امنیت

فناوری رمزنگاری کامل دیسک داخلی ویندوز که با استفاده از TPM اطلاعات درایو را در برابر دسترسی غیرمجاز محافظت می‌کند.

مجموعه ابزارهای امنیتی مایکروسافت شامل Microsoft Defender Antivirus (آنتی‌ویروس داخلی ویندوز) و Defender for Endpoint برای سازمان‌ها.

احراز هویت چندعاملی. علاوه بر رمز عبور، یک عامل دیگر مانند کد SMS، اپ Authenticator یا کلید فیزیکی لازم است.

دومین سه‌شنبه هر ماه که مایکروسافت به‌روزرسانی‌های امنیتی برای ویندوز، Office و سایر محصولاتش منتشر می‌کند.

استاندارد UEFI که از اجرای نرم‌افزارهای غیرمجاز در مراحل اولیه بوت سیستم جلوگیری می‌کند. الزامی برای ویندوز ۱۱.

تراشه امنیتی سخت‌افزاری در مادربوردهای مدرن که کلیدهای رمزنگاری را ذخیره و هویت سیستم را تأیید می‌کند. TPM 2.0 الزامی برای ویندوز ۱۱.

پلتفرم SIEM/SOAR ابری مایکروسافت برای تشخیص تهدیدات، تحقیق و پاسخ به حوادث امنیتی. با هوش مصنوعی داده‌های امنیتی از سراسر سازمان را تحلیل می‌کند.

مدل امنیتی مبتنی بر اصل «هرگز اعتماد نکن، همیشه تأیید کن». در این مدل هیچ کاربر یا دستگاهی به طور پیش‌فرض مورد اعتماد نیست حتی درون شبکه سازمانی.

احراز هویت یک‌بار برای همه سرویس‌ها. با یک ورود به Entra ID، کاربر به Microsoft 365، Azure، Dynamics 365 و تمام برنامه‌های سازمانی دسترسی دارد.

سیاست‌های هوشمند دسترسی در Entra ID که بر اساس شرایط مثل موقعیت مکانی، دستگاه، ریسک هویت و برنامه، دسترسی را مدیریت می‌کند — قلب معماری Zero Trust.

پلتفرم حاکمیت داده و امنیت اطلاعات مایکروسافت. شامل DLP (جلوگیری از نشت داده)، Information Protection، Compliance و Data Catalog برای محیط‌های Multi-Cloud.

استاندارد بین‌المللی احراز هویت بدون رمز عبور با کلید سخت‌افزاری (Security Key) یا بیومتریک. مایکروسافت از FIDO2 در Windows Hello for Business پشتیبانی می‌کند.

پروتکل authorization استاندارد اینترنت که به یک برنامه اجازه می‌دهد به جای کاربر به منابع دیگری دسترسی پیدا کند — بدون به‌اشتراک‌گذاری رمز عبور. پایه‌ی «Login with Microsoft/Google».

پروتکل XML-based برای Single Sign-On سازمانی. مایکروسافت از SAML برای فدراسیون هویت بین Entra ID و برنامه‌های Enterprise استفاده می‌کند.

اپ موبایل مایکروسافت برای احراز هویت چندعاملی و ورود بدون رمز عبور. کد یکبار مصرف، push notification و تایید بیومتریک را در یک اپ ارائه می‌دهد.

پلتفرم XDR (Extended Detection and Response) مایکروسافت که Defender for Endpoint، Identity، Office 365 و Cloud Apps را یکپارچه می‌کند. یک صف هشدار واحد با همبستگی خودکار حملات.

سیستم احراز هویت بیومتریک سازمانی برای ویندوز. با اثر انگشت یا چهره IR، جایگزین رمز عبور می‌شود و به جای آن از کریپتوگرافی نامتقارن با TPM استفاده می‌کند.

سرویس مایکروسافت در Entra ID برای مدیریت، کنترل و مانیتورینگ دسترسی‌هایprivileged. نقش‌های حساس فقط Just-In-Time و با Approval فعال می‌شوند — کاهش پنجره حملات.

سرویس مایکروسافت در Entra ID برای تشخیص و رفع ریسک هویت. با یادگیری ماشین، نشست‌های پرخطر (Sign-in از موقعیت ناشناخته، IP ناشناس) را شناسایی و مسدود می‌کند.

نمونه رمز عبور بعدی مبتنی بر استاندارد FIDO2/WebAuthn. از بیومتریک دستگاه (اثر انگشت، چهره) یا PIN استفاده می‌کند و در برابر Phishing مقاوم است. مایکروسافت Passkey را در M365 پشتیبانی می‌کند.

قابلیت Entra ID که پس از چند تلاش ناموفق ورود، حساب را به‌طور موقت قفل می‌کند. با هوش مصنوعی بین حملات Brute Force و کاربران واقعی تمایز قائل می‌شود.

قابلیت Azure که به منابع (مثل VM یا App Service) به‌طور خودکار یک هویت مدیریت‌شده در Entra ID می‌دهد. بدون ذخیره Connection String یا Secret در کد، به سرویس‌های Azure احراز هویت می‌کند.

Role-Based Access Control مایکروسافت در Azure. دسترسی به منابع Azure بر اساس نقش‌ها (Owner، Contributor، Reader و نقش‌های اختصاصی) تخصیص می‌یابد — نه به افراد.

مجموعه قوانین مایکروسافت در Defender for Endpoint که مسیرهای رایج حملات (مثلاً اجرای ماکرو در Office، فرایندهای فرزند مشکوک) را مسدود می‌کند — قبل از اینکه آسیبی رخ دهد.

قابلیت امنیتی ویندوز که رمزهای هش NTLM و Ticket‌های Kerberos را در یک محیط ایزوله Virtualization-Based Security نگه می‌دارد — غیرقابل دسترس برای Malware حتی با دسترسی Admin.

محیط ایزوله موقت در ویندوز ۱۱ Pro/Enterprise برای اجرای ایمن برنامه‌های مشکوک. پس از بستن Sandbox، تمام تغییرات حذف می‌شوند — بدون اثر روی سیستم اصلی.

قابلیت مایکروسافت در Edge و Office که وب‌سایت‌ها یا فایل‌های غیرمطمئن را در یک محیط ایزوله Hyper-V باز می‌کند. اگر مالور باشد، به سیستم اصلی نفوذ نمی‌کند.

قابلیت Microsoft Defender که از تغییر غیرمجاز تنظیمات امنیتی توسط Malware یا کاربران غیرمجاز جلوگیری می‌کند. حتی Admin محلی نمی‌تواند Defender را غیرفعال کند.

گروهی از فناوری‌های امنیتی ویندوز مبتنی بر Virtualization که فرآیندهای حساس هسته را ایزوله می‌کند. شامل Memory Integrity (HVCI) و Credential Guard.

قابلیت Core Isolation که از تزریق کد مالور در Kernel ویندوز جلوگیری می‌کند. با استفاده از Virtualization-Based Security، فقط کد امضاشده مجاز اجرا می‌شود.

فناوری مایکروسافت که با استفاده از Hyper-V، یک منطقه ایزوله امن در حافظه ایجاد می‌کند تا فرآیندهای حساس (مثل Credential Guard و HVCI) از سیستم‌عامل اصلی جدا شوند.

قابلیت Anti-Ransomware مایکروسافت در Defender. از تغییر یا رمزنگاری فایل‌های کاربر در پوشه‌های محافظت‌شده (Documents، Pictures) توسط برنامه‌های مشکوک جلوگیری می‌کند.

رده‌ای از راهکارهای امنیتی که رفتار Endpoint را به‌طور پیوسته مانیتور می‌کنند و به تیم امنیت امکان تشخیص، تحقیق و پاسخ به تهدیدات پیشرفته را می‌دهند. Defender for Endpoint نمونه‌ی مایکروسافت.

رده پلتفرم‌های امنیتی که لاگ‌های امنیتی از سراسر سازمان را جمع‌آوری، همبسته و تحلیل می‌کنند. Microsoft Sentinel پلتفرم SIEM ابری مایکروسافت است.

پلتفرمی که پاسخ به حوادث امنیتی را با Playbook خودکار اتوماتیک می‌کند. Microsoft Sentinel قابلیت‌های SOAR را با Logic Apps یکپارچه ارائه می‌دهد.

فریمورک جهانی و دانش‌محور که تاکتیک‌ها و تکنیک‌های مهاجمان سایبری را طبقه‌بندی می‌کند. Microsoft Sentinel و Defender XDR هشدارها را به ماتریس ATT&CK نگاشت می‌کنند.

جستجوی فعال و پیشگیرانه تهدیدات در شبکه که هنوز توسط ابزارهای خودکار شناسایی نشده‌اند. تیم SOC با داده‌های Sentinel و Defender به دنباد نشانه‌های نفوذ می‌گردند.

تیم و مرکز عملیات امنیتی سازمان که ۲۴/۷ امنیت را مانیتور، تشخیص و پاسخ می‌دهد. با ابزارهایی مثل Sentinel و Defender XDR کار می‌کند.

Red Team گروهی که حملات شبیه‌سازی‌شده علیه سازمان انجام می‌دهد تا نقاط ضعف را بیابد. Blue Team تیم دفاعی است که در برابر این حملات و تهدیدات واقعی از سازمان محافظت می‌کند.

تست امنیتی که در آن متخصصان مجاز با شبیه‌سازی حملات واقعی، نقاط ضعف سیستم را پیش از مهاجمان واقعی کشف می‌کنند. مایکروسافت برای تست‌های مجاز Pen Test در Azure دستورالعمل خاص دارد.

سرویس مایکروسافت برای تشخیص حملات پیشرفته علیه Active Directory و Entra ID. با تحلیل ترافیک شبکه، نشانه‌های подозکام مثل Lateral Movement و Pass-the-Hash را شناسایی می‌کند.

سرویس مایکروسافت برای محافظت ایمیل و ابزارهای همکاری در برابر Phishing، Malware و Business Email Compromise. شامل Safe Links و Safe Attachments.

سرویس مایکروسافت که به‌طور خودکار تمام دارایی‌های exposed سازمان (وب‌سایت، پورت، گواهی) را کشف و مانیتور می‌کند — همان چیزی که مهاجم می‌بیند.

قابلیت Microsoft Purview که از اشتراک‌گذاری یا نشت داده‌های حساس (مثل شماره کارت، کد ملی) جلوگیری می‌کند — در ایمیل، Teams، SharePoint و دستگاه‌ها.

برچسب‌های طبقه‌بندی مایکروسافت (مثلاً Public، Internal، Confidential) که روی فایل‌ها و ایمیل اعمال می‌شوند و رمزنگاری، Watermark و سیاست‌های اشتراک‌گذاری را اعمال می‌کنند.

مجموعه‌ای از قابلیت‌های Microsoft Purview برای کشف، طبقه‌بندی، رمزنگاری و مانیتورینگ داده‌های حساس در سراسر چرخه حیات آن‌ها.

خدمات مایکروسافت در Azure که داده را در هنگام پردازش (in-use) با استفاده از Secure Enclave‌های سخت‌افزاری محافظت می‌کند — سومین حالت رمزنگاری پس از at-rest و in-transit.

نوعی از ماشین مجازی در Azure که کل VM از جمله حافظه و CPU state با رمزنگاری سخت‌افزاری محافظت می‌شود — حتی ادمین Hypervisor نمی‌تواند داده را ببیند.

منطقه ایزوله امن در پردازنده که کد و داده حساس را اجرا می‌کند، جدا از سیستم‌عامل اصلی. مایکروسافت از Intel SGX، AMD SEV-SNP و Azure CC استفاده می‌کند.

زیرساخت کلید عمومی — سیستمی شامل Certificate Authority، Registration Authority و فهرست گواهی‌ها برای صدور، مدیریت و ابطال گواهی دیجیتال.

مرجع صدور گواهی دیجیتال که هویت افراد، سازمان‌ها یا سرورها را تأیید می‌کند. مایکروسافت Active Directory Certificate Services یک CA داخلی است.

رمزنگاری داده در حالت ذخیره‌شده (دیسک، دیتابیس، Blob Storage). مایکروسافت به‌طور پیش‌فرض Storage Accounts و SQL Database را با AES-256 رمزنگاری می‌کند.

رمزنگاری داده در حال انتقال در شبکه (بین کلاینت و سرور). استاندارد TLS 1.3 در تمام سرویس‌های مایکروسافت پیش‌فرض است.

نسل بعدی VPN که به جای دسترسی شبکه گسترده، دسترسی Just-In-Time و Least-Privilege به برنامه‌های خاص را می‌دهد. مایکروسافت Entra Private Access راهکار ZTNA است.

مدل معماری که شبکه و امنیت را در یک سرویس ابری یکپارچه می‌کند. شامل SD-WAN، ZTNA، CASB، SWG و Firewall as a Service.

پلتفرمی که میان کاربران و سرویس‌های ابری قرار می‌گیرد و Shadow IT، سیاست‌های دسترسی و محافظت از داده را مدیریت می‌کند. Defender for Cloud Apps راهکار مایکروسافت است.

فیلتر وب سازمانی که ترافیک اینترنت کاربران را از Malware، Phishing و محتوای نامناسب پاک می‌کند. بخشی از SASE و Microsoft Defender for Endpoint.

تقسیم شبکه به بخش‌های کوچک‌تر ایزوله تا در صورت نفوذ، مهاجم نتواند به‌راحتی Lateral Movement کند. در Azure با VNet، NSG و Micro-segmentation اجرا می‌شود.

پلتفرم Cloud Security Posture Management مایکروسافت برای محافظت از منابع ابری و On-Premise. شامل CSPM، CWPP و Defender Plans برای SQL، Containers، Storage و بیشتر.

فایروال مدیریت‌شده مایکروسافت در Azure با قابلیت‌های Layer 3-7 filtering، Threat Intelligence، IDPS و DNAT/SNAT. به‌طور خودکار Highly Available است.

فایروال لایه ۷ مایکروسافت برای محافظت از وب‌اپ در برابر OWASP Top 10 (SQL Injection، XSS و...). در Application Gateway و Front Door یکپارچه است.

سرویس مایکروسافت برای محافظت منابع Azure در برابر حملات DDoS. دو لایه: Basic (رایگان) و Standard (با تضمین مالی و گزارش حمله).

سرویس مایکروسافت برای دسترسی امن و private به سرویس‌های Azure PaaS از داخل VNet — بدون عبور از اینترنت عمومی. ترافیک در شبکه Backbone مایکروسافت باقی می‌ماند.

آدرس IP داخلی در VNet که به یک سرویس Azure PaaS متصل می‌شود. با Private Link، سرویس از اینترنت پنهان و فقط از VNet قابل دسترسی است.

سرویس مایکروسافت در Azure برای اعمال و ممیزی سیاست‌ها (مثلاً «اجازه ایجاد منبع بدون Tag نده»، «فقط منطقه West Europe»). با Initiative سیاست‌های مرتبط را گروه‌بندی می‌کند.

رده ابزارهایی که به‌طور پیوسته پیکربندی ابری را بررسی و با بهترین روش‌ها (CIS، NIST) مقایسه می‌کنند. Microsoft Defender for Cloud راهکار CSPM مایکروسافت است.

معیار عددی مایکروسافت در Defender for Cloud که وضعیت امنیتی سازمان را از ۰ تا ۱۰۰ نشان می‌دهد. هر توصیه امنیتی که اجرا شود، امتیاز بالا می‌رود.

سرویس CIEM مایکروسافت که دسترسی‌های بیش از حد (Over-privileged) در AWS، Azure و GCP را شناسایی و Right-sizes می‌کند.

داشبورد مایکروسافت در Microsoft Purview که وضعیت انطباق سازمان با استانداردهای GDPR، HIPAA، ISO 27001 و... را می‌سنجد و توصیه‌های بهبود ارائه می‌دهد.

خانواده محصول مایکروسافت برای مدیریت حریم خصوصی. شامل Privacy Risk Management و Subject Rights Requests — پاسخ خودکار به درخواست‌های GDPR.

فرآیند شناسایی، طبقه‌بندی و رفع آسیب‌پذیری‌های امنیتی در سیستم. Microsoft Defender for Cloud به‌طور خودکار VM‌ها و Container‌ها را اسکن می‌کند.

استاندارد جهانی امتیازدهی آسیب‌پذیری از ۰ تا ۱۰. مایکروسافت در Patch Tuesday و Defender هر CVE را با امتیاز CVSS منتشر می‌کند.

چارچوب مرجع مؤسسه استانداردها و فناوری آمریکا با ۵ عملکرد: Identify، Protect، Detect، Respond و Recover. مایکروسافت راهکارها و الگوهایی برای اجرای آن ارائه می‌دهد.

استاندارد بین‌المللی سیستم مدیریت امنیت اطلاعات (ISMS). مایکروسافت و Azure گواهی ISO/IEC 27001 دارند و گزارش‌های حسابرسی در Microsoft Service Trust Portal موجود است.

گزارش حسابرسی AICPA برای کنترل‌های امنیت، در دسترس بودن، پردازش و محرمانگی. تمام سرویس‌های Azure و M365 گواهی SOC 2 Type II دارند.