ملخص تصميم أمان الشبكات — ثانية ثانوي

مقدمة

المادة: البرمجة والذكاء الاصطناعي
المسار: مسار الهندسة وعلوم الحاسب

تخيل قلعة لها سور واحد: إذا تسلقه عدو أصبحت القلعة كلها بين يديه. أما القلعة التي لها خندق وسور خارجي وسور داخلي وحراس عند كل باب، فيحتاج المهاجم إلى تجاوز عقبات كثيرة. شبكات المؤسسات تُصمم بالفكرة نفسها: لا تعتمد على إجراء واحد، بل على طبقات من الحماية. في هذا الدرس نتعرف على جدار الحماية والشبكة الافتراضية الخاصة والمنطقة المعزولة، وعلى مبدأي الدفاع في العمق وانعدام الثقة.

أهداف التعلم

أن تشرح أدوار جدار الحماية، وVPN، وDMZ، وضوابط الأجهزة الطرفية في حماية الشبكة.
أن تشرح لماذا يوفر الدفاع في العمق حماية أقوى من الاعتماد على إجراء أمني واحد.
أن تقيّم تصميمًا أمنيًا لشبكة، وتبرر اختيار الضوابط المناسبة وفق الأصول والتهديدات.

شرح الدرس

السؤال الرئيسي: كيف يمكن لمؤسسة أن تصمم شبكتها بحيث، حتى لو تم اختراق أحد الدفاعات، يظل النظام محميًا؟ الفكرة الأساسية أن أمان الشبكات القوي لا يأتي من تكديس إجراء واحد، بل من تكديس عدة إجراءات: جدار الحماية، والشبكة الافتراضية الخاصة، والمنطقة المعزولة، وحماية الأجهزة الطرفية، والتحقق من كل عملية وصول (نهج انعدام الثقة).

جدار الحماية (Firewall)

نظام أو برنامج يراقب حركة مرور الشبكة ويسمح بها أو يمنعها وفق قواعد أمنية محددة مسبقًا. قد يوجد عند حدود الشبكة، أو بين أجزائها، أو على جهاز مضيف. مثال: السماح بالوصول إلى خادم الويب مع منع الوصول الخارجي المباشر إلى قاعدة البيانات.

الشبكة الافتراضية الخاصة (VPN)

اتصال أو شبكة منطقية خاصة عبر شبكة عامة مثل الإنترنت، تستخدم عادةً التشفير وتقنيات النفق لحماية البيانات بين الطرفين. استخداماتها الرئيسية:

العمل عن بُعد: الاتصال بأمان بشبكة المؤسسة من المنزل أو أثناء التنقل.
ربط الفروع: ربط المكاتب في مواقع مختلفة بأمان.

نظرًا لأن محتوى الاتصال يُشفَّر عند استخدام VPN، تقل مخاطر التنصت حتى عند استخدام شبكة Wi-Fi عامة.

المنطقة المعزولة (DMZ – Demilitarized Zone)

منطقة تُوضع فيها الخوادم المعرَّضة للشبكة الخارجية (خوادم الويب، خوادم البريد، إلخ) بشكل منفصل عن الشبكة الداخلية. يساعد فصل الخوادم العامة في منطقة معزولة على تقليل احتمال وصول الهجوم منها إلى الشبكة الداخلية إذا تعرض أحد هذه الخوادم للاختراق.

تكوين نمطي لشبكة DMZ: تفصل جدران حماية (واحد نحو الإنترنت وآخر نحو الشبكة الداخلية) بين ثلاث مناطق — الشبكة الخارجية (الإنترنت)، ثم DMZ التي تضم الخوادم المعرَّضة للإنترنت (كخادم الويب وخادم البريد)، ثم الشبكة الداخلية للمؤسسة التي تضم أجهزة الموظفين وقاعدة البيانات السرية. إذا هُوجم خادم عام في المنطقة المعزولة، تظل الشبكة الداخلية محمية.

ثلاث مناطق من اليمين إلى اليسار: الإنترنت، ثم جدار حماية أول، ثم المنطقة المعزولة وفيها خادم الويب وخادم البريد، ثم جدار حماية ثانٍ، ثم الشبكة الداخلية وفيها أجهزة الموظفين وقاعدة البيانات السرية

الدفاع في العمق (Defense in Depth)

استخدام طبقات متعددة من الضوابط الأمنية، بحيث تساعد طبقات أخرى على تقليل الخطر والحد من أثر الاختراق إذا فشلت إحدى الطبقات. مثال على تكديس عدة إجراءات في أمان الشبكات:

الطبقة	مثال على الإجراء
الطبقة 1: مدخل الشبكة	منع الاتصال غير المصرح به باستخدام جدار الحماية
الطبقة 2: مسار الاتصال	تشفير الاتصال باستخدام الشبكة الافتراضية الخاصة (VPN)
الطبقة 3: وضع الخوادم	فصل الخوادم المواجهة للجمهور عن الشبكة الداخلية باستخدام المنطقة المعزولة (DMZ)
الطبقة 4: الأجهزة الطرفية	تثبيت برنامج مكافحة الفيروسات والحفاظ على تحديث نظام التشغيل

نهج انعدام الثقة (Zero Trust)

نهج أمني لا يمنح الثقة تلقائيًا لمستخدم أو جهاز لمجرد وجوده داخل الشبكة أو ملكيته للمؤسسة؛ بل تُفحص الهوية والصلاحيات والسياق عند كل طلب وصول إلى الموارد وفق سياسة المؤسسة.

صُمم أمان الشبكات التقليدي بشكل أساسي حول حماية المحيط الأمني، بناءً على فرضية أن “داخل شبكة المؤسسة آمن، وخارجها خطر”. لكن مع انتشار الخدمات السحابية والعمل عن بُعد، أصبحت الحدود بين “الداخل” و”الخارج” غير واضحة، وأصبحت التصاميم التي تحمي المحيط الأمني فقط غير كافية — ومن هنا تأتي أهمية نهج انعدام الثقة الذي يتحقق من كل طلب وصول بغض النظر عن موقعه.

أمثلة وتطبيقات

مثال 1 (الإجراء المناسب):

الموقف	الإجراء الأنسب
موظف يعمل من مقهى على شبكة Wi-Fi عامة ويحتاج ملفات الشركة	الشبكة الافتراضية الخاصة (VPN)
منع أي اتصال خارجي مباشر بقاعدة بيانات الشركة	قاعدة في جدار الحماية
موقع الشركة يجب أن يكون متاحًا للجمهور دون تعريض الشبكة الداخلية	وضع خادم الويب في المنطقة المعزولة (DMZ)
حساب موظف داخل الشبكة يطلب فجأة الوصول إلى ملفات لا تخص عمله	نهج انعدام الثقة: التحقق من الهوية والصلاحية والسياق

مثال 2 (لماذا DMZ؟): لو وُضع خادم الويب داخل الشبكة الداخلية واختُرق، لأصبح للمهاجم طريق مباشر إلى قاعدة البيانات وأجهزة الموظفين. أما في DMZ فيبقى جدار الحماية الثاني حاجزًا يحصر أثر الاختراق.

مثال 3 (مستشفى ينقل سجلاته إلى السحابة): يمكن استخدام VPN لحماية اتصال الأطباء من المنزل، وانعدام الثقة للتحقق من هوية كل طبيب وصلاحيته عند كل طلب. ويبقى خطر سرقة بيانات دخول طبيب بالتصيد، فتضاف المصادقة الثنائية طبقةً أخرى.

ملاحظات مهمة

جدار الحماية يتحكم في حركة المرور وفق قواعد، لكنه لا يشفّر البيانات؛ التشفير عبر الشبكة العامة وظيفة VPN.
VPN يحمي البيانات أثناء النقل، لكنه لا يحمي جهازًا مصابًا بفيروس.
«داخل الشبكة» لا يعني «موثوقًا» في نهج انعدام الثقة.
الدفاع في العمق لا يعني أن كل طبقة ضعيفة؛ بل يعني ألا يؤدي فشل طبقة واحدة إلى انكشاف النظام كله.

المفاهيم الأساسية

جدار الحماية يتحكم في مرور البيانات عند حدود الشبكة وفق قواعد. VPN يشفّر الاتصال البعيد عبر شبكة عامة. DMZ يعزل الخوادم العامة عن الشبكة الداخلية.
الدفاع في العمق: تكديس طبقات حماية متعددة (مدخل الشبكة، مسار الاتصال، وضع الخوادم، الأجهزة الطرفية) بحيث لا يؤدي فشل طبقة واحدة إلى كشف النظام بأكمله.
نهج انعدام الثقة: لا ثقة تلقائية بمجرد الوجود داخل الشبكة؛ يُتحقق من كل طلب وصول وفق الهوية والصلاحيات والسياق — ضروري لأن الخدمات السحابية والعمل عن بُعد طمسا حدود “المحيط الأمني” التقليدي.

ملخص الدرس

يُبنى أمان الشبكات القوي من طبقات متعددة: جدار الحماية يسمح بحركة المرور أو يمنعها وفق قواعد، والشبكة الافتراضية الخاصة تشفّر الاتصال عبر الشبكات العامة للعمل عن بعد وربط الفروع، والمنطقة المعزولة تفصل الخوادم المعرضة للإنترنت عن الشبكة الداخلية، وتُحمى الأجهزة الطرفية بمكافحة الفيروسات والتحديثات. هذا هو الدفاع في العمق. ومع انتشار الحوسبة السحابية والعمل عن بعد لم يعد حماية المحيط كافيًا، فظهر نهج انعدام الثقة الذي يتحقق من الهوية والصلاحية والسياق عند كل طلب وصول.

أسئلة للتدريب

1. لماذا يكون وضع خادم ويب عام في المنطقة المعزولة (DMZ) أكثر أمانًا من وضعه داخل الشبكة الداخلية مباشرة؟

الإجابة: لأن الخادم العام معرَّض للإنترنت ومن ثم أكثر عرضة للهجوم؛ فإذا وُضع داخل الشبكة الداخلية واختُرق، يصبح للمهاجم مسار مباشر إلى موارد المؤسسة الحساسة (كقواعد البيانات وأجهزة الموظفين). أما وضعه في DMZ، منفصلًا عن الشبكة الداخلية بجدار حماية إضافي، فيحصر أثر أي اختراق داخل تلك المنطقة المعزولة، وتظل الشبكة الداخلية محمية حتى لو نجح المهاجم في اختراق الخادم العام.

2. اشرح لماذا يحمي تكديس عدة إجراءات أمنية في طبقات (الدفاع في العمق) المؤسسة بشكل أفضل من الاعتماد على جدار الحماية وحده.

الإجابة: لأنه إذا فشل جدار الحماية أو تجاوزه مهاجم (كأن يخترق حسابًا مصرَّحًا به)، فلا توجد أي طبقة حماية أخرى توقفه إذا كان جدار الحماية هو الإجراء الوحيد. أما مع الدفاع في العمق، فحتى لو تجاوز المهاجم مدخل الشبكة، يظل عليه مواجهة تشفير VPN، ثم عزل DMZ للخوادم العامة، ثم ضوابط الأجهزة الطرفية — ما يقلل احتمال أن يؤدي خرق واحد إلى كشف النظام بأكمله ويحد من أثر أي اختراق ناجح جزئيًا.

3. ينقل مستشفى سجلات مرضاه إلى خدمة سحابية ويسمح للأطباء بالوصول إليها من المنزل. باستخدام نهج انعدام الثقة والدفاع في العمق، اقترح إجراءين ينبغي تطبيقهما، وبيّن أين يساعد كل منهما، ثم حدد خطرًا واحدًا قد يظل قائمًا.

الإجابة: (1) VPN لتشفير اتصال الأطباء من المنزل بالخدمة السحابية، يساعد في حماية سجلات المرضى الحساسة من التنصت أثناء النقل عبر شبكات منزلية أو عامة غير موثوقة. (2) نهج انعدام الثقة بالتحقق من هوية كل طبيب وصلاحياته وسياق كل طلب وصول (لا الاكتفاء بكونه متصلًا عبر VPN)، يساعد في منع وصول حساب مخترق أو جهاز غير مصرح به إلى السجلات حتى لو بدا الاتصال “من داخل” الشبكة الموثوقة. خطر قد يظل قائمًا: هجوم هندسة اجتماعية على أحد الأطباء يؤدي لسرقة بيانات اعتماده الصحيحة (كلمة المرور)، فيستطيع المهاجم عندها اجتياز التحقق كأنه مستخدم شرعي — وهو ما يستدعي طبقة إضافية مثل المصادقة الثنائية.