جهاز Firewall للشركات الصغيرة في الإمارات: ما يحميه، وكيف تختار نوعه المناسب لك

يقف جهاز Firewall، أو الفايروول كما يسميه كثيرون، بين شبكة المكتب والإنترنت، ويقرر ما يسمح له بالعبور وما يوقفه. فهو يمنع كل محاولة اتصال من الخارج لم يطلبها أحد من داخل المكتب، ويتيح للموظفين الوصول إلى الخدمات التي يحتاجونها، ويحتفظ بسجلات لما مر عبره. ويقدم جهاز Firewall المخصص للشركات أكثر من ذلك: فهو يفحص الحركة بحثًا عن الهجمات المعروفة، ويصفي المواقع حسب نوعها، ويوفر الاتصال المشفر (VPN) الذي يصل به الموظفون عن بعد والفروع إلى المكتب، ويفصل أجزاء الشبكة بعضها عن بعض.

ولا تقل حدود الجهاز أهمية عن وظيفته. فأغلب الهجمات التي تكلف الشركات الصغيرة مالًا تصل عبر بريد أحد الموظفين أو كلمة مرور مسروقة، ويسمح لها جهاز Firewall بالمرور لأنها تبدو حركة عادية. ولا يغني الجهاز عن التحقق بخطوتين (MFA)، ولا عن توعية الموظفين، ولا عن نسخ احتياطية تأكدت فعلًا أنك تستطيع استرجاع ملفاتك منها. ويشرح دليلنا عن حماية الشركات من الهجمات الإلكترونية لماذا لا تبدأ الحماية بجهاز Firewall، أما هذا الدليل فهو للمرحلة التي تصبح فيها جاهزًا لاختياره.

ذات صلة:حماية شركتك من الهجمات الإلكترونية

يمنع الراوتر الذي جاء مع خط الإنترنت محاولات الاتصال غير المطلوبة من الخارج، وقد يكفي ذلك مكتبًا صغيرًا جدًا يعمل كل شيء فيه على السحابة. ومع نمو المكتب يظهر ما ينقص الراوتر: فهو نادرًا ما يفحص الحركة بحثًا عن الهجمات، ولا يصفي المواقع حسب نوعها، ولا يميز بين التطبيقات، ويتيح وصولًا محدودًا إلى الشبكة من الخارج أو لا يتيحه، ويحتفظ بسجلات قليلة، وقد لا تتحكم أنت في تحديثات برنامجه.

ويستحق جهاز Firewall المنفصل تكلفته حين يتصل الموظفون أو الفروع بالمكتب من الخارج، أو حين تضم الشبكة كاميرات أو زوارًا أو أجهزة يجب ألا تصل إلى ملفات الشركة، أو حين تحتاج الشركة إلى معرفة أي جهاز وصل إلى كل جزء من الشبكة ومتى، أو حين يحفظ المكتب بيانات لا يحتمل كشفها. وفي هذه الحالة يقتصر دور الراوتر على توصيل الإنترنت، ويتولى جهاز Firewall الذي يقف خلفه الحماية.

يظهر في أغلب عروض الأسعار اسمان لنوعين من أجهزة Firewall. الأول UTM، وهو اختصار يعني إدارة التهديدات الموحدة، ويدل على جهاز واحد يجمع جدار الحماية مع فحص الفيروسات ومنع التسلل (IPS) وتصفية المواقع واتصال VPN، فلا يحتاج المكتب الصغير إلى جهاز منفصل لكل وظيفة. والثاني NGFW، أي الجيل التالي من هذه الأجهزة، ويضيف التعرف على التطبيقات والمستخدمين: فهو يفرق بين تطبيق ويب وآخر، ويطبق قواعد لكل موظف أو فريق بعد ربطه بحسابات المستخدمين، ويفحص الحركة المشفرة.

واليوم تداخل الاسمان إلى حد كبير، ويستخدم مصنعون كثيرون الاسمين للمنتج نفسه. فالمهم ليس الاسم، بل وسائل الحماية التي يشغلها الجهاز، وسرعته حين تعمل وسائل الحماية هذه كلها. فاطلب من كل مورد أن يذكر وسائل الحماية التي يشملها العرض، وأيها يعتمد على الاشتراك.

تبدأ مواصفات أجهزة Firewall برقم كبير للسرعة، ويقاس هذا الرقم دون تشغيل وسائل الحماية. أما الرقم الذي تحتاج الشركة إلى النظر فيه فهو سرعة الحماية من التهديدات (Threat Protection Throughput)، وتقاس بعد تشغيل منع التسلل والتحكم في التطبيقات وفحص البرمجيات الخبيثة، وكثيرًا ما تبلغ جزءًا صغيرًا من الرقم الأول. وإذا احتاج المكتب إلى فحص الحركة المشفرة، فالسرعة مع هذا الفحص أقل من ذلك أيضًا.

واختر الحجم حسب سرعة خط الإنترنت والنمو المتوقع، لا حسب الاستخدام الحالي. فاحسب عدد الأشخاص والأجهزة خلف الجهاز، والموظفين الذين سيتصلون عبر VPN في الوقت نفسه، وسرعة الإنترنت التي تتوقعها بعد ثلاث إلى خمس سنوات. ثم راجع أرقام VPN في المواصفات بشكل منفصل: سرعة VPN، وعدد المستخدمين والفروع الذين يقبل الجهاز اتصالهم في الوقت نفسه، ويربط بعض المصنعين هذا العدد بالاشتراك. وراجع المنافذ أيضًا: منفذ لخط الإنترنت، وآخر لشبكة المكتب. ويمكن أن تمر شبكات الزوار والكاميرات عبر منفذ المكتب نفسه كشبكات منفصلة (VLAN)، فلا تحتاج إلى منافذ إضافية إلا إذا أردت لكل شبكة كابلًا خاصًا بها.

وإذا كان المكتب لا يستطيع العمل دون إنترنت، فيمكن أن يتولى جهاز ثان مماثل العمل حين يتعطل الأول، بشرط أن يدعم الطراز هذه الميزة (High Availability)، وأن تضبط الجهازين معًا: الإصدار نفسه من البرنامج، ووصلة بينهما تبقيهما متزامنين، وإعدادات الانتقال من جهاز إلى آخر. ويضيف ذلك ثمن جهاز آخر، ويطلب كثير من المصنعين اشتراكًا له أيضًا، لذلك يناسب هذا الحل المكاتب التي تخسر من توقف العمل أكثر مما يكلفها الجهاز الثاني.

تباع أغلب أجهزة Firewall للشركات مع اشتراك، مدته في العادة سنة أو عدة سنوات. ويبقي الاشتراك وسائل الحماية محدثة: بيانات الهجمات التي يعتمد عليها منع التسلل، وتعريفات البرمجيات الخبيثة، وتصنيفات المواقع التي تستخدمها التصفية. ويشمل في الغالب الدعم الفني من المصنع وتحديثات برنامج الجهاز. ومن دونه يواصل الجهاز توجيه الحركة وتطبيق القواعد التي ضبطتها، لكن وسائل الحماية تتوقف عن التحديث في أغلب الطرازات، ويتوقف بعضها عن العمل تمامًا.

لذلك قارن العروض بتكلفتها طوال المدة التي تنوي استخدام الجهاز فيها، ثلاث سنوات أو خمسًا، شاملة تجديدات الاشتراك، لا بسعر الجهاز وحده. واجعل تاريخ التجديد مسؤولية شخص محدد، لأن انتهاء الاشتراك لا يعلن عن نفسه، ويبدو الجهاز كأنه ما زال يحمي المكتب. وينشر المصنعون تاريخ انتهاء الدعم لكل طراز، فراجعه قبل الشراء، لأن جهاز Firewall الذي لم تعد تصله التحديثات يصبح خطرًا في حد ذاته.

لا تزيد حماية جهاز Firewall على جودة قواعده. والإعداد السليم يعني أن تغلق كل منفذ وخدمة لا يستخدمها المكتب، وتفتح ما يحتاجه فقط، وتجهز اتصال VPN للموظفين عن بعد مع التحقق بخطوتين، وتتأكد أن كل وسائل الحماية التي يدفع ثمنها الاشتراك تعمل. وإذا بقي راوتر مزود الخدمة أمام الجهاز، فاضبطه على وضع التمرير (Bridge Mode)، أو اجعله يمرر حركة VPN إلى الجهاز، وإلا فلن يصل إليه الموظفون من الخارج. وإذا أردت أن تظهر السجلات والقواعد أسماء الموظفين بدل عناوين الأجهزة، فاربط الجهاز بحسابات المستخدمين في الشركة. والإعداد السليم يعني أيضًا فصل الشبكة: الزوار على شبكة واي فاي خاصة بهم، والكاميرات والأجهزة الذكية على جزء خاص، والموظفون على جزء آخر، حتى لا تصل كاميرا مخترقة أو لابتوب زائر إلى ملفات الشركة. ويحتاج هذا الفصل إلى سويتشات تدعم شبكات VLAN، فتأكد من ذلك قبل وصول الجهاز.

وبعد ذلك تصبح المتابعة عملًا دوريًا خفيفًا. فاحرص على تحديث برنامج الجهاز كلما أصدر المصنع تحديثًا، لأن المهاجمين يبحثون عن أجهزة Firewall فاتها تحديث، وراجع القواعد كلما توسع المكتب أو انتقل، واحتفظ بنسخة من الإعدادات، واطلع على السجلات حين تلاحظ شيئًا غير طبيعي. ومكان الجهاز في كابينة الشبكة بجانب السويتشات، ويتصل فيها بجهاز UPS. ويشرح دليلنا عن غرفة السيرفرات المكان المناسب لهذه الكابينة، وكيف تبقيها باردة ولا تنقطع عنها الكهرباء.

ذات صلة:غرفة السيرفرات في الإمارات

لا يناسب سعر واحد كل المكاتب، لأن تكلفة جهاز Firewall تعتمد على الشبكة التي يحميها. ويتكون السعر من أربعة بنود. أولها الجهاز نفسه، ويعتمد سعره على سرعة الحماية من التهديدات وعدد المنافذ. وثانيها الاشتراك، ويعتمد سعره على وسائل الحماية التي يشملها وعدد السنوات. وثالثها الإعداد، ويشمل القواعد واتصال VPN وفصل الشبكة، وضبط الجهازين معًا إذا كان هناك جهاز ثان، والتخطيط للانتقال إلى الجهاز الجديد بأقل توقف ممكن للعمل. ورابعها جهاز ثان إذا احتاجه المكتب، بثمنه وفي الغالب باشتراكه أيضًا.

وتتركز تكاليف التشغيل في تجديد الاشتراك، والوقت اللازم لتحديث الجهاز ومراجعة قواعده. ولهذا قلما تبقى تكلفة أرخص جهاز هي الأقل بعد خمس سنوات: فالجهاز الأصغر من حاجة المكتب تضطر إلى استبداله مبكرًا، والجهاز الذي تشتريه دون الاشتراك الذي يحتاجه المكتب يحمي أقل مما يبدو.

ونبدأ بمعاينة شبكتك، ومن يعمل عليها من أشخاص وأجهزة، وكيف يتصلون بها من الخارج، ثم نخبرك هل يكفي الراوتر، أو نرشح لك جهاز Firewall الذي يناسب مكتبك، ونقدم لك سعرًا ثابتًا لهذا النطاق قبل بدء العمل.

ذات صلة:الأمن السيبراني