مهاجم‌ها معمولاً لازم نیست سیستمی را «هک» کنند؛ کافی است وارد شوند. رمزهایی که در سایت‌های دیگر لو رفته‌اند، رمزهای ساده و قابل حدس و ایمیل‌های جعلی که کاربر را به صفحه ورود تقلبی می‌برند، رایج‌ترین راه‌های ورود هستند. خبر خوب: با دو اقدام ساده، یعنی سیاست رمز درست و ورود دومرحله‌ای، بیشتر این حمله‌ها بی‌اثر می‌شوند.
رمز عبور خوب در سال‌های اخیر چه شکلی است؟
توصیه‌های امروزی، از جمله رهنمودهای NIST، با قوانین قدیمی فرق دارند:
- طول مهم‌تر از پیچیدگی است: یک عبارت عبور بلند (مثلاً چند کلمه نامرتبط کنار هم) از یک رمز کوتاه پر از علامت امن‌تر و راحت‌تر به خاطر سپرده می‌شود.
- تغییر اجباری دوره‌ای لازم نیست: وقتی کاربران را مجبور می‌کنید هر ماه رمز عوض کنند، معمولاً فقط عدد آخرش را تغییر می‌دهند. رمز را فقط وقتی عوض کنید که احتمال لو رفتنش هست.
- رمزهای رایج و لو رفته ممنوع باشند: رمزهایی مثل نام شرکت به‌اضافه سال یا 123456 نباید قابل استفاده باشند.
- هر سیستم، رمز جدا: رمز ایمیل کاری نباید همان رمز سایت‌های شخصی باشد.
مدیر رمز عبور
انتظار اینکه کارکنان ده‌ها رمز بلند و متفاوت را به خاطر بسپارند واقع‌بینانه نیست. یک مدیر رمز عبور سازمانی این مشکل را حل می‌کند: رمزها رمزنگاری‌شده نگهداری می‌شوند، رمزهای مشترک تیم‌ها (مثل پنل یک سرویس) بدون ارسال در پیام‌رسان به اشتراک گذاشته می‌شوند و با رفتن یک کارمند، دسترسی‌اش جمع می‌شود.
ورود دومرحله‌ای (MFA) چیست؟
در ورود دومرحله‌ای علاوه بر رمز، چیز دومی هم لازم است؛ معمولاً یک کد شش‌رقمی از اپلیکیشن احراز هویت روی گوشی یا یک کلید سخت‌افزاری. حتی اگر رمز لو برود، مهاجم بدون گوشی یا کلید کاربر نمی‌تواند وارد شود.
روش‌ها از امن‌تر به کم‌امن‌تر:
- کلید امنیتی سخت‌افزاری یا Passkey: در برابر صفحات ورود جعلی هم مقاوم است.
- اپلیکیشن احراز هویت (TOTP): کد شش‌رقمی که هر ۳۰ ثانیه عوض می‌شود.
- پیامک: از هیچ بهتر است، اما در برابر برخی حمله‌ها آسیب‌پذیرتر است.
کجا ورود دومرحله‌ای را اول فعال کنیم؟
اولویت با سیستم‌هایی است که از اینترنت در دسترس‌اند یا دسترسی گسترده می‌دهند:
- ایمیل سازمانی و پنل‌های وب‌میل
- VPN و دسترسی از راه دور
- حساب‌های مدیر سیستم، پنل فایروال و کنسول بکاپ
- سرویس‌های ابری، پنل هاست و دامنه
- نرم‌افزارهای مالی و بانکی
حساب‌های مدیر؛ جدا و محدود
مدیران IT برای کارهای روزمره مثل ایمیل و وب‌گردی از یک حساب عادی استفاده کنند و حساب مدیر را فقط برای کارهای مدیریتی به کار ببرند. تعداد حساب‌هایی که دسترسی Domain Admin دارند را به حداقل برسانید و رمز مدیر محلی هر رایانه را یکتا کنید؛ ابزار Windows LAPS که در نسخه‌های جدید ویندوز به‌صورت داخلی وجود دارد، این کار را خودکار انجام می‌دهد.
آموزش کوتاه کارکنان
بیشتر سرقت رمزها با ایمیل جعلی شروع می‌شود. یک آموزش کوتاه ده‌دقیقه‌ای کافی است تا کارکنان بدانند:
- هیچ‌وقت رمز یا کد تأیید را برای کسی، حتی «پشتیبانی»، نفرستند.
- قبل از وارد کردن رمز، آدرس صفحه را نگاه کنند.
- درخواست غیرعادی تأیید ورود روی گوشی را رد و گزارش کنند.
چک‌لیست
- حداقل طول رمز مناسب و ممنوعیت رمزهای رایج
- مدیر رمز عبور سازمانی
- ورود دومرحله‌ای برای ایمیل، VPN و حساب‌های مدیر
- حساب مدیر جدا و رمز یکتای مدیر محلی
- آموزش دوره‌ای کارکنان درباره ایمیل‌های جعلی
کارشناسان ما می‌توانند سیاست رمز را در دامین شما پیاده‌سازی کنند و ورود دومرحله‌ای را برای سرویس‌های حساس راه‌اندازی کنند.