მთავარი დასკვნა
გამორთეთ არასაჭირო სერვისები; დანარჩენებისთვის გადაამოწმეთ დაშიფვრა, შეზღუდული წვდომა, განახლებები და ჟურნალების წარმოება.
FTP: გადაცემის არხები და დაცული ალტერნატივები
ფაილების გადასაცემად FTP მართვისა და მონაცემების ცალკე კავშირებს იყენებს. ტრადიციული FTP არც ავტორიზაციის მონაცემებს შიფრავს და არც შიგთავსს: აქტიურ რეჟიმში მონაცემების კავშირს სერვერი ხსნის; პასიურ რეჟიმში კლიენტი სერვერის მიერ გამოცხადებულ პორტს უკავშირდება. ქსელური ეკრანის წესები კავშირის ორივე სქემას უნდა ითვალისწინებდეს. FTP შეიძლება ძველ სამუშაო პროცესებში რჩებოდეს, მაგალითად ვებსაიტის ჰოსტინგზე ატვირთვისას, სისტემების ღამის ექსპორტში ან მომწოდებელთან ფაილების პაკეტურ გაცვლაში; ჯერ ეს დამოკიდებულებები გამოავლინეთ. FTPS FTP‑ს TLS დაცვას უმატებს, SFTP კი SSH‑ზე მომუშავე ცალკე პროტოკოლია. სერტიფიკატი ან SSH ჰოსტის გასაღები სანდო არხით გადაამოწმეთ, ანონიმური წვდომა მხოლოდ განზრახ საჯარო გავრცელებისთვის დაუშვით და თითოეული ანგარიშის კატალოგებზე უფლებები შეზღუდეთ.
დაუშიფრავი FTP
ავტორიზაციის მონაცემები და ფაილები დაცვის გარეშე გადაიცემა; ახალი სისტემებისთვის ეს ცუდი არჩევანია.
FTPS
ინარჩუნებს FTP‑ის სამუშაო პროცესს და ამატებს TLS‑ს; გადაამოწმეთ სერტიფიკატი და მონაცემების არხის დაცვა.
SFTP
მუშაობს SSH‑ზე და FTP‑ისგან განსხვავებული პროტოკოლია; ჰოსტის გასაღები სანდო არხით გადაამოწმეთ.
RDP: დისტანციური წვდომა შეზღუდული პრივილეგიებით
RDP მომხმარებელს დისტანციური Windows კომპიუტერის სამუშაო მაგიდის მართვის საშუალებას აძლევს; აპლიკაციები დისტანციურ ჰოსტზე სრულდება. ნაგულისხმევი პორტია TCP/UDP 3389, თუმცა პორტის შეცვლა მხოლოდ სკანირების ხმაურს ამცირებს და ძირითად დაცვას არ უზრუნველყოფს. RDP მხოლოდ საჭირო ადგილებში ჩართეთ, უშუალოდ საჯარო ინტერნეტში არ გამოაჩინოთ და დაიცავით VPN‑ით, Remote Desktop Gateway‑ით ან ორგანიზაციის მიერ დამტკიცებული, კონკრეტული რესურსისთვის განკუთვნილი წვდომის გზით. NLA ჩართული დატოვეთ და MFA მოითხოვეთ დამტკიცებული წვდომის კარიბჭით ან მხარდაჭერილი ინტეგრაციით, RDP‑ის უფლებები მცირე რაოდენობის ანგარიშებს მიანიჭეთ, ჰოსტებზე განახლებები დააყენეთ და წარმატებული თუ წარუმატებელი შესვლები აკონტროლეთ. ბუფერის, დისკებისა და მოწყობილობების გადამისამართება სესიისთვის აუცილებელ მოცულობამდე შეზღუდეთ.
განსაზღვრეთ, ვის შეუძლია დაკავშირება
RDP მხოლოდ მათ მიანიჭეთ, ვისაც სამუშაოსთვის სჭირდება, და მხოლოდ აუცილებელ ჰოსტებზე.
დაიცავით წვდომის გზა
მოერიდეთ პორტის საჯარო გადამისამართებას; გამოიყენეთ დამტკიცებული კარიბჭე ან VPN MFA‑ით.
შეზღუდეთ სესია
გამოიყენეთ NLA, განახლებების, ანგარიშის დაბლოკვისა და გადამისამართების პოლიტიკები; შეინახეთ სესიის ჟურნალები.
SNMP: მონიტორინგისთვის წვდომაც პრივილეგირებულია
SNMP მენეჯერს შეუძლია MIB/OID მნიშვნელობების წაკითხვა მარშრუტიზატორების, კომუტატორების, ქსელური ეკრანების, სერვერების, პრინტერებისა და UPS მოწყობილობების აგენტებიდან; ნებართვის შემთხვევაში SET‑ს მოწყობილობის პარამეტრების შეცვლაც შეუძლია. გამოკითხვა ჩვეულებრივ UDP 161‑ს იყენებს, შეტყობინებები კი UDP 162‑ს. SNMPv1 და v2c იყენებს community სტრიქონს დაშიფვრის გარეშე. მხარდაჭერის შემთხვევაში გამოიყენეთ SNMPv3 authPriv ავთენტიფიკაციის, მთლიანობისა და კონფიდენციალურობის ამჟამად მხარდაჭერილი ალგორითმებით. წვდომა მართვის ქსელითა და საჭირო OID‑ებითა და ოპერაციებით შეზღუდეთ, არასაჭირო SET გამორთეთ და ძველი ვერსიები აღრიცხეთ.
წაკითხვის წვდომა
ინტერფეისის, დატვირთვის, აღრიცხვისა და მდგომარეობის მონაცემებმა ქსელის ტოპოლოგიაც შეიძლება გამოავლინოს.
ჩაწერის წვდომა
SNMP SET‑ს კონფიგურაციის შეცვლა შეუძლია; თუ ჩაწერა დასაბუთებული არ არის, მხოლოდ წაკითხვის წვდომას მიანიჭეთ უპირატესობა.
რას ადასტურებს TLS და სერტიფიკატი
TLS კავშირის კონფიდენციალურობასა და მთლიანობას იცავს; სწორად შემოწმებული სერტიფიკატი სერვერის სახელის დადასტურებაში გვეხმარება. „SSL“ კვლავ გავრცელებული შემოკლებაა, თუმცა SSLv2/v3 და TLS 1.0/1.1 მოძველებულია. გამოიყენეთ ორგანიზაციის მიერ მხარდაჭერილი ვერსიები, მაგალითად TLS 1.2 და 1.3. გადაამოწმეთ CA‑ის ჯაჭვი, ჰოსტის სახელი და მოქმედების ვადა. HTTPS‑ის ინდიკატორი არ ამტკიცებს, რომ საიტი უვნებელია, შესვლის ფორმა ნამდვილია ან მოწყობილობა სუფთაა. ავტომატიზებული გახადეთ სერტიფიკატის განახლება, შეზღუდეთ პირად გასაღებზე წვდომა და შეამოწმეთ სერვისის ფაქტობრივი TLS კონფიგურაცია.
კონფიდენციალურობა
ქსელში გადაცემისას ტრაფიკის წაკითხვას ართულებს.
მთლიანობა
ეხმარება კავშირის ფარგლებში მონაცემების ფარული ცვლილების გამოვლენას.
სერვერის შემოწმება
შეამოწმეთ ჰოსტის სახელი და სერტიფიკატების ჯაჭვი; გაფრთხილებების გვერდის ავლა დაცვას ასუსტებს.