دانلود کتاب آموزشی MTCSE (MikroTik Certified Security Engineer) جلد اول

دوره MTCSE یکی از گواهینامه‌های پیشرفته MikroTik است که بر امنیت شبکه و پیاده‌سازی روش‌های محافظتی در دستگاه‌های MikroTik تمرکز دارد. این دوره برای متخصصانی طراحی شده است که می‌خواهند دانش و مهارت‌های خود را در زمینه امنیت شبکه ارتقاء دهند.

بخش 1. مبانی امنیت شبکه

فصل 1. مقدمه‌ای بر امنیت شبکه

• تعریف امنیت شبکه و اهمیت آن در زیرساخت‌های مدرن

• تفاوت امنیت شبکه با امنیت سیستم

• نقش MikroTik در امنیت مرزی (Edge Security)

فصل 2. مدل‌های امنیت اطلاعات

• مدل CIA (Confidentiality, Integrity, Availability)

• مدل AAA (Authentication, Authorization, Accounting)

• مثال‌هایی از کاربرد هر مدل در RouterOS

فصل 3. دسته‌بندی تهدیدات امنیتی در شبکه

• تهدیدات انسانی (Human Threats): مهندسی اجتماعی، سرقت اطلاعات

• تهدیدات نرم‌افزاری: ویروس، Worm، Ransomware

• تهدیدات مبتنی بر شبکه: DDoS، Sniffing، Spoofing، MITM

فصل 4. تحلیل امنیت در لایه‌های مختلف مدل OSI

• لایه 1 – فیزیکی: امنیت کابل‌ها، دستگاه‌ها، قفل‌های سخت‌افزاری

• لایه 2 – پیوند داده: ARP Spoofing، MAC Flooding، جلوگیری با ACL/VLAN

• لایه 3 – شبکه: IP Spoofing، فیلتر کردن ترافیک، فایروال

• لایه 4 – انتقال: پویش پورت (Port Scanning)، TCP Reset

• لایه 7 – کاربرد: حملات XSS، SQL Injection، استفاده از HTTPS، DoH

فصل 5. شناسایی منابع تهدید و آسیب‌پذیری‌ها

• انواع آسیب‌پذیری‌ها: Zero-day، Misconfiguration، Default Credentials

• منابع تهدید داخلی و خارجی (Internal vs External Threats)

• استفاده از اسکنرهای امنیتی برای تحلیل آسیب‌پذیری‌ها

فصل 6. مکانیزم‌های کنترلی در امنیت شبکه

• مکانیزم‌های پیشگیرانه (Preventive Controls): فایروال، احراز هویت، رمزنگاری

• مکانیزم‌های شناسایی (Detective Controls): مانیتورینگ، لاگ‌گیری

• مکانیزم‌های اصلاحی (Corrective Controls): پاسخ به حادثه، فیلتر تطبیقی

فصل 7. مفاهیم مهم در طراحی امن شبکه

• Principle of Least Privilege (کمترین سطح دسترسی ممکن)

• Defense in Depth (چند لایه‌ای کردن امنیت)

• Trust but Verify (مدل Zero Trust)

فصل 8. آشنایی با استانداردها و چارچوب‌های امنیتی

• ISO/IEC 27001، NIST Cybersecurity Framework

• مفاهیم GDPR، PCI-DSS برای امنیت اطلاعات کاربران

فصل 9. نحوه پیاده‌سازی امنیت پایه در MikroTik

• تعیین پسورد امن و غیرپیش‌فرض برای کاربر admin

• غیرفعال‌سازی سرویس‌های غیرضروری در RouterOS

• استفاده از رمزنگاری در ارتباطات مدیریتی (SSH, HTTPS, Winbox Secure Mode)

فصل 10. آشنایی اولیه با ابزارهای امنیتی MikroTik

• Firewall و ساختار Chainها

• Address Lists برای تعریف منابع معتبر/نامعتبر

• Logging برای ثبت وقایع امنیتی

• Netwatch و Script برای شناسایی اختلال یا فعالیت مشکوک

بخش 2. فایروال و قوانین دسترسی

فصل 1. مفاهیم پایه فایروال در RouterOS

• تعریف فایروال و عملکرد آن در MikroTik

• بررسی Chainها (Input, Forward, Output) و تفاوت آن‌ها

• ترتیب اجرای قوانین (Rule Processing Order)

• Actionهای قابل استفاده (accept, drop, reject, log, etc.)

فصل 2. طراحی ساختار فایروال امن

• مدل Default-Deny و کاربرد آن

• ایجاد ساختار Layered Firewall

• تفکیک سیاست‌های داخلی و خارجی

فصل 3. مدیریت Chainهای Input، Forward، Output

• کاربرد Chain Input برای محافظت از خود روتر

• استفاده از Forward برای کنترل ترافیک عبوری

• مدیریت Chain Output برای ترافیک خروجی از روتر

فصل 4. تعریف و مدیریت قوانین فایروال (Firewall Rules)

• اضافه‌کردن Ruleها از طریق CLI و Winbox

• تنظیم Match Conditions شامل:

  • IP address / IP range

  • Port / Protocol

  • Interface

  • Connection State (new, established, related, invalid)

• استفاده از Commentها برای مستندسازی Ruleها

فصل 5. استفاده از Address Listها

• ایجاد لیست‌های IP مجاز یا مشکوک

• استفاده از Address List در چند Rule برای سهولت مدیریت

• اضافه‌کردن IP به لیست از طریق Rule

فصل 6. مدیریت Connection State

• تنظیم قوانین مبتنی بر وضعیت اتصال (Stateful Firewall)

• جلوگیری از اتصال‌های نامعتبر

فصل 7. استفاده از Interface Listها برای سیاست‌گذاری

• تعریف Interface List برای WAN, LAN, DMZ

• استفاده از آن‌ها در قوانین

فصل 8. ثبت و لاگ‌گیری از Ruleهای امنیتی

• فعال‌سازی Log برای Ruleهای خاص

• تعیین Prefix برای لاگ‌ها

فصل 9. مدیریت زمان اجرا (Time-based Rules)

• تعریف قوانین با محدودیت زمانی مشخص

• کاربرد در فایروال منعطف

فصل 10. جلوگیری از ترافیک‌های ناخواسته و حملات پایه

• جلوگیری از اسکن پورت‌ها (Port Scanning)

• محدودسازی تعداد اتصال‌ها از یک IP

• فیلتر کردن دسترسی به سرویس‌های مدیریتی از WAN

فصل 11. استفاده از Blacklist و Dynamic Address List

• شناسایی خودکار IPهای مشکوک و اضافه‌کردن آن‌ها به Blacklist

فصل 12. تست، بررسی و بهینه‌سازی عملکرد فایروال

• بررسی ترتیب Ruleها و تأثیر آن در عملکرد

• استفاده از ابزار Torch برای تحلیل ترافیک

• مانیتورینگ ترافیک با IP > Firewall > Connections

بخش 3. امنیت NAT (Network Address Translation)

فصل 1. مقدمه‌ای بر مفاهیم امنیتی NAT

• نقش NAT در جداسازی داخلی و خارجی شبکه

• انواع NAT در MikroTik: src-nat، dst-nat، netmap، masquerade

• اثرات امنیتی NAT در محیط‌های واقعی

فصل 2. پیاده‌سازی src-nat به‌صورت ایمن (Masquerade)

• جلوگیری از نشت اطلاعات داخلی به بیرون

• محدودسازی دسترسی به ترافیک ورودی ناخواسته

فصل 3. پیکربندی dst-nat به‌صورت کنترل‌شده (Port Forwarding)

• اعمال محدودیت برای دسترسی به خدمات خاص

• استفاده از Address List برای تعیین محدوده دسترسی

فصل 4. محدود کردن Port Forwarding با استفاده از لیست آدرس‌ها

• فقط IPهای مجاز به پورت‌های خاص دسترسی داشته باشند

فصل 5. پیکربندی Netmap و بررسی جنبه‌های امنیتی آن

• استفاده در سناریوهای خاص مانند ترجمه IP کامل

فصل 6. جلوگیری از سوءاستفاده از NAT برای حملات برگشتی (Backscatter/Reflection)

• بلاک کردن ارتباطات برگشتی از سرویس‌هایی که NAT شده‌اند

فصل 7. بررسی و جلوگیری از NAT Loopback و Leak

• استفاده از NAT Reflection فقط در شرایط لازم

• جلوگیری از بازنویسی نادرست بسته‌ها در لوپ‌بک

فصل 8. تنظیمات Secure NAT در محیط‌های چند شبکه‌ای

• استفاده از Interface List برای محدودسازی NAT

• تفکیک NAT برای شبکه‌های مختلف با سیاست‌های متفاوت

فصل 9. جلوگیری از دسترسی معکوس به NAT (Hairpin NAT Security)

• بررسی دسترسی‌های داخلی که از طریق IP عمومی هدایت شده‌اند

• محدودسازی با استفاده از فایروال و Address List

فصل 10. Logging و پایش فعالیت‌های مرتبط با NAT

• ثبت ترجمه‌های غیرعادی

• استفاده از لاگ برای تشخیص حملات NAT-based

فصل 11. بهینه‌سازی عملکرد و امنیت NAT

• حذف قوانین NAT بدون استفاده یا مشکوک

• ترتیب صحیح قوانین برای جلوگیری از تداخل

فصل 12. بررسی فایل پیکربندی NAT و نکات امنیتی در پشتیبان‌گیری

• ذخیره و بررسی ساختار NAT

بخش 4. مدیریت ارتباطات رمزنگاری‌شده

فصل 1. مفاهیم پایه رمزنگاری در شبکه

• تعریف رمزنگاری متقارن و نامتقارن

• مفهوم Tunnel و Encapsulation

• تفاوت SSL، TLS، IPSec و L2TP

• نقش CA (Certificate Authority) در ارتباطات امن

فصل 2. انواع VPN در MikroTik و مقایسه آن‌ها

• مقایسه امنیتی، کارایی و سازگاری پروتکل‌های:

  • PPTP

  • L2TP/IPSec

  • SSTP

  • OpenVPN

  • IKEv2/IPSec

• انتخاب مناسب‌ترین پروتکل با توجه به سناریو و سطح امنیت مورد نیاز

فصل 3. پیاده‌سازی PPTP VPN Server/Client در MikroTik

• فعال‌سازی سرویس PPTP

• تعریف کاربران و پروفایل‌ها

• تنظیم کلاینت PPTP روی MikroTik یا سیستم‌عامل ویندوز

• محدودیت‌ها و نکات امنیتی (مانند رمزنگاری ضعیف MPPE)

فصل 4. پیاده‌سازی L2TP/IPSec VPN Server

• تنظیمات اولیه L2TP Server

• افزودن احراز هویت با Secret و IPSec

• ساخت کاربران با پروفایل‌های محدودیت پهنای‌باند و آدرس‌دهی

• اتصال از کلاینت‌های ویندوز، موبایل، MikroTik دیگر

فصل 5. پیکربندی SSTP VPN Server با گواهی SSL

• تولید گواهی‌های SSL در MikroTik (CA، Server Cert)

• فعال‌سازی SSTP Server

• تنظیم کاربران با پروفایل رمزنگاری

• اتصال امن با کلاینت ویندوز و MikroTik

فصل 6. پیاده‌سازی OpenVPN در MikroTik

• تولید و بارگذاری گواهی‌ها (CA، Client، Server)

• پیکربندی Server Instance

• تعریف پروفایل‌های PPP با IP Pool

• اتصال کلاینت‌های لینوکس/ویندوز با فایل .ovpn

فصل 7. تنظیمات IKEv2/IPSec (پیشرفته)

• مفاهیم Phase 1 و Phase 2

• ایجاد Policy و Peer با Proposal سفارشی

• استفاده از EAP/MSCHAPv2 یا گواهی برای احراز هویت

• اتصال کلاینت‌های macOS، Android، Windows با IKEv2

فصل 8. رمزنگاری و ایمن‌سازی ترافیک بین دو شبکه با IPSec Tunnel

• سناریوی Site-to-Site بین دو MikroTik

• تعریف Peer، Policy و Proposal

• تست اتصال و رمزنگاری با Ping و Packet Sniffer

• مدیریت و رفع اشکال از طریق Log و Debug

فصل 9. استفاده از Certificates در RouterOS

• تولید گواهی‌ها با ابزار داخلی MikroTik

• Import/Export گواهی‌ها به فرمت PEM/DER

• اتصال امن سرویس‌ها مثل SSTP، OpenVPN، HTTPS با گواهی

فصل 10. فعال‌سازی HTTPS و دسترسی امن به RouterOS

• تولید گواهی SSL برای WebFig

• فعال‌سازی سرویس HTTPS

• غیرفعال‌سازی HTTP و محدودسازی دسترسی‌ها

فصل 11. مدیریت و محدودسازی دسترسی به سرویس‌های VPN

• استفاده از فایروال برای کنترل دسترسی به پورت‌های VPN

• ایجاد Address List از IPهای مجاز

• جلوگیری از حملات Brute Force روی پورت‌های VPN

فصل 12. عیب‌یابی و مانیتورینگ ارتباطات رمزنگاری‌شده

• استفاده از لاگ‌ها برای تحلیل اتصال VPN

• ابزارهای Debug: /log, /ip ipsec installed-sa

• استفاده از Torch و Packet Sniffer برای ردیابی ترافیک رمزنگاری‌شده

فصل 13. سناریوهای ترکیبی و عملیاتی VPN

• سناریوی Road Warrior با L2TP + IPSec برای کارکنان از راه دور

• اتصال دو دفتر از طریق SSTP/OpenVPN Site-to-Site

• تنظیم Split Tunnel و Policy Routing برای کنترل ترافیک

بخش 5. سیستم تشخیص و جلوگیری از نفوذ

فصل 1. آشنایی با IDS و IPS در MikroTik

• تفاوت IDS و IPS در شبکه

• نقش MikroTik در پیاده‌سازی IDS/IPS پایه بدون ابزارهای خارجی

فصل 2. استفاده از Logging برای شناسایی ترافیک مشکوک

• فعال‌سازی دقیق لاگ‌ها برای ترافیک ورودی و خروجی

• ایجاد دسته‌بندی لاگ‌ها بر اساس topics مختلف

• استفاده از prefix برای تحلیل بهتر لاگ‌های امنیتی

فصل 3. شناسایی Port Scanning و حملات شناسایی سرویس

• ساخت اسکریپت و Rule برای تشخیص Port Scannerها

• بررسی تکرار درخواست‌ها و بلاک کردن IPهای مشکوک

فصل 4. مقابله با حملات SYN Flood و TCP Flag Anomalies

• ساخت فیلتر برای تشخیص ترافیک SYN مشکوک

• بررسی پرچم‌های TCP (SYN/FIN/RST) برای شناسایی رفتار غیرعادی

فصل 5. جلوگیری از حملات ICMP Flood و Ping of Death

• محدودسازی نرخ ICMP

• بستن ترافیک غیرضروری ICMP در شبکه

فصل 6. شناسایی و محدودسازی حملات Brute Force

• ایجاد Address List برای IPهایی که چند بار تلاش ناموفق دارند

• بلاک موقتی یا دائم IPهای مهاجم

فصل 7. استفاده از Connection Tracking برای شناسایی رفتارهای مشکوک

• مانیتورینگ اتصالات ورودی و خروجی

• شناسایی ارتباطات نامعمول و طولانی‌مدت

فصل 8. پیاده‌سازی Address Listهای داینامیک برای جلوگیری خودکار

• افزودن آدرس‌ها به لیست پس از شناسایی حمله

• تعیین زمان انقضا برای بازگردانی دسترسی

فصل 9. مقابله با حملات DNS Amplification و NTP Reflection

• بستن پورت‌های UDP باز بدون نیاز

• محدودسازی دسترسی به DNS داخلی

فصل 10. طراحی و اجرای اسکریپت‌های امنیتی خودکار

• اسکریپت‌های مانیتورینگ برای بررسی لاگ‌ها و مسدودسازی

• مثال: اسکریپت تشخیص تلاش‌های اتصال به پورت Winbox از IPهای مشکوک

فصل 11. ترکیب MikroTik با ابزارهای مانیتورینگ خارجی (مانند Zabbix, ELK)

• ارسال لاگ به سرور خارجی با استفاده از Remote Logging

• تحلیل و مصور‌سازی الگوهای حمله

فصل 12. تکنیک‌های محافظت از خود روتر در برابر حمله

• بستن Chain:Input برای دسترسی غیرمجاز

• تعیین IPهای مجاز برای مدیریت روتر