فریم ورک SABSA چیه و چرا باید بهش توجه کنیم؟
✍️روزبه نوروزی
هدف SABSA:
این فریم ورک کمک می‌کند امنیت را راهبردی، برنامه‌ریزی‌شده و با توجه به نیاز واقعی کسب‌وکار طراحی کنیم ، نه همین طوری و فقط فنی.
خروجی: یک نقشه کامل، با تعریف نقش‌ها، فرایندها، قوانین و فناوری‌ها که موقع اجرا، امنیت واقعاً پاسخگوی نیاز هست و نه صرفاً یکسری کنترل تئوریک!
فریم ورک SABSA عملاً چطور کار می‌کند؟ (با مثال)
فرض کنید شما در یک شرکت تلکام کار می‌کنید که باید هم سرویس پیام‌رسان بدهد، هم پنل مدیریت به مشتری.
مشکل: امنیت فقط یک آنتی‌ویروس یا فایروال نیست؛ باید امنیت را بر پایه نیاز و ریسک واقعی کسب‌وکار معماری کنیم.
فریم ورک SABSA لایه‌ها دارد:
1. لایه کسب‌وکار (Business View)
اینجا سؤال کلیدی:«برای کسب‌وکار ما، دقیقاً چه چیزی ارزش دارد و چه چیزی باید امن بماند؟»
مثلا: حریم خصوصی اطلاعات کاربران، عدم اختلال سرویس پیام‌رسانی، امنیت پنل مدیریت.
2. لایه مفهومی (Conceptual View)
تعریف می‌کنید دقیقاً “چه سیاست‌هایی” باید باشد.
مثلاً: تمام تراکنش‌ها باید احراز هویت دو عاملی داشته باشند، اطلاعات کاربران فقط توسط پرسنل معتمد قابل مشاهده است.
3. لایه منطقی (Logical View)
نقشه منطقی از ساختار سیستم
مثلاً: چه نوع سیستم‌های احراز هویت باید وجود داشته باشد؟ چه کنترل‌ها و مدیریت دسترسی‌هایی باید طراحی شوند؟
4. لایه فیزیکی (Physical View)
الان دقیقاً روی چه سخت‌افزار/نرم‌افزاری قرار است کنترل‌ها را پیاده کنیم؟
مثلاً: روی سرور X، دیتابیس Y، ابزار WAF یا SIEMمرکز عملیات امنیت.
5. لایه جزئیات اجرایی (Component View)
دقیقاً هر کنترل، با کدام محصول یا نسخه و چطور مستقر می‌شود.
مثلاً: سرور لینوکس روی هسته 5، احراز هویت به کمک ماژول PAM، لوگین از طریق Duo Security، قفل خودکار پس از 5 تلاش.
6. لایه مدیریت اجرا (Operational View)
چه کسانی مسئول چه کنترل یا مانیتورینگی هستند؟ چه فرایندهایی باید مدام اجرا شود؟ مثلاً تیم SOC هر 24 ساعت همه لاگ‌ها را بررسی کند، اتوماسیون ایونت مانیتور کند لاگین مشکوک را هشدار دهد و غیره.
مثال خیلی عملی (خلاصه)
مثلاً شما می‌خواهید دسترسی به سیستم‌های Core تلکام را طوری انجام دهید که هک نشود:
در لایه کسب‌وکار: می‌گویید: «دسترسی غیرمجاز به هسته شبکه قطعاً باید صفر باشد».
در لایه مفهومی: سیاست: «دسترسی فقط با MFA و مجوز مدیر».
در لایه منطقی: نوع احراز هویت، مدیریت اکانت، تقسیم دسترسی‌ها و ثبت لاگ.
در لایه فیزیکی: دستگاه‌ها و نرم‌افزارهای احراز هویت و ثبت لاگ را انتخاب می‌کنید.
در لایه جزئیات اجرایی: مثلاً Active Directory با ماژول MFA، سرور Syslog برای لاگ‌ها.
در لایه عملیات: تعریف کنید چه کسی ادمین شود، چه کسی لاگ‌ها بررسی کند و چه کسی Incident را مدیریت کند.
پس SABSA یعنی…
امنیت بر اساس ارزش‌های کسب‌وکار و نه صرفاً تکنولوژی
مثل نقشه ساختمانی است که می‌گوید چه چیزی را کجا و برای چه کسی بسازی!
مسیر SABSA میگه:
۱. نیاز کسب‌وکار و ریسک را شفاف کن
۲. سیاست و هدف امنیت را بنویس
۳. کنترل‌ها و مدل منطقی را ترسیم کن
۴. فناوری و ابزار تعیین کن
۵. مسئولیت‌ها و فرآیندهای اجرایی را مشخص کن
اینطور معماری امنیت شما نه دیمی و وصله‌پینه‌ای، بلکه منظم، قابل دفاع و متناسب با نیازها خواهد بود
پی نوشت : در مستندات اصلی لایه ششم وجود ندارد . در کلاس CISSP و یک وبینار در آینده بحث میکنم چرا اینطور نوشتم .
#آکادمی_روزبه
مرکز تخصصی CISSP
✍️روزبه نوروزی
هدف SABSA:
این فریم ورک کمک می‌کند امنیت را راهبردی، برنامه‌ریزی‌شده و با توجه به نیاز واقعی کسب‌وکار طراحی کنیم ، نه همین طوری و فقط فنی.
خروجی: یک نقشه کامل، با تعریف نقش‌ها، فرایندها، قوانین و فناوری‌ها که موقع اجرا، امنیت واقعاً پاسخگوی نیاز هست و نه صرفاً یکسری کنترل تئوریک!
فریم ورک SABSA عملاً چطور کار می‌کند؟ (با مثال)
فرض کنید شما در یک شرکت تلکام کار می‌کنید که باید هم سرویس پیام‌رسان بدهد، هم پنل مدیریت به مشتری.
مشکل: امنیت فقط یک آنتی‌ویروس یا فایروال نیست؛ باید امنیت را بر پایه نیاز و ریسک واقعی کسب‌وکار معماری کنیم.
فریم ورک SABSA لایه‌ها دارد:
1. لایه کسب‌وکار (Business View)
اینجا سؤال کلیدی:«برای کسب‌وکار ما، دقیقاً چه چیزی ارزش دارد و چه چیزی باید امن بماند؟»
مثلا: حریم خصوصی اطلاعات کاربران، عدم اختلال سرویس پیام‌رسانی، امنیت پنل مدیریت.
2. لایه مفهومی (Conceptual View)
تعریف می‌کنید دقیقاً “چه سیاست‌هایی” باید باشد.
مثلاً: تمام تراکنش‌ها باید احراز هویت دو عاملی داشته باشند، اطلاعات کاربران فقط توسط پرسنل معتمد قابل مشاهده است.
3. لایه منطقی (Logical View)
نقشه منطقی از ساختار سیستم
مثلاً: چه نوع سیستم‌های احراز هویت باید وجود داشته باشد؟ چه کنترل‌ها و مدیریت دسترسی‌هایی باید طراحی شوند؟
4. لایه فیزیکی (Physical View)
الان دقیقاً روی چه سخت‌افزار/نرم‌افزاری قرار است کنترل‌ها را پیاده کنیم؟
مثلاً: روی سرور X، دیتابیس Y، ابزار WAF یا SIEMمرکز عملیات امنیت.
5. لایه جزئیات اجرایی (Component View)
دقیقاً هر کنترل، با کدام محصول یا نسخه و چطور مستقر می‌شود.
مثلاً: سرور لینوکس روی هسته 5، احراز هویت به کمک ماژول PAM، لوگین از طریق Duo Security، قفل خودکار پس از 5 تلاش.
6. لایه مدیریت اجرا (Operational View)
چه کسانی مسئول چه کنترل یا مانیتورینگی هستند؟ چه فرایندهایی باید مدام اجرا شود؟ مثلاً تیم SOC هر 24 ساعت همه لاگ‌ها را بررسی کند، اتوماسیون ایونت مانیتور کند لاگین مشکوک را هشدار دهد و غیره.
مثال خیلی عملی (خلاصه)
مثلاً شما می‌خواهید دسترسی به سیستم‌های Core تلکام را طوری انجام دهید که هک نشود:
در لایه کسب‌وکار: می‌گویید: «دسترسی غیرمجاز به هسته شبکه قطعاً باید صفر باشد».
در لایه مفهومی: سیاست: «دسترسی فقط با MFA و مجوز مدیر».
در لایه منطقی: نوع احراز هویت، مدیریت اکانت، تقسیم دسترسی‌ها و ثبت لاگ.
در لایه فیزیکی: دستگاه‌ها و نرم‌افزارهای احراز هویت و ثبت لاگ را انتخاب می‌کنید.
در لایه جزئیات اجرایی: مثلاً Active Directory با ماژول MFA، سرور Syslog برای لاگ‌ها.
در لایه عملیات: تعریف کنید چه کسی ادمین شود، چه کسی لاگ‌ها بررسی کند و چه کسی Incident را مدیریت کند.
پس SABSA یعنی…
امنیت بر اساس ارزش‌های کسب‌وکار و نه صرفاً تکنولوژی
مثل نقشه ساختمانی است که می‌گوید چه چیزی را کجا و برای چه کسی بسازی!
مسیر SABSA میگه:
۱. نیاز کسب‌وکار و ریسک را شفاف کن
۲. سیاست و هدف امنیت را بنویس
۳. کنترل‌ها و مدل منطقی را ترسیم کن
۴. فناوری و ابزار تعیین کن
۵. مسئولیت‌ها و فرآیندهای اجرایی را مشخص کن
اینطور معماری امنیت شما نه دیمی و وصله‌پینه‌ای، بلکه منظم، قابل دفاع و متناسب با نیازها خواهد بود
پی نوشت : در مستندات اصلی لایه ششم وجود ندارد . در کلاس CISSP و یک وبینار در آینده بحث میکنم چرا اینطور نوشتم .
#آکادمی_روزبه
مرکز تخصصی CISSP
Comments
Be the first to add a comment
Log in to comment