Əsas fikir
İstifadə olunmayan xidməti söndürün; qalanları üçün şifrələmə, məhdud giriş, yeniləmə və qeydləri yoxlayın.
FTP: ötürmə kanalı və qorunan alternativlər
FTP faylları idarə etmək üçün ayrıca nəzarət və məlumat bağlantılarından istifadə edir. Ənənəvi FTP giriş məlumatını və məzmunu şifrələmir; aktiv rejimdə məlumat bağlantısını server açır, passiv rejimdə isə müştəri serverin bildirdiyi porta qoşulur. Buna görə firewall qaydaları hər iki bağlantı növünü nəzərə almalıdır. Hostinqə sayt fayllarının yüklənməsi, gecəlik sistem ixracı və təchizatçı ilə paket şəklində fayl mübadiləsi kimi köhnə iş axınlarında FTP qala bilər; əvvəlcə bu asılılıqları tapın. FTPS FTP-yə TLS qoruması əlavə edir, SFTP isə SSH üzərindən işləyən ayrı protokoldur. Server sertifikatını və ya SSH host açarını etibarlı yolla yoxlayın, anonim girişi yalnız məqsədli ictimai paylaşım üçün saxlayın və hər hesabın qovluq icazələrini məhdudlaşdırın.
Şifrələnməmiş FTP
Giriş məlumatı və fayllar qorunmadan ötürülür; yeni sistemlər üçün uyğun seçim deyil.
FTPS
Mövcud FTP iş axınını saxlayıb TLS əlavə edir; sertifikat və məlumat kanalının qorunması ayrıca yoxlanmalıdır.
SFTP
SSH üzərindən işləyir və FTP ilə eyni protokol deyil; host açarını etibarlı kanalla tutuşdurun.
RDP: rahat giriş, məhdudlaşdırılmalı imtiyaz
RDP istifadəçiyə uzaq Windows kompüterinin masaüstünü idarə etməyə imkan verir; proqramlar uzaq hostda işləyir. Standart port TCP/UDP 3389-dur, lakin portu dəyişmək skanları azaltmaqdan başqa əsas müdafiə yaratmır. RDP yalnız tələb olunan hostlarda aktiv olsun, ictimai internetdən birbaşa əlçatan olmasın və VPN, Remote Desktop Gateway və ya təşkilatın təsdiqlədiyi resursa məhdud giriş vasitəsilə qorunsun. NLA-nı aktiv saxlayın, təsdiqlənmiş giriş şlüzündə və ya inteqrasiya vasitəsilə MFA tələb edin, RDP hüquqlarını az sayda hesaba verin, yeniləmələri quraşdırın və uğursuz/uğurlu girişləri izləyin. Mübadilə buferi, disk və cihaz yönləndirməsini ehtiyaca görə məhdudlaşdırın.
İcazəni seçin
RDP hüququnu yalnız iş üçün ehtiyacı olan istifadəçilərə və tələb olunan hostlara verin.
Giriş yolunu qoruyun
İctimai marşrutlaşdırıcıda port yönləndirməsindən yayının; təsdiqlənmiş gateway/VPN və MFA-dan istifadə edin.
Sessiyanı məhdudlaşdırın
NLA, yeniləmələr, hesab kilidləmə və yönləndirmə siyasətlərini tətbiq edin; hadisələri qeydə alın.
SNMP: monitorinq hesabı da imtiyazlıdır
SNMP meneceri router, switch, firewall, server, printer və UPS kimi cihazlardakı agentlərdən MIB/OID üzrə göstəricilər oxuya, icazə verilərsə SET əməliyyatı ilə parametrləri dəyişə bilər. Dövri sorğular adətən UDP 161, trap bildirişləri UDP 162 üzərindən ötürülür. SNMPv1 və v2c community sətrinə əsaslanır və bu məlumatı şifrələmir. Mümkün olduqda SNMPv3 authPriv istifadə edin: tətbiq olunan müasir alqoritmlərlə autentifikasiya, bütövlük və məxfilik təmin edin. İdarəetmə şəbəkəsi ilə məhdudlaşdırın, yalnız tələb olunan OID və əməliyyatlara icazə verin, SET-i lazımsız cihazlarda söndürün və köhnə versiyaları inventarlaşdırın.
Oxuma
İnterfeys vəziyyəti, yük və avadanlıq barədə məlumatlar şəbəkə topologiyasını da açıqlaya bilər.
Yazma
SNMP SET konfiqurasiyanı dəyişə bilər; ayrıca əsaslandırılmayıbsa, yalnız oxuma icazəsini seçin.
TLS və sertifikat nəyi təmin edir
TLS əlaqə zamanı məxfiliyi və bütövlüyü qoruyur, sertifikat isə düzgün yoxlanıldıqda əlaqə qurulan server adını təsdiqləməyə kömək edir. SSL adı gündəlik dildə işlədilsə də, SSLv2/v3 və TLS 1.0/1.1 köhnəlmişdir; TLS 1.2 və 1.3 kimi təşkilatın dəstəklədiyi versiyaları seçin. Sertifikatın etibarlı CA zənciri, host adı və müddəti yoxlanmalıdır. HTTPS kilidi saytın zərərsiz olduğunu, giriş formasının legitimliyini və ya cihazın təmizliyini sübut etmir. Sertifikat yenilənməsini avtomatlaşdırın, şəxsi açarları məhdud saxlayın və xidmətin real TLS konfiqurasiyasını yoxlayın.
Məxfilik
Trafikin şəbəkə yolunda oxunmasını çətinləşdirir.
Bütövlük
Trafikin əlaqə daxilində gizlicə dəyişdirilməsini aşkarlamağa kömək edir.
Serverin yoxlanması
Host adı və sertifikat zənciri düzgün yoxlanmalıdır; xəbərdarlığı keçmək müdafiəni zəiflədir.