المركز الأوروبي لدراسات مكافحة الإرهاب والاستخبارات ـ ألمانيا وهولندا ECCI
التهديدات الهجينة في أوروبا ـ إطار دفاعي متكامل ومتعدد الطبقات
تشهد البيئة الأمنية الأوروبية تحولًا متسارعًا نتيجة تنامي التهديدات الهجينة التي تجمع بين الأدوات العسكرية وغير العسكرية، وتستهدف الدول والمؤسسات والمجتمعات عبر مجموعة متداخلة من الوسائل. وتشمل هذه التهديدات الهجمات السيبرانية، والتضليل الإعلامي، والتدخل في العمليات الانتخابية، والتخريب، والتجسس، والضغط الاقتصادي، واستغلال شبكات الهجرة غير النظامية، إلى جانب استخدام أدوات عسكرية وأمنية بصورة مباشرة أو غير مباشرة.
لماذا ينبغي أن تعمل UTM وIDS معًا؟
غالبًا ما تواجه أقسام أمن المؤسسات خيارًا بين أنظمة الإدارة الموحدة للتهديدات UTM لتحقيق حماية موحدة للمحيط الشبكي، وحلول كشف التسلل IDS التي توفر رؤية أعمق لنشاط الشبكة. لكن بيئات المؤسسات التي تعتمد على منتجات Microsoft Windows تحتاج إلى مقاربة تتجاوز الاختيار بين الحلين. وتشير دراسة للمهندس المتخصص في الأمن السيبراني صامويل بيمي إلى أن الجمع بين UTM وIDS قد يوفر دفاعًا متعدد الطبقات، مع ضرورة احتساب معدلات الإنذارات الكاذبة، وزمن الاستجابة، ومعدل نقل البيانات، واستهلاك موارد النظام. وتبرز الدراسة أن فعالية الأمن السيبراني لا تعتمد فقط على اكتشاف الهجمات، بل أيضًا على قدرة البنية الأمنية على العمل بكفاءة واستدامة داخل بيئة المؤسسات.
لطالما عُرض على أقسام أمن المؤسسات خياران رئيسيان: استخدام أنظمة الإدارة الموحدة للتهديدات UTM لتحقيق حماية موحدة للمحيط الشبكي، أو استخدام حلول كشف التسلل IDS التي توفر قدرًا أكبر من الرؤية لنشاط الشبكة. إلا أنه عند دراسة الحلول المخصصة لبيئات المؤسسات التي تعمل بمنتجات تعتمد على Microsoft Windows، يبدو أن كلا الطرفين يركزان على القضية الخطأ. ويتمثل موقف مزودي أنظمة UTM، الذين يسوقون منتجاتهم باعتبارها “حلًا متكاملًا” لموظفي تكنولوجيا المعلومات الذين لديهم موارد زمنية محدودة، في أن جهاز UTM يوفر جميع الوظائف الضرورية، مثل جدار الحماية، والشبكة الخاصة الافتراضية VPN، ومكافحة الفيروسات وغيرها، ضمن وحدة واحدة. في المقابل، يرى مزودو أجهزة IDS المتخصصة أن إضافة هذه الوظائف الإضافية تقلل من فعالية وظيفة كشف التسلل. ونتيجة لهذا التفكير، تظل المؤسسات التي توفر الحماية لشبكات Windows معرضة لمخاطر متزايدة.
ودرس مهندس الأمن السيبراني صامويل بيمي هذه الفجوة من خلال تقييم مقارن مضبوط بين Snort، وهو نظام مفتوح المصدر لكشف التسلل، وpfSense، وهي منصة أمنية موحدة مفتوحة المصدر، داخل بيئة مؤسسات افتراضية تعمل بنظام Windows 11.وتتجاوز عملية التقييم السؤال التقليدي حول ما إذا كان أحد ضوابط الأمن قادرًا على اكتشاف الهجوم، لتبحث فيما إذا كان هذا الاكتشاف يظل ذا قيمة تشغيلية بعد احتساب الإنذارات الكاذبة، وزمن الاستجابة، ومعدل نقل البيانات، واستخدام الموارد.
كشف التهديدات وحده لا يوضح الصورة كاملة
حاكى الاختبار ثلاثة من أنماط الهجمات الأكثر شيوعًا التي تواجهها المؤسسات، وهي هجمات إغراق ICMP، وفحص المنافذ والخدمات، وحركة مرور هجمات حجب الخدمة. وتم إعداد كل من Snort وpfSense للدفاع عن مضيف يعمل بنظام Windows 11 داخل شبكة معزولة أنشئت خصيصًا لأغراض الاختبار. وكانت النتائج واضحة، لكنها لم تكن مطمئنة. فقد اكتشف Snort نسبة 100% من محاولات إغراق ICMP، ونسبة 100% من حركة مرور هجمات حجب الخدمة، كما تمكن من تحديد الغالبية الكبيرة من محاولات فحص المنافذ. وفي بيئة الاختبار الخاضعة للرقابة، حقق Snort أداء قويًا في اكتشاف أنماط حركة المرور التي جرى اختبارها. لكن النتيجة الأكثر أهمية تمثلت في أن أداء الاكتشاف جاء مصحوبًا بمقايضات تشغيلية.
فإلى جانب هذا النجاح، سجل النظام معدل إنذارات كاذبة كان مرتفعًا بما يكفي ليكون ذا أهمية تشغيلية، بالتزامن مع زيادة قابلة للقياس في زمن استجابة الشبكة وانخفاض ملحوظ في معدل نقل البيانات عند تشغيل النظامين معًا. وينقل تقييم بيمي النقاش من سؤال “أي ضابط أمني يكتشف عددًا أكبر من الهجمات؟” إلى سؤال أكثر أهمية: “هل تظل البنية الأمنية فعالة عند احتساب دقة الاكتشاف، والإنذارات الكاذبة، والأعباء التشغيلية معًا؟” وبدلًا من تقييم ضوابط IDS وUTM بصورة مستقلة، يبحث نهج بيمي في كيفية تفاعل دقة الاكتشاف، والإنذارات الكاذبة، واستهلاك الموارد، وأداء الشبكة عند نشر الضوابط داخل البيئة المؤسسية نفسها.
وتوفر هذه الرؤية أساسًا أكثر عملية لفرق الأمن عند تصميم بنى دفاع متعددة الطبقات، بحيث لا يتم تقييم الحماية فقط من خلال التهديدات التي يستطيع الضابط اكتشافها، بل أيضًا من خلال مدى كفاءة عمله داخل الشبكة الأوسع. ويقول بيمي: “لا يمكن تقييم معدل اكتشاف يبلغ 100% بصورة منفصلة. فإذا أدى تحقيق هذه النتيجة إلى إدخال عدد كبير من الإنذارات الكاذبة، أو التسبب في تراجع كبير في زمن الاستجابة أو معدل نقل البيانات، فيجب تقييم الضابط الأمني باعتباره نظامًا تشغيليًا، وليس مجرد آلية لاكتشاف التهديدات.”
ما الذي لا تستطيع UTM وحدها اكتشافه؟
يرى بيمي أن IDS لن يحل محل UTM أو يتفوق عليها، بل إن الأداتين تعالجان مستويين مختلفين من المشكلة نفسها. ويتمثل المستوى الأول في فرض الحماية على محيط الشبكة، ويشمل جدار الحماية، وإنهاء اتصالات VPN، وإدارة حركة المرور، وحجب حركة المرور المعروفة بأنها ضارة، وذلك بشرط ضبط أجهزة UTM بصورة صحيحة، مثل pfSense.أما المستوى الثاني الذي يعالجه IDS، فيتعلق بما يحدث بعد السماح بمرور شيء ما عبر المستوى الأول. ويوفر هذا المستوى درجة من التفاصيل لا يمكن لـUTM وحدها توفيرها. وقد ظهر ذلك بوضوح خلال اختبارات بيمي وتقييمه لقدرات الاكتشاف والتأثير التشغيلي. ويقول بيمي: “يحدد UTM ما إذا كان ينبغي السماح لحركة المرور بالدخول إلى الشبكة. أما IDS فيجيب عن سؤال مختلف تمامًا، وهو: بعد دخول حركة المرور إلى الشبكة، هل تبدو غير طبيعية؟” وأشار بيمي إلى أن المؤسسات التي تستخدم UTM وحدها تتخذ عادة قرارًا واحدًا بشأن السماح لحركة المرور بتجاوز جهاز جدار الحماية أو إنهاء اتصال VPN. وبعد ذلك تعتمد ببساطة على افتراض أن كل ما يمر عبر هذه النقطة آمن.
تكلفة الموارد ليست أمرًا ثانويًا
تتمثل إحدى أهم نتائج الدراسة في أن الدفاع متعدد الطبقات ليس مجانيًا من الناحية التشغيلية. فقد أدى تشغيل الضابطين معًا إلى زيادة استخدام وحدة المعالجة المركزية والذاكرة، كما أدى إلى إضافة زمن استجابة للشبكة، وهو ما يوضح أن البنية الأمنية لا يمكن تقييمها اعتمادًا على فعالية الاكتشاف وحدها. ويرى بيمي أن العائق العملي أمام الدفاع الهجين لا يتعلق غالبًا بقدرة الضوابط على العمل معًا، بقدر ما يتعلق بمدى تخطيط المؤسسات للسعة المطلوبة، وضبط القواعد، والمراقبة اللازمة. ويقول: “لا أحد يجادل في أن الدفاع متعدد الطبقات هو البنية الصحيحة على الورق. لكن المقاومة تظهر عند التنفيذ، عندما يدرك فريق تكنولوجيا المعلومات الأصغر حجمًا أن تشغيل النظامين بصورة صحيحة يتطلب تخطيط السعة، وضبط القواعد لخفض الإنذارات الكاذبة، ومراجعة السجلات بصورة مستمرة. هذه مسألة تتعلق بالموارد، وليست مسألة تكنولوجية. لكن تجاهلها لا يزيل المخاطر، بل ينقل المخاطر من الشبكة إلى المؤسسة.”
المسار العملي إلى الأمام
بالنسبة إلى المؤسسات التي لا تزال تتعامل مع هذه المسألة باعتبارها قرارًا ثنائيًا عند شراء الحلول، فإن الدلالة العملية لتقييم بيمي لا تتمثل في ضرورة نشر كلا الضابطين بصورة عشوائية في كل مؤسسة. بل ينبغي لمهندسي الأمن التعامل مع UTM وIDS باعتبارهما ضابطين متكاملين، وتقييم أدائهما المشترك في ظل ظروف حركة مرور واقعية، وتحديد حجم البنية التحتية وقدرات المراقبة وفقًا للأعباء التشغيلية الناتجة عن ذلك.
لا يتمثل التحدي أمام أمن المؤسسات التي تستخدم Windows في الاختيار بين UTM وIDS، بل في تصميم بنية يعمل فيها الضابطان على معالجة مستويات مختلفة من المشهد التهديدي نفسه. ويظهر تقييم بيمي أن معدلات الاكتشاف وحدها لا تحدد فعالية الأمن، إذ تلعب الإنذارات الكاذبة، وزمن الاستجابة، ومعدل نقل البيانات، واستهلاك الموارد، والجهد المطلوب لتشغيل الضوابط، دورًا مهمًا. ولذلك تحتاج الصناعة إلى تجاوز المقارنات التي تقوم على المفاضلة بين المنتجات، وتقييم كيفية أداء الضوابط الأمنية عند تشغيلها معًا في ظل ظروف مؤسسية واقعية. وعمليًا، يمكن لـUTM توفير المستوى الأول من فرض الحماية على محيط الشبكة، بينما يضيف IDS رؤية أعمق إلى الأنشطة المشبوهة التي قد تتمكن من تجاوز هذا الحد.
وينبغي للمؤسسات التي تدرس اعتماد نهج هجين اختبار البنية المشتركة في مواجهة أحمال عمل تمثل بيئتها الفعلية، ووضع حدود واضحة للأداء، والإنذارات الكاذبة، واستخدام الموارد قبل التنفيذ. كما ينبغي التخطيط لضبط القواعد بصورة مستمرة، والمراقبة، وإدارة السعة، ومشاركة المحللين، بدلًا من التعامل مع هذه الجوانب باعتبارها مخاوف تشغيلية ثانوية. وفي نهاية المطاف، لا يعتمد الدفاع الفعال متعدد الطبقات على نشر المزيد من أدوات الأمن فحسب، بل على ضمان عمل الضوابط المتكاملة معًا بطريقة قابلة للقياس ومستدامة ومتوافقة مع الاحتياجات التشغيلية للمؤسسة.
رابط مختصر.. https://www.europarabct.com/?p=124765
*حقوق النشر محفوظة إلى المركز الأوروبي لدراسات مكافحة الارهاب والاستخبارات ـ ألمانيا وهولندا ECCI
