مقاوم‌سازی (Hardening) فرآیندی است که طی آن، سطح حمله (Attack Surface) یک سیستم از طریق حذف نرم‌افزارها، سرویس‌ها، پورت‌ها و حساب‌های کاربری غیرضروری کاهش داده می‌شود و تنظیمات امنیتی اجزای باقی‌مانده به بهینه‌ترین حالت ممکن پیکربندی می‌شوند. هدف اصلی، به حداقل رساندن آسیب‌پذیری‌ها و دشوار کردن نفوذ برای مهاجمان است.

تاب‌آوری یا انعطاف‌پذیری (Resilience) به توانایی یک سیستم برای ادامه فعالیت در حین و پس از یک حمله یا خرابی و بازگشت سریع به حالت عملیاتی عادی اشاره دارد. این دو مفهوم مکمل یکدیگرند؛ مقاوم‌سازی از وقوع حادثه جلوگیری می‌کند و تاب‌آوری، مدیریت و بازیابی پس از حادثه را تضمین می‌کند.

در ادامه، اقدامات کلیدی مقاوم‌سازی برای چهار لایه اصلی زیرساخت تشریح می‌شود:

۱. مقاوم‌سازی سیستم‌عامل (Operating System Hardening)

سیستم‌عامل پایه و اساس تمام سرویس‌ها است و امن‌سازی آن اولین و مهم‌ترین گام است.

• مدیریت وصله‌ها (Patch Management): نصب سریع و مداوم به‌روزرسانی‌ها و وصله‌های امنیتی منتشر شده توسط سازنده (مانند مایکروسافت و توزیع‌های لینوکس).
• اصل حداقل اختیارات (Least Privilege): تخصیص کمترین سطح دسترسی ممکن به کاربران و سرویس‌ها برای انجام وظایفشان. سرویس‌ها نباید با دسترسی Administrator یا root اجرا شوند.
• کاهش سطح حمله: حذف نرم‌افزارهای غیرضروری و غیرفعال کردن سرویس‌ها و پورت‌هایی که مورد استفاده قرار نمی‌گیرند.
• کنترل دسترسی قوی: پیاده‌سازی سیاست‌های رمز عبور پیچیده، استفاده از احراز هویت چندعاملی (MFA) و قفل شدن حساب کاربری پس از چند تلاش ناموفق.
• فعال‌سازی ثبت وقایع (Auditing & Logging): فعال‌سازی و ارسال لاگ‌های امنیتی به یک سرور متمرکز (مانند SIEM) برای شناسایی فعالیت‌های مشکوک.
• استفاده از استانداردهای امنیتی: پیکربندی سیستم‌عامل بر اساس چارچوب‌ها و استانداردهای معتبر مانند CIS Benchmarks.

۲. مقاوم‌سازی وب سرور (Web Server Hardening)

وب سرورها به دلیل قرار گرفتن در معرض اینترنت، اهداف اصلی حملات هستند.

• به‌روزرسانی مداوم: آپدیت نگه داشتن نرم‌افزار وب سرور (مانند Apache, Nginx, IIS) و ماژول‌های آن.
• مخفی‌سازی اطلاعات: جلوگیری از نمایش اطلاعات حساس مانند نسخه وب سرور، سیستم‌عامل و جزئیات خطاها در هدرهای HTTP.
• پیکربندی امن SSL/TLS: الزام استفاده از HTTPS، غیرفعال کردن پروتکل‌های رمزنگاری ضعیف و قدیمی (مانند SSLv3, TLS 1.0/1.1) و استفاده از الگوریتم‌های قوی.
• غیرفعال‌سازی ماژول‌های غیرضروری: هر ماژول اضافی، یک نقطه ضعف بالقوه است. ماژول‌هایی که استفاده نمی‌شوند باید غیرفعال شوند (مانند Directory Listing).
• استفاده از فایروال وب اپلیکیشن (WAF): قرار دادن یک WAF (مانند FortiWeb) در جلوی وب سرور برای محافظت در برابر حملات لایه ۷.

۳. مقاوم‌سازی تجهیزات سوئیچ و روتر (Switch & Router Hardening)

این تجهیزات شریان‌های حیاتی شبکه هستند و تسلط بر آن‌ها به معنای کنترل کامل ترافیک است.

• ایمن‌سازی دسترسی مدیریتی: تغییر نام کاربری و رمز عبور پیش‌فرض، استفاده از رمزهای عبور قوی و فعال‌سازی پروتکل‌های امن مدیریتی (مانند SSH, HTTPS) به جای پروتکل‌های ناامن (Telnet, HTTP).
• امنیت فیزیکی: قرار دادن تجهیزات در رک‌ها و اتاق‌های سرور قفل‌شده.
• غیرفعال کردن پورت‌های بی‌استفاده: خاموش کردن (Shutdown) پورت‌های فیزیکی سوئیچ که به هیچ دستگاهی متصل نیستند.
• به‌روزرسانی Firmware: نصب آخرین نسخه سیستم‌عامل دستگاه (مانند Cisco IOS, Junos) برای رفع آسیب‌پذیری‌های شناخته‌شده.
• بخش‌بندی شبکه (Segmentation): استفاده از VLANها برای جداسازی ترافیک بخش‌های مختلف شبکه (مانند تفکیک شبکه کاربران از شبکه سرورها) جهت محدود کردن دامنه حملات.
• ارسال لاگ‌ها: پیکربندی دستگاه‌ها برای ارسال لاگ‌ها به یک سرور متمرکز Syslog یا SIEM.

۴. مقاوم‌سازی زیرساخت مجازی‌سازی (Virtualization Hardening)

هایپروایزر (Hypervisor) یک نقطه شکست مرکزی است؛ اگر به خطر بیفتد، تمام ماشین‌های مجازی روی آن نیز در معرض خطر قرار می‌گیرند.

• ایمن‌سازی هایپروایزر (Host): هایپروایزر باید مانند یک سرور حیاتی مقاوم‌سازی شود: نصب حداقل نرم‌افزار، اعمال وصله‌های امنیتی به صورت منظم و محدودسازی شدید دسترسی مدیریتی به آن.
• جداسازی شبکه‌های مجازی: ایجاد شبکه‌های مجازی مجزا برای ترافیک‌های مختلف مانند ترافیک مدیریتی، ترافیک ماشین‌های مجازی و ترافیک ذخیره‌سازی (Storage).
• مقاوم‌سازی ماشین‌های مجازی (Guest VMs): هر ماشین مجازی باید به صورت مستقل و بر اساس اصول مقاوم‌سازی سیستم‌عامل، امن‌سازی شود.
• کنترل ترافیک بین ماشین‌های مجازی (Micro-segmentation): پیاده‌سازی فایروال‌های مجازی برای کنترل و نظارت بر ترافیک بین ماشین‌های مجازی که روی یک هاست قرار دارند تا از حرکت جانبی (Lateral Movement) مهاجم جلوگیری شود.
• ایمن‌سازی رابط‌های مدیریتی: محافظت از پلتفرم‌های مدیریت متمرکز (مانند VMware vCenter) با کنترل دسترسی قوی، MFA و جداسازی شبکه مدیریتی.
• پشتیبان‌گیری و تکرارسازی (Backup & Replication): پیاده‌سازی راهکارهای پشتیبان‌گیری قوی از ماشین‌های مجازی به عنوان بخشی از استراتژی تاب‌آوری برای بازیابی سریع پس از حوادث.