الدفاع المتعدد الطبقات لحاسوب واحد

يُدرَّس الدفاع الشبكي عادةً للمنظمات: مركز عمليات أمنية يراقب حركة بيانات شركة بأكملها. تنطبق الأفكار الأساسية بالقدر نفسه على جهاز Mac واحد، مصغَّرة إلى شخص واحد يقوم بالمراقبة. يحدد هذا الدرس المفاهيم التي تُبنى عليها بقية المادة.

الدفاع المتعدد الطبقات: لا يُوثَق بطبقة واحدة بمفردها

الدفاع المتعدد الطبقات يعني ترتيب عدة حمايات مستقلة بحيث لا يترك فشل واحد منها الجهاز مكشوفًا. على جهاز Mac واحد، تبدو الطبقات هكذا: نظام التشغيل نفسه (محدَّث، مع إيقاف الخدمات غير الضرورية، متناوَل في مادة تحصين macOS في هذا الموقع)، وجدار حماية يتحكم في الاتصالات المسموح بها دخولًا وخروجًا، والحسابات والصلاحيات التي سيحتاجها أي برنامج لإحداث ضرر حقيقي، وأخيرًا انتباهك أنت لما يبدو غير معتاد. لا شيء من هذه كافٍ بمفرده. لا يزال جهاز Mac غير محدَّث لكن محمي بجدار حماية جيد عرضة للاختراق عبر تطبيق ضعيف؛ ولا يزال جهاز Mac محدَّث بالكامل بلا أي جدار حماية عرضة لتسريب بيانات إلى أي جهة يقرر تطبيق ما إرسالها إليها.

تنظّم مصفوفة D3FEND التابعة لـ MITRE، المبنية بالاشتراك مع مديرية الأمن السيبراني التابعة لوكالة الأمن القومي الأمريكية (NSA)، هذا النوع بالضبط من التفكير الطبقي في فئات مسمّاة من تقنيات الدفاع: تحصين نظام، واكتشاف نشاط مريب، وعزل ما تم اختراقه، وفي النهاية طرد المهاجم واستعادة التشغيل الطبيعي. وهي مكتوبة لمنظمات كبيرة تقارن بين أدوات وتقنيات، لكن الفئات تنطبق بوضوح على جهاز Mac واحد: تغطي مادة تحصين macOS في هذا الموقع التحصين، وتغطي هذه المادة الاكتشاف والعزل، ولا يعتمد أي من ذلك على امتلاك فريق أمان كبير ليكون مفيدًا على نطاق أصغر.

تقليل التعرّض: سطح الهجوم، من جانب الشبكة

الفكرة المصاحبة للدفاع المتعدد الطبقات هي تقليل التعرّض: تقليل ما يمكن الوصول إليه، وما يستطيع الوصول إلى الخارج، من الأساس. تغطي مادة تحصين macOS هذا من داخل الجهاز، بإغلاق الخدمات والمنافذ؛ ويغطي الدفاع الشبكي الفكرة نفسها من حركة البيانات نفسها، بتقرير أي الاتصالات ينبغي أن توجد أصلًا. لا يمكن مهاجمة خدمة لم تُفعَّل أبدًا عبر الشبكة؛ ولا يمكن لاتصال لم يُسمَح به أبدًا أن يسرّب بيانات، أو يوصل حمولة ضارة، أو يستقبل تعليمات من مهاجم.

أقل امتياز، مطبَّقًا على حركة الشبكة

يُوصَف أقل امتياز عادةً من منظور الحسابات: امنح مستخدمًا أو عملية فقط الوصول الذي يحتاجه، لا أكثر. ينطبق المنطق نفسه على اتصالات الشبكة. لا يملك تطبيق طقس أي سبب مشروع للتحدث إلى نطاق في بلد لا توجد فيه خوادمه؛ ولا يملك محرر نصوص أي سبب مشروع لإجراء اتصالات شبكية على الإطلاق. حركة بيانات لا تتطابق مع ما ينبغي أن يفعله تطبيق تستحق التساؤل عنها، بالطريقة نفسها التي يُتساءل بها عن حساب يحاول فعل شيء خارج دوره.

الرفض الافتراضي، وما يكلّفه

يحجب نهج الرفض الافتراضي (default-deny) كل شيء باستثناء ما سُمح به صراحة؛ بينما يحجب نهج السماح الافتراضي (default-allow) فقط ما حُدِّد صراحة على أنه ضار. الرفض الافتراضي هو الموقف الأقوى من حيث المبدأ، إذ لا يعتمد على معرفة مسبقة بتهديد ما، لكن له تكلفة حقيقية لا مفر منها: سيُحجَب أحيانًا شيء كنت تحتاجه فعلًا، ويتعيّن عليك أنت ملاحظة ذلك وإصلاحه. عميل بريد يتعذّر عليه فجأة التحقق من رسائل جديدة، أو تعريف طابعة لا يجد الطابعة، عادةً ما يكون الرفض الافتراضي يفعل بالضبط ما ضُبط ليفعله، في لحظة مزعجة لا مفيدة.

هذه المقايضة هي سبب ميل جدران الحماية ذات الرفض الافتراضي إلى السؤال، بدلًا من القرار الصامت، في المرة الأولى التي يحاول فيها تطبيق الاتصال: فالشخص الذي يستخدم الجهاز هو غالبًا الوحيد القادر على قول ما إذا كان اتصال معيّن متوقَّعًا. يتناول الدرس التالي الأدوات المحددة على macOS التي تتيح لك تطبيق الرفض الافتراضي على مستويات مختلفة، من تطبيق واحد إلى مكدس الشبكة بأكمله.