الجرد وتغطية الفحص
المحوّلات والموجّهات والجدران النارية وجدران حماية تطبيقات الويب وموازنات الحمل، مع سياق التصنيف الذي يحدّد ماهية كل جهاز وأيّها من المستوى صفر — والبنية التحتية التي تعرفها الشبكة ولا يغطيها فحص الثغرات.
وحدة AthonisOne 05 من 08
الشبكة
ما الذي ينشره محيطك — وما الذي يحرسه فعلًا.
سؤالان عن الأجهزة التي تشكّل شبكتك وتحرسها: هل نعرفها كلها، وهل كل منها مفحوص؟ وما الذي تنشره أجهزة محيطنا على الإنترنت، وإلى أي حدّ تحرسه جيدًا؟ تقرأ الوحدة إعدادات كل جهاز عبر واجهة إدارته، ببيانات اعتماد للقراءة فقط.
ما الذي تجيب عنه
الأسئلة التي وُجدت هذه الوحدة لتجيب عنها.
- 01 هل لدينا جرد كامل لبنيتنا التحتية للشبكة، وهل كلها مفحوصة؟
- 02 ما الذي ينشره محيطنا فعلًا على الإنترنت، موقعًا موقعًا؟
- 03 أي الخدمات المنشورة يحميها جدار حماية تطبيقات ويب يمنع، وأيها يحميها جدار يراقب فقط؟
- 04 هل يستطيع أي أحد على الإنترنت الوصول إلى خدمة مباشرة، أم أن الجدار الناري لا يُدخل إلا شبكة توصيل المحتوى لدينا؟
- 05 هل جدراننا النارية محصَّنة — لا قواعد سماح مطلق، والتسجيل مفعَّل، والتوافر العالي سليم، والمحتوى حديث؟
- 06 هل يكشف جدار حماية تطبيقات الويب المستضاف سحابيًا لدينا بيانات اعتماد سحابية لحساب للقراءة فقط؟
ما الذي تفحصه
بالتفصيل.
إعدادات الجدار الناري
قواعد سماح مطلق (any-any) تعبر حدود المنطقة، وقواعد سماح لا تسجّل شيئًا، وقواعد سماح بلا ملف أمني، وواجهة إدارة يمكن بلوغها عبر HTTP صريح، وزوج توافر عالٍ غير سليم، ومحتوى تهديدات متقادم، وإصدار برمجي تجاوز نهاية دعم المورّد. والقاعدة التي تسمح بكل شيء لكن داخل منطقة واحدة فقط لا تُعدّ سماحًا مطلقًا — فهي لا تفتح ما لا يسمح به الجدار أصلًا — ما لم يكن الإعداد الافتراضي للجهاز داخل المنطقة يمنع، أو تعذّرت قراءته.
إعدادات جدار حماية تطبيقات الويب
خدمات منشورة تراقب فقط بدل أن تمنع، وخدمة إنتاج في وضع المراقبة بينما توأمها غير الإنتاجي يمنع، وشهادات منتهية أو بإصدار TLS قديم، ومنشورات متقادمة بلا خادم خلفي حيّ، وإعدادات جهاز افتراضية تُركت كما هي — وجهاز يكشف بيانات اعتماد سحابية للحساب المقروء به للقراءة فقط.
الأجهزة المستضافة سحابيًا
يُربط الجدار الناري أو جدار حماية تطبيقات الويب العامل في السحابة بالأجهزة الافتراضية في Azure أو نسخ Oracle Cloud التي يعمل عليها، بحسب العنوان الذي يُدار عليه الجهاز. ثم يبحث فحص تغطية الفحص عن كل عنوان تحمله تلك الأجهزة، فلا يُبلَّغ عن جهاز يعرفه الماسح بعنوان آخر على أنه مفقود.
التحكم في الوصول السحابي
حكم مجموعة أمان الشبكة لكل عنوان ومنفذ منشور، مقيَّمًا بترتيب الأولوية كما تفعل المنصة السحابية — بإعادة استخدام ما جمعته وحدة السحابة أصلًا.
سلسلة التعرّض
لكل اسم مضيف ينشره المحيط، صفّ واحد يسير في المسار من الخارج إلى الداخل — DNS وشبكة توصيل المحتوى، فالجدار الناري للمحيط، فالتحكم في الوصول السحابي، فجدار حماية تطبيقات الويب، فالخادم الخلفي. تُقرأ كل حلقة: يسمح، أو يُقيّد، أو يمنع، أو غير مُقاس، وينتهي الصفّ بحكم واحد: قابل للوصول، أو مُعوَّض، أو غير مُقاس.
نتائج مُصنَّفة
كل نتيجة مع الدليل وراءها، لا مجرد وسم للخطورة.
دليل النتائج
شرح مدمج لكل نتيجة — ما هي، ولماذا تهمّ، وماذا تفعل.
مؤشر الوضع الأمني
يُحتسب من النتائج ويُتتبَّع عبر الزمن.
أدلة الامتثال
نتائج مربوطة بضوابط الأطر التي تُسندها.
كيف تحكم
حيث تمتنع عن الادّعاء الزائد.
الفحص الذي يخمّن يُنتج نتائج زائفة، والنتائج الزائفة تعلّم الفريق تجاهل النتائج الحقيقية. هذه هي المواضع التي تتحفّظ فيها هذه الوحدة.
- «مُعوَّض» وسم لا إخفاء. جدار حماية تطبيقات ويب في وضع المراقبة خلف جدار ناري لا يُدخل إلا شبكة توصيل المحتوى يحتفظ بنتيجته وبخطورتها — فلا ينكشف بصمت إن تغيّر شيء في الطبقة الخارجية لاحقًا.
- السلسلة مكتملة بقدر الطبقات التي جُمعت. فإن لم يُقرأ الجدار الناري الخارجي لموقع ما، تُعرض كل خدمة في ذلك الموقع غير مُقاسة — لا قابلة للوصول، وبالتأكيد لا آمنة.
- إن تعذّرت قراءة جهاز واحد في مزامنة، تبقى نتائجه مفتوحة كما آخر ما شُوهد، مؤرَّخة، بدل أن تُعلَّم معالَجة. والمصدر الذي صمت لا يُسمح له بأن يبدو أخضر.
- يُربط الجهاز السحابي بجهاز افتراضي فقط إذا حمل واجهة سحابية واحدة بالضبط عنوان إدارته. والعنوان الذي تعيد استخدامه عدة شبكات سحابية يبقى بلا ربط.
- فحوص البروتوكول والشهادات تحكم على الخدمات المفعَّلة التي تنهي TLS فقط.
- كل نتيجة في الشبكة تستشهد بضوابط حقيقية من المعايير المنشورة، ولا تفعل ذلك حيث لا ينطبق ضابط.
ما الذي تقرؤه
متصلة بما تشغّله بالفعل.
- Cisco ISEجرد أجهزة الشبكة وخصائص التصنيف
- Palo Alto Networks (PAN-OS)قاعدة القواعد وترجمة العناوين والمناطق وحالة التوافر العالي وحداثة المحتوى — وهل كل خدمة منشورة قابلة للوصول
- Barracuda Web Application Firewallالخدمات المنشورة والخوادم الخلفية وسياسة المنع مقابل المراقبة وTLS وتحصين الجهاز
ما لا تفعله أبدًا
الحدّ، معلنًا بوضوح.
- لا تفحص الشبكة أبدًا ولا ترسل حركة مرور نحو المحيط. لا ماسح منافذ، ولا استكشاف شامل للشبكة، ولا تعداد مسارات.
- لا تكتب في أي جهاز أبدًا. كل بيانات الاعتماد للقراءة فقط، ومفتاح واجهة PAN-OS قصير العمر ولا يُخزَّن.
تُعدّ نتائج هذه الوحدة دليلًا في مجالات ضوابط إدارة الأصول وأمن الشبكة وحماية المحيط وتحصين الأجهزة والتغطية في كل إطار مُفعَّل.
تعمل مع
مجموعة بيانات واحدة، فتجيب الوحدات بعضها عن بعض.
اطّلع على ما ستقوله وحدة الشبكة عن بيئتك التقنية.
تُرخَّص وحدها، وعلى المنصة نفسها التي تعمل عليها كل وحدة أخرى. سنُريك الإجابة — وما الذي ستقول إنها لم تستطع قياسه.