصت یا تله؟

در پادکست Talos، گزینه‌های رایگان زیر مطرح می‌شوند:

✔️ Wazuh (SIEM/XDR سبک)

✔️ Velociraptor (بسیار قدرتمند در DFIR)

اما Talos تأکید می‌کند که بهترین انتخاب، استفاده از EDRهای تجاری با نسخه اصلی است.

مزایای ابزارهای متن‌باز

✔ ارزان
✔ جامعه فعال
✔ امکان تست سریع

چالش‌های جدی

✘ پشتیبانی ۲۴/۷ ندارند
✘ نگهداری زمان‌بر است
✘ پروژه‌های رهاشده می‌توانند بسیار خطرناک باشند

۵ شاخص حیاتی برای ارزیابی سلامت پروژه‌های Open Source

Commit Frequency

زیاد → پروژه زنده

کم یا صفر → پروژه مرده و خطرناک

Last Release Date

اگر بیش از ۲ سال گذشته باشد، یعنی باگ‌ها و امنیت به‌روزرسانی نشده‌اند.

Contributor Count

توسعه‌دهندگان بیشتر = رفع سریع‌تر باگ‌ها و امنیت واقعی‌تر

CVE Count در سال گذشته

وجود CVE نشانه بررسی کد است؛ نبود CVE همراه با ضعف امنیتی، خطرناک‌تر است.

ویژگی‌های امنیتی داخلی (حداقل ۳ مورد)

مانند TLS، امضای دیجیتال، Log Integrity، RBAC، Agent Hardening

بهترین گزینه‌های OPEN SOURCE برای SOCهای ایرانی

ELK  سبک با مانیتورینگ کم‌هزینه اما نه جایگزین EDR!

نسخه بهینه‌شده ELK (Filebeat، Packetbeat و Kibana) می‌تواند:

✔️ مصرف منابع را کاهش دهد

✔️ حجم لاگ‌ها را کنترل کند

✔️ دید کلی نسبت به شبکه ایجاد کند

اما:
ELK پاسخ خودکار، تحلیل رفتاری پیشرفته و مقابله با حملات پیچیده ندارد.
در محیط‌های پرریسک، ELK  هرگز جایگزین EDR تجاری نمی‌شود.

نقشه راه اجرای امنیت در دوران رکود اقتصادی

در شرایطی که بودجه محدود است، امنیت سایبری باید مرحله‌ای، اولویت‌محور و واقع‌بینانه اجرا شود.  Cisco Talos پیشنهاد می‌کند به‌جای پروژه‌های بزرگ و پرهزینه، از یک نقشه راه کوتاه‌مدت اما مؤثر استفاده شود.

فاز اول: اقدامات ضروری و فوری (۲ هفته اول)

هدف این فاز، کاهش سریع سطح حمله (Attack Surface Reduction) است.

اقدامات کلیدی:

✔️ ممیزی کامل شبکه و دارایی‌ها

شناسایی سیستم‌های Legacy، سرویس‌های EOL و دارایی‌های بدون مالک

✔️ فعال‌سازی لاگ‌گیری گسترده

لاگ شبکه، سیستم‌عامل، VPN، فایروال و ADC

✔️ محدودسازی PowerShell و ابزارهای Living-off-the-Land

جلوگیری از سوءاستفاده مهاجمان از ابزارهای داخلی سیستم

✔️ Segmentation پایه

جداسازی سیستم‌های قدیمی، حیاتی و پرریسک از شبکه اصلی

📌 خروجی این فاز:
دید کامل از شبکه + جلوگیری از نفوذهای ساده و کم‌هزینه مهاجمان

فاز دوم: تثبیت امنیت و افزایش دید (ماه ۱ تا ۳)

در این مرحله، تمرکز روی کنترل نقاط انتهایی و افزایش قابلیت کشف حمله است.

اقدامات کلیدی:

✔️ جایگزینی آنتی‌ویروس سنتی با EDR

دستیابی به پوشش ۱۰۰٪ Endpoints

✔️ راه‌اندازی Canary Tokens

تشخیص زودهنگام حرکت جانبی (Lateral Movement)

✔️ تنظیم و بهینه‌سازی SIEM یا ELK

کاهش نویز لاگ‌ها و تمرکز روی رویدادهای مهم

✔️ تعریف Playbookهای ساده پاسخ به حادثه

چه کسی، در چه شرایطی، چه اقدامی انجام دهد؟

📌 خروجی این فاز:
افزایش عمق دید (Visibility) + کاهش زمان کشف حمله (MTTD)

فاز سوم: بلوغ امنیت و پاسخ فعال (ماه ۴ تا ۶)

این فاز سازمان را از حالت واکنشی به دفاع فعال و هوشمند می‌رساند.

اقدامات کلیدی:

✔️ اتوماسیون پاسخ به حادثه (SOAR Lite)

قرنطینه خودکار Endpoint آلوده

✔️ ایجاد Threat Intelligence داخلی

تطبیق لاگ‌ها با IOCها و الگوهای حمله واقعی

✔️ آموزش تیم امنیتی (Blue Team Enablement)

تمرکز بر DFIR، Hunting و تحلیل رفتار

✔️ بازبینی سیاست‌ها و درس‌آموخته‌ها

اصلاح معماری و کنترل‌ها بر اساس حملات واقعی

📌  خروجی این فاز:
کاهش زمان پاسخ (MTTR) + افزایش مقاومت سازمان در برابر حملات پیشرفته

نمای کلی نقشه راه امنیت در رکود

جمع‌بندی نهایی: امنیت در رکود، هنر استفاده از داشته‌هاست

پیام Cisco Talos کاملاً شفاف است:

امنیت در دوران رکود با خرید تجهیزات بیشتر ایجاد نمی‌شود مگر با شناخت دقیق دارایی‌ها، استفاده هوشمندانه از ابزارهای متن‌باز بالغ، تنظیمات حیاتی و رایگان و پوشش کامل EDR.

نکته حیاتی برای سازمان‌های حساس

در بانک‌ها، مراکز درمانی، زیرساخت‌های حیاتی، نهادهای دولتی و اهداف بالقوه APT، اتکا به Open Source  به‌تنهایی ریسک بزرگی است.

در این سازمان‌ها، هزینه یک نفوذ یا اختلال عملیاتی، افشای داده‌های حیاتی، ضربه به اعتبار و حتی تبعات حقوقی سنگین به‌مراتب بیشتر از هزینه یک EDR  تجاری معتبر است.