ماذا يعني الأمن السيبراني

الأمن السيبراني يشبه الأمن العام (الأمن المجتمعي أو الشرطة) في حياتنا من ناحية الهدف والعديد من المبادئ.

الأمن العام (الشرطة) يعمل على إحلال الأمن والسلم للأفراد والمجتمع في الحياة الاعتيادية (Physical Space) مثلا منع جرائم سرقة الأموال، منع جرائم انتحال الشخصية، منع جرائم النصب والاحتيال، الخ.

الأمن السيبراني يسعى لحماية المجتمعات الرقمية من التهديدات في الفضاء الرقمي، يمنع جرائم سرقة الأموال من البنوك -مثلا- عبر الوسائل الالكترونية، يمنع سرقة المعلومات الشخصية الرقمية، يمنع توقف الأنطمة الرقمية في المؤسسات الحكومية والشركات والمستشفيات وغيرها.

نتيجة التحول الرقمي والمستمر للعديد من الخدمات، أصبح اعتماد تسيير النشاطات المؤسسية عبر الأنظمة الرقمية، والتي تتكون من خوادم وبرمجيات وكذلك شبكات تنقل البيانات. على سبيل المثال بدون أنظمة رقمية لا يمكن تجديد رخصة القيادة، ولا يمكن اكمال المعالجة في المراكز الطبية، ولا يمكن تشغيل محطات توليد الطاقة وغيرها.

كما هو الحال في حياتنا اليومية العادية يوجد جرائم مختلفة، ايضا توجد نفس الجرائم في الفضاء الإلكتروني وتتم عبر استغلال الوسائل الرقمية. فيتم سرقة الأموال من البنوك الكترونيا، ويتم انتحال هوية شخص الكترونيا، ويتم قطع تزويد المياه لمدينة الكترونيا. كل ذلك يتم من خلال الفضاء الالكتروني (السيبراني) عبر استغلال نقاط ضعف في الوسائل والأنظمة الرقمية.

طرق حماية الأنظمة الرقمية والمعلومات التي بداخلها كانت في القديم ترتكز على تطبيق وسائل حماية متنوعة، لكن هذا التنوع لم يعد كافيا نتيجة إزدياد الهجمات الإلكترونية وتشكل مجموعات محترفة من المخترقين سواء المجموعات التي ترعاها دول (APTs) أو مجموعات مجرمين في الفضاء السيبراني (Cyber Criminals).

جاء الأمن السيبراني من أجل حماية الأنظمة الرقمية عبر عدة مجالات، اختصرتها NIST في ستة أركان ضمن إطار العمل المعروف عالميا ب NIST CSF، وهذه الأركان هي:

• الحوكمة Govern
• التحديد Identify
• الحماية Protect
• الكشف Detect
• الإستجابة Respond
• الإسترجاع Recover

الفرق بين عمل السويتش وعمل الراوتر

 نتيجة وجود VLANs على السويتشات فإن التوصيل بين السويتشات يتم من خلال مداخل بوضعية trunks.

جهاز السويتش (layer2 switch) يجسد مبادئ ال layer2 forwarding، بينما الراوتر يجسد مبادئ ال  layer3 forwarding.

مقارنة بين المبدئين:

السويتش one broadcast domain في حال دخل فريم متجه للكل يقوم السويتش بتمريره عبر جميع المنافذ الأخرى غير الذي دخل منه، بينما هذا نرفوض بالرواتر (لن يمرره عبر المنافذ الأخرى).

السويتش يربط بين عناصر الشبكة الواحدة بينما الراوتر يربط بين الشبكات.

السويتش يمرر الفريم اذا كان وجتهه غير معلومة بالنسبة له (unknown destination) بينما الراوتر يقوم باهمال الرسالة المتجهة لعنوان غير معروف.

السويتش يمرر البيانات بشفافية transparently اي لا يغير بال headers المضافة عليها بينما الراوتر يغير layer2 header ويغير TTL and checksum

السويتش يبني ال forwarding table تلقائيا دون الحاجة لبروتوكول learning process، بينما هذا غير ممكن بالرواتر يتطلب static or dynamic routing

لمزيد من التفاصيل عن الفرق بين اعدادات الخاصة لمنافذ layer2 وبين منافذ layer3، تابع الموضوع التالي:

https://ipmasters-tc.blogspot.com/2013/08/switched-port-routed-port.html

 

تقنيات VPN

الشبكات الخاصة Private والشبكات العامة Public

يتم نقل البيانات بين فروع الشركة عبر شبكة الWAN  من خلال قنوات اتصال من مزود خدمة، تتنوع تقنيات الWAN  من ناحية تنوع طبيعة قناة الاتصال. لكن الشيء المشترك بين هذه التقنيات هو خصوصية نقل البيانات التي توفرها هذه القنوات. أذ لا يمكن الوصول للبيانات المحمولة عبر قنوات الاتصال من قبل طرف خارجي كونها قناة اتصال خاصة private channel.

وبطبيعة الحال تعتبر هذه القنوات مكلفة لكثير من الشركات وخصوصا عندما يزداد عدد الفروع وبالتالي تزداد عدد القنوات المطلوبة، هذا بالاضافة للتكاليف المرتفعة جدا للشركات التي تتنشرع فروعها في عدة دول. والجدير بالذكر ان الربط البيني بين عدة شركات تحتاج ايضا لقنوات اتصال كما هو الحال عند ربط فروع الشركة.

أنظمة الاتصالات لشركات الاتصالات المزودة لهذه القنوات هي أنظمة كانت تعمل بطريقة شبكات الاتصالات من خلال تقنيات Time Division Multiple Access أو (TDMA) وهي مختلفة اختلاف جذري عن تقنيات شبكات الحاسوب القائمة على مبدأ OSI layers ،وفكرة اضافة معلومات اضافية headers  على البيانات المرسلة. وعند تزويد قنوات الاتصال من قبل مزود الخدمة لعدة جهات، فإن البيانات المنقولة عبر أنظمة الاتصالات لتلك الجهات ستحافظ على خصوصيتها privacy  نظرا لأن هذه القنوات تنشأ منعزلة عن بعضها البعض بحيث محددة ب time slot  منفصلة. 

والخلاصة هنا بأن أنظمة الاتصالات التقليدية TDMA  توفر قتوات اتصال لنقل البيانات لعدة جهات مع الاحتفاظ بالخصوصية بين هذه الجهات دون تمكن أحد من الوصول لبيانات جهة أخرى.

بالمقارنة بشبكات الاتصالات التقليدية، فإن شبكة الانترنت هي شبكة عامة public networks  تربط شبكات لعدة جهات في شبكة واحدة تقوم بنقل البيانات فيما بينها بتقنية OSI layers وهذا يعني فقدان الخصوصية  وفقدان الآمانdata security  عند نقل البيانات عبر شبكة الانترنت. نظرا لامكانية الوصول لهذه البيانات من قبل جهات غير مخولة بالوصول إليها.

 

وبالتالي فإن استبدال قنوات الاتصالات بشبكة الانترنت لنقل البيانات بين فروع الشركة يفقدها الخصوصية والآمان المطلوب لنقل تلك البيانات عبر شبكة الانترنت.

 

ومن الأمثلة الحديثة على الشبكات العامة شبكات مزودي الخدمةMPLS ، مع الثورة التقنية اصبحت شبكات الاتصالات لمزودي خدمة القنوات عبارة عن شبكات لنقل مختلف انواع البيانات بتقنيات OSI layers  أي اضافة headers  على البيانات المنقولة والاستغناء عن فكرةTDMA   وبالتالي أصبحت منظومة شبكات الاتصال لمزودي الخدمة هي بظاهرها شبكة عامة تربط عدة جهات مختلفة.         

تحويل الشبكات العامة للشبكة خاصة

تقنيات ال VPN  توفر آليات لنقل البيانات عبر تهيئة شبكات خاصة تقام على شبكات عامة، أي تحويل الشبكات العامة إو جزء منها لتصبح شبكات خاصة. حيث يوجد تقنيات مخصصة لتهيئة شبكات الانترنت لبناء شبكات خاصة مثل IPsec VPN  وSSL VPN وتقنيات مخصصة لتهئية شبكات مزودي الخدمةMPLS  مثل Layer2 MPLS VPN  ويتسخدم فيها تقنية VRF، وLayer3 MPLS VPN  ويتسخدم لها تقنية VLAN.

** سيتم تحديث الموضوع باستمرار فالموضوع ببدايته لم يكتمل ... الاشتراك بالمدونة من خلال اختيار زر الاشتراك

Subnetting

تأتي فكرة ال subnetting لانتاج شبكات جزئية باحجام تناسب الاحتياج وكسراً للعرف السائد عن احجام الشبكات والتي كانت يجب أن تكون إما Class A أو Class B أو Class C والتي تسمى  Classful network. تقوم فكرة ال subnetting على تحويل (استدانة) خانات bits في ip address من جزء host لتصبحnetwork part . بالتالي فإن عدد الخانات المحسوبة لجزء ال host تصبح أقل أي حجم الشبكة أقل، وكذلك تزداد خانات network part  وبالتالي عدد شبكات أكثر.

لو كان لدينا شبكة /16172.16.0.0، وقمنا بتحويل 8bits  من host part إلى network part  فإنه ينتج لدينا شبكات جزئية عددها 256 شبكة جزئي .subnets أي أنه ستصبح عدد الخانات لجزء network هي 24bits  وعدد الخانات لجزء host هي 8bits . حسب ما هو موضح في الشكل.

مسائل ال subnetting تهتم بايجاد نطاق الشبكة (اي ايجاد بداية الشبكة ونهايتها)، ويتم ذلك باتباع القاعدتين:

1- يتم ايجاد بداية الشبكة بتحديد جزء ال host لل ip address ثم جعل قيم bits الخاصة ب host part تساوي zeros مكتوبة بنظام  binary.

2- يتم ايجاد نهاية الشبكة بتحديد جزء ال network لل ip address ثم جعل قيم bits الخاصة ب network part تساوي ones مكتوبة بنظام  binary.

في الصورة التالية أمثلة لكيفية تحديد بداية ونهاية كل شبكة. الرمز | يفصل بين bits الخاصة ب ال network part عنhost part. الأرقام بين الأقواس أرقام مكتوبة بنظام binary.

يتعدى تطبيقات ال subnetting عمل تقسيم للشبكة، بل أننا نحتاج فهم ال subnetting لمعرفة عنوان الشبكة ل ip address معين، ايضا فيما لو كان لدينا أكثر من IP address هل هم بنفس الشبكة أم لا.