كيف تبنت شركة المرام سياسات جدار ناري متقدم لحماية بنيتها التحتية السحابية

في عالم يشهد تصاعدًا متسارعًا في التهديدات الإلكترونية، أصبح تأمين البنية التحتية الرقمية أمرًا غير قابل للتفاوض. وانطلاقًا من مبدأ "الحماية أولًا"، طبقت شركة المرام نظام جدار ناري موزّع يوفّر مستوى عالٍ من الأمان لخوادمها المستقلة، سواء الفيزيائية أو الافتراضية.

???? بنية حماية موزّعة ومرنة

اعتمدت الشركة جدارًا ناريًا يعمل مباشرة على كل عقدة (node)، بما يضمن:

• حماية مركزية قابلة للتوزيع

• عزل كامل بين الأجهزة الافتراضية (VMs/CTs)

• أداء عالي بدون الاعتماد على نقطة مركزية قد تمثل اختناقًا أو نقطة فشل

تُدار السياسات الأمنية على مستوى المركز الرئيسي للبنية (Datacenter)، كما يمكن تخصيص قواعد منفصلة لكل عقدة أو جهاز افتراضي حسب الحاجة، ما يمنح حرية واسعة في التحكم بكل طبقة من الشبكة.

???? سياسة افتراضية صارمة (DROP)

من أبرز ما يميز النظام أن السياسة الافتراضية (Policy) لجميع الاتصالات هي:

• رفض (DROP) أي اتصال وارد أو صادر ما لم يتم التصريح به

• السماح فقط لما هو مطلوب فعليًا مثل:

  • منفذ الويب للإدارة (8006)

  • منفذ SSH (22)

  • بروكسي العرض SPICE على المنفذ (3128)

  • قنوات تواصل الكلاستر (5405-5412 UDP)

???? أدوات ذكية لإدارة القواعد

قامت شركة المرام باستخدام ميزات متقدمة من الجدار الناري لتسهيل الإدارة، من بينها:

• مجموعات IP (IP Sets) مثل +management للسماح فقط لعناوين معينة بإدارة النظام.

• مجموعات الأمان (Security Groups) لتجميع قواعد جاهزة يمكن تطبيقها على عدة سيرفرات دفعة واحدة. مثل مجموعة webserver التي تتيح الوصول عبر المنفذين 80 و443 فقط.

• أسماء مستعارة (Aliases) تربط عناوين IP أو شبكات بأسماء واضحة مثل local_network.

????️ حماية من التهديدات المعقدة

تم تفعيل خصائص حماية متقدمة على مستوى المضيف (host) مثل:

• حماية من هجمات SYN Flood

• تصفية بروتوكولات ICMP وTCP ذات الأعلام غير القانونية

• فلترة عناوين MAC وIP لمنع انتحال الهوية داخل الأجهزة الافتراضية

• دعم كامل لـ IPv6 وNDP (بروتوكول اكتشاف الجيران)

???? حماية متكاملة لبروتوكول IPv6

في ظل الانتقال التدريجي نحو IPv6، لم تغفل الشركة عن تأمين هذه الطبقة، حيث تم تفعيل:

• دعم NDP (Neighbor Discovery Protocol) الذي يحل محل ARP

• قيود ipfilter-net* لربط كل واجهة فقط بالعناوين المسموح بها

• حظر الإعلانات الخبيثة أو التلقائية لموجّهات (Routers) إلا عند التصريح الصريح بذلك

وبهذا الشكل تم تأمين الشبكة من انتحال العناوين المحلية وتفادي الثغرات الناتجة عن بروتوكولات التكوين الذاتي التلقائي في IPv6.

???? دعم الترحيل الحي (Live Migration)

ضمن منظومة الحماية، تم استثناء نطاق المنافذ المطلوبة لإجراء الترحيل الحي للآلات الافتراضية، بما يشمل:

• نطاق TCP من 60000 إلى 60050: لنقل الذاكرة والأقراص المؤقتة أثناء عمليات النقل الحي بين عقد الكلاستر

وتم ذلك بطريقة تضمن أن هذه الحزم لا تتعرض للرفض أو الحظر أثناء النقل، مما يعزز من:

• استمرارية الخدمات بدون توقف

• التحديث السلس دون التأثير على المستخدمين

• قابلية التوسع الديناميكي داخل البنية

???? المراقبة والتسجيل

لضمان الاستجابة السريعة لأي محاولة اختراق، يتم تسجيل جميع الحزم التي يتم إسقاطها أو رفضها، مع إمكانية تخصيص مستوى التسجيل (loglevel) لكل قاعدة من القواعد الأمنية بشكل منفصل، مما يساعد فرق الشبكات على تحليل التهديدات بدقة عالية.

⚙️ أمثلة من القواعد الأمنية المطبقة

???? النتيجة؟ تقليل كبير في التهديدات الشبكية، تحكم دقيق في حركة البيانات، ومرونة عالية في إدارة الأمن من دون التضحية بالأداء أو التوسّع.

???? إن البنية الأمنية الموزعة المعتمدة في شركة المرام تُعد نموذجًا عمليًا لبناء شبكات مستقرة وآمنة في عصر تتسارع فيه الهجمات الرقمية.

#cybersecurity #firewall #datacenter #cloudinfrastructure #الشبكات #الأمن_الرقمي #شركة_المرام