تقسيم الشبكة: كيف تمنع حاسوبًا مصابًا واحدًا من الوصول إلى كل شيء

في أغلب المكاتب، يرى هاتف الضيف خادم المحاسبة، وترى كاميرا المراقبة جهاز النسخ الاحتياطي. دليل عملي لتقسيم شبكة شركة صغيرة أو متوسطة إلى مناطق، وكتابة القواعد بينها، والبدء دون إيقاف العمل.

في معظم المكاتب التي نزورها، الشبكة مسطّحة: موجّه واحد من مزوّد الإنترنت، ومبدّل أو اثنان، وكل جهاز متصل يرى كل جهاز آخر. حاسوب المحاسبة، وهاتف الضيف المتصل بشبكة Wi-Fi، والطابعة، وكاميرات المراقبة، والخادم الذي يحمل قاعدة بيانات العملاء، وجهاز النسخ الاحتياطي — كلها في الغرفة نفسها، بلا أبواب بينها. هذا مريح إلى أن يفتح موظف مرفقًا خبيثًا. عندها لا يبقى الضرر في حاسوب واحد؛ يتنقّل برنامج الفدية من جهاز إلى آخر حتى يصل إلى الخادم، ثم إلى النسخ الاحتياطية نفسها. تقسيم الشبكة لا يمنع الإصابة الأولى، لكنه يحدد إلى أين تستطيع أن تصل بعدها، وهذا غالبًا هو الفرق بين يوم عمل ضائع وأسبوعين من إعادة بناء كل شيء.

لماذا الشبكة المسطّحة أخطر مما تبدو

الهجمات الحديثة نادرًا ما تبدأ من الهدف الحقيقي. تبدأ من أضعف نقطة متصلة: حاسوب لم يُحدَّث، أو كاميرا بكلمة مرور المصنع، أو جهاز شخصي أحضره موظف. ما يفعله المهاجم بعد ذلك يسمى «الحركة الجانبية»: البحث عن الأجهزة الأخرى في الشبكة، وتجربة كلمات المرور المسروقة عليها، والانتقال خطوة خطوة نحو ما يهمه. في الشبكة المسطّحة هذه الحركة لا تحتاج أي مهارة، لأن كل الطرق مفتوحة. وفي الشبكة المقسّمة كل انتقال بين منطقتين يمر عبر قاعدة جدار ناري يمكن أن ترفضه، ويمكن أن تسجّله، ويمكن أن يُطلق تنبيهًا.

المناطق التي تحتاجها معظم الشركات

لا تحتاج شركة متوسطة إلى عشرين منطقة. خمس أو ست مناطق مبنية على سؤال واحد — من يحتاج فعلًا أن يتحدث مع من؟ — تغطي معظم المخاطر.

لاحظ أن منطقة الأجهزة هي غالبًا الأخطر والأكثر إهمالًا. الكاميرات وأجهزة البصمة تعمل سنوات بلا تحديث، وكثير منها يتصل بخدمات سحابية لا تعرف عنها شيئًا. مكانها الطبيعي معزول عن كل ما يحمل بيانات.

VLAN وحدها ليست حماية

أول خطوة تقنية عادة هي إنشاء شبكات افتراضية منفصلة (VLAN) على المبدّل، لكل منطقة شبكة. هذا يفصل حركة البيانات، لكنه لا يمنع شيئًا بحد ذاته: إذا كان الموجّه بين هذه الشبكات يمرّر كل شيء إلى كل شيء، فلديك شبكة مسطّحة بأرقام مختلفة. الحماية الفعلية في قواعد الجدار الناري بين المناطق، وقاعدتها الأساسية هي نفسها في كل مكان: المنع افتراضيًا، والسماح عن قصد. اكتب لكل منطقة ما تحتاجه بالضبط — من أين، وإلى أين، وعلى أي منفذ — وارفض ما عدا ذلك. وهنا تظهر حدود الموجّه المنزلي الذي يأتي مع اشتراك الإنترنت: معظمه لا يدعم قواعد بين الشبكات، وبعضه لا يدعم VLAN أصلًا. جدار ناري مخصص بسعر معقول، أو موجّه يعمل بنظام مفتوح مثل pfSense أو OPNsense، استثمار صغير مقارنة بما يحميه.

اعزل النسخ الاحتياطية وواجهات الإدارة أولًا

إن لم يكن لديك وقت إلا لخطوتين، فهاتان. برامج الفدية الحديثة تبحث عن النسخ الاحتياطية قبل أن تبدأ التشفير، لأن الشركة التي تملك نسخة سليمة لا تدفع. إذا كان جهاز النسخ مجلدًا مشتركًا يستطيع أي حاسوب في الشبكة الكتابة عليه، فهو سيُشفَّر مع كل شيء آخر. اجعل جهاز النسخ هو من يسحب البيانات من الخوادم، لا الخوادم من تدفعها إليه، واحتفظ بنسخة واحدة على الأقل خارج الشبكة تمامًا أو غير قابلة للتعديل.

وواجهات الإدارة — صفحة إعدادات الموجّه، وإدارة الخوادم عن بُعد، ولوحة تحكم الكاميرات — هي مفاتيح المبنى كله. لا يجب أن تكون متاحة من شبكة الموظفين العامة، ولا من الإنترنت بالتأكيد. ضعها في منطقة إدارة لا يصل إليها إلا جهاز مسؤول الشبكة، ويُفضّل عبر VPN مع تحقق متعدد العوامل.

الوصول عن بُعد يدخل إلى منطقة، لا إلى الشبكة كلها

الخطأ الشائع في إعداد VPN هو أن الموظف المتصل من المنزل يحصل على وصول كامل إلى الشبكة الداخلية، كأنه جالس في المكتب — وحاسوبه المنزلي أقل حماية بكثير من حاسوب المكتب. عامل مستخدمي الوصول عن بُعد كمنطقة مستقلة، وامنح كل مجموعة ما تحتاجه فقط: موظف المبيعات يصل إلى نظام إدارة العملاء، والمحاسب إلى نظام المحاسبة، والمورّد الخارجي الذي يصون نظامًا واحدًا يصل إلى ذلك النظام وحده وفي أوقات محددة. وهذا بالضبط ما يقصده مبدأ «الثقة المعدومة» عمليًا.

المبدأ نفسه في السحابة

إذا كانت خوادمك لدى مزوّد سحابي، فالتقسيم لا يختفي بل يتغير شكله. الشبكات الفرعية الخاصة، ومجموعات الأمان، وقواعد الجدار الناري لكل خادم، هي VLAN والجدار الناري في نسختها السحابية. القاعدة الأهم هنا: قاعدة البيانات لا يجب أن يكون لها عنوان عام إطلاقًا. يصل إليها خادم التطبيق فقط، ويدير المسؤول الخوادم عبر خادم عبور أو VPN، لا عبر منفذ SSH مفتوح للعالم. ومن أكثر ما نراه في مراجعاتنا: قاعدة بيانات أو لوحة تحكم فُتحت للإنترنت «مؤقتًا» أثناء الإعداد، ولم تُغلق.

كيف تبدأ دون إيقاف العمل

أكبر خوف عند التقسيم هو أن يتوقف شيء لم يتوقعه أحد: نظام البصمة لا يرسل الحضور، أو الطابعة تختفي، أو برنامج المحاسبة لا يجد قاعدة بياناته. الطريقة الآمنة تدريجية. ابدأ بجرد الأجهزة وتسجيل الاتصالات الفعلية بينها لأسبوع أو أسبوعين، فتعرف من يتحدث مع من قبل أن تكتب قاعدة واحدة. ثم ابدأ بالأسهل والأوضح أثرًا: افصل شبكة الضيوف، ثم الأجهزة والكاميرات. بعدها ضع الخوادم في منطقتها مع قواعد تسمح بما رأيته في السجلات فقط، وشغّل القواعد الجديدة في وضع التسجيل قبل المنع إن كان جهازك يدعم ذلك. وأخيرًا اعزل الإدارة والنسخ الاحتياطي. نفّذ كل مرحلة في نهاية أسبوع أو بعد ساعات الدوام، ومع خطة تراجع مكتوبة.

اختبر ما بنيته

قواعد الجدار الناري المكتوبة ليست دليلًا على أنها تعمل. خذ حاسوبًا محمولًا وصِله بكل منطقة على حدة، وجرّب أن تصل منه إلى ما لا يجب أن يصل إليه: من شبكة الضيوف إلى الخادم، ومن منطقة الأجهزة إلى حاسوب المحاسبة، ومن حاسوب موظف عادي إلى صفحة إعدادات الموجّه. أي محاولة تنجح هي ثغرة في التقسيم. أعد هذا الاختبار بعد كل تغيير كبير في الشبكة، وأضفه إلى نطاق أمن الشبكات واختبار الاختراق" class="art-internal-link">اختبار الاختراق السنوي.

الخطأ الذي ترتكبه أغلب الشركات ليس رفض التقسيم، بل تأجيله إلى «حين نجدد الشبكة». لكن البدء لا يحتاج تجديدًا: فصل شبكة الضيوف والكاميرات عن بقية المكتب يمكن إنجازه في يوم واحد، ويغلق بابين من أكثر الأبواب استخدامًا.