نمت شبكات كثير من المؤسسات كما ينمو البيت: غرفة تُضاف هنا وكابل يُمدّ هناك. وبعد سنوات يجلس حاسوب المحاسبة وجهاز تسجيل الكاميرات وشبكة الضيوف وخادم قاعدة البيانات على شبكة واحدة مسطحة، وكلها قادرة على الوصول إلى بعضها. كل شيء يعمل، ولهذا السبب بالذات لا يتساءل أحد عن هذا الوضع.
تظهر المشكلة يوم يحدث خلل ما. يكفي حاسوب محمول مصاب واحد، أو كلمة مرور مسروقة، أو جهاز مقاول غير محكوم للوصول إلى كل ما عداه. يشرح هذا المقال تقسيم الشبكة (Network Segmentation) بلغة بسيطة، ولماذا يسأل عنه المدققون دائمًا، وكيف يمكن تطبيقه خطوة بخطوة دون تعطيل العمل.
ما المقصود بتقسيم الشبكة
التقسيم يعني تجزئة الشبكة الكبيرة إلى مناطق أصغر والتحكم فيما يمرّ بينها. والتشبيه المفيد هو مبنى تفصل بين أقسامه أبواب مقفلة بدلًا من قاعة واحدة مفتوحة؛ فالزائر الذي يدخل من الباب الأمامي لا يستطيع الوصول إلى قسم المالية أو غرفة الخوادم.
من الناحية التقنية تُبنى المناطق عادةً باستخدام VLAN (شبكات منطقية منفصلة على المحولات نفسها)، وتُفرض القواعد بجدار حماية أو بمحوّل من الطبقة الثالثة. تتدفق الحركة بحرية داخل المنطقة الواحدة، أما بين المناطق فلا يُسمح بها إلا بقاعدة صريحة، ويُرفض كل ما سواها.
لماذا تفشل الشبكات المسطحة
للشبكة المسطحة ثلاث نقاط ضعف تتكرر:
- المهاجم يتحرك جانبيًا. معظم الاختراقات لا تبدأ من النظام الثمين، بل من جهاز مستخدم عادي ثم تنتشر. وفي الشبكة المسطحة لا شيء يوقف هذا الانتشار.
- الأعطال تنتشر أيضًا. قد يبطئ كابل مُحلَّق أو جهاز مُهيَّأ خطأً أو عاصفة بث في ركن واحد الشبكة كلها، وهذا مؤلم خصوصًا على الروابط المحدودة أصلًا.
- لا أحد يستطيع إثبات من يتصل بمن. عندما يسأل المدقق أي الأنظمة تستطيع الوصول إلى قاعدة بيانات النظام المصرفي أو خادم سجلات المرضى، فإن جواب الشبكة المسطحة الوحيد هو: جميعها.
لا يفرض المدققون والجهات الرقابية منتجًا بعينه، لكنهم يتوقعون أن تُظهر عزل الأنظمة الحساسة، وأن تكون القواعد بين المناطق مقصودة وموثّقة ومراجَعة.
مناطق مقترحة للبدء
لا يوجد تصميم واحد يناسب الجميع، لكن معظم المؤسسات تستطيع البدء بمجموعة صغيرة من المناطق:
| المنطقة | ما يوجد فيها | القاعدة المعتادة |
|---|---|---|
| المستخدمون | حواسيب الموظفين | الوصول إلى التطبيقات المعتمدة والإنترنت عبر جدار الحماية |
| الخوادم | خوادم التطبيقات والملفات | قبول المنافذ التي يحتاجها مستخدموها فقط |
| البيانات الحرجة | قواعد البيانات والسجلات المالية وسجلات المرضى أو العملاء | الوصول من خوادم التطبيقات المحددة ومحطات الإدارة فقط |
| الإدارة | واجهات إدارة المحولات وجدران الحماية والخوادم | الوصول من مجموعة صغيرة من المشرفين فقط |
| الضيوف والأجهزة الشخصية | أجهزة الزوار والأجهزة الخاصة | الإنترنت فقط دون الوصول إلى الأنظمة الداخلية |
| الكاميرات وإنترنت الأشياء | المراقبة وأجهزة التحكم بالأبواب والطابعات والحساسات | التخاطب مع جهاز التسجيل أو المتحكم الخاص بها فقط |
| الشبكات التشغيلية (OT) | أنظمة التحكم الصناعي إن وُجدت | فصل صارم عن شبكة المكاتب |
سبع مناطق تكفي في المرحلة الأولى. قاوم إغراء إنشاء عشرات المناطق، فكل منطقة تعني مجموعة قواعد يجب أن يصونها أحد.
قواعد تجعل التقسيم حقيقيًا
رسم المناطق وحده لا يفيد إن سمح جدار الحماية بكل شيء بينها. وهذه مبادئ أهم من أي اختيار لمنتج:
- الرفض افتراضيًا. احجب الحركة بين المناطق ما لم تسمح بها قاعدة صريحة.
- أقل صلاحية ممكنة. اسمح لمصدر محدد بالوصول إلى وجهة محددة عبر منفذ محدد، لا "أي مصدر إلى أي وجهة".
- سمِّ كل قاعدة. لكل قاعدة مالك وسبب مكتوب؛ فالقواعد التي لا يستطيع أحد تفسيرها أول ما يسأل عنه المدقق.
- افصل حركة الإدارة. ينبغي أن يأتي الوصول الإداري إلى المعدات من منطقة إدارة مخصصة، ويفضل مع المصادقة متعددة العوامل.
- سجّل الحدود. الاتصالات المرفوضة وغير المعتادة بين المناطق إشارات قيّمة. أرسل سجلات جدار الحماية إلى مكان مركزي يراجعه شخص فعلًا.
اعتبارات للمواقع المتعددة والبيئات غير المستقرة
كثيرًا ما تشغّل المؤسسات الليبية عدة فروع أو مستودعات أو مواقع ميدانية مرتبطة بروابط متفاوتة الجودة وبكهرباء لا يمكن اعتبارها مضمونة دائمًا، وهذا يؤثر في التصميم:
- استخدم نموذج المناطق نفسه في كل موقع. يجب أن يتبع الفرع التخطيط نفسه المتّبع في المقر الرئيسي، حتى لا يضطر الموظفون والمهندسون إلى تعلّمه من جديد في كل موقع.
- أبقِ الأساسيات محلية. إن انقطع الرابط مع المقر الرئيسي فينبغي أن يظل الفرع قادرًا على الطباعة والمصادقة واستخدام الخدمات المحلية. حدّد الوظائف التي يجب أن تصمد أمام انقطاع الرابط قبل تمرير الحركة عبر جدار حماية مركزي.
- احمِ جدار الحماية نفسه. التصميم الذي يعتمد على جدار حماية واحد يحتاج إلى أن يكون هذا الجهاز مكررًا ومزوّدًا بطاقة محمية، وإلا أنشأت نقطة فشل وحيدة. راجع ملاحظاتنا حول تصميم الشبكات المرنة.
- أمّن الأنفاق بين المواقع. ينبغي أن تنتهي الأنفاق المشفّرة بين المواقع في منطقة مضبوطة، لا مباشرة على شبكة المستخدمين.
خطة تدريجية لا توقف العمل
يفشل التقسيم حين يُنفَّذ دفعة واحدة في عطلة نهاية أسبوع. والتسلسل الأكثر أمانًا هو:
- ارسم الوضع القائم. أحصِ الأجهزة والأنظمة ومن يحتاج الوصول إلى ماذا. المخطط الحديث للشبكة أساس كل ما يليه.
- حدّد المناطق وأصحابها. اتفق مع الإدارة على قائمة المناطق، وسمِّ مسؤولًا عن كل منطقة.
- ابدأ بالمكاسب السهلة. اعزل شبكة الضيوف أولًا ثم الكاميرات والطابعات؛ فمخاطرها على العمل أقل ما يمكن وفائدتها فورية.
- احمِ الأصول الأهم. انقل قواعد البيانات والسجلات الحساسة إلى منطقة مستقلة، واسمح فقط لخوادم التطبيقات التي تحتاجها.
- جرّب بوضع المراقبة أولًا. قبل فرض قاعدة الرفض، سجّل ما كانت ستحجبه لأسبوعين تقريبًا؛ فهذا يكشف الاعتماديات المنسية دون التسبب في انقطاع.
- افرض ووثّق. حوّل القواعد إلى وضع الفرض، وسجّل مالك كل قاعدة وغرضها، وحدّث المخطط.
- راجع بانتظام. أعد فحص القواعد مرتين في السنة على الأقل وبعد أي مشروع كبير، وأزل قواعد الأنظمة التي لم تعد موجودة.
قائمة تحقق قبل التدقيق القادم
- مخطط حديث يبيّن المناطق وجدران الحماية والروابط بين المواقع
- أجهزة الضيوف والكاميرات وإنترنت الأشياء معزولة عن شبكتي المستخدمين والخوادم
- قواعد البيانات والسجلات الحساسة في منطقة مخصصة بوصول مقيّد
- رفض افتراضي بين المناطق مع توثيق كل استثناء
- الوصول الإداري محصور في منطقة الإدارة
- سجلات جدار الحماية مجمّعة مركزيًا ومراجَعة
- سجل مؤرَّخ لآخر مراجعة للقواعد
من أين تبدأ
إن لم تستطع إنجاز سوى أمر واحد هذا الشهر، فاعزل حركة الضيوف والكاميرات عن كل شيء آخر واكتب المخطط. هاتان الخطوتان قليلتا التكلفة ومنخفضتا المخاطر، وتمنحانك ما تعرضه على المدقق.
يصمم مهندسونا التقسيم وينفذونه ضمن مشاريع الأمن السيبراني والبنية التحتية للشبكات للمصارف وشركات الطاقة والجهات العامة وغيرها من المؤسسات متعددة المواقع، بدعم من المراقبة والدعم على مدار الساعة. هل تخطط لمشروع تقسيم؟ أخبرنا بما تحتاجه وسيرد عليك مهندس بخطة.