تأمين بنية المؤسسة
تطبيق مبادئ الأمن على البنية التحتية للمؤسسة
ماذا ستتعلّم؟
- تختار موضع الجهاز والمنطقة الأمنية المناسبة له.
- تفرّق بين الفشل المفتوح والفشل المغلق، وتعرف أيّهما يناسب أي حالة.
- تميّز نظام الكشف من نظام المنع، والوضع المضمَّن من الوضع المراقِب.
- تسمّي وسائل الوصول الآمن: الأنفاق والشبكات الخاصة وخادم القفز وضبط المنافذ.
هذا الهدف عن القرارات لا الأسماء: أين يوضع الجهاز، وماذا يحدث حين يفشل، وهل يراقب أم يتدخّل. والسؤال يصف بيئة ويطلب القرار الصحيح — وأكثر ما يُختبر فيه هو التوتّر بين الأمن والاستمرارية.
المناطق والمواضع
| Security zone | منطقة تجمع أنظمة بمستوى ثقة واحد. المرور بين المناطق يمرّ بضابط. |
|---|---|
| Screened subnet (DMZ) | منطقة وسيطة تُوضع فيها الخدمات التي يصل إليها العموم، فلا يلمس الخارج الشبكة الداخلية مباشرة. |
| Jump server | نقطة عبور وحيدة ومحصّنة تُدار منها الأنظمة الحسّاسة. تختصر المسارات الإدارية إلى مسار واحد يُراقَب. |
| Proxy | وسيط يمرّ به المرور فيُفحَص ويُسجَّل، ويُخفي ما خلفه. |
| Load balancer | يوزّع الحمل على عدّة خوادم. يخدم التوافر، ويحمي جزئيًا من الإغراق. |
كشف مقابل منع
| IDS — كشف | IPS — منع | |
|---|---|---|
| الموضع | خارج المسار، على نسخة من المرور | مضمَّن في المسار |
| الفعل | ينبّه فقط | يُسقط المرور الخبيث |
| خطر الإيجابية الكاذبة | إنذار زائد | قطع مرور مشروع |
| أثر تعطّله | لا يوقف الشبكة | قد يوقف المرور كلّه |
فشل مفتوح مقابل فشل مغلق
| مفتوح (Fail-open) | مغلق (Fail-closed) | |
|---|---|---|
| عند العطل | يمرّ كل شيء | لا يمرّ شيء |
| ما يُضحّى به | الأمن | التوافر |
| متى يُختار | حين يكون الانقطاع أخطر: باب طوارئ، شبكة مستشفى | حين يكون التسرّب أخطر: خزنة، بيانات مصنَّفة |
لا يوجد خيار «صحيح» بينهما
الفشل المغلق يبدو الجواب الأمني دائمًا، وهو خاطئ في نصف الحالات. باب حريق يفشل مغلقًا يحبس الناس بالداخل. اقرأ ما الذي يكلّف أكثر في السيناريو الموصوف: التوقّف أم التسرّب؟ الجواب يتبع ذلك لا يتبع قاعدة عامة.
الوصول والاتصال الآمن
| VPN | نفق مشفَّر عبر شبكة غير موثوقة. يحمي المرور في الطريق ولا يحمي ما في الطرفين. |
|---|---|
| IPSec / TLS | بروتوكولا التنفيق. الأول يعمل في طبقة الشبكة، والثاني فوقها ويُستعمل في أنفاق الوصول عن بُعد كثيرًا. |
| 802.1X | ضبط الوصول عند المنفذ: لا يُمنح الجهاز شبكةً قبل أن يتحقّق من هويته. |
| SD-WAN | إدارة برمجية لروابط الفروع، توجّه المرور بحسب سياسة بدل مسار ثابت. |
| SASE | دمج أمن الشبكة مع الوصول في خدمة سحابية واحدة قرب المستخدم، بدل إعادة كل المرور إلى المقرّ. |
مثال واقعي: ثلاثة قرارات في بيئة واحدة
شركة تنشر تطبيقًا للعملاء وتريد إدارة خوادمه بأمان. الموضع: التطبيق في شبكة فرعية محمية يصل إليها العموم، وقاعدة البيانات في الشبكة الداخلية لا يصلها أحد من الخارج. الإدارة: لا يُفتَح وصول إداري مباشر من الإنترنت — بل خادم قفز واحد محصّن يُراقَب ويتطلّب تحقّقًا متعدّد العوامل. الجهاز الأمني: نظام منع مضمَّن أمام التطبيق، ونظام كشف على نسخة من مرور الشبكة الداخلية حتى لا يوقف عملًا مشروعًا إن أخطأ. لاحظ أن كل قرار جواب عن سؤال مختلف: أين، وكيف نصل، وهل نراقب أم نمنع.
ما يهمّ في الاختبار
- «يراقب فقط» = IDS وخارج المسار. و«يوقف الهجوم» = IPS ومضمَّن. الموضع يتبع الوظيفة.
- اقرأ ما يكلّف أكثر قبل اختيار سلوك الفشل: التوقّف أم التسرّب. لا قاعدة عامة هنا.
- خادم القفز هو الجواب حين يسأل السؤال عن إدارة أنظمة حسّاسة دون فتحها للإنترنت.
- الشبكة الافتراضية الخاصة تحمي المرور في الطريق فقط. جهاز مصاب يتّصل عبرها ينقل إصابته إلى الداخل.
تحقّق سريع
أجب في ذهنك أولًا، ثم اكشف الإجابة.
متى تختار الفشل المفتوح رغم أنه يبدو أقلّ أمنًا؟اكشف الإجابة
حين يكون الانقطاع أخطر من المرور غير المفحوص: شبكة مستشفى، أو باب طوارئ، أو خطّ إنتاج. الأمن هنا يخدم السلامة لا العكس.
لماذا يُوضع نظام الكشف خارج المسار ونظام المنع داخله؟اكشف الإجابة
لأن الكشف يحتاج نسخة من المرور فقط، والمنع يحتاج أن يمرّ به المرور ليستطيع إسقاطه. والثمن أن تعطّل المضمَّن قد يوقف الشبكة، بينما تعطّل الكاشف لا يوقف شيئًا.
ما الغرض من الشبكة الفرعية المحمية (DMZ)؟اكشف الإجابة
وضع الخدمات التي يصل إليها العموم في منطقة وسيطة، فإذا اختُرقت لا يكون المهاجم داخل الشبكة الداخلية — بل عليه اجتياز ضابط آخر.
ماذا يضيف 802.1X إلى شبكة سلكية؟اكشف الإجابة
يمنع الحصول على الشبكة بمجرّد توصيل كبل: المنفذ لا يمرّر شيئًا قبل التحقّق من هوية الجهاز. فيغلق ناقلًا لا تراه الجدر النارية أصلًا.
سجّل الدخول لتتبّع تقدّمك في هذا الموضوع.
خطوتك التالية
اقرأ الدرس ثم علّمه مكتملًا
المصادر
استُعملت للتحقّق من المعلومات. المحتوى أصلي بصياغة Passuit.