جدار الحماية وتقسيم شبكات الشركات في السعودية

1. ما المقصود بتقسيم الشبكة Network Segmentation؟

تقسيم الشبكة هو فصل أجزاء البنية الداخلية إلى نطاقات محددة بحيث لا تتمكن الأجهزة من الاتصال بكل الموارد تلقائيًا. وقد يتم ذلك باستخدام VLAN أو التقسيم على مستوى التوجيه أو سياسات أكثر تفصيلًا.

التقسيم ليس هدفًا بصريًا في المخطط، بل وسيلة للتحكم في الاتصالات وتقليل أثر المشكلات الأمنية والتشغيلية.

2. ما وظيفة جدار الحماية Firewall؟

يُطبق جدار الحماية قواعد تسمح أو تمنع الحركة الشبكية وفق عناوين المصدر والوجهة والبروتوكولات والخدمات وغيرها من المعايير التي يدعمها الجهاز.

يمكن استخدامه عند حدود الإنترنت أو بين شبكات داخلية. ولا يعني وجوده أن كل حركة داخل الشركة مراقبة؛ مكان تطبيقه في التصميم يحدد ما الذي يمر عبره.

3. لماذا تحتاج الشركات إلى تقسيم داخلي؟

يساعد التقسيم في تقليل فرص الحركة الجانبية غير المرغوبة بين الأجهزة، وفصل الخدمات التي تختلف في حساسيتها، وتحديد أعطال الاتصالات بسهولة أكبر.

كما يمكن أن يسهل تطبيق سياسات واضحة على أنظمة الأعمال المختلفة بدل التعامل مع جميع الأجهزة بوصفها مجموعة واحدة.

4. جرد الأجهزة والخدمات قبل التصميم

ابدأ بحصر المستخدمين والخوادم والطابعات وأنظمة التحكم والتطبيقات المحلية والخارجية. وحدد الخدمات التي يعتمد بعضها على بعض.

لا تنقل الأجهزة إلى نطاقات منفصلة قبل فهم اتصالاتها المطلوبة، لأن منع خدمة ضرورية قد يعطل العمل رغم نجاح التقسيم من الناحية التقنية.

5. تصنيف الأنظمة حسب الحساسية

قد تحتوي الشركة على أجهزة استخدام يومي، وأخرى تدير ملفات مهمة أو عمليات مالية أو أدوات إدارة الشبكة. تختلف متطلبات الوصول بين هذه المجموعات.

التصنيف يساعد على صياغة سياسة توازن بين الحماية واستمرار الأعمال، مع منح الأنظمة الحساسة حدود وصول أكثر تقييدًا.

6. كيف تُعرّف المناطق الأمنية؟

المنطقة الأمنية مجموعة أنظمة تشترك في متطلبات وصول أو مخاطر متشابهة. ليس من الضروري أن تقابل كل منطقة نوع جهاز واحدًا إذا كانت وظائفه مختلفة.

صمم المناطق وفق طبيعة الأعمال، ثم وثق ما يسمح بانتقاله بينها، وما يمنع، ومن يوافق على الاستثناءات.

7. ما دور VLAN في تقسيم الشبكة؟

تفصل VLAN نطاقات البث على مستوى الشبكة المحلية، لكنها لا تضمن بذاتها منع المرور بينها عند وجود توجيه يسمح بذلك.

يجب أن تتكامل مع سياسات التحكم بين الشبكات ومع إعدادات السويتشات والبوابات بصورة متسقة.

8. أين توضع حدود التحكم بين الشبكات؟

يمكن تطبيق السياسة عند جدار حماية مركزي أو جهاز توجيه يدعم سياسات مناسبة أو بنية أخرى تعتمدها المؤسسة.

المعيار هو أن تمر الحركة المطلوب التحكم بها عبر نقطة تنفيذ فعلية، وألا توجد مسارات بديلة تتجاوزها.

9. مبدأ أقل صلاحية

بدل السماح لكل الشبكات بالتواصل ثم محاولة حظر بعض الاتصالات لاحقًا، حدد التدفقات اللازمة للأعمال واسمح بها وفق أقل نطاق ممكن.

يساعد ذلك على تقليل الوصول غير المطلوب، لكنه يحتاج جردًا صحيحًا للخدمات واختبارات جيدة قبل الاعتماد.

10. رسم تدفقات البيانات قبل إنشاء القواعد

حدد المصدر والوجهة والبروتوكول والمنفذ والغرض التجاري لكل تدفق مهم. يمكن تمثيل ذلك بمصفوفة اتصالات معتمدة من المسؤول التقني وأصحاب التطبيقات.

بهذه الخطوة تقل احتمالات القواعد العامة التي تسمح بكل شيء أو القواعد المتشددة التي تعطل الخدمة.

11. فصل شبكة الموظفين

يحتاج الموظفون إلى الوصول إلى التطبيقات المحددة لوظائفهم. ليس من الضروري أن تصل أجهزة العمل كلها إلى واجهات إدارة الشبكة أو إلى كل خادم داخلي.

يمكن وضع حدود وصول بين المجموعات أو الأقسام عندما تدعو الحاجة، دون تحويل التقسيم إلى تعقيد لا يمكن تشغيله.

12. حماية شبكة الخوادم

خوادم التطبيقات وقواعد البيانات تحتاج قواعد محددة وفق العلاقة بين العميل والخدمة. لا يلزم عادة فتح جميع المنافذ من شبكة الموظفين إلى جميع الخوادم.

وثق تبعيات التطبيقات، خاصة عندما تعتمد خدمات متعددة على قاعدة بيانات أو خدمة هوية مشتركة.

13. لماذا تُفصل الطابعات والأجهزة المشتركة؟

الطابعات غالبًا تقدم واجهات ويب وخدمات اكتشاف واتصال متعددة. وضعها ضمن شبكة مفتوحة لجميع الأجهزة قد يضيف مسارات وصول غير لازمة.

يمكن تقييد الوصول إليها للمستخدمين والخدمات المعتمدة مع مراعاة بروتوكولات الطباعة والاكتشاف المستخدمة.

14. تقسيم أجهزة إنترنت الأشياء IoT

تختلف إمكانات تحديث وتأمين أجهزة IoT، لذلك قد يكون فصلها عن أنظمة الموظفين والخوادم الحساسة مناسبًا لتقليل التعرض.

لكن بعض الأجهزة تحتاج اتصالات ثابتة لخدمات تحكم أو إدارة؛ ينبغي تحديد تلك الاحتياجات قبل صياغة القواعد.

15. حماية شبكات نقاط البيع

تتعامل أنظمة نقاط البيع مع عمليات حساسة، وقد تتطلب قواعد اتصال محددة أو التزامًا بمعايير ذات صلة بحسب النظام والنطاق الفعلي.

ينبغي فصلها عن الحركة العامة غير الضرورية، مع مراجعة متطلبات مزود الخدمة والمعايير المعمول بها لدى المنشأة.

16. الفرق بين التوجيه والتصفية

التوجيه يحدد الطريق الذي تسلكه البيانات بين الشبكات، بينما التصفية تحدد ما إذا كان التدفق مسموحًا.

قد تكون VLANs منفصلة ولكن المرور بينها متاح عبر التوجيه؛ لذا اختبر سياسة الوصول وليس مجرد اختلاف عناوين IP.

17. ما المقصود بجدار حماية ذي حالة Stateful؟

يمكن للجدار ذي الحالة متابعة سياق الاتصالات وتقييم الحزم ضمن جلساتها بدل التعامل مع كل حزمة بصورة معزولة.

هذه الخاصية تساعد في إدارة الاتصال المسموح والردود التابعة له، لكنها لا تعني تلقائيًا اكتشاف كل تهديد أو إصلاح ضعف التطبيق.

18. ترتيب القواعد والاستثناءات

قد تؤدي قاعدة سماح عامة موضوعة في ترتيب غير مناسب إلى تجاوز سياسة منع أكثر تحديدًا. يختلف منطق معالجة القواعد بحسب المنصة.

راجع ترتيب السياسات والواجهات التي تُطبق عليها، ووثق سبب كل استثناء ومن اعتمده.

19. خدمات DNS وDHCP والوقت

تعتمد الشبكات المقسمة على خدمات مشتركة مثل DNS وDHCP وأحيانًا مزامنة الوقت. يجب السماح بالاتصالات اللازمة دون فتح الوصول الكامل إلى الخوادم الداخلية.

يمكن أن يؤدي إغلاق هذه الخدمات بصورة خاطئة إلى توقف الأنظمة رغم أن مشكلة الجدار الناري تبدو غير واضحة للمستخدم.

20. ضرورة تضمين IPv6 في السياسة

عندما تعمل IPv6 في الشبكة، يجب مراجعة قواعدها ومساراتها إلى جانب IPv4. الاكتفاء بتصفية بروتوكول واحد قد يترك اتصالات غير مقصودة متاحة.

تأكد من مطابقة أهداف العزل في البروتوكولين، مع اختبار الخدمات المعنية فعلًا.

21. التعامل مع الأجهزة القديمة

قد تعتمد بعض الأنظمة القديمة على منافذ أو بروتوكولات يصعب تغييرها. لا تجعل ذلك مبررًا لفتح الشبكة كاملة.

يمكن دراسة عزل إضافي أو مسارات محددة، مع تقييم مخاطر استمرار استخدام الأجهزة غير المدعومة.

22. تأمين واجهات إدارة الأجهزة

ينبغي تقييد الوصول الإداري إلى الجدار الناري والسويتشات وأجهزة التوجيه للأشخاص والأجهزة المخولة.

استخدم وسائل مصادقة مناسبة وراجع الحسابات ذات الصلاحيات المرتفعة، ولا تسمح للشبكات العامة بالوصول إلى صفحات الإدارة.

23. أثر Firewall على أداء الشبكة

يعتمد الأداء على قدرة الجهاز وعدد الجلسات ومعدلات المرور والخصائص الأمنية المفعلة. الرقم التسويقي للسرعة وحده قد لا يمثل الأداء تحت إعدادات العمل الفعلية.

قيّم السعة بناء على حمل الشركة ومتطلبات فحص الحركة والزيادات المتوقعة.

24. التسجيل والمراقبة التشغيلية

يمكن لسجلات الجدار الناري أن تساعد في تشخيص الاتصالات المرفوضة والمشكلات التشغيلية وبعض الأنشطة غير المعتادة.

حدد سياسة للاحتفاظ بالسجلات والوصول إليها بما يلائم متطلبات العمل والأنظمة ذات الصلة. لا تجمع بيانات بلا غرض واضح.

25. اختبارات القبول بعد التقسيم

اختبر الاتصالات المسموحة والممنوعة معًا. نجاح التطبيقات وحده لا يثبت أن الشبكات الحساسة معزولة.

استخدم حالات اختبار معتمدة تشمل مصدر الاتصال ووجهته والبروتوكول والنتيجة المتوقعة، واحتفظ بالنتائج ضمن مستند الاستلام.

26. إدارة التغييرات دون إضعاف الحماية

قد يطلب فريق تطبيق فتح منفذ جديد لحل مشكلة تشغيل. قبل تطبيق الاستثناء، تحقق من الوجهة والسبب ومدته وما إذا كانت هناك طريقة أقل اتساعًا.

وثق الطلب وأثره ونتيجة الاختبار بعد التنفيذ، حتى لا تتراكم قواعد غير معروفة الغرض.

27. التحديثات والدعم الفني

يحتاج جدار الحماية إلى صيانة وتحديثات أمنية ومتابعة حالة الدعم لدى المورد. أما الأجهزة غير المدعومة فقد تتطلب خطة استبدال أو تدابير تقليل مخاطر.

احفظ نسخ إعدادات آمنة قبل التغييرات المهمة، وتحقق من إمكان استعادة الخدمة.

28. أهمية توثيق البنية الأمنية

احتفظ بمخطط الشبكات والمناطق وسياسات الاتصال ومسؤوليات الإدارة وإجراءات طلب التغيير.

يوفر التوثيق مرجعًا عند إضافة الأنظمة أو معالجة الأعطال، ويقلل الاعتماد على معرفة فني واحد.

29. ما العوامل التي تحدد تكلفة المشروع؟

تتأثر التكلفة بعدد الشبكات والأجهزة ومواصفات الجدار الناري والسويتشات، وحجم حركة البيانات، وتعقيد التطبيقات، ومتطلبات الاختبار والترحيل والتوثيق.

لا يمكن إعطاء تكلفة دقيقة قبل تقييم البنية الحالية وما إذا كانت الأجهزة الموجودة تدعم الخصائص المطلوبة.

30. مثال تطبيقي: شركة متعددة الأقسام في الرياض

لنفترض شركة تضم موظفين وخادم تطبيق داخلي ونظام طباعة وأجهزة تشغيل متخصصة. يبدأ الفريق بتحديد الاتصالات الضرورية لكل نظام.

يوضع الموظفون والخادم والأجهزة المتخصصة في نطاقات منفصلة، وتُنشأ قواعد تسمح بالوصول إلى الخدمات المصرح بها فقط. ثم تُختبر وظائف العمل، ويُتحقق من منع الوصول غير المطلوب.

هذا سيناريو تعليمي، وليس وصفًا لتركيب فعلي منفذ لدى عميل.

31. عشرون خطأ شائعًا في Firewall وتقسيم الشبكات

1. افتراض أن VLAN وحدها توفر سياسة أمنية كاملة.
2. تطبيق القواعد دون جرد التطبيقات.
3. السماح لكل الشبكات بالاتصال افتراضيًا.
4. إنشاء قاعدة عامة لإصلاح تطبيق واحد.
5. عدم الفصل بين نطاق المستخدمين والإدارة.
6. تجاهل الأجهزة القديمة عالية المخاطر.
7. إهمال IPv6.
8. نسيان خدمات DNS وDHCP.
9. الاعتماد على رقم السرعة التسويقي للجهاز وحده.
10. تجاهل ترتيب السياسات.
11. عدم توثيق الاستثناءات.
12. إجراء تغيير دون خطة رجوع.
13. اختبار الاتصال المسموح فقط دون الممنوع.
14. ترك حسابات الإدارة غير الضرورية.
15. تأجيل التحديثات الأمنية بلا تقييم.
16. عدم التحقق من مسارات التوجيه البديلة.
17. الاحتفاظ بسجلات دون سياسة واضحة.
18. غياب مخطط للشبكة.
19. اعتبار التقسيم بديلًا لكل وسائل الحماية.
20. تسليم المشروع دون اختبارات اعتماد موثقة.

32. قائمة فحص المشروع

33. خطة تنفيذ وتقويم عملية

التقييم

تحديد الأنظمة والحركة المطلوبة ونقاط الضعف الحالية.

التصميم

صياغة المناطق والسياسات والمخطط الفني، مع مراجعة أثر التقسيم على التطبيقات.

التنفيذ

تطبيق التعديلات وفق خطة انتقال واختبار مناسبة للبيئة التشغيلية.

الاعتماد

تسجيل نتائج اختبار الاتصالات المسموحة والممنوعة ومراجعة الأداء.

التسليم

تقديم المخطط والإعدادات المعتمدة وإجراءات الصيانة والتغيير.

34. الأسئلة الشائعة: 20 سؤالًا

1. هل Firewall يغني عن تقسيم الشبكة؟

لا، ففعالية التحكم تتوقف على مرور الحركة المطلوبة عبر حدود السياسات المناسبة.

2. هل VLAN تمنع الاتصال بين الشبكات تلقائيًا؟

ليست بالضرورة؛ قد تسمح أجهزة التوجيه بالمرور بينها.

3. ما الفائدة من تقسيم شبكة الشركة؟

تقليل الوصول غير الضروري وتحسين السيطرة على الاتصالات.

4. هل يحتاج كل قسم VLAN مستقلة؟

ليس دائمًا؛ يعتمد على الحساسية والاحتياجات التشغيلية.

5. هل يمكن حماية الخوادم الداخلية؟

نعم عبر مناطق وسياسات وصول مناسبة.

6. هل أنظمة الطباعة تحتاج قواعد منفصلة؟

يمكن تقييدها إلى أجهزة وخدمات محددة.

7. هل يمكن عزل أجهزة IoT؟

نعم، بعد تحديد خدماتها المطلوبة.

8. هل التقسيم يمنع جميع الهجمات؟

لا، هو جزء من منظومة حماية متعددة.

9. هل كل راوتر يدعم سياسات Firewall مؤسسية؟

لا، يجب مراجعة المواصفات الفعلية.

10. ما معنى أقل صلاحية؟

منح الاتصال المطلوب فقط بدل الوصول العام.

11. هل يجب اختبار الاتصالات الممنوعة؟

نعم، فهي جزء أساسي من اعتماد العزل.

12. هل يؤثر Firewall في السرعة؟

يعتمد على القدرة والحمل والخصائص المفعلة.

13. لماذا نراجع DNS؟

لأن تعطل حل الأسماء قد يوقف التطبيقات.

14. هل IPv6 مهم؟

نعم عند تشغيله.

15. كيف نراجع الاستثناءات؟

بتوثيق سبب كل استثناء ووجهته وصاحب الموافقة.

16. هل يلزم تحديث جدار الحماية؟

نعم وفق دورة الصيانة وتقييم المخاطر.

17. هل يمكن تقسيم شبكة قائمة دون إيقاف؟

يعتمد على التصميم والتغييرات المطلوبة وخطة الانتقال.

18. ما البيانات اللازمة للتسعير؟

الأجهزة والتطبيقات وحركة البيانات وعدد المواقع والمتطلبات.

19. هل التوثيق ضروري؟

نعم للتشغيل والتدقيق والتغييرات اللاحقة.

20. من أين تبدأ الشركة؟

من جرد الأنظمة ورسم التدفقات ومراجعة قدرات الأجهزة الحالية.

35. الخلاصة: حماية الشبكة تبدأ من التصميم

تقسيم الشبكات لا يعني إنشاء VLAN كثيرة لمجرد التنظيم، كما أن شراء جدار حماية متقدم لا يضمن الأمان إذا كانت القواعد غير واضحة أو تسمح بمرور غير مطلوب.

ابدأ بتحديد التطبيقات وتدفقاتها، ثم ضع حدودًا بين المناطق ذات المتطلبات المختلفة، وطبق سياسات مدروسة واختبرها بصورة عملية. يجب أن يظل التصميم قابلًا للإدارة والتوثيق والتطوير.

للتعرف على حلول الاتصال والأجهزة ذات الصلة، يمكن زيارة الموقع الرسمي لبوابة المستقبل للشبكات. ينبغي التحقق من مواصفات كل جهاز قبل اعتباره مناسبًا لتقسيم شبكات الشركات.