مهندسی طراحی امن سیستم های امنیتی
ضرورتی پنهان
از فصل طراحی امن سیستم ها درس CISSP
مفهوم “Fail Securely” با مثال تخصصی EDR و SOC
تعریف ساده:
مفهوم “Fail Securely” یعنی وقتی یک سیستم امنیتی یا زیرساخت به هر دلیلی دچار ایراد، قطع یا crash شد، به جای قرار گرفتن در وضعیت ناامن یا باز (Open)، باید در حالت امن باقی بماند یا به حالت امن سوئیچ کند.
مثال واقعی در دنیای امنیت (EDR/SOC):
تصور کنید یک سازمان بزرگ از EDR قدرتمند برای محافظت از سرورها و EndPointها استفاده می‌کند. حالا فرض کنید Agent این EDR روی سرور معمولا به دلیل آپدیت‌های معیوب یا حملات غیرمنتظره، از کار بیفتد (crash کند).
دو سناریو مقایسه‌ای:
اول Fail Open (شکست ناامن):Agent که CRASH کند:
هیچ کنترلی روی اجرای فایل‌های جدید نیست
مهاجم بدون مزاحمت هر فایلی را اجرا می‌کند
هیچ لاگ و آلارمی برای SOC نمی‌فرستد
نتیجه: مهاجم بدون شناسایی شدن حرکت می‌کند!
اماFail Securely (شکست امن):Agent که CRASH کند:
سیستم به طور خودکار شبکه را قطع می‌کند یا اجرای برنامه‌های ناشناخته را بلوکه می‌کند
فایل‌های حساس فقط به صورت read-only در دسترس می‌شود
وEventها در لاگ محلی امن ذخیره می‌شوند (حتی اگر EDR نباشد)
بعد از بازگشت EDR، همه اقدامات ثبت شده بازنگری می‌شود
نتیجه: حمله متوقف یا شدیداً محدود می‌شود، احتمال شناسایی بالا می‌رود.
مصداق عملی:
بعضی EDRها مثل CrowdStrike Falcon یا trendmicro دقیقاً این رفتار را نشان می‌دهند: اگر Agent به هر دلیل crash کند، سرویس اجراهای جدید را بلوکه یا شبکه سیستم را محدود می‌کند (“contain on agent failure”).
مثال قدیمی‌تر در فایروال‌ها: اگر fail open باشند، وقت از کار افتادن، کل ترافیک را عبور می‌دهند (خطرناک!)؛ اگر fail securely باشند، همه ترافیک را قطع می‌کنند.
**نکته کنکوری و سوال آزمون رسمی : صفحه آبی یا همون مرگ ویندوز هم میتونه در این قالب تلقی باشه .
#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ 09902857290
ضرورتی پنهان
از فصل طراحی امن سیستم ها درس CISSP
مفهوم “Fail Securely” با مثال تخصصی EDR و SOC
تعریف ساده:
مفهوم “Fail Securely” یعنی وقتی یک سیستم امنیتی یا زیرساخت به هر دلیلی دچار ایراد، قطع یا crash شد، به جای قرار گرفتن در وضعیت ناامن یا باز (Open)، باید در حالت امن باقی بماند یا به حالت امن سوئیچ کند.
مثال واقعی در دنیای امنیت (EDR/SOC):
تصور کنید یک سازمان بزرگ از EDR قدرتمند برای محافظت از سرورها و EndPointها استفاده می‌کند. حالا فرض کنید Agent این EDR روی سرور معمولا به دلیل آپدیت‌های معیوب یا حملات غیرمنتظره، از کار بیفتد (crash کند).
دو سناریو مقایسه‌ای:
اول Fail Open (شکست ناامن):Agent که CRASH کند:
هیچ کنترلی روی اجرای فایل‌های جدید نیست
مهاجم بدون مزاحمت هر فایلی را اجرا می‌کند
هیچ لاگ و آلارمی برای SOC نمی‌فرستد
نتیجه: مهاجم بدون شناسایی شدن حرکت می‌کند!
اماFail Securely (شکست امن):Agent که CRASH کند:
سیستم به طور خودکار شبکه را قطع می‌کند یا اجرای برنامه‌های ناشناخته را بلوکه می‌کند
فایل‌های حساس فقط به صورت read-only در دسترس می‌شود
وEventها در لاگ محلی امن ذخیره می‌شوند (حتی اگر EDR نباشد)
بعد از بازگشت EDR، همه اقدامات ثبت شده بازنگری می‌شود
نتیجه: حمله متوقف یا شدیداً محدود می‌شود، احتمال شناسایی بالا می‌رود.
مصداق عملی:
بعضی EDRها مثل CrowdStrike Falcon یا trendmicro دقیقاً این رفتار را نشان می‌دهند: اگر Agent به هر دلیل crash کند، سرویس اجراهای جدید را بلوکه یا شبکه سیستم را محدود می‌کند (“contain on agent failure”).
مثال قدیمی‌تر در فایروال‌ها: اگر fail open باشند، وقت از کار افتادن، کل ترافیک را عبور می‌دهند (خطرناک!)؛ اگر fail securely باشند، همه ترافیک را قطع می‌کنند.
**نکته کنکوری و سوال آزمون رسمی : صفحه آبی یا همون مرگ ویندوز هم میتونه در این قالب تلقی باشه .
#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ 09902857290
Comments
Be the first to add a comment
Log in to comment