تقسيم الشبكات وشبكات VLAN

يقسم تقسيم الشبكة شبكة كبيرة ومسطحة إلى مناطق أصغر ومعزولة. ومن دون التقسيم، يستطيع مضيف واحد مخترق الاتصال بكل جهاز آخر على الشبكة، مما يمنح المهاجمين حرية كاملة بمجرد دخولهم. ويفرض التقسيم مبدأ أقل الامتيازات على مستوى الشبكة: فلا ينبغي لمحطة عمل أن تتمكن من الوصول مباشرةً إلى خادم قاعدة بيانات، كما يجب ألا يرى جهاز متصل بشبكة Wi-Fi للضيوف مشاركات الملفات الداخلية. ويقلل التقسيم بدرجة كبيرة من نطاق تأثير الاختراق.

إن VLAN (Virtual Local Area Network) شبكة منطقية تُنشأ على محوّل، وتجمع المنافذ معًا بغض النظر عن موقعها الفعلي. وتتصل الأجهزة الموجودة في VLAN نفسها كما لو كانت في المقطع الفعلي نفسه؛ بينما لا يمكن للأجهزة الموجودة في شبكات VLAN مختلفة الاتصال بعضها ببعض من دون المرور عبر موجّه أو محوّل من الطبقة 3 يفرض التحكم في الوصول. وتُوسم شبكات VLAN باستخدام رأس 802.1Q يحمل معرّف VLAN (1-4094)، مما يسمح لوصلة فعلية واحدة (منفذ trunk) بحمل حركة المرور من شبكات VLAN متعددة في الوقت نفسه.

بينما تُجزّئ شبكات VLAN الشبكة في الطبقة الثانية، تُجزّئ الشبكات الفرعية الشبكة في الطبقة الثالثة (IP). عادةً ما تقابل كل شبكة VLAN شبكةً فرعيةً خاصةً بها، وتتحكم جدار حماية أو موجّه يطبّق قوائم التحكم في الوصول في التوجيه بين الشبكات الفرعية. وهذا يوفّر فصلًا واضحًا: فقد تكون VLAN 10 هي 10.10.10.0/24 للمستخدمين المؤسسيين، وقد تكون VLAN 20 هي 10.20.20.0/24 للضيوف. وتفرض قواعد جدار الحماية بين الشبكات الفرعية نوع حركة المرور المسموح به والمحظور على مستوى IP.

تُعد DMZ (المنطقة منزوعة السلاح)، وتُسمى أيضًا الشبكة الفرعية المراقَبة، منطقةً شبكيةً تقع بين الإنترنت والشبكة الداخلية. توضع الخوادم المواجهة للعامة — مثل خوادم الويب وخوادم البريد وخوادم DNS — في DMZ، بحيث يتمكن المستخدمون الخارجيون من الوصول إليها دون وصول مباشر إلى الأنظمة الداخلية. وإذا اختُرق مضيف في DMZ، يمنع جدار الحماية الداخلي المهاجم من الوصول إلى الموارد الداخلية الحساسة. وتُعد DMZ مفهومًا أساسيًا في التجزئة، ويُختبر بشكل مكثف في Security+.

تنقل التجزئة الدقيقة عزل الشبكة إلى مستوى أحمال العمل، إذ تطبّق سياسات الأمان بين الأجهزة الافتراضية أو الحاويات أو التطبيقات الفردية، بدلًا من تطبيقها بين المناطق الشبكية فقط. وتفرض الشبكات المعرفة بالبرمجيات (SDN) والأدوات القائمة على برامج مراقبة الأجهزة الافتراضية (VMware NSX، وAWS Security Groups) هذه السياسات دون الحاجة إلى إجراء تغييرات على الأجهزة. وتُعد التجزئة الدقيقة مكوّنًا أساسيًا من بنية انعدام الثقة لأنها تزيل الثقة الضمنية بين أحمال العمل التي تعمل في مركز البيانات نفسه أو في المنطقة السحابية نفسها.

يُعد التنقل بين شبكات VLAN هجومًا يتيح لحركة المرور الخروج من شبكة VLAN الخاصة بها والوصول إلى شبكة VLAN أخرى دون المرور عبر موجّه. توجد طريقتان لذلك: انتحال هوية المحوّل، حيث يضبط المهاجم بطاقة واجهة الشبكة لديه للتحدث باستخدام تقنية الوصلات الجذعية 802.1Q ويتفاوض مع المحوّل لإنشاء وصلة جذعية، فيحصل على الوصول إلى جميع شبكات VLAN؛ ووضع الوسوم المزدوجة، حيث يغلّف المهاجم إطارًا بعنواني 802.1Q اثنين ليبدو الإطار موجّهًا إلى شبكة VLAN مختلفة. وتشمل وسائل الدفاع تعطيل بروتوكول الوصلات الجذعية الديناميكية (DTP)، وتهيئة منافذ الوصول صراحةً، وعدم استخدام شبكة VLAN الأصلية لحركة مرور المستخدمين.

تُعد الفجوة الهوائية الشكل الأكثر تشددًا من تجزئة الشبكات — وهي شبكة لا ترتبط بأي شبكة خارجية ماديًا أو منطقيًا. وتُستخدم الأنظمة المعزولة بفجوة هوائية في الشبكات الحكومية شديدة السرية، وأنظمة التحكم الصناعية، وأنظمة التحكم في المنشآت النووية. ويتطلب نقل البيانات استخدام وسائط مادية (محركات USB والأقراص المضغوطة)، وهو ما يسبب مخاطر بحد ذاته (انتشر Stuxnet عبر USB للوصول إلى أجهزة الطرد المركزي الإيرانية المعزولة بفجوة هوائية). وحتى الأنظمة المعزولة بفجوة هوائية تحتاج إلى ضوابط، منها الإدارة الصارمة للوسائط، وحاجبات الكتابة المادية، وحماية نقاط النهاية.

يفرض NAC (التحكم في الوصول إلى الشبكة) سياسات الأمان قبل السماح لجهاز بالانضمام إلى الشبكة. وتتحقق أنظمة NAC من حالة الجهاز — مستوى التحديثات، وحالة مضاد الفيروسات، والشهادة — قبل منحه وصولًا كاملًا إلى الشبكة. وتُنقل الأجهزة التي تفشل في الاختبارات إلى شبكة VLAN للحجر والمعالجة، حيث لا يمكنها الوصول إلا إلى خوادم التحديث. ويتكامل NAC مع 802.1X للمصادقة، ويتواصل مع خدمات الدليل لتطبيق السياسات استنادًا إلى دور المستخدم ونوع الجهاز.

ركّز أمن المحيط التقليدي على حركة المرور من الشمال إلى الجنوب — أي البيانات الداخلة إلى مركز البيانات والخارجة منه من مصادر خارجية. أما المهاجمون المعاصرون فيستغلون حركة المرور من الشرق إلى الغرب — أي الحركة الجانبية بين الخوادم داخل مركز البيانات أو البيئة السحابية، والتي كانت تفتقر تاريخيًا إلى الفحص. وتعالج التجزئة الدقيقة وجدران الحماية الداخلية مخاطر الحركة من الشرق إلى الغرب. وينبغي أن تراقب قواعد الارتباط في SIEM الأنماط غير المعتادة للاتصالات من الشرق إلى الغرب، مثل بدء محطة عمل فجأةً بالاتصال بعشرات المضيفين الداخليين، إذ قد يشير ذلك إلى دودة أو مهاجم نشط.

تتطلب شبكات ICS/SCADA التي تتحكم في البنية التحتية المادية (شبكات الكهرباء، ومعالجة المياه، والتصنيع) فصلًا صارمًا عن شبكات تقنية المعلومات المؤسسية. ويحدد نموذج Purdue مستويات تبدأ من أجهزة الحقل (المستوى 0)، مرورًا بالتحكم في المصنع (المستوى 2)، وصولًا إلى تقنية المعلومات المؤسسية (المستوى 4)، مع وجود DMZ بين المستويين 2 و3 لمنع الاتصال المباشر. وتفرض معايير NERC CIP هذا الفصل على المؤسسات العاملة في قطاع الطاقة. وينبغي ألا يتمكن اختراق الشبكة المؤسسية مطلقًا من التحكم مباشرةً في المشغلات أو المستشعرات المادية.

الهدف النهائي من تجزئة الشبكة هو تقليل نطاق الانفجار الناتج عن أي اختراق منفرد — أي نطاق الضرر الذي يستطيع المهاجم إحداثه بعد دخوله إلى أحد المقاطع. وعند دمجها مع ضوابط أخرى (اكتشاف التهديدات على نقاط النهاية، والإدارة الصارمة للهوية والوصول IAM، وإدارة التحديثات)، تنشئ التجزئة دفاعًا متعدد الطبقات: طبقات مستقلة متعددة يجب على المهاجم اختراقها تباعًا. ولا تمنع التجزئة وحدها الاختراق الأولي، لكنها تبطئ المهاجمين، وتوفر فرصًا لاكتشافهم، وتحد من تأثير برمجيات الفدية والديدان التي تعتمد على الحركة الجانبية غير المقيدة.

اختبر مدى فهمك لمفاهيم CompTIA Security+ (SY0-701) الواردة في هذا الدرس.

تعلمت في هذا الدرس أن شبكات VLAN توفر تجزئة منطقية في الطبقة الثانية تحد من نطاقات البث والحركة الجانبية، وأن DMZ (الشبكة الفرعية المراقَبة) تعزل الخوادم المواجهة للعامة بين جدار حماية خارجي وآخر داخلي، وأنه يمكن منع هجمات التنقل بين شبكات VLAN بتعطيل الوصلات الجذعية الديناميكية، وتغيير شبكة VLAN الأصلية، وتعيين المنافذ غير المستخدمة إلى شبكة VLAN معطّلة. بعد ذلك، سنستكشف هجمات الشبكات الشائعة، ومنها DoS والانتحال وهجمات MITM.