انتخاب آنتیویروس سازمانی فقط با مقایسه جدول قابلیتها یا مشاهده داشبورد محصول امکانپذیر نیست. راهکاری که در جلسه معرفی قدرتمند به نظر میرسد، ممکن است هنگام استقرار با سیستمهای قدیمی، نرمافزارهای اختصاصی، کاربران دورکار یا سیاستهای امنیتی سازمان سازگار نباشد. این مشکلات معمولاً پس از خرید آشکار میشوند؛ زمانی که نصب عامل امنیتی روی برخی دستگاهها ناموفق است، هشدارهای متعدد تیم فناوری اطلاعات را درگیر میکنند یا قابلیت موردنیاز سازمان در لایسنس انتخابشده وجود ندارد. اصلاح چنین انتخابی میتواند هزینه و پیچیدگی زیادی ایجاد کند. به همین دلیل، پیش از خرید آنتیویروس شرکتی باید قابلیتهای اصلی آن را در بخشی محدود اما واقعی از زیرساخت آزمایش کرد. این ارزیابی مشخص میکند راهکار تا چه اندازه با دستگاهها، فرایندها و توان عملیاتی تیم امنیت هماهنگ است. این ۷ قابلیت را پیش از خرید در محیط واقعی آزمایش کنید گروه آزمایشی باید نمایندهای از زیرساخت واقعی سازمان باشد؛ مانند سیستمهایی با نسخههای مختلف سیستمعامل، دستگاههای خارج از شبکه، نرمافزارهای اختصاصی و کاربران با نیازهای متفاوت. آزمایش روی یک دستگاه جدید، تصویر دقیقی از عملکرد راهکار ارائه نمیدهد. ۱. نصب و استقرار روی دستگاههای سازمان بررسی کنید نصب راهکار روی دستگاههای داخل شبکه، شعب، سیستمهای دورکار و نسخههای مختلف سیستمعامل چگونه انجام میشود. در این مرحله به چند پرسش اصلی پاسخ دهید: چه تعداد دستگاه بدون دخالت مستقیم نصب میشوند؟ خطاهای استقرار چگونه شناسایی و برطرف میشوند؟ مهاجرت از آنتیویروس فعلی چقدر ساده است؟ آیا دستگاههای خارج از شبکه نیز بهدرستی مدیریت میشوند؟ امکان استقرار متمرکز اهمیت دارد، اما سهولت و پایداری این فرایند باید در زیرساخت واقعی سازمان سنجیده شود. ۲. شناسایی بدافزار، باجافزار و رفتارهای مشکوک شناسایی فایلهای مخرب شناختهشده فقط یکی از معیارهای ارزیابی است. مهاجمان ممکن است از اسکریپتها، ابزارهای قانونی سیستم یا زنجیرهای از رفتارهای غیرعادی استفاده کنند که شناسایی آنها به قابلیتهایی فراتر از اسکن سنتی نیاز دارد. در یک سناریوی کنترلشده بررسی کنید راهکار چگونه فعالیت مشکوک را نمایش میدهد و چه اطلاعاتی درباره منشأ و مسیر رخداد ارائه میکند. در صورت نیاز سازمان به EDR، قابلیتهای تحلیل علت اصلی، بررسی زنجیره حمله و واکنش نیز باید در عمل ارزیابی شوند. ۳. مدیریت متمرکز دستگاهها و سیاستهای امنیتی آنتیویروس سازمانی باید مدیریت دستگاهها را ساده کند، نه اینکه بار عملیاتی بیشتری به تیم فناوری اطلاعات تحمیل کند. در نسخه آزمایشی، ایجاد گروههای کاربری، تخصیص سیاستها، تعریف استثناها و بهروزرسانی دستگاهها را بررسی کنید. کنسول باید بهوضوح نشان دهد کدام سیستمها محافظت نشدهاند، چه سیاستی روی هر گروه فعال است و کدام دستگاهها با خطا یا هشدار مواجهاند. ۴. کنترل تجهیزات جانبی، برنامهها و دسترسی به وب حافظههای جانبی، برنامههای تأییدنشده و دسترسی نامحدود به وب نیز میتوانند ریسک امنیتی ایجاد کنند. بررسی کنید راهکار چگونه استفاده از USB، اجرای برنامهها و دسترسی به وبسایتها را بر اساس نقش کاربران کنترل میکند. نحوه تعریف استثناها نیز مهم است؛ زیرا سیاستهای بیشازحد سختگیرانه ممکن است فعالیت واحدهای کاری را مختل و تعداد درخواستهای پشتیبانی را افزایش دهند. ۵. واکنش به رخداد و مهار سیستم آلوده شناسایی تهدید زمانی ارزشمند است که تیم امنیت بتواند به آن واکنش نشان دهد. در نسخه دمو بررسی کنید پس از مشاهده یک هشدار، چه اقداماتی از طریق کنسول قابلانجام است و مهار دستگاه مشکوک چقدر زمان میبرد. همچنین باید مشخص شود آیا تیم امنیت میتواند دستگاه را از راه دور محدود کند، پردازش مخرب را متوقف سازد و اطلاعات لازم برای بررسی رخداد را به دست آورد. سطح این قابلیتها ممکن است در نسخهها و لایسنسهای مختلف یکسان نباشد. ۶. تأثیر راهکار امنیتی بر عملکرد سیستمها مصرف پردازنده، حافظه و پهنای باند را هنگام اسکن، دریافت بهروزرسانی و اجرای برنامههای سنگین بررسی کنید. آزمایش را فقط روی سیستمهای جدید انجام ندهید. دستگاههای قدیمی، نرمافزارهای مالی، برنامههای اختصاصی و سیستمهای پرتراکنش نیز باید در گروه آزمایشی قرار بگیرند. معیار اصلی، حفظ تعادل میان سطح حفاظت و عملکرد قابلقبول زیرساخت است. ۷. گزارشدهی و نمایش وضعیت امنیت سازمان داشبورد باید به تیم امنیت کمک کند دستگاههای آسیبپذیر، هشدارهای مهم و خطاهای حفاظتی را سریع شناسایی کند. در دوره آزمایشی بررسی کنید: آیا هشدارهای مهم بهدرستی اولویتبندی میشوند؟ گزارشها برای تیم فنی و مدیران قابلاستفادهاند؟ جزئیات رخدادها برای بررسی و تصمیمگیری کافی است؟ آیا امکان یکپارچگی با SIEM وجود دارد؟ گزارشدهی زمانی ارزشمند است که اطلاعات را به تصمیم و اقدام مشخص تبدیل کند، نه اینکه فقط حجم بیشتری از داده تولید کند. چه نشانههایی میگویند آنتیویروس برای زیرساخت سازمان مناسب نیست؟ ممکن است محصولی از نظر فنی قدرتمند باشد، اما با شرایط و توان عملیاتی سازمان هماهنگی نداشته باشد. نشانههای زیر را در دوره آزمایشی جدی بگیرید: نصب تعداد زیادی از دستگاهها به دخالت دستی نیاز دارد. نرمافزارهای سازمانی پس از نصب عامل امنیتی دچار اختلال میشوند. تعریف سیاست و استثنا برای گروههای مختلف بیشازحد پیچیده است. هشدارها زیادند، اما زمینه و اولویت روشنی ندارند. تیم امنیت نمیتواند رخداد را از طریق کنسول بررسی یا مهار کند. قابلیتهای موردنیاز فقط در نسخه یا لایسنس دیگری ارائه میشوند. وضعیت دستگاههای خارج از شبکه بهدرستی نمایش داده نمیشود. گزارشها اطلاعات قابلاستفادهای برای تیم فنی یا مدیران ارائه نمیکنند. وجود یک مشکل بهتنهایی به معنای نامناسببودن راهکار نیست؛ اما تکرار خطاها، نیاز به تنظیمات پیچیده و وابستگ
مجله سختافزار
مجله سختافزارمجله سختافزار