همه چیز در مورد تخصص تحلیل‌گر SOC – قسمت 1 | مهارت‌های اساسی برای تحلیلگران

با افزایش پیچیدگی و فراوانی تهدیدهای امنیت سایبری‌‌، تقاضا برای تخصص تحلیل‌گر SOC همچنان در حال افزایش است. تحلیل‌گران مرکز عملیات امنیت با داشتن استراتژی‌های دفاعی و نرم‌افزارهای امنیتی پیشرفته، نقشی حیاتی در حفظ امنیت شرکت‌ها در مقابل حملات سایبری دارند‌. تیم‌های مرکز عملیات امنیت مسئول شناسایی و کاهش تهدیدهای قریب الوقوع، محافظت از اطلاعات حساس و تضمین امنیت کلی دارایی‌های دیجیتال یک سازمان هستند. با افزایش تقاضا برای تحلیلگران ماهر مرکز عملیات امنیت‌، کارآموزان این مسیر باید اطمینان حاصل کنند که دانش فنی، مهارت‌های تحلیلی و تفکر انتقادی لازم برای این شغل را داشته باشند. این مقاله، اولین قسمت از مجموعه‌ای سه قسمتی است که به بررسی مهارت‌های ضروری می پردازد که تحلیلگران مشتاق باید در مسیر موفقیت خود به آن‌ها تسلط پیدا کنند. ما در این مقاله، ‌‌به چهار حوزه کلیدی مطالعه که پایه‌ای برای تسلط در زمینه تحلیل مرکز عملیات امنیت هستند، به طور جزئی و دقیق می‌پردازیم.

1- یادگیری معماری شبکه 

درک مفاهیم بنیادی شبکه برای تخصص تحلیل‌گر SOC، حیاتی است. این مسیر را با مدل مرجع OSI‌‌ و اصول اولیه پروتکل‌های TCP/IP آغاز کنید.
شبکه، ستون فقرات هر زیرساخت فناوری اطلاعات است. برای یک تحلیل‌گر تازه‌کار مرکز عملیات امنیت‌، یادگیری اصول اولیه شبکه به معنای درک نحوه جریان داده (data flow) در سراسر شبکه است؛ مهارتی که برای شناسایی و پاسخ به حوادث امنیتی ضروری است. یک تحلیلگر مرکز عملیات امنیت با ایجاد درک عمیقی از مفاهیم شبکه مانند آدرس دهی‌IP، زیرشبکه‌ها، سیستم نام دامنه ‌DNS، مسیریابی و پروتکل‌هایی مانند‌TCP/IP ،ICMP و‌ UDP،‌‌ می‌تواند ناهنجاری‌ها را شناسایی کند، فعالیت‌های مخرب را ردیابی کند و سیاست‌های امنیتی مؤثری ایجاد کند. از آنجایی که اکثر حملات از طریق شبکه آغاز می‌شوند، داشتن تسلط بر اصول اولیه امنیت شبکه، از جمله فایروال‌ها، سیستم‌های تشخیص و پیشگیری نفوذ (IDPS) و تقسیم بندی شبکه (Network Segmentation)، به تحلیل‌گران مرکز عملیات امنیت در پاسخ به حوادث امنیتی، برتری می‌دهد.

‌ درک اصول شبکه‌ها عموما شامل حوزه‌های زیر است:

1- شناخت اصول اولیه شبکه:‌ با توپولوژی‌های شبکه، آدرس‌دهی، پروتکل‌ها و دستگاه‌های شبکه آشنا شوید. منابعی مانند گواهینامه +CompTIA Network یا Cisco CCNA می‌توانند پایه‌ای قوی در مفاهیم بنیادی شبکه را برای شما فراهم کنند.

2- شناخت اصول امنیت شبکه:‌ روی فایروال‌ها، سیستم‌های تشخیص و پیشگیری نفوذ (IDPS) و شبکه‌های خصوصی مجازی (VPN) تمرکز کنید.

3- تمرین با آزمایشگاه‌های عملی: از آزمایشگاه‌های مجازی یا تجهیزات فیزیکی برای کسب تجربه عملی در پیکربندی و عیب‌یابی شبکه‌ها استفاده کنید. نمونه‌هایی از این موارد عبارتند از:

• GNS3: این نرم‌افزار شبیه‌سازی شبکه رایگان و متن‌باز به کاربران امکان طراحی، پیکربندی و آزمایش شبکه‌های مجازی را می‌دهد.
• Packet Tracer: ‌‌این نرم افزار شبیه‌سازی شبکه که توسط سیسکو توسعه یافته است، به کاربران امکان طراحی، پیکربندی و آزمایش توپولوژی‌های شبکه را می‌دهد.
• EVE-NG:‌ این نرم افزار شبیه‌سازی شبکه، امکان طراحی، پیکربندی و آزمایش شبکه‌های مجازی و پیکربندی‌های پیچیده شبکه را به کاربران می‌دهد.
• TryHackMe‌: این پلتفرم، آزمایشگاه‌های هدایت شده (guided) و از پیش پیکربندی‌شده (pre-configured) را از طریق مرورگر ارائه می‌دهد. تنوع دوره‌های با کیفیت بالا و ورود آسان به آن‌ها به فراگیران این امکان را می‌دهد تا از ابزارها و مفاهیم مختلفی استفاده کنند.
• پیوستن به جوامع شبکه و امنیت:‌ با متخصصان صنعت شبکه و امنیت ارتباط برقرار کنید تا از تجربیات آن‌ها بیاموزید، سوال بپرسید و به جدیدترین روندها و فناوری‌ها دست پیدا کنید. جوامع آنلاین مانند بخش شبکه‌سازی (r/networking) یا بخش امنیت شبکه (r/netsec) در سایت ردیت (Reddit)‌، یا انجمن‌های حرفه‌ای مانند انجمن کنترل و حسابرسی سیستم‌های اطلاعاتی‌(ISACA)، انجمن مدیران امنیت اطلاعات سیستم‌ها (ISSA) یا انجمن بین‌المللی مجالس تخصصی امنیت سیستم‌های اطلاعاتی ²(ISC) می‌توانند منابع بسیار خوبی برای برقراری ارتباط با افراد داخل این حوزه باشند.
• به‌روز بودن در زمینه‌ی‌‌ اخبار فناوری اطلاعات:‌ وب‌سایت‌های خبری امنیت و شبکه مانند Dark Reading، BleepingComputer‌ یا SecurityWeek را دنبال کنید تا از آخرین تهدیدات و روندهای امنیتی مطلع شوید.

2- یادگیری تحلیل شبکه

تجزیه و تحلیل ترافیک شبکه می‌تواند به شناسایی فعالیت‌های مشکوک و تهدیدات بالقوه کمک کند. استفاده از ابزارهای تحلیل شبکه مانند Wireshark ،Network Miner و Snort را یاد بگیرید.

تحلیل ترافیک شبکه شامل بررسی بسته‌های داده منتقل شده بین دستگاه‌ها در یک شبکه برای شناسایی الگوها، ناهنجاری‌ها و نشانه‌های فعالیت مخرب است. تحلیل‌گران مرکز عملیات امنیت، می‌توانند با تجزیه و تحلیل ترافیک شبکه، رفتارهای مشکوکی مانند تلاش‌های دسترسی غیرمجاز، سرقت اطلاعات، آلودگی به بدافزار و ارتباطات C&C را شناسایی کنند و همچنین می‌توانند از تحلیل ترافیک شبکه برای ردیابی منشأ حمله، تعیین وسعت خطر و شناسایی دارایی‌های تحت تأثیر استفاده کنند. داشتن مهارت‌های تجزیه و تحلیل ترافیک شبکه برای هر تحلیل‌گر مرکز عملیات امنیت‌‌ که به دنبال کسب مهارت در تشخیص تهدید و پاسخ به حادثه است، امری ضروری می‌باشد. برای شروع یادگیری چگونگی تجزیه و تحلیل ترافیک شبکه، مراحل زیر را در نظر بگیرید:‌‌

• ایجاد پایه‌های شبکه‌ای: قبل از تجزیه و تحلیل ترافیک شبکه، داشتن دانش از مفاهیم شبکه مانند TCP/IP ،DNS ،HTTP و SSL ضروری است. یادگیری نحوه تفسیر ساختار یک بسته و نقش هر فیلد هدر می‌تواند به شناسایی و رفع مشکلات شبکه کمک کند.
• ‌استفاده از ابزارهای تحلیل شبکه: ابزارهای مختلف تحلیل شبکه مانند ‌Wireshark، tcpdump و tshark می‌توانند به تجزیه و تحلیل ترافیک شبکه کمک کنند.‌ این ابزارها را می‌توان برای رهگیری، رمزگشایی و تجزیه و تحلیل بسته‌ها به صورت بلادرنگ مورد استفاده قرار داد و یا از فایل‌های رهگیری شده ذخیره شده استفاده کرد. با استفاده از ابزاری مانند ‌Wireshark، تحلیل‌گران می‌توانند ترافیک شبکه را بر اساس آدرس‌IP، پروتکل، پورت یا کلمه کلیدی فیلتر کرده و محتوای بسته‌ها مانند پی‌لود (payload)، هدرها و زمان‌بندی را تجزیه و تحلیل کنند.
• ‌تمرین تجزیه و تحلیل ترافیک شبکه: بهترین راه برای بهبود مهارت‌های تحلیل ترافیک شبکه، تمرین روی داده‌های ترافیک واقعی شبکه است. فایل‌های نمونه‌ از منابع آنلاین (مانند صفحه نمونه‌های‌ Wireshark) یا با ضبط ترافیک در یک شبکه آزمایشی قابل دسترس‌ هستند. از ترافیک برای شبیه‌سازی یک حمله و ایجاد قوانین شناسایی با استفاده از اسنورت (Snort) به عنوان یک سیستم تشخیص و پیشگیری از نفوذ (NIDS) استفاده کنید.
• یادگیری از منابع آنلاین :‌منابع آنلاین مختلفی مانند دانشگاه ‌Wireshark، PacketTotal و موسسه ‌SANS، آموزش‌های رایگان، وبلاگ‌ها و ویدیوهایی را در مورد تجزیه و تحلیل ترافیک شبکه ارائه می‌دهند. این منابع می‌توانند به تحلیل‌گران تازه‌کار کمک کنند تا تکنیک‌های پیشرفته‌تری مانند تجزیه و تحلیل پروتکل، پیش‌بینی شبکه و تجزیه و تحلیل بدافزار را یاد بگیرند.

۳- یادگیری تحلیل لاگ

متخصصان مرکز عملیات امنیت‌ با حجم عظیمی از لاگ از منابع مختلف سر و کار دارند. درک نحوه تجزیه و تحلیل و جستجوی لاگ‌ها برای آن‌ها ضروری است. یک تحلیل‌گر مشتاق باید با نحوه‌ی استفاده از ابزارهای مدیریت لاگ مانند ‌Splunk ،ELK و Graylog آشنا باشد.

برای کارآمد بودن در نقش خود، متخصصان مرکز عملیات امنیت‌ باید تسلط خود را بر تحلیل لاگ (Log Analysis) نشان دهند. لاگ‌ها به عنوان یک منبع حیاتی اطلاعاتی، داده‌های ارزشمندی در مورد فعالیت سیستم و شبکه، رفتار کاربران و رویدادهای امنیتی در اختیار تحلیل‌گران قرار می‌دهند. با تحلیل لاگ‌ها، متخصصان مرکز عملیات امنیت‌، می‌توانند فعالیت مشکوک را شناسایی کنند، ردپای گسترش بدافزار را ردیابی کنند و حوادث امنیتی بالقوه را کشف کنند. تحلیل لاگ همچنین نقش حیاتی در پاسخ به حوادث ایفا می‌کند. هنگامی که یک حادثه امنیتی رخ می‌دهد، متخصصان مرکز عملیات امنیت‌ باید به بررسی آن بپردازند، وسعت و تأثیر آن را تعیین کنند و علت اصلی را شناسایی کنند. داده‌های ضبط‌شده در لاگ‌ها می‌تواند به تحلیل‌گران‌ کمک کنند تا زمانبندی وقوع رویداد را بازسازی کنند، نقطه ورود مهاجم را شناسایی کرده و میزان تخلف را تعیین نمایند. علاوه بر موارد ذکر شده، تحلیل لاگ‌‌ها در هرگونه تحقیقات تخصصی فارنزیک نیز ضروری است. این تحلیل شامل بررسی لاگ‌های تولید شده توسط سیستم‌ها و برنامه‌های مختلف برای شناسایی موارد غیرعادی، فعالیت‌های مشکوک و نشانه‌های نفوذ می‌شود. ‌‌تحلیل‌گران با تجربه می‌توانند رویدادهایی مانند تلاش‌های ناموفق برای ورود، ترافیک شبکه غیرعادی، و تغییرات سیستم که ممکن است نشان‌گر وقوع یک حادثه امنیتی باشد، را تشخیص دهند. در زیر، روش‌هایی که تحلیل‌گران مشتاق می‌توانند برای بهبود مهارت‌های تحلیل لاگ خود انجام دهند، آمده است:

• آشنایی با ابزارهای مدیریت لاگ: ‌ابزارهای مدیریت لاگ مانند ‌Splunk، ELK و Graylog می‌توانند به تحلیلگران در تجزیه، جستجو و تحلیل لاگ‌ها کمک کنند. این ابزارها قادر به جمع‌آوری لاگ‌ها از منابع مختلف، اعمال فیلترها و تغییرات و نمایش داده‌های لاگ‌ به صورت بصری هستند. از ابزارهای مدیریت لاگ، برای داشتن دید جامع امنیتی استفاده کنید.
• آشنایی با فرمت‌های رایج (Log)‌:‌ لاگ‌ها از قالب‌های مختلفی تشکیل شده‌اند. لاگ‌ها به اشکال مختلفی وجود دارند. یادگیری فرمت‌های رایج لاگ‌ها مانند سیستم لاگ ‌(Syslog)، آپاچی (Apache) و لاگ‌های رویداد ویندوز (Windows  Event Logs) به توسعه یک درک قوی از داده‌های لاگ و چگونگی درک آن کمک خواهد کرد.
• مطالعه‌ی تجزیه و تحلیل لاگ و تکنیک‌های جستجو: تحلیل‌گران باید دارای ذخیره‌ی گسترده‌ای از دانش درباره تکنیک‌های تحلیل لاگ، مانند شناسایی ناهنجاری‌ها (Anomaly Detection)، تحلیل همبستگی (Correlation Analysis)، و شکار تهدید (Threat Hunting)‌ ‌باشند. همچنین، باید تجزیه و تحلیل و جستجوی لاگ‌ها با ابزارها و تکنیک‌های مختلف مدیریت لاگ را نیز تمرین کنند.
• استفاده از عبارات با قاعده و منظم‌(Regex) ‌: عبارات منظم (regex) ابزاری قدرتمند برای تجزیه و جستجوی داده‌های ورودی هستند که به تحلیل‌گران اجازه می‌دهند اطلاعات خاص را به سرعت از لاگ‌ها استخراج کنند.
• فیلتر کردن نویز‌: لاگ‌ها ممکن است شامل خیلی از نویزها باشند، مانند پیام‌های دیباگ، پیام‌های اطلاعاتی یا پیام‌های سیستمی. فیلتر کردن نویز به تحلیل‌گران کمک می‌کند تا فقط بر روی داده‌های ضروری لاگ تمرکز کنند.
• استفاده از ابزارهای تجسمی:‌ ابزارهای تجسمی مانند نمودارها، جداول و داشبوردها،‌‌ برای درک سریع داده‌های لاگ، بسیار مفید هستند.
• بهره‌گیری از ویژگی‌های نمایشی ابزارهای مدیریت لاگ‌: ابزارهای مدیریت لاگ اغلب شامل امکانات نمایشی قدرتمندی هستند. از آن‌ها برای ساختن نمودارها و داشبوردهایی استفاده کنید که روندها‌ (trends) یا ناهنجاری‌ها‌ (Anomalies) در داده‌های لاگ را نمایش دهند.
• در زمینه‌ی اخبار تهدید، به‌روز باشید: تهدیدات امنیت سایبری و تکنیک‌های حمله به طور مداوم در حال تکامل هستند. با آخرین اخبار و روندهای امنیت سایبری آشنا شوید. برای به‌روز ماندن، وبلاگ‌های تخصصی را دنبال کنید، در وبینارها شرکت کنید و در جوامع آنلاین مشارکت داشته باشید.

۴- تحلیل نقاط انتهایی (Endpoints) را بیاموزید

نقاط انتهایی (Endpoints) مانند رایانه‌ها، لپ‌تاپ‌ها و گوشی‌های هوشمند، اهداف اصلی مهاجمین سایبری هستند. به همین دلیل، متخصصان مرکز عملیات امنیت‌ باید بر روش‌های ایمن‌سازی این نقاط انتهایی (Endpoints) تسلط داشته باشند. برای این منظور، یادگیری ابزارهای امنیت نقاط انتهایی (Endpoints) مانند‌: Wazuh ،OSSEC و SentinelOne ضروری است.

در دنیای دیجیتال امروز، مجرمان سایبری پیوسته در حال ابداع روش‌های جدیدی برای سوء استفاده از آسیب‌پذیری‌ها و راه‌اندازی حملات هستند؛ لذا اجرای مدل امنیتی سنتی مبتنی بر محیط دیگر کافی نیست. با توجه به اینکه مراکز عملیات امنیت در خط مقدم شناسایی و کاهش این تهدیدات قرار دارند، تحلیل‌گران باید با ابزارها و تکنیک‌های مختلفی برای محافظت از شبکه و داده‌های حساس سازمان خود آشنا باشند. در میان این ابزارها، یکی از حیاتی‌ترین امکاناتی که تحلیل‌گران باید بر آن تسلط داشته باشند، ابزارهای امنیت نقطه پایانی (Endpoint Security Tools) است. این ابزارها با تمرکز بر حفاظت از نقاط پایانی مانند لپ‌تاپ‌ها، دسکتاپ‌ها، دستگاه‌های تلفن همراه و سرورها، در برابر حملات سایبری از سازمان شما محافظت می‌کنند. نقطه پایانی (Endpoint) معمولا جایی است که حمله سایبری به آن روی می‌دهد و همچنین دروازه‌ای برای ورود بدافزارها و سایر تهدیدات سایبری به شمار می‌رود. ابزارهای امنیت نقطه‌ پایانی به شناسایی، جداسازی و رفع این تهدیدات قبل از این که خسارت بزرگی به بار بیاورند، کمک می‌کنند. در صورتی که ابزارهای امنیت نقطه پایانی در دسترس یک تحلیل‌گر مراکز عملیات امنیت آگاه قرار گیرد، می‌تواند فواید زیر را به همراه داشته باشد:‌‌‌

• حفاظت از نقاط پایانی آسیب‌پذیر‌: حملات به نقاط پایانی می‌تواند منجر به نقض داده‌ها‌، اختلال سیستم و سایر حوادث امنیتی شود. ابزارهای امنیتی نقطه‌ی پایان (Endpoint Security Tools) با فراهم کردن دید بلادرنگ و کنترل به موقع بر روی دستگاه‌ها، به مقابله با این حملات کمک می‌کنند.
• شناسایی هوشمند تهدیدات: ابزارهای امنیت نقطه پایانی ‌(Endpoint Security Tools)، علاوه بر حفاظت اولیه در برابر حملات، با مجهز بودن به مکانیزم‌های پیشرفته شناسایی تهدید، نقشی فراتر از یک ناظر ساده را ایفا می‌کنند.‌ این ابزارها از تکنیک‌های قدرتمندی مانند تحلیل رفتاری (behavioral analysis)، یادگیری ماشین (Machine Learning) و هوش مصنوعی (Artificial Intelligence) برای شناسایی و مقابله با تهدیدات استفاده می‌کنند. این ابزارها می‌توانند فعالیت‌های مشکوک را شناسایی و جدا کنند و اطلاعات لازم برای واکنش سریع تحلیل‌گران مراکز عملیات امنیت را فراهم می‌کنند.
• افزایش دید: ابزارهای امنیتی نقطه پایان (Endpoint Security Tools)، یک نمای کامل از دستگاه‌های نقطه پایان‌‌‌‌‌، از جمله برنامه‌ها و فرآیندهای آن‌ها را به تحلیل‌گران مراکز عملیات امنیت ارائه می‌دهند. این شفافیت به تحلیل‌گران امکان می‌دهد تا آسیب‌پذیری‌ها و پیکربندی‌های غلطی را که مجرمان سایبری می‌توانند از آن‌ها سوء استفاده کنند، شناسایی کنند.
• ‌‌صرفه‌جویی در وقت‌‌: ابزارهای امنیت نقطه پایانی می‌توانند اقدامات پاسخ را به صورت خودکار سازماندهی کنند، که باعث کاهش زمان تشخیص و پاسخ به حوادث می‌شود.‌ این خودکارسازی به تحلیل‌گران مراکز عملیات امنیت کمک می‌کند تا روی حوادث با اولویت بالا تمرکز کنند و در نتیجه به طور کلی کارایی و اثربخشی‌‌ مراکز عملیات امنیت را بهبود بخشند. ابزارهای امنیتی متعددی برای نقاط پایانی وجود دارند که‌ تحلیل‌گران مراکز عملیات امنیت برای محافظت از شبکه و داده‌های حساس سازمان خود باید به آن‌ها تسلط داشته باشند. مهم‌ترین این ابزارها عبارتند از:
• ‌‌تشخیص و پاسخ نقاط پایانی: (‌Endpoint Detection and Response (EDR)) ‌‌راهکارهای EDR دیدگاه لحظه‌ای به دستگاه‌های نقطه پایانی ارائه می‌دهند و به تحلیلگران مراکز عملیات امنیت امکان می‌دهند تا به سرعت حوادث را شناسایی و به آن‌ها پاسخ دهند. راه‌کارهای ‌‌تشخیص و پاسخ نقاط پایانی (Endpoint Detection and Response (EDR))‌ از روش‌های پیشرفته کشف تهدید مانند تحلیل رفتاری و یادگیری ماشین برای شناسایی و جداسازی فعالیت‌های مشکوک استفاده می‌کنند. ‌
• ضد ویروس و ضد بدافزار: این ابزارها به محافظت در برابر تهدیدات شناخته شده کمک می‌کنند. آ‌ن‌ها از روش تشخیص مبتنی بر امضا برای شناسایی و مسدود کردن بدافزارها و ویروس‌های شناخته شده استفاده می‌کنند.
• اسکنرهای آسیب‌پذیری: این ابزارها، دستگاه‌های نقطه پایانی را برای شناسایی آسیب‌پذیری‌ها بررسی می‌کنند و فهرستی از آسیب‌پذیری‌هایی که باید برطرف شوند را در اختیار‌ تحلیل‌گران مراکز عملیات امنیت قرار می‌دهند.
• ‌ابزارهای مدیریت وصله: ‌‌این ابزارها برای نگهداری دستگاه‌های نقاط پایانی با آخرین پچ‌ها و به‌روزرسانی‌های امنیتی، بسیار حیاتی هستند. این ابزارها دستگاه‌های پایانی را در برابر آسیب‌پذیری‌های شناخته شده یا معروف به «‌‌روز N‌‌» محافظت می‌کنند.

نتیجه‌گیری

تسلط بر مهارت تحلیل تحلیلگران مراکز عملیات امنیت با این مهارت‌های اساسی آغاز می‌شود، اما به آن‌ها ختم نمی‌شود. در بخش دوم این سری مطالب سه‌گانه، به سراغ توسعه مهارت‌های تحلیل‌گران و بررسی موضوعات پیشرفته‌تر مانند رایانش ابری (Cloud Computing)، (Active Directory)، شکار تهدید (Threat Hunting) و کشف بدافزار (Malware Detection) خواهیم رفت. با درک عمیق این مفاهیم، تحلیل‌گران جدید و در حال توسعه می‌توانند به‌سرعت روش تشخیص نفوذ و ایزوله کردن آن را، پیش از نفوذ عمیق و ایجاد خسارت‌های دائمی به محیط‌های حساس، فرا گیرند. یک تحلیلگر مراکز عملیات امنیت آموزش دیده و با تجربه، جزئی ارزشمند و غیرقابل جایگزینی در سیستم دفاعی امنیت سایبری امروزی به شمار می‌رود.

همه چیز در مورد تخصص تحلیل‌گر SOC – قسمت ۲| مهارت‌های اساسی برای تحلیلگران

همه چیز در مورد تخصص تحلیل‌گر SOC – قسمت ۳| مهارت‌های اساسی برای تحلیلگران