سياسات أمنية متسقة عبر السحابة والبيئات المحلية
- تتيح إدارة السياسات المختلطة استخدام مجموعة قواعد واحدة تم وضعها من قبل مؤلف واحد لتنظيم تطبيق السياسات في كل من البيئة المحلية والسحابة، مع وجود استثناءات موثقة فقط.
- يُعد الانحراف عن السياسات هو الوضع الافتراضي عندما تُدار البيئات بشكل منفصل، لذا فإن الوقاية تتطلب نموذجًا تشغيليًّا.
- تعيين المسؤولين، وتسجيل كل تغيير في إصدار جديد، والتنفيذ على مراحل، والتأهب دائمًا للرجوع إلى الإصدار السابق.
- يساهم وجود سجل استثناء واحد وإجراء فحوصات الانحراف المجدولة في الحفاظ على التوافق بين عمليات التطبيق المحلية وتلك التي تتم عبر السحابة.
- إن وجود محرك سياسات واحد لجميع نقاط التنفيذ يزيل معظم أعمال المزامنة وأخطاء الترجمة.
إدارة السياسات الأمنية الهجينة هي ممارسة تتمثل في تحديد سياسة أمنية مرة واحدة وتطبيقها بشكل متسق على كل نقطة تنفيذ، سواء كانت بوابة في مركز البيانات، أو جهاز فرعي، أو نقطة تواجد سحابية. والهدف من ذلك هو معاملة المستخدم أو الجهاز أو نوع البيانات أو التطبيق بنفس الطريقة، بغض النظر عن نقطة التنفيذ التي تتولى معالجة حركة المرور.
هذه المقالة جزء من دليل أمن السحابة الهجينة.
لماذا تنحرف السياسات في البيئات المختلطة
يحدث التباين عندما يتم تنفيذ نفس المقصد بشكل منفصل في أكثر من مكان واحد:
- بوابة محلية وخدمة سحابية تتميزان ببناء جمل القواعد وقواعد بيانات الفئات المختلفة
- تمت إضافة استثناءات بشكل عاجل في إحدى البيئات ولم يتم نسخها أبدًا إلى البيئة الأخرى
- فرق مختلفة مسؤولة عن سياسات أمن الشبكات والسحابة والبيانات
- تم تحديث قواميس DLP لقناة واحدة دون الأخرى
- التغييرات الطارئة التي يتم إجراؤها مباشرةً على الأجهزة خارج نطاق الإجراءات المعتادة
ونتيجة لذلك، فإن الأمن يعتمد على المكان الذي يتواجد فيه المستخدم. يكتشف المراجعون هذه الثغرات، ويستغلها المهاجمون، وتتباطأ عملية استكشاف الأخطاء وإصلاحها لأن لا أحد متأكد من السياسة التي تنطبق في كل حالة. وتتناول «استراتيجيات التخفيف العشر الأولى لأمن السحابة » الصادرة عن وكالة الأمن القومي (NSA) ووكالة الأمن السيبراني والبنية التحتية (CISA) هذه المسألة بشكل مباشر، من خلال استراتيجيات للنشر الآلي الآمن عبر نهج «البنية التحتية كرمز»، وللتعامل مع تعقيدات البيئات الهجينة وبيئات السحابة المتعددة.
الملكية
تبدأ السياسة المتسقة بمسؤولية واضحة عن كل مجال من مجالات السياسة، يتم تحديدها قبل اختيار الأدوات.
| مجال السياسة العامة | المالك النموذجي | الموافق |
|---|---|---|
| الوصول إلى الويب والفئات | فريق أمن الشبكات أو أمن الويب | القيادة الأمنية، والموارد البشرية فيما يتعلق بالاستخدام المقبول |
| الوصول الخاص إلى التطبيق | فريق الهوية والوصول | مالكو التطبيقات |
| حماية البيانات (DLP) | فريق أمن البيانات | أصحاب البيانات، الخصوصية، الامتثال |
| الحماية من التهديدات | العمليات الأمنية | القيادة الأمنية |
| فك تشفير TLS وطرق التحايل عليه | فريق أمن الويب | الخصوصية والشؤون القانونية |
| الاستثناءات | صاحب العمل مقدم الطلب | المسؤول عن مجال السياسة |
يجب أن يُرجع كل قاعدة إلى صاحبها وإلى سبب تجاري.
إدارة الإصدارات
تعامل مع سياسة الأمان كما لو كانت شفرة برمجية، بحيث يتم مراجعة كل تغيير وتسجيله وإمكانية التراجع عنه:
- قم بتخزين تعريفات السياسات في نظام التحكم في الإصدارات، أو استخدم منصة تحتفظ بسجل كامل للإصدارات.
- يجب تقديم وصف، ورقم مرجعي للتذكرة، واسم المُصادِر لكل تغيير.
- راجع التغييرات قبل النشر، بما في ذلك مقارنة مع الإصدار الحالي.
- يتم تعيين العلامات بحيث يمكن تحديد أي حالة من حالات النشر واستعادتها.
تنطبق ضوابط إدارة التكوين الواردة في معيار NIST SP 800-53، الإصدار 5، بما في ذلك التكوين الأساسي (CM-2) ومراقبة تغيير التكوين (CM-3)، على سياسة الأمان بقدر ما تنطبق على الخوادم. ويصف معيار NIST SP 800-128 ممارسات إدارة التكوين التي تركز على الأمان وتدعم هذه الضوابط.
الطرح
قم بتنفيذ التغييرات في السياسات على مراحل حتى تظهر المشكلات في مجموعة صغيرة قبل أن تمتد إلى الجميع:
- قم بالتحقق من صحة العملية في بيئة اختبار أو باستخدام أداة محاكاة السياسات.
- توفير خدمة «كاناري» لمجموعة صغيرة من المستخدمين أو لموقع واحد.
- مراقبة معدلات الحجب والأخطاء وتذاكر الدعم الفني مقارنةً بالخط الأساسي.
- التوسع على مراحل عبر المواقع ومناطق السحابة.
- تأكد من أن كل نقطة تطبيق تُبلغ عن الإصدار الجديد.
بالنسبة للتغييرات العاجلة الناجمة عن تهديدات، حدد مسارًا سريعًا يضمن تسجيل التغيير ومزامنته في كل مكان.
الاستثناءات
الاستثناءات هي المجالات التي يتآكل فيها الاتساق بأسرع ما يمكن.
الحفاظ على سجل استثناءات واحد يشمل جميع البيئات:
- النطاق: المستخدمون، والمجموعات، والوجهات، وفئات البيانات، والقنوات
- البيئات: نقاط التنفيذ التي ينطبق عليها الاستثناء
- المبرر والمالك
- تاريخ انتهاء الصلاحية أو تاريخ المراجعة
- ضوابط التعويض
يجب إنشاء الاستثناءات في السياسة المركزية ونشرها، ولا يجب أبدًا تكوينها مباشرةً على الأجهزة الفردية.
فحوصات الانحراف
يُقارن نظام كشف الانحراف بين السياسة المقصودة وما تم تطبيقه فعليًّا.
- التحقق من الإصدار: تُبلغ كل نقطة تطبيق عن إصدار السياسة النشط لديها؛ ويتم إصدار تنبيه في حالة وجود تباينات.
- الاختلافات في التكوين: قم بشكل دوري بتصدير التكوين الذي تم نشره ومقارنته بالخط الأساسي المعتمد.
- اختبار السلوك: قم بإجراء اختبارات عناوين URL والتطبيقات على البوابة المحلية، وقم بإجراء اختبارات حماية البيانات على المسار المطبق في السحابة الذي تقوم البوابة بإعادة توجيه البيانات إليه، ثم قارن النتائج مع السياسة التي قمت بوضعها.
- تدقيق الاستثناءات: مقارنة الاستثناءات على مستوى الجهاز بالسجل المركزي.
حدد مواعيد لإجراء فحوصات الانحراف مرة واحدة على الأقل أسبوعيًا وبعد كل فترة تغيير.
التراجع
يجب أن تؤدي عملية التراجع إلى استعادة الإصدار السابق من السياسة في كل نقطة تطبيق في عملية واحدة.
- احتفظ بنسخة السياسة السابقة جاهزة لإعادة نشرها على جميع نقاط التطبيق.
- حدد من يمكنه الموافقة على التراجع عن التغييرات وتحت أي شروط.
- تأكد من وصول عملية التراجع إلى نقاط التنفيذ في السحابة وداخل المؤسسة في نفس العملية.
- تسجيل عمليات التراجع مع ذكر الأسباب ومتابعتها بإجراء مراجعة.
نماذج التزامن
هناك أربعة نماذج للتزامن، ويقل خطر الانحراف كلما أصبحت إدارة السياسات أكثر توحيدًا.
| الطراز | كيف يعمل | خطر الانجراف |
|---|---|---|
| إدارة منفصلة | لكل بيئة وحدة تحكم وقواعد خاصة بها | مرتفع |
| المزامنة المبرمجة | قواعد تصدير واستيراد الأدوات بين المنصات | متوسط؛ ثغرات في الترجمة وأخطاء في التزامن |
| القوائم المشتركة | قواعد منفصلة، لكن قوائم السماح والحظر المشتركة متزامنة | متوسط |
| محرك سياسات واحد | سياسة واحدة تُطبق في كل نقطة إنفاذ | منخفض |
لا تزال محركات السياسات الفردية تحتاج إلى فحوصات الانحراف، لأن الأجهزة قد تفشل في التحديث، لكنها تلغي الحاجة إلى الترجمة بين لغات القواعد.
قائمة مراجعة لإدارة سياسات الأمان المركزية
استخدم قائمة المراجعة هذه للتأكد من أن إدارة السياسات المختلطة تسير على ما يرام.
- لكل مجال سياسي مسؤول وموافق عليه
- يتم ترقيم جميع التغييرات في السياسات مع الإشارة إلى أرقام التذاكر
- يتم تطبيق التغييرات على مراحل مع متابعة الأداء
- سجل استثناء واحد يغطي جميع البيئات
- تُظهر نقاط التنفيذ إصدارات السياسات السارية
- تُجرى عمليات فحص الانحراف وفقًا لجدول زمني محدد وبعد إجراء أي تغييرات
- تم توثيق عملية التراجع واختبارها
- تؤكد الاختبارات الاصطناعية أن سياسة واحدة محددة تُسفر عن النتيجة المتوقعة لكل جلسة، عند نقطة التنفيذ التي تتولى معالجتها
كيف تدعم «سكايهاي» تطبيق سياسة العمل المختلط بشكل متسق
تحافظ «سكايهاي» على اتساق السياسة الهجينة من خلال إرسال مجموعة واحدة من السياسات، في شكل كود برمجي، إلى كل نقطة تطبيق.
تستخدم Skyhigh بنية «السياسة كرمز» التي تعمل على نشر السياسات تلقائيًّا عبر الأجهزة المادية والأنظمة الافتراضية وعقد السحابة، دون الحاجة إلى مطابقة يدوية بين البيئات (Skyhigh Security). وتدعم تقنية SWG الهجينة الخاصة بها الترحيل بنقرة واحدة للسياسات المحلية إلى السحابة والمزامنة في الوقت الفعلي للسياسات الموحدة، كما يوضح تتبع القواعد أي سياسة أثرت على حركة مرور مستخدم معين (Skyhigh Security). أضاف تحديث المنصة في مارس 2026 إدارة موحدة للسياسات غير مرتبطة بالموقع وإطار عمل للسياسات قابل للبرمجة والتوسيع. من خلال شبكة Skyhigh Hybrid SSE Mesh، يتم صياغة السياسة مرة واحدة في وحدة التحكم السحابية وتُطبق على كل جلسة. يتم تطبيق « Secure Web Gateway » و«Zero Trust Access» و«Secure Browser Controls» بشكل أصلي على بوابة الخدمات الآمنة (Secure Service Gateway) المحلية، بينما يتم تطبيق ضوابط أمان DLP وCASB وDSPM وRBI وضوابط أمان الذكاء الاصطناعي (AI) من خلال سحابة Skyhigh.
المصادر
- وكالة الأمن القومي (NSA) ووكالة الأمن السيبراني والبنية التحتية (CISA). أهم عشر استراتيجيات للتخفيف من مخاطر أمن السحابة (7 مارس 2024). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
- المعهد الوطني للمعايير والتقنية (NIST). SP 800-53، الإصدار 5: ضوابط الأمن والخصوصية لنظم المعلومات والمؤسسات. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
- المعهد الوطني للمعايير والتقنية (NIST). SP 800-128: دليل إدارة التكوين لنظم المعلومات مع التركيز على الأمن. https://csrc.nist.gov/pubs/sp/800/128/upd1/final
- Skyhigh Security. «تحديث نظام « Secure Web Gateway » الخاص بـ Symantec Edge باستخدام شبكة Skyhigh Hybrid SSE Mesh» (15 يوليو 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
- Skyhigh Security. «أصبح اعتماد النمط الهجين أسهل بفضل منصة Skyhigh SSE» (3 أكتوبر 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
- Skyhigh Security. «شركة "Skyhigh Security " تعلن عن حلول جديدة لتعزيز منصة SSE العالمية المبتكرة» (24 مارس 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html