النشر الخاص لـ SSE: البنية والتبعيات السحابية

يُعد نموذج النشر الخاص (Private SSE) نموذجًا يتم فيه تشغيل قدرات مجموعة أمان الويب ( Security Service Edge )، مثل مجموعة أمان الويب (SWG) ( secure web gateway ) والوصول الآمن عبر الشبكة (ZTNA) ( zero trust network access ) ومنع تسرب البيانات (DLP) ( data loss prevention )، على البنية التحتية التي يستضيفها العميل. ويستخدم هذا النموذج من قبل المؤسسات التي يتعين عليها الاحتفاظ بفحص حركة المرور أو المفاتيح أو السجلات داخل منشآتها أو نطاق سلطتها القضائية، أو التي تحتاج إلى أن يستمر العمل الأمني دون الاعتماد على سحابة خارجية.

يصف تعريف «غارتنر» لـ SSE هذه التقنية بأنها تُقدَّم بشكل أساسي عبر السحابة، لكنه يشير إلى أنها قد تتضمن مكونات محلية أو مكونات تعتمد على الوكلاء. أما SSE الخاصة، فتضع هذه المكونات في صميمها.

هذه المقالة جزء من دليل أمن السحابة الهجينة.

ثلاث مستويات في بنية SSE

يتكون كل نشر لنظام SSE، سواء كان سحابيًا أو خاصًّا، من ثلاث طبقات منطقية.

يُفرّق نموذج «الثقة الصفرية» الذي وضعه المعهد الوطني للمعايير والتقنية (NIST) في المواصفة SP 800-207 بنفس الطريقة بين قرارات السياسات وتنفيذها.

مستوى البيانات. المكونات الموجودة في مسار حركة المرور والتي تقوم بفحص الاتصالات أو تيسيرها: بروكسيات الويب، وبوابات ZTNA، وفحص TLS، والمسح بحثًا عن التسرب (DLP)، وتحليل البرامج الضارة. وهنا يوجد النص العادي.

مستوى التحكم. حيث يقوم المسؤولون بتحديد السياسات وإدارة الهويات والمجموعات، ونقل التكوين إلى نقاط التنفيذ. وقد تكون هذه وحدة تحكم موجودة في الموقع، أو في سحابة المزود، أو كليهما.

الخدمات الداعمة. العناصر التي تعتمد عليها نقاط الإنفاذ في اتخاذ القرارات: تصنيف عناوين URL، ومعلومات استخباراتية عن التهديدات، وسمعة الملفات، وبيئة الاختبار المعزولة، وتحديثات البرامج والتوقيعات، والتراخيص، والتحليلات.

تتحدد درجة خصوصية أي عملية نشر بالدرجة الأقل خصوصية بين الطائرات المشاركة فيها.

نماذج النشر الخاصة لـ SSE

تتراوح خدمات SSE الخاصة بين مستوى خاص للبيانات مع إدارة سحابية وصولاً إلى عمليات نشر خاصة بالكامل دون أي تبعيات خارجية. هذه نماذج تقييمية؛ ويعتمد التوافر وحدود التشغيل على المنتج المختار.

يُعد نموذج «مستوى البيانات الخاص» هو النموذج الأكثر شيوعًا. فهو يحافظ على إجراء عمليات فك التشفير والفحص محليًّا، مع استخدام وحدة تحكم سحابية لإدارة السياسات والتحليلات. أما عمليات النشر الخاصة بالكامل فهي أقل شيوعًا وتتطلب مجهودًا أكبر من فريق العمليات لدى العميل.

المكونات التي يستضيفها العميل

في حالة النشر الخاص أو المختلط لنظام SSE، يتولى العميل استضافة وتشغيل مكونات الإنفاذ والمكونات الرئيسية، والتي تشمل عادةً ما يلي:

• أجهزة بوابة الويب — سواء كانت مادية أو افتراضية أو معبأة في حاويات — من أجل الفحص المحلي لبروتوكول TLS وتطبيق سياسات الويب
• بوابات أو موصلات ZTNA التي تتولى تيسير الوصول إلى التطبيقات الخاصة
• المسح باستخدام تقنية DLP، حيثما يوفرها أحد الموردين محليًّا؛ وتقوم شركة Skyhigh بتطبيق حماية البيانات عبر سحابتها على حركة المرور التي تقوم البوابة بإعادة توجيهها
• بيئة العزل (Sandboxing)، داخل المنشأة للملفات الحساسة
• فحصشهادة المصادقة (CA) وتخزين المفاتيح، مع الحفظ المدعوم بالأجهزة فقط في الحالات التي يتم فيها دعم ذلك والتحقق منه
• برامج تجميع السجلات التي تخزن الأحداث محليًّا وتقوم بإعادة توجيه البيانات المحددة

يتحمل العميل مسؤولية السعة، والتوافر، وتطبيق التصحيحات، والأمن المادي لهذه المكونات.

التبعيات السحابية المطلوب تعيينها

لا تزال معظم عمليات نشر SSE الخاصة تعتمد على سحابة المزود في جانب ما، لذا قم بإدراج كل تبعية وسلوكها في حالة الفشل.

قبل تقييم أي بنية خاصة لـ SSE، اطلب من المزود تقديم قائمة بجميع الاتصالات الصادرة من المكونات التي يستضيفها العميل، وما الذي يحدث عندما يتعذر الوصول إلى كل منها:

بالنسبة لكل تابع، حدد ما إذا كان السلوك الافتراضي مقبولًا أم أن هناك حاجة إلى بديل محلي.

تدفقات القياس عن بُعد

تعد بيانات القياس عن بُعد الواردة من نقاط الإنفاذ الخاصة بيانات بحد ذاتها، ويمكن أن تشمل ما يلي:

• سجلات الوصول: المستخدم، الجهاز، عنوان URL، الفئة، الإجراء
• حوادث DLP، التي تتضمن أحيانًا مقتطفات من المحتوى أو نسخًا كاملة منه
• تجزئات الملفات أو العينات المستخدمة في تحليل التهديدات
• مؤشرات الأداء والصحة
• بيانات الاستخدام لأغراض الترخيص

بعض هذه البيانات غير ضار. وبعضها يخضع للتنظيم. قم بإنشاء خريطة للقياس عن بُعد تسجل كل تدفق، ومحتواه، ووجهته، ومدة الاحتفاظ به. وغالبًا ما يكون هذا هو الفارق بين مراجعة السيادة التي تُعتمد وتلك التي تتعثر. انظر «سيادة البيانات في أمن السحابة الهجينة».

من الأساليب المفيدة أخذ «بصمات» البيانات الحساسة داخل بيئة العميل وإرسال «التجزئات» فقط إلى الخدمة، بحيث لا يغادر المحتوى المحمي نفسه البيئة أبدًا. اسأل كل مورد عن المكان الذي يتم فيه إنشاء «البصمات» لمطابقة البيانات والمستندات بدقة، وعن البيانات التي يتم إرسالها. تقوم شركة Skyhigh بإنشاء وتطبيق مطابقة حماية البيانات في سحابتها.

متى يكون استخدام SSE الخاص خيارًا منطقيًّا

يكون استخدام شبكة SSE الخاصة خيارًا منطقيًّا عندما تتطلب اللوائح التنظيمية، أو الاتصال، أو التكنولوجيا التشغيلية، أو حجم حركة المرور، أو استبدال الأنظمة القديمة، تنفيذًا محليًّا.

• تنص اللوائح أو العقود على ضرورة بقاء حركة البيانات المفكوك تشفيرها أو المفاتيح أو السجلات داخل البلاد أو داخل المقر
• الشبكات إما معزولة عن العالم الخارجي، أو سرية، أو متصلة بشكل متقطع
• يجب أن تستمر التكنولوجيا التشغيلية أو البنية التحتية الحيوية في العمل أثناء انقطاعات التيار الخارجية
• يؤدي حجم حركة المرور الداخلية إلى ارتفاع تكلفة الفحص السحابي أو إبطائه
• تقوم المؤسسة باستبدال خادم وكيل محلي، وترغب في تحديث نظامها دون الاضطرار إلى الانتقال إلى السحابة

وعندما لا ينطبق أي من هذه الحالات، عادةً ما تتطلب خدمة SSE السحابية جهدًا تشغيليًّا أقل.

المفاضلات التشغيلية

تُرجع خدمة SSE الخاصة المسؤولية إلى العميل: تحديد الحجم، والتكرار، وتطبيق التصحيحات، وإعداد التحديثات، واستكشاف الأعطال وإصلاحها.

وتتمثل المزايا في التحكم في النص العادي والمفاتيح والسجلات، فضلاً عن ضمان الاستمرارية في حالة تعذر الوصول إلى السحابة الخاصة بالمورد. وتتيح التصاميم الهجينة للمؤسسات قصر تطبيق الإجراءات الأمنية الخاصة على المواقع وحركة المرور التي تحتاج إليها.

كيف تدعم «سكايهاي» أنظمة SSE الخاصة والمختلطة

تدعم Skyhigh نموذجي SSE الخاص والمختلط من خلال طبقة بيانات محلية تُدار عبر نفس وحدة التحكم المستخدمة في خدماتها السحابية.

تقوم منصة «Skyhigh Hybrid SSE Mesh» بفرض سياسة « secure web gateway » وسياسة «Zero Trust Access» على البوابة المحلية الخاصة بالعميل، من خلال الفحص المحلي لبروتوكول TLS وبنية الأجهزة المعبأة في حاويات التي تم طرحها في مارس 2026، كما تطبق خدمات حماية البيانات وCASB وخدمات البيانات الأخرى المتوفرة في سحابة Skyhigh على حركة المرور التي تعيد توجيهها البوابة، كل ذلك في إطار سياسة واحدة يتم وضعها من خلال وحدة تحكم واحدة. يتم توفير مستوى التحكم عبر السحابة، لذا يعتمد إنشاء السياسات وإعداد التقارير وتسليم السجلات على إمكانية الوصول إلى السحابة، بينما يستمر التنفيذ المحلي لسياسات الويب والتطبيقات الخاصة في الموقع في حالة انقطاع ذلك المسار. تحمل Skyhigh ترخيص FedRAMP High.

المصادر

1. جارتنر. «Security Service Edge » (SSE)، مسرد مصطلحات تكنولوجيا المعلومات. https://www.gartner.com/en/information-technology/glossary/security-service-edge-sse
2. المعهد الوطني للمعايير والتقنية (NIST). SP 800-207: بنية «الثقة الصفرية» (أغسطس 2020). https://csrc.nist.gov/pubs/sp/800/207/final
3. Skyhigh Security. «شركة "Skyhigh Security " تعلن عن حلول جديدة لتعزيز منصة SSE العالمية المبتكرة» (24 مارس 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html
4. Skyhigh Security. «تحديث نظام « Secure Web Gateway » الخاص بـ Symantec Edge باستخدام شبكة Skyhigh Hybrid SSE Mesh» (15 يوليو 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
5. Skyhigh Security. «أصبح اعتماد النمط الهجين أسهل بفضل منصة Skyhigh SSE» (3 أكتوبر 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html