أصبحت الشبكة المحلية لشركتك بمثابة قلب كل ما تقوم به تقريباً.الوصول إلى التطبيقات، والملفات المشتركة، والخدمات السحابية، ومكالمات الفيديو، والطابعات، وإنترنت الأشياء، Cámaras IP...وبالطبع، نظام التشغيل ويندوز هو النظام المهيمن على أجهزة الكمبيوتر. تكمن المشكلة في أن هذه الشبكة المحلية نفسها أصبحت الآن هدفًا مغريًا لأي مهاجم يتمتع ولو بقدر ضئيل من الخبرة.
لا يكفي مجرد "تثبيت برنامج مكافحة الفيروسات وهذا كل شيء"يتطلب تحسين أمان شركتك باستخدام شبكات ويندوز المحلية (LANs) الجمع بين ممارسات تصميم الشبكة الجيدة، وضوابط الوصول، وحماية المحيط، والتكوين الصحيح لخدمات مايكروسوفت إنتربرايز (المعروفة سابقًا باسم Azure AD)، وأمر غالبًا ما ننساه: الانضباط مع دعم وإدارة بيانات الاعتماد. دعونا نرى، خطوة بخطوة، كيف نؤمّن شبكة محلية حديثة للشركات بشكل حقيقي دون أن نفقد صوابنا في هذه العملية.
ما هي شبكة LAN في بيئة عمل حديثة تعتمد على نظام ويندوز؟
الشبكة المحلية (LAN) هي الشبكة التي تربط الأجهزة في مكتبك أو عبر طوابق متعددة/مبانٍ متجاورة، مما يسمح بمشاركة البيانات والتطبيقات والطابعات والوصول إلى الإنترنت والخدمات السحابية. تتضمن بيئة ويندوز النموذجية أجهزة كمبيوتر شخصية، وخوادم، وطابعات شبكية، وهواتف VoIP، ونقاط وصول Wi-Fi، وكاميرات IP، وعددًا متزايدًا من أجهزة إنترنت الأشياء.
تستخدم معظم شبكات LAN المؤسسية الحالية تقنية الإيثرنت كتقنية أساسية لهايجمع هذا النظام بين كابلات النحاس أو الألياف الضوئية، وفي كثير من الحالات، تقنية الواي فاي (WLAN). عندما تتصل الأجهزة لاسلكيًا، فإننا لا نزال نشير إليها باسم الشبكة المحلية، ولكن وفقًا لمعيار IEEE 802.11، مع كل المخاطر الإضافية للاتصال اللاسلكي.
في الشركات المتوسطة والكبيرة، من الشائع ألا تكون الشبكة المحلية عبارة عن "حساء مسطح" واحد.
يتم نشر العديد من الشبكات الفرعية وشبكات VLAN لفصل الأقسام والخدمات الحيوية (الخوادم، ووحدات التحكم في المجال، والكاميرات، وهواتف IP ...) ومناطق الضيوف، ويتم استخدام أجهزة التوجيه والمحولات المُدارة للتحكم في تدفق حركة المرور وفرض سياسات الأمان.
المكونات الرئيسية للشبكة المحلية وكيفية تأثيرها على الأمن
يعتمد أمان شبكتك المحلية في نظام التشغيل ويندوز على كل من الأجهزة والتكوين.هذه هي العناصر الأساسية التي يجب أن تكون تحت سيطرتك ومُهيأة بشكل جيد لتجنب ترك الأبواب مفتوحة للمهاجمين الداخليين أو الخارجيين.
- الكابلات والوسائط الماديةلا تقتصر مشكلة الكابلات القديمة (من الفئة 5/5e للمسافات الطويلة) على الحد من السرعة فحسب، بل قد تتسبب أيضًا في أخطاء في الإرسال وانقطاع الاتصال، مما يخفي مشكلات أمنية أو يعيق المراقبة. يؤدي الانتقال إلى الفئة 6 أو 6A أو أعلى إلى تحسين الأداء والاستقرار وتقليل الاختناقات في القطاعات الحيوية.
- مفاتيح كهربائيةهذه هي الأجهزة التي تربط جميع المعدات على الشبكة المحلية. يتيح لك المحول المُدار المُهيأ جيدًا إنشاء شبكات VLAN، وتطبيق جودة الخدمة (QoS)، وتحديد المنافذ، واكتشاف الحلقات، وتفعيل مصادقة 802.1X، وغير ذلك. أما المحول الرخيص غير المُدار فيعني تحكمًا أقل في الأجهزة المتصلة به وحركة البيانات التي تمر عبره.
- أجهزة التوجيه وجدران الحمايةعادةً ما يكون جهاز التوجيه (الراوتر) بوابة الإنترنت، وغالبًا ما يتضمن وظائف جدار الحماية. بالنسبة للشركات، يُعدّ الحل الأمثل هو وجود جدار حماية مخصص (مادي أو افتراضي) يفصل بوضوح الشبكة المحلية الداخلية عن الإنترنت، ويحدد المنافذ المتاحة، ويُطبّق فحص حركة البيانات وتصفية المحتوى.
- نقاط الوصول إلى شبكة الواي فاي (WAP)هذه هي نقطة الدخول للهواتف المحمولة وأجهزة الكمبيوتر المحمولة وأجهزة إنترنت الأشياء. يجب تهيئتها بتشفير قوي (WPA2-Enterprise أو WPA3)، ومصادقة مركزية، وشبكات ضيوف منفصلة، وإذا أمكن، التكامل مع سياسات الوصول المشروط لـ Microsoft Entra.
- الجسور وأجهزة إعادة الإرسالتعمل الجسور وموسعات نطاق الواي فاي ومكررات الإشارة على توسيع نطاق الشبكة، ولكن في حال سوء تكوينها، قد تُنشئ قطاعات وهمية غير مُراقبة. لذا، من الضروري أن تحترم هذه الأجهزة مبدأ تقسيم الشبكة وأن تتبع نفس سياسات الأمان المطبقة على باقي مكونات الشبكة المحلية.
- خوادم ويندوز ووحدات تحكم المجالتُركز خوادم الملفات، وخاصةً وحدات تحكم مجال Active Directory، بيانات الاعتماد وسياسات المجموعة والبيانات الحساسة. فإذا تمكن شخص ما من الوصول إلى وحدة تحكم المجال عبر بروتوكول سطح المكتب البعيد (RDP) باستخدام بيانات اعتماد ضعيفة، فبإمكانه السيطرة الكاملة على المؤسسة.
- أجهزة كمبيوتر العملاء التي تعمل بنظام التشغيل ويندوزإنها حلقة الوصل التي تتداخل فيها العوامل التقنية والبشرية بشكل كبير. الأنظمة القديمةتُعدّ برامج التشغيل القديمة، وبرامج مكافحة الفيروسات القديمة، أو المستخدمون الذين يتمتعون بصلاحيات المسؤول المحلي، وصفة مثالية لأي برنامج ضار لتحويل حادث بسيط إلى كارثة.
أنواع الهجمات الشائعة ضد شبكات LAN الخاصة بالشركات
يمكن أن تعاني شبكة LAN الخاصة بالشركات التي تعمل بنظام Windows من أي شيء بدءًا من الهجمات الصاخبة للغاية وحتى عمليات التسلل الخفية. التي تبقى خفية لأشهر. إن فهم أكثر الطرق شيوعاً هو مفتاح تصميم دفاعات فعالة.
- هجمات المسح والاستطلاعيستكشف المهاجم الأجهزة المتصلة بالشبكة، والمنافذ المفتوحة، والخدمات المكشوفة. وقد يستخدم تقنيات مسح بروتوكول TCP، ومسح المنافذ، وتجزئة الحزم لمحاولة تجاوز بعض المرشحات. ورغم أن هذه الهجمات تبدو "غير ضارة" في البداية، إلا أنها مجرد مرحلة تمهيدية للاستغلال الفعلي.
- التجسس على حركة المرور والتنصت عليهاباستخدام جهاز متصل بمنفذ محول غير مُهيأ بشكل صحيح، أو باستغلال شبكة واي فاي مفتوحة أو ضعيفة الحماية، يستطيع المهاجم التقاط حركة مرور الشبكة المحلية، ومراقبة بيانات الاعتماد غير المشفرة (في حال عدم استخدام بروتوكول TLS)، والجلسات، والعناوين الداخلية، وأنماط السلوك. وفي وضع "التجسس"، يمكنه أيضاً التلاعب بالبيانات أو استخراجها لاستخدامها لاحقاً.
- البرامج الضارة وهجمات التعديل أو التلفتستغل برامج الفدية، وبرامج التجسس، والديدان أنظمة ويندوز القديمة، والحسابات ذات الصلاحيات المفرطة، ونقص تجزئة الشبكة لتشفير الملفات، وسرقة البيانات، أو التلاعب بالمعلومات الحساسة. وتتيح هجمات مثل التلاعب بالبيانات للمهاجمين تغيير السجلات المحاسبية، وقواعد البيانات، أو كشوف الرواتب دون اكتشافها فورًا.
- سرقة كلمات المرور (اختراق كلمات المرور)إذا كانت كلمات مرور النطاق ضعيفة أو مُعاد استخدامها عبر الأنظمة، فيمكن اختراقها بسرعة باستخدام هجمات القوة الغاشمة أو هجمات القاموس. كما يبحث المهاجمون عن تجزئات كلمات المرور على وحدات تحكم النطاق أو محطات العمل المخترقة لتنفيذ هجمات تمرير التجزئة. استخدم برامج إدارة كلمات المرور مثل مديري كلمات المرور لتقليل إعادة الاستخدام وتسهيل الحصول على بيانات اعتماد فريدة لكل خدمة.
- انتحال نظام أسماء النطاقات (DNS) وعمليات إعادة التوجيه الخبيثةيُتيح لك تسميم نظام أسماء النطاقات الداخلي أو الخارجي إعادة توجيه المستخدمين إلى مواقع ويب مزيفة حتى لو أدخلوا عنوان URL الصحيح. ويمكن استغلال ذلك لسرقة بيانات الاعتماد، أو نشر البرامج الضارة، أو انتحال صفة تطبيقات الشركات.
أفضل الممارسات الأساسية لتأمين شبكة محلية تعمل بنظام ويندوز
تتمثل نقطة البداية لتأمين شبكتك المحلية في تطبيق إجراءات واضحة للغاية للنظافة الرقمية. والتي تؤثر على كلمات المرور والتحديثات وتقسيم الشبكة والتحكم في الوصول المادي والمنطقي إلى المعدات.
- سياسة كلمات مرور قويةتتطلب هذه السياسة استخدام كلمات مرور طويلة (12 حرفًا على الأقل) تتضمن أحرفًا كبيرة وصغيرة وأرقامًا ورموزًا، وتتجنب استخدام المعلومات الشخصية الواضحة، وتحدد فترة صلاحية دورية مناسبة. في بيئات ويندوز، يُمكن تطبيق ذلك بسهولة من خلال كائنات نهج المجموعة (GPOs) على النطاق. يُنصح بتعزيز هذه السياسة باستخدام برامج إدارة كلمات المرور مثل [أدخل اسم برنامج إدارة كلمات المرور هنا]. KeepassXC.
- مصادقة قوية والتحقق من الهويةيجمع هذا النظام بين اسم المستخدم وكلمة المرور مع عوامل مصادقة متعددة (MFA)، وعند الاقتضاء، مع استخدام القياسات الحيوية (بصمة الإصبع، والتعرف على الوجه) المدمجة في Windows Hello for Business. وكلما زادت صعوبة انتحال شخصية المستخدم، قلت الخيارات المتاحة للمهاجم لسرقة بيانات اعتماد تسجيل الدخول.
- أنظمة محدثةيُعدّ تحديث نظام التشغيل ويندوز، وبرامج تشغيل الشبكة، والبرامج الثابتة للمحولات، وأجهزة التوجيه، ونقاط الوصول، بالإضافة إلى برامج الخوادم، أمرًا بالغ الأهمية. لا تزال العديد من الهجمات تستغل ثغرات أمنية قديمة تتوفر لها تحديثات منذ شهور أو سنوات. لذا يُنصح بالاستعانة بمزودي الخدمات الذين يقدمون التحديثات وعمليات التدقيق.
- تجزئة الشبكة المحليةليس من المستحسن وضع الشركة بأكملها على شبكة فرعية واحدة. استخدم شبكات VLAN لفصل المستخدمين والخوادم وخدمات VoIP والكاميرات وأجهزة إنترنت الأشياء والضيوف وبيئات الاختبار. هذا يُصعّب على المهاجم الذي اخترق جهازًا واحدًا الانتقال إلى باقي الأجهزة.
- تشفير البيانات الحساسةيفرض هذا النظام استخدام بروتوكول TLS في التطبيقات الداخلية والخارجية (مثل HTTPS وSMTPS وLDAPS وغيرها)، ويحمي الاتصالات عن بُعد باستخدام شبكات VPN قوية، ويستخدم بروتوكولات آمنة لإدارة الأجهزة (مثل SSH بدلاً من Telnet). وهذا يمنع أي برنامج تجسس على الشبكة المحلية من رؤية بيانات الاعتماد أو البيانات النصية.
أمان الثقة الصفرية: حماية الوصول إلى الشبكة باستخدام Microsoft Entra و Global Secure Access
تعتمد فلسفة انعدام الثقة على فكرة بسيطة للغاية.لا تثق تلقائيًا بأي جهاز أو مستخدم أو موقع، حتى لو كان "داخل" الشبكة المحلية. وقد جسدت مايكروسوفت هذا النهج في مبادرتها "مستقبل آمن"، وتحديدًا في ركيزة "الشبكات الآمنة".
بالنسبة للشركات التي تستخدم نظام التشغيل Windows وخدمات Microsoft، Entra (المعروفة سابقًا باسم Azure AD)يترجم هذا إلى إضافة عدة طبقات لحماية الشبكة والوصول: مراقبة مستمرة للجلسات، والتحكم في موقع اتصال المستخدم، ومسار الشبكة الذي يستخدمه، ونوع حركة البيانات التي يُنشئها. وهنا تبرز أهمية ميزات مثل الوصول الآمن العالمي، والوصول الخاص لتسجيل الدخول من مايكروسوفت، وسياسات الوصول المشروط.
قم بتكوين المواقع المسماة في معرف تسجيل الدخول إلى Microsoft يُمكّنك هذا من تحديد الشبكات والفروع والمناطق المؤسسية الموثوقة والشرعية. وبدون هذه التعريفات، يتراجع أداء أنظمة الكشف عن المخاطر القائمة على الموقع بشكل ملحوظ، وتزداد الإنذارات الكاذبة، مما يُصعّب التمييز بين تسجيل دخول عادي للمكتب ومحاولة مشبوهة قادمة من شبكة VPN مجهولة أو من دولة لا تعمل فيها شركتك.
قيود المستأجر الإصدار الثاني (TRv2) تُعدّ هذه الأدوات ركيزة أساسية أخرى: فهي تمنع المستخدمين غير المصرح لهم على شبكتك المحلية وأجهزة الشركة من المصادقة على حسابات Microsoft Entra الخارجية. وبدونها، قد يتمكن شخص ما يمتلك بيانات اعتماد مسروقة من الاتصال بحساب تحت سيطرته وتسريب البيانات عبر OneDrive أو SharePoint أو Teams الخارجية دون أن تكتشفها أدوات منع فقدان البيانات التقليدية.
التقييم الشامل للوصول المستمر والتحكم الدقيق في الجلسات
في بيئات ويندوز المتكاملة مع مايكروسوفت إنترا، من الضروري التحكم في مدة صلاحية رموز الوصول.مع التقييم المستمر للوصول الشامل (Universal CAE)، يتم إعادة التحقق ديناميكيًا من كل اتصال شبكة محمي بواسطة الوصول الآمن العالمي بناءً على الأحداث الحرجة.
إذا لم يتم تمكين Universal CAEيمكن أن يبقى الرمز المسروق صالحًا لمدة تتراوح بين 60 و90 دقيقة حتى بعد أن يقوم المستخدم بتغيير كلمة المرور، أو تعطيل حسابه، أو اكتشاف خطر كبير. وهذا يمنح المهاجمين وقتًا كافيًا للتنقل في الشبكة، والاتصال بالتطبيقات الداخلية، واستخراج البيانات.
تفعيل نظام CAE العالمي في وضع الإنفاذ الصارمأي إلغاء للجلسة، أو إشارة خطر عالية، أو تغيير في حالة المستخدم، يُجبر المستخدم على إعادة المصادقة بشكل فوري تقريبًا. علاوة على ذلك، يتم حظر محاولات إعادة استخدام الرمز المميز من عناوين IP مختلفة بشكل أكثر فعالية، مما يقضي على ثغرة أمنية شائعة في شبكات ويندوز المحلية.
من المهم مراجعة جميع سياسات الوصول المشروط لضمان عدم تعطيل تقنية CAE في بعض أحمال العمل. تقوم بعض الشركات، لأسباب تتعلق بالتوافق، بإنشاء استثناءات تتحول فيما بعد إلى ثغرات دائمة.
عميل الوصول الآمن العالمي: توفير شبكة محلية آمنة لجميع أجهزة الكمبيوتر التي تعمل بنظام ويندوز
لكي تكون حماية الشبكة وفق مبدأ "انعدام الثقة" فعالة، يجب أن تستخدم جميع الأجهزة المُدارة عميل الوصول الآمن العالمي.إذا لم يكن جهاز كمبيوتر يعمل بنظام ويندوز مثبتًا عليه هذا العميل، فيمكن لحركة البيانات الخاصة به أن تذهب مباشرة إلى الإنترنت أو الموارد الداخلية دون المرور عبر ضوابط المحيط أو فحوصات الامتثال.
بدون تثبيت العميل على جميع نقاط النهاية المُدارة يستطيع المهاجمون استغلال هذه الأجهزة "غير المتصلة" للوصول المبدئي، والتنقل داخل الشبكة المحلية، أو استخراج المعلومات. علاوة على ذلك، لا تستفيد هذه الأجهزة من عمليات التحقق من الشبكة في سياسات الوصول المشروط، أو استعادة عنوان IP المصدر، أو قيود المستأجرين.
مع تفعيل العميل، يمكن لأجهزة ويندوز الاتصال بشكل آمن. يتم توفير الوصول إلى تطبيقات SaaS والموارد الداخلية عبر Microsoft Entra Private Access، مع تطبيق سياسات الهوية والشبكة نفسها دائمًا. تتيح لك لوحة تحكم Global Secure Access مراقبة حالة العميل، والتحقق من الاتصال، واتخاذ الإجراءات التصحيحية في حال اكتشاف أي مشكلات.
ومن النقاط الرئيسية الأخرى تراخيص الوصول الآمن العالميلاستخدام Microsoft Entra Internet Access وMicrosoft Entra Private Access، يلزم وجود حساب Microsoft Entra ID P1. إذا لم يكن لدى مؤسستك التراخيص المناسبة أو لم يتم تخصيصها للمستخدمين، فلن يتم توجيه حركة مرورهم عبر Global Secure Access وستبقى غير محمية. يُنصح باستخدام التراخيص الجماعية ومراقبة تواريخ انتهاء الصلاحية لتجنب فقدان التغطية عن غير قصد.
ملفات تعريف توجيه حركة البيانات والتحكم في ما يدخل ويخرج من شبكتك المحلية
توجيه حركة البيانات هو الآلية التي تضمن مرور حركة البيانات عبر الشبكة المحلية (LAN) من خلال طبقات الأمان. من خلال الوصول الآمن العالمي ولا "يهرب" مباشرة عبر بوابة الإنترنت.
تُعرّف مايكروسوفت ثلاثة أنواع من ملفات تعريف إعادة التوجيه.: واحد لحركة مرور Microsoft (M365، Microsoft Entra ID، Graph، SharePoint، Exchange ...)، وآخر للوصول الخاص (الموارد الداخلية) وآخر للوصول العام إلى الإنترنت (الويب العام، SaaS غير التابع لـ Microsoft، إلخ).
إذا لم يتم تفعيل هذه الملفات الشخصيةلا يمكن تطبيق سياسات الأمان، وفلترة المحتوى، والحماية من التهديدات، وCAE. يستطيع أي مجرم إلكتروني يمتلك بيانات اعتماد صالحة الاتصال بمواردك من أي شبكة، دون المرور عبر محيطك الأمني الحديث.
من المهم أيضاً تحديد نطاق كل ملف تعريف بوضوحإذا قمتَ بتعيين خاصية إعادة التوجيه لجميع المستخدمين دون اختبارها أولاً مع مجموعات تجريبية، فقد يؤدي خطأ في التكوين إلى انقطاع الخدمة عن الشركة بأكملها. في المقابل، إذا حددتَ نطاقًا ضيقًا جدًا، فسيعمل المستخدمون خارج نطاق الحماية دون أن يلاحظ أحد ذلك.
وأخيرًا، تحقق من أن حركة مرور Microsoft 365 تتدفق بنشاط عبر Global Secure Access.إذا تم استبعاد بعض حركة المرور هذه (بسبب العملاء القدامى أو التكوينات اليدوية أو الأجهزة التي لا تحتوي على عميل)، فإنك تفقد الرؤية لأحمال العمل الأكثر أهمية للإنتاجية والتعاون، ويصبح من الصعب ربط عناوين IP الحقيقية بعمليات تسجيل الدخول والتنبيهات.
بوابة ويب آمنة، وتصفية المحتوى، وبروتوكول TLS في بيئات ويندوز
لا يقتصر تأمين شبكة LAN المؤسسية التي تعمل بنظام Windows على حظر المنافذ في جدار الحماية فحسب.من الضروري أيضًا فحص حركة مرور HTTP/HTTPS الصادرة، حيث أن معظم التهديدات الحديثة تنتقل مشفرة.
ملف تعريف إعادة توجيه الوصول إلى الإنترنت يُجبر هذا الملف التعريفي طلبات المستخدمين على الإنترنت على المرور عبر بوابة الويب الآمنة (SWG) التابعة لشركة Global Secure Access. في حال عدم تفعيل هذا الملف التعريفي، يمكن للمستخدمين التصفح مباشرةً وتنزيل البرامج الضارة، والاتصال بنطاقات التحكم والسيطرة، أو استخراج البيانات دون أي رقابة مركزية.
تُعدّ توجيهات تصفية محتوى الويب أساس هذا التحكمبدون هذه القواعد، يصبح الوصول إلى أي نوع من المواقع (الخبيثة، والتصيد الاحتيالي، والبرامج المقرصنة، والمحتوى غير اللائق، إلخ) متاحًا. والنهج الأكثر فعالية هو استخدام قواعد مبنية على التصنيفات (البرامج الضارة، والاحتيال، والقرصنة، والنشاط الإجرامي، إلخ)، بدلاً من الاعتماد فقط على قوائم عناوين المواقع الإلكترونية المحددة، والتي سرعان ما تصبح قديمة.
يجب ربط هذه التوجيهات بملفات تعريف الأمان.إذا تم إنشاء هذه الميزات ولكن لم يتم ربطها بأي ملف تعريف أو ملف التعريف المرجعي، فلن يتم تطبيقها على الإطلاق، مما يُولّد شعورًا زائفًا بالأمان. علاوة على ذلك، يسمح التكامل مع الوصول المشروط بتصفية أكثر صرامة عند اكتشاف مخاطر أعلى (على سبيل المثال، إذا كان الجهاز غير متوافق أو قام المستخدم بتسجيل الدخول من موقع غير معتاد).
يُعد فحص TLS عنصرًا بالغ الأهميةبما أن معظم حركة مرور الإنترنت مشفرة، فإذا لم يتم فك تشفير جلسات HTTPS عند نقطة تحكم، ستتوقف العديد من ميزات التصفية ومنع فقدان البيانات واكتشاف التهديدات عن العمل. ويتم ذلك باستخدام شهادة مرجع مصدق وسيطة تُنشئ شهادات ديناميكيًا للمواقع التي تتصل بها أجهزة الكمبيوتر التي تعمل بنظام Windows.
توخ الحذر عند التعامل مع استثناءات بروتوكول أمان طبقة النقل (TLS) وإدارة الشهادات.
إن فحص TLS ليس حالة "ضبطها مرة واحدة ونسيانها".هناك نقطتان حساسيتان بشكل خاص: قواعد التجاوز وانتهاء صلاحية شهادة الفحص.
قواعد تجاوز بروتوكول TLS تتيح لك هذه الميزة استبعاد نطاقات أو تطبيقات معينة لا تدعم الفحص (على سبيل المثال، الخدمات التي تستخدم تثبيت الشهادات أو بروتوكول TLS المتبادل). تكمن المشكلة في تراكم هذه الاستثناءات بمرور الوقت، وتوقف فحصها، لتصبح نقاط ضعف يستغلها المهاجمون عمدًا لاختراق اتصالاتهم والتحكم بها.
يُنصح بمراجعة قواعد التجاوز بشكل دوري قم بإزالة أي وجهات زائدة أو مكررة موجودة بالفعل في قائمة التجاوز الخاصة بالنظام. يحدّ نظام الوصول الآمن العالمي من عدد القواعد والوجهات لكل مستخدم، لذا فإن الحفاظ على التكوين نظيفًا وآمنًا يُسهّل الإدارة.
بخصوص شهادة فحص TLSعند انتهاء صلاحية الشهادة، يتوقف إنهاء بروتوكول TLS فورًا. تفقد بذلك خاصية تصفية عناوين URL، وكشف التهديدات، وأي تحكم في حركة مرور HTTPS. ومن الشائع أن يحاول المهاجمون توقيت حملاتهم خلال فترات يعلمون فيها أن بعض المؤسسات تخفف من ضوابطها أثناء تجديد الشهادات.
من الأفضل الحفاظ على فترة صلاحية لا تقل عن 90 يومًا قبل تاريخ انتهاء الصلاحية.استخدم شهادات ذات صلاحية لا تقل عن ستة أشهر، وخطط لتجديدها باستخدام بنية المفاتيح العامة (مثل ADCS وOpenSSL). بالإضافة إلى ذلك، راقب معدل أخطاء فحص TLS وحافظ عليه أقل من 1%، لأن المعدلات المرتفعة غالبًا ما تشير إلى مشاكل ثقة هيكلية، أو عدم توافق، أو حتى محاولات متعمدة لإحداث فشل في الفحص.
معلومات التهديدات، وجدار الحماية السحابي، وحماية الفروع
بالإضافة إلى التصفية حسب الفئات، استخدام معلومات التهديدات تُعدّ القوائم الديناميكية للنطاقات وعناوين المواقع الإلكترونية الخبيثة المعروفة ضرورية لحظر الاتصالات بالبنية التحتية النشطة للهجمات. إذا لم تُفعّل هذه الخاصية في الوصول الآمن العالمي، فستتمكن الأجهزة من مواصلة الاتصال بخوادم القيادة والتحكم حتى بعد اكتشافها في طبقات أخرى.
ملف تعريف الأمان الأساسي للوصول الآمن العالمي يوفر حماية عامة للمستأجر بأكمله، ولكن من الجيد إنشاء ملفات تعريف مخصصة مرتبطة بسياسات الوصول المشروط لأخذ السياق في الاعتبار (من هو المستخدم، وما هو الجهاز الذي يتصل منه، ومن أين يتصل، وما إلى ذلك).
للفروع المتصلة عبر أنفاق IPsecيتولى جدار الحماية السحابي لشركة Global Secure Access مسؤولية التحكم في حركة البيانات الصادرة إلى الإنترنت. في حال عدم ضبط سياسات جدار الحماية لهذه الشبكات البعيدة، ستمر جميع بياناتها الصادرة دون أي تصفية على مستوى طبقة الشبكة، مما يسمح للمهاجم الذي يخترق محطة عمل في فرع مكتبي بالاتصال بأي وجهة خارجية دون قيود.
تحديد موقف "الرفض الافتراضي". ثم إن فتح حركة المرور الضرورية فقط من الفروع يقلل بشكل كبير من فرص التسريب والحركة الجانبية إلى بيئات أخرى، مثل السحابة.
منع فقدان البيانات، ونقل الملفات، والحماية باستخدام الذكاء الاصطناعي التوليدي
إحدى أسهل الطرق لاستخراج المعلومات من شبكة محلية (LAN) يتضمن ذلك الاستفادة من خدمات نقل الملفات المشروعة، أو التخزين السحابي، أو حتى تطبيقات الذكاء الاصطناعي التوليدي لتحميل المستندات الحساسة.
سياسات تصفية محتوى الشبكة في الوصول الآمن العالمي يسمح بالمراقبة والتحكم نقل الملفات من خلال المتصفحات والتطبيقات وواجهات برمجة التطبيقات. وبدون هذه السياسات، يمكن لمستخدم خبيث أو حساب مخترق تحميل مستندات سرية أو بيانات اعتماد أو ملكية فكرية إلى خدمات خارجية دون ترك أي أثر تقريبًا على أنظمة نقاط النهاية الخاصة بك.
في مجال الذكاء الاصطناعي، بوابة الذكاء الاصطناعي وحماية الدرع الفوري الخاصة بها إنهم يضيفون طبقة أخرى: فهم يمنعون تطبيقات الذكاء الاصطناعي للمؤسسات من التعرض لهجمات حقن الأوامر (مثل اختراقات الرسائل، والتعليمات الخبيثة المخفية في المحتوى الخارجي، وما إلى ذلك) التي قد تتسبب في تجاهل النموذج للسياسات الداخلية، أو الكشف عن البيانات الداخلية، أو إنشاء محتوى تصيد احتيالي.
قم بتطبيق هذه الضوابط على مستوى الشبكة بدلاً من تطبيقها على كل تطبيق على حدة يضمن ذلك موقفًا متسقًا: فأنت لا تعتمد على كل فريق تطوير لتنفيذ إجراءات أمنية بشكل مستقل ضد الحقن الفوري وفقدان البيانات في حلول الذكاء الاصطناعي الخاصة بهم.
الوصول الآمن العالمي: الوصول المشروط والإشارات القائمة على الشبكة
سياسات الوصول المشروط من مايكروسوفت إنها بمثابة الرابط بين الهوية والشبكة. بالنسبة لشركة ترغب في تحقيق أقصى استفادة من شبكة ويندوز المحلية (LAN)، من الضروري اشتراط مصادقة المستخدمين على موارد الشركة فقط إذا كان مرور بياناتهم يتم عبر نظام الوصول الآمن العالمي (Global Secure Access).
عناصر التحكم "الشبكة المتوافقة" في الوصول المشروط تتيح هذه الإجراءات التحقق من أن المصادقة صادرة من خدمة أمان مايكروسوفت وليس من أي عنوان IP على الإنترنت. وبدون هذه الضوابط، يستطيع المهاجم الذي يسرق بيانات الاعتماد الاتصال من أي مكان، متجاوزًا بذلك فلاتر المحتوى، ومعلومات التهديدات، أو بيئة اختبار المصادقة (CAE).
لافتات الوصول الآمن العالمي للوصول المشروط يحل هذا مشكلة أخرى: فعندما تمر البيانات عبر الخادم الوكيل، يكون عنوان IP المصدر الذي يراه Microsoft Entra ID عادةً هو عنوان الخادم الوكيل، وليس عنوان IP الفعلي للمستخدم. يتيح تفعيل هذه الإشارة إمكانية إضافة معلومات إضافية إلى الطلب، مما يضمن استمرار عمل سياسات تحديد الموقع الجغرافي واكتشاف المخاطر (مثل الرحلات غير الممكنة، وعناوين IP المجهولة، وخصائص تسجيل الدخول غير المعروفة) بشكل صحيح.
إذا لم يتم تفعيل هذه الإشارةلن تُظهر سجلات تسجيل الدخول سوى عناوين IP الخاصة بالوكيل الصادر، مما يعقد أي تحقيق جنائي أو استجابة للحوادث، ويقلل من دقة عمليات الكشف الآلي عن المخاطر.
الوصول الخاص من مايكروسوفت: أدخل: مبدأ الثقة الصفرية للموارد الداخلية
لا تزال العديد من الشركات تعتمد على الشبكات الافتراضية الخاصة التقليدية للوصول إلى مواردها الداخلية (خوادم الملفات، وأنظمة تخطيط موارد المؤسسات، والتطبيقات الداخلية). تسعى خدمة الوصول الخاص من مايكروسوفت "Entra" إلى استبدال هذا النموذج بنموذج "انعدام الثقة"، حيث يتم التحقق من كل طلب وتفويضه بشكل دقيق.
موصلات الشبكة الخاصة هي "الوسطاء" الذين يربطون شبكتك المحلية (LAN) بشبكة الوصول الآمن العالمي (Global Secure Access).إذا كانت هذه الخدمات غير نشطة أو قديمة، فقد يميل المستخدمون إلى اللجوء إلى طرق وصول بديلة أقل أمانًا، أو ستضطر إلى عرض الخدمات مباشرة على الإنترنت.
من الأفضل أن تحتوي كل مجموعة من الموصلات على مثيلين نشطين على الأقل محدثين.ولتجنب نقاط الفشل الفردية، فإن وجود موصل واحد في مجموعة يعني أن مشكلة في البرنامج، أو تحديث مؤسف، أو حتى إجراء ضار محلي يمكن أن يترك جميع التطبيقات الخاصة التي تعتمد على تلك المجموعة بدون إمكانية الوصول.
تجزئة التطبيقات في الوصول الخاص هذه نقطة بالغة الأهمية. إذا حددتَ قطاعات واسعة النطاق (نطاقات عناوين IP ضخمة، ومنافذ متعددة غير مُفلترة، واستخدام عشوائي للوصول السريع)، فأنت بذلك تُكرر نموذج الشبكات الافتراضية الخاصة التقليدية المتساهل. يُنصح بتقسيم الشبكة حسب التطبيق، باستخدام أسماء النطاقات المؤهلة بالكامل أو عناوين IP ومنافذ محددة، وربط كل قطاع بسياسات الوصول المشروط بناءً على مستوى المخاطر ونوع المورد.
نظام أسماء النطاقات الخاص، وحركة المرور الداخلية، والأداء في الوصول عن بُعد
يُعدّ حلّ أسماء النطاقات الداخلية أمراً بالغ الأهمية لكي يعمل نظام الوصول الخاص بشكل صحيح.إذا لم تقم بتكوين نظام أسماء نطاقات خاص مناسب، فلن يتمكن المستخدمون البعيدون من حل أسماء النطاقات المؤهلة بالكامل الداخلية من خلال النفق الآمن، وستعود أجهزة Windows الخاصة بهم إلى خوادم DNS العامة، حيث لا توجد هذه الأسماء ببساطة.
عندما يتم تمكين ملف تعريف الوصول الخاص ولكن لا يتم نشر منافذ DNS (53 UDP/TCP) على المقاطع المناسبة، أو في حال عدم تعريف لاحقات DNS الخاصة، لا يستطيع عميل الوصول الآمن العالمي توجيه استعلامات DNS الداخلية. يؤدي هذا إلى عدم تطبيق المقاطع المستندة إلى اسم المجال المؤهل بالكامل (FQDN)، وينتهي الأمر بالمستخدم بالاتصال مباشرةً، خارج نطاق سياسات الشبكة.
لتحسين الأداء دون التضحية بالسلامةتتيح ميزات مثل الوصول المحلي الذكي (ILA) توجيه حركة المرور الخاصة محليًا عندما يكون المستخدم متصلاً فعليًا بشبكة الشركة، مما يجنب الرحلات غير الضرورية إلى السحابة مع الحفاظ على عناصر التحكم في الوصول المشروط.
أما الوصول السريع، فيجب ربطه بشكل صحيح بمجموعات من الموصلات النشطة سياسات الوصول المشروط مطبقة بالفعل. وإلا، فلن يتمكن المستخدمون من الوصول إلى الموارد الداخلية عند حاجتهم إليها، أو الأسوأ من ذلك، سيتمكنون من القيام بذلك دون أي مصادقة متعددة العوامل إضافية، أو التحقق من توافق الجهاز، أو الموقع.
وحدات تحكم المجال، وبروتوكول سطح المكتب البعيد (RDP)، وأجهزة استشعار الأمان في بيئة ويندوز
في شبكة محلية تعمل بنظام ويندوز، تعتبر وحدات التحكم بالمجال هي الهدف النهائي.من يسيطر على النطاق يسيطر على الحسابات والسياسات والمجموعات، وفي الواقع العملي، على الشبكة بأكملها.
عندما يصل المسؤولون إلى وحدات تحكم المجال عبر بروتوكول سطح المكتب البعيد (RDP). باستخدام ميزة تسجيل الدخول الخاص من مايكروسوفت، يجب عليهم القيام بذلك باستخدام مصادقة مقاومة للتصيد الاحتيالي: على سبيل المثال، مفاتيح أمان FIDO2، Windows Hello for Business مع دعم قوي، أو طرق مكافئة تتطلب إثباتًا تشفيريًا للملكية.
بدون هذه الأساليب المقاومةيمكن للمهاجم الذي يتمكن من سرقة بيانات الاعتماد أو اختطاف رموز الجلسة إعادة تشغيلها لإنشاء جلسات RDP إلى وحدة تحكم المجال، وتنفيذ هجمات DCSync لاستخراج تجزئات جميع الحسابات، وإنشاء تذاكر Kerberos الذهبية والحفاظ على استمراريتها على المدى الطويل، أو تعديل GPOs لنشر برامج ضارة ضخمة.
أجهزة استشعار الوصول الخاص موزعة على وحدات تحكم المجال تتيح هذه الأنظمة تطبيق سياسات صارمة على طلبات Kerberos الصادرة من الشبكة المحلية. وبدونها، يمكن لأي جهاز متصل بالشبكة المحلية طلب تذاكر خدمة لموارد ذات امتيازات دون ضوابط المصادقة متعددة العوامل أو الامتثال أو معرفة السياق، مما يُرسخ نموذج الثقة الضمني القائم فقط على التواجد "داخل" الشبكة.
النسخ الاحتياطي للشبكة المحلية، والصيانة، والإدارة التشغيلية
لا يقتصر أمن الشبكة المحلية على منع الوصول غير المصرح به.ويعني ذلك أيضاً القدرة على التعافي في حال حدوث أي خلل. فمثلاً، قد يتسبب حريق في مركز البيانات، أو هجوم ببرامج الفدية التي تشفر خادم الملفات، أو عطل في الأجهزة، في شلّ عمل الشركة إذا لم تكن هناك نسخ احتياطية مصممة بشكل جيد.
يوصى بتجميع بيانات الأعمال في مركز واحد على خادم ملفات. أو على خدمات تخزين آمنة ذات سياسة نسخ احتياطي واضحة، بما في ذلك النسخ الاحتياطية خارج الموقع (خارج المكتب أو في منطقة أخرى) لحالات الكوارث القصوى. استشر مقارنة طرق النسخ الاحتياطي لاختيار أفضل استراتيجية.
نطاق ويندوز مُدار بشكل جيد يُسهّل هذا النظام عملية منح الصلاحيات، وتطبيق سياسات كلمات المرور، ونشر البرامج، وإدارة التحديثات. كما يضمن استخدام جميع أجهزة الكمبيوتر على الشبكة لإصدارات احترافية من نظام التشغيل ويندوز، قابلة للتكامل بسلاسة مع Active Directory أو Microsoft Enterprise Directory.
بالإضافة إلى تحديث برامج مكافحة الفيروسات على جميع أجهزة الكمبيوتر والخوادميُنصح بإجراء صيانة دورية منتظمة تشمل مراجعة السجلات، والتحقق من حالة النسخ الاحتياطية، وتطبيق التحديثات الهامة، وجرد التراخيص، وتتبع الحوادث. إن إسناد هذه المسؤولية إلى شخص من داخل المؤسسة أو إلى مزود خدمة خارجي يُسهم في منع تجاهل المشاكل.
وأخيرًا، لا تقلل أبدًا من شأن العامل البشرييؤدي تصفية عناوين MAC، وتعطيل منافذ Ethernet غير المستخدمة، وتقييد تثبيت البرامج، والتقسيم حسب VLAN إلى تقليل الضرر الذي يمكن أن يسببه كل من خطأ الموظف والعمل المتعمد من قبل شخص ساخط داخل المنظمة.
شبكة محلية مصممة ومدارة بشكل جيد في بيئة ويندوز، معززة بإمكانيات مايكروسوفت إنترا، والوصول الآمن العالمي، والتجزئة، وتصفية الويب، ومعلومات التهديداتيصبح الأمر أكثر قوة بكثير من مجرد مجموعة بسيطة من الكابلات والمفاتيح: يصبح منصة آمنة يمكن لشركتك أن تستمر في النمو عليها، من خلال دمج إنترنت الأشياء والخدمات السحابية وحتى الذكاء الاصطناعي التوليدي دون تعريض نفسها بشكل غير ضروري للهجمات الإلكترونية التي أصبحت للأسف شائعة اليوم.
