أمن الأنظمة والشبكات
يطبق أمن الأنظمة والشبكات تقنيات التشفير والهندسة لحماية أجهزة الكمبيوتر والشبكات والبيانات المتدفقة بينها من التنصت والتلاعب وانتحال الشخصية والوصول غير المصرح به.
Definition
أمن الأنظمة والشبكات هو الانضباط الذي يحمي سرية وسلامة وتوافر أنظمة الكمبيوتر والشبكات التي تربطها، من خلال الجمع بين التشفير والتحكم في الوصول وممارسات الهندسة الآمنة.
Scope
يغطي هذا المجال الدفاع العملي عن البنية التحتية المنشورة: تأمين اتصالات الشبكة، ومصادقة المستخدمين والأجهزة، والتحكم في الوصول، وتوزيع الثقة من خلال البنية التحتية للمفاتيح العامة، وبناء قنوات آمنة مثل TLS. ويتناول كيفية تجميع البدائيات التشفيرية في بروتوكولات حقيقية وكيف توجه مبادئ الأمن (أقل امتياز، الدفاع المتعمق) تصميم الأنظمة. ويستبعد تصميم البدائيات التشفيرية الأساسية وتحليل الثغرات الأمنية على مستوى البرمجيات، والتي يتم تناولها في مجالات شقيقة.
Sub-topics
Core questions
- كيف يتم حماية البيانات أثناء عبورها للشبكات غير الموثوقة؟
- كيف يتم مصادقة المستخدمين والأجهزة بشكل موثوق، وكيف يتم التحكم في وصولهم؟
- كيف يتم تأسيس وإدارة الثقة في المفاتيح العامة على نطاق واسع؟
- ما هي مبادئ الأمن التي توجه تصميم الأنظمة الموثوقة؟
- كيف يتم الموازنة بين السرية والنزاهة والتوافر مقابل قابلية الاستخدام والأداء؟
Key concepts
- السرية، النزاهة، التوافر
- أقل امتياز
- الدفاع المتعمق
- المصادقة والتفويض
- التحكم في الوصول
- البنية التحتية للمفاتيح العامة
- القنوات الآمنة (TLS)
- نمذجة التهديدات
- محيط الشبكة وتجزئتها
Key theories
- مبادئ تصميم سالتزر وشرويدر
- تظل المبادئ الكلاسيكية لتصميم الأنظمة الآمنة — أقل امتياز، الإعدادات الافتراضية الآمنة من الفشل، اقتصاد الآلية، الوساطة الكاملة، التصميم المفتوح، فصل الامتيازات — هي أساس هندسة الأمن.
- ثالوث CIA والدفاع المتعمق
- تُصاغ أهداف الأمن على أنها السرية والنزاهة والتوافر؛ وتطبق الأنظمة القوية طبقات متعددة من الضوابط المستقلة (الدفاع المتعمق) بحيث لا يؤدي فشل آلية واحدة إلى المساس بالكل.
Clinical relevance
أمن الأنظمة والشبكات هو ما يحافظ على قابلية استخدام الإنترنت: يحمي TLS حركة مرور الويب وواجهة برمجة التطبيقات (API)، وتؤمن الشبكات الافتراضية الخاصة (VPNs) وIPsec الوصول عن بعد، وتسمح سلطات التصديق والبنية التحتية للمفاتيح العامة (PKI) لأجهزة الغرباء بالوثوق ببعضها البعض، وتحمي أنظمة التحكم في الوصول كل شيء من وحدات تحكم السحابة إلى السجلات الطبية للمستشفيات. وتتسبب الإخفاقات هنا في اختراقات البيانات وحوادث برامج الفدية وتسويات سلسلة التوريد التي تهيمن على أخبار الأمن.
Evidence & guidelines
تتشكل الممارسة من خلال الأطر والمعايير: إطار عمل الأمن السيبراني NIST وسلسلة SP 800، وISO/IEC 27001، وقواعد بيانات OWASP وMITRE ATT&CK المعرفية، وRFCs البروتوكولية. وتحل معماريات الثقة الصفرية (NIST SP 800-207) بشكل متزايد محل نماذج المحيط فقط، وتفرض الأنظمة التنظيمية (GDPR، HIPAA، PCI-DSS) متطلبات أمنية على قطاعات محددة.
History
نما أمن الشبكات مع الإنترنت نفسه: أظهرت دودة موريس (1988) ضعفًا منهجيًا، وظهرت جدران الحماية واكتشاف التسلل في التسعينيات، وأمن SSL/TLS (منذ 1995) الويب. ولا تزال مبادئ سالتزر وشرويدر لعام 1975 ترتكز على هذا المجال. ومع تلاشي المحيطات مع الحوسبة السحابية والمتنقلة، تحول الانضباط نحو نماذج تركز على الهوية والثقة الصفرية.
Key figures
- Roger Needham
- Ross Anderson
- Jerome Saltzer
- Michael Schroeder
- Whitfield Diffie
Related topics
Seminal works
- anderson2020
- saltzer1975
- stallings2017
Frequently asked questions
- ما الفرق بين المصادقة والتفويض؟
- تحدد المصادقة هوية الطرف (التحقق من الهوية، على سبيل المثال عبر كلمة مرور أو مفتاح). يقرر التفويض ما يُسمح للطرف المصادق عليه بفعله (صلاحياته). يجب على النظام أن يقوم بكليهما: تأكيد الهوية، ثم فرض حقوق الوصول.
- هل التشفير القوي كافٍ لتأمين نظام؟
- لا. التشفير ضروري ولكنه غير كافٍ. تستغل معظم الاختراقات الحقيقية كلمات المرور الضعيفة، أو سوء التكوين، أو البرامج غير المحدثة، أو التصيد الاحتيالي، أو سوء إدارة المفاتيح بدلاً من كسر التشفير نفسه، وهذا هو السبب في أن الهندسة والعمليات الآمنة لا تقل أهمية عن الخوارزميات.