SDP مقابل VPN: نقائص تقنية VPN
لم تُصمَّم شبكات VPN لتأمين بنية معلوماتية هجينة أو قوة عاملة هجينة، وقد تجاوزت ذروتها بكثير. بل إن عدة وكالات حكومية أمريكية، من بينها وكالة الأمن القومي (NSA)، أصدرت تحذيرات بشأن نقائص VPN. ثم هناك «صداع» الإدارة، لأن شبكات VPN لا يمكن توسيعها إلا بمزيد من العتاد (المادي أو الافتراضي)، ما يعني استثماراً كبيراً في رأس المال والوقت.
تشمل النقائص الإضافية لـ VPN ما يلي:
- منافذ مكشوفة: يمكن للجهات المهددة استخدام أدوات قرصنة شائعة للعثور على شبكات VPN واستجوابها بسهولة لمعرفة الشركة المصنعة والإصدار
- وصول بامتيازات مفرطة: تعتمد شبكات VPN على قواعد شديدة التعقيد لمنع التحركات الجانبية
- العجز عن التوسع الديناميكي: يجب تصميم شبكات VPN لاستيعاب حجم معين من المستخدمين عن بُعد، ولا يمكنها التوسع ديناميكياً لمواكبة تقلبات عدد المستخدمين
- معدل نقل محدود: يبلغ الحد الأقصى لشبكة VPN نموذجية أقل من 1 جيغابت/ثانية، ما يضيف تكاليف وتعقيداً إضافيين
- بنية مركزية: يُوجَّه المستخدمون الذين يصلون إلى VPN نحو وجهات خلفية عبر شبكة واسعة (WAN) … ما يضيف مشكلات في زمن الاستجابة والأداء، ويُحبط المستخدمين، ويخلق تبعيات توجيه معقدة.
المحيط المعرَّف بالبرمجيات (SDP) مصطلح يُستخدم بالتبادل مع الوصول الشبكي Zero Trust (ZTNA). ولا يقتصر SDP على تبسيط أمن الوصول عن بُعد وتعزيزه، بل يمكن تطبيقه أيضاً على جميع حالات استخدام الوصول الآمن في المؤسسة، بما في ذلك جميع الاتصالات من المستخدم إلى المورد ومن المورد إلى المورد.
SDP مقابل VPN: مقدمة
تستخدم المؤسسات شبكة VPN (شبكة خاصة افتراضية) لربط الموظفين العاملين عن بُعد بالشبكة الخاصة الداخلية للمؤسسة عبر «نفق» مشفّر بين أجهزة الموظفين والشبكة. وبفضل VPN، يمكن للمستخدمين عن بُعد الوصول إلى الموارد كما لو كانوا في المكتب. غير أن VPN مبنية على نموذج أمني متجاوز «الاتصال أولاً ثم المصادقة». ويتطلب ذلك منافذ مفتوحة تستمع للاتصالات الواردة يمكن العثور عليها بسهولة خلال مرحلة الاستطلاع لدى المهاجم. وتعتمد شبكات VPN على إجراءات مصادقة ضعيفة مثل كلمات المرور التي تكون غالباً ضعيفة ومعاد استخدامها وسهلة الاستغلال عبر الهندسة الاجتماعية أو القوة الغاشمة، أو متاحة للشراء. كما أن التجزئة باستخدام VPN معقدة بشكل مفرط وتؤدي غالباً إلى وصول مفتوح بامتيازات مفرطة، ما يسهّل التحركات الجانبية غير المصرح بها. وأخيراً، فإن تقنية VPN مرتبطة بالعتاد وثابتة، ما يجعلها مصدر صداع معزولاً في البيئات المعلوماتية الديناميكية والسريعة التطور.
يقوم SDP بلا مركزية الضوابط الأمنية وينقلها من طبقة الشبكة إلى طبقة التطبيق، فينشئ ديناميكياً اتصالات فردية بين المستخدمين والموارد التي يصلون إليها. والمحيط المعرَّف بالبرمجيات وZTNA (Zero Trust Network Access) مبنيان على نموذج Zero Trust مُثبت وأكثر أماناً «المصادقة أولاً ثم الاتصال»، الذي ينشئ محيطات فردية لكل مستخدم، ما يتيح تحكماً أدق في الوصول. وتفتح البنية المعرَّفة بالبرمجيات والنهج القائم على API إمكانات كبيرة للأتمتة وقابلية التوسع في البيئات المعلوماتية الديناميكية اليوم.
SDP مقابل VPN: كيف يعمل SDP؟
لنتعرّف أولاً على المكونات الأساسية لبنية المحيط المعرَّف بالبرمجيات (SDP). ومن المهم الإشارة إلى أن أفضل حلول SDP يمكن نشرها عبر نموذج تسليم سحابي أو استضافتها ذاتياً، حسب تفضيلات المؤسسة.
- وحدات التحكم: وحدة التحكم هي عقل النظام. فهي تحدد السياسات الأمنية بالتحقق من الثقة باستخدام بيانات الهوية والسياق والمخاطر، ثم تمنح الحقوق المناسبة.
- البوابات: هنا تُطبَّق سياسات وحدة التحكم، وتوجد البوابات حيثما يجب حماية الموارد.
- العملاء: العملاء هم ما يتفاعل معه المستخدمون النهائيون لإرساء الثقة أولاً عبر وحدة التحكم، ثم الاتصال بمواردهم الموثوقة بالحقوق المناسبة.
من المهم الإشارة إلى أن وحدة التحكم والبوابة مخفيتان تماماً عن الأعين المتطفلة بفضل تقنية تُسمى التفويض بحزمة واحدة (SPA). وهذا يعني عدم وجود أي منافذ مرئية ما لم تتم مصادقة المستخدم والموافقة عليه ومنحه حقاً. باستخدام SPA، تصادق وحدة التحكم على المستخدم أو الجهاز لدى مزوّد الهوية للتحقق من الحقوق، وتتحقق أيضاً من السياق المحيط بالطلب مستخدمةً تقييم المخاطر معياراً لمنح الوصول أو تقييده أو إلغائه. وبمجرد إرساء الثقة، وباستخدام SPA، توفر وحدة التحكم حقاً حياً للعميل، ثم للبوابة، للوصول إلى الموارد الصحيحة. ويُسمّى حقاً حياً لأنه إذا تغيّر السياق أو المخاطر، يمكن تعديل الحقوق في الوقت الفعلي. ثم تتحقق البوابة من أن الرمز المخصص لم يُتلاعب به، وتنشئ قطاعاً من عنصر واحد، أي أن المستخدم/الجهاز يصل فقط إلى الموارد المحددة التي مُنح وصولاً معتمداً إليها. ويبقى كل ما عداها غير مرئي.
SDP مقابل VPN: أمن Zero Trust وعلاقته بـ SDP
في السنوات الأخيرة، أصبح أمن Zero Trust نهجاً شائعاً في أمن البيانات، ولسبب وجيه. فالحلول الأمنية التقليدية مثل VPN تفترض أن جميع الأجهزة في الشبكة موثوقة. غير أن ذلك لم يعد ممكناً في عالم اليوم المترابط. ويتبنى أمن Zero Trust، القائم على مبدأ الوصول بالحد الأدنى من الامتيازات، موقف «الرفض افتراضياً» ويعتبر جميع الأجهزة غير موثوقة حتى يثبت العكس. وقد صُمّم الوصول الشبكي Zero Trust وبنية SDP خصيصاً لتطبيق مبادئ Zero Trust، ما يوفر للمؤسسات المزايا الأمنية التالية:
- جميع الموارد غير مرئية للأشخاص غير المصادق عليهم وغير المصرح لهم
- تضمن الهوية والسياق ووضع مخاطر الأجهزة وبيانات قياس المخاطر الواردة من أنظمة مدمجة مثل منصات استخبارات التهديدات وحلول Endpoint Protection دخول المستخدمين والأجهزة المناسبين إلى شبكتك.
- يُوفَّر الوصول الآمن في الوقت المناسب عند التحقق من الثقة، ويقتصر على موارد مجزأة بناءً على حقوق دقيقة
تساعدك HTBS على تأمين مؤسستك بفضل نهج Zero Trust، الذي سيمكّنك من حماية وتأمين جميع العناصر المكوّنة لبنيتك التحتية، إضافة إلى الحصول على رؤية شاملة لسطح الهجوم لديك.
المصدر : Appgate
اشترك أدناه لتصلك نشرتنا الإخبارية كل أسبوع: