عقيدة انعدام الثقة (Zero Trust Architecture): إعلان شهادة الوفاة لشبكات و بوابات الـ (VPN) العتيقة

لمدة تزيد عن عقدين من الزمن، كان المعيار والمنهج الذهبي الثابت، والنموذج الفكري السائد لحماية أمان الشركات وتأطير الشبكات والأنظمة المؤسسية حول العالم هو نموذج "حُمى القلعة المتينة والخنادق الخارقة المحيطة بها". حيث كانت المؤسسات الحكومية والخاصة تنفق الأموال لبناء وتشييد جدران وأسوار حماية هائلة، وبنيان مُحيط مُسيج (من جدران حماية نارية قوية Firewalls وبوابات عبور VPN للاستخدام عن بٌعد)، وتمنح بكل سذاجة الثقة المُطلقة الـ (Implicit Trust) وبلا حدود لأي مستخدم، أو فرد، أو آلة كمبيوتر؛ تمكنت أو نجحت بالوصول والمرور من البوابة والدخول والانزلاق لداخل هذه الجدران للشبكة! ومع الانفجار الرقمي وانتشار العمل السريع عن بُعد من المنزل، لجأت الشركات بكل بساطة وسطحية لترقية وتقوية قنوات وبنية وتوزيع الشبكات الخاصة الافتراضية (VPNs) للموظفين لربطهم من الخارج.

ومع إطلالة وبزوغ عام 2026، أثبت واكتُشف بأن هذا النموذج والمنهج الكلاسيكي القديم السائد و"الموروث (Legacy)"؛ غير كافٍ ومعطوب، و مهترئ وكارثي تماماً أمام جائحة التهديدات. إذا نجح قرصان إنترنت واكتفى بتنفيذ هجوم اختراق لتصيد أو إقناع، أو سرقة كلمة مرور ومصادقة لبرنامج الـ VPN تخص حساب مستخدم وموظف مسكين في قسم الدعم والصيانة، أو بقطاع الموارد البشرية (HR).. فإنه بضربة واحدة يستولي على البطاقة الائتمانية، ويتم منحه فوراً بفضل و غباء الـ VPN تصريحاً وإذناً عميقاً يخول له الوصول الواسع وحرية الملاحة بحرية داخل حرم شبكة الشركة الكبيرة. حيث يستطيع الهاكر وعلى الفور تشغيل ماسحاته لمسح ونبش شبكات الـ (Subnets) الداخلية الفرعية، والتنقل ببراعة و التسلل والزحف والانعطاف المريب (Pivoting) نحو الدماغ المركزي وعصب البيانات خادم التحكم في النطاقات (Domain Controller)، من ثم إغراق وإسقاط ونشر فيروسات التشفير ودس برمجيات ونشر ونثر سموم و فيروسات الفدية (Ransomware) لتشل وتسحق وتسود وتدمر بنية الشركة وبياناتها وتجمّد أرقام المؤسسة بأكملها.

إن طوق النجاة والحصن المنيع والحل المعماري الهندسي العصري الرائد هو بنية وعقيدة انعدام الثقة المطلقة (Zero Trust Architecture - ZTA). في عالم وفلسفة وخنادق وهياكل بيئة "زيرو ترست"، يتم مسح القواعد وإذابة مفهوم فكرة (المحيط الداخلي الآمن والخارجي الخطير)، وتُمسح وتمحي الحدود الجغرافية للشبكة كُلياً. لا يُمنح مصطلح "الثقة"، ولا يتم الاعتماد على الثقة للوصول لأي عنوان إطلاقاً استناداً وبناءً على فكرة (مجرد معرفة عنوان الـ IP المعتمد) للمستخدم، أو الثقة بمكان التواجد ولا بموقعه (سواء أكان يجلس بقلب مكتب الإدارة أم يعمل بمقهى). بل يتم ويُفرض إلزاميا على كل طلب ولوج و استفسار وبدون استثناءات أن يتم التحقق والمصادقة عليه بشدة وإثبات الهوية بدقة متناهية، وأن يخضع لقوانين سياسات وتصاريح تفويض دقيقة للغاية، وأن يخضع لعمليات مسح و تفتيش وتصفية وتحليل خوارزمي دقيق وعميق للبحث و تقصي أي شذوذ وأي تناقض، وأي سلوك أو أي ملامح وتصرف غير عادي أو شاذ قبل وقبل السماح بلمس والموافقة ومنح تمرير و الإذن بالولوج!

1. العيوب العضوية الهيكلية الكبرى والخطيرة جداً لبروتوكولات الوصول عن بعد وأنظمة (الـ VPN) الموروثة

إن أنظمة وقنوات و أنفاق بروتوكولات الـ VPN المعيارية السائدة بالأسواق (سواء كانت بتقنيات حزم الـ IPsec أو طرق الـ SSL VPN) تنتهك بحقيقتها وطبيعة عملها المباشر أهم قانون ومبادئ ومفاهيم الهندسة الاستباقية الأهم بالعالم وهو "قانون مبدأ وعقيدة أدنى وأقل مستوى من الامتيازات (Least Privilege)". عندما يكتب ويسجل الموظف بياناته ويتصل بشبكة وخادم وقناة VPN الشركات الخاص من بيئة المنزل، فإنه يُلقى ويرمى وتُدرج حاسباته مباشرة لتسرح وبشكل عمياء وتسبح في شبكة و بيئة (VLAN)، مسطحة وافتراضية تُشبه و تعادل الحرم الداخلي لشبكات الشركة ومزروعة بجانب المقر تماما. وبينما في الواقع قد لا يحتاج هذا الموظف (المحاسب على سبيل المثال) في شغله وتخصصه الوظيفي سوى للولوج وببراءة لتطبيق ويب داخلي واحد فقط مختص بالملفات والرواتب للقيام بصنعة وعمله وإرسال الفواتير؛ فإن تقنية وبروتوكول أنظمة وبرمجيات شبكات הـ VPN ومنذ اللحظة الأولى تمنحه وبشكل عشوائي بطبيعة وتصميم بنائها الهندسي للبروتوكولات القديمة "قدرات وتصاريح حق الوصول الكامل، وخيار الملاحة الرقمي وتقنية وقدرات مسارات وبروتوكولات توجيه وحرية مرور مسار حزم بروتوكول الـ (TCP/IP Routing)" إلى المئات والمئات والألوف من السيرفرات والخوادم والمكاتب المتواجدة للشركة، وتترك الأنظمة الداخلية وبدون قصد أبوابها مشرعة أمام جهاز الحاسب اللوحي العادي لذلك الموظف ومتاحاً له ولحاسوبه النفاذ والاستطلاع.

يستثمر ويستغل المهاجمون، والقراصنة الشرسون بشراهة و بشكل مكثف ثغرات وفجوات وضعف وسعة وتخلف هذا التوجيه الشبكي الفضفاض والطريق المفتوح العريض للتسلل والقيام بعمليات الـ (الحركة والزحف والهجمات الجانبية - Lateral Movement) القاتلة بين أروقة الضحية. حيث يمكن وبسهولة وبكل نجاح لجهاز حاسوب محمول و"لابتوب" لمندوب وبضيافة قسم وموظف مبيعات عادي مخترق تم الاستيلاء والتحكم به (و متصل وبشكل رسمي عبر مصادقات إيميل الـ VPN) أن يُوجه ويُنفذ و يستخدم لضخ وتفجير وإطلاق سيول ومقذوفات حزم من جحيم أوامر وبرمجية، وهجوم برمجيات وشيفرات أدوات برامج تشفير ملفات وبروتوكولات الـ (SMB Ransomware payloads) لنسف واختراق ودمار مجموعات الأرشيف ومحطات بيانات و وحاضنات الخوادم المركزية والبيانات للشركة بسرعة النور.

2. الأركان والدعائم الهندسية المركزية لمنظومة شبكات و فلسفة وثيقة (ZTNA) الثورية

يقلب نموذج وحل وبنية ونظام تأطير أمن الوصول لنمط انعدام الثقة (ZTNA) المعادلة كلياً، وينسف هذا ومفهوم العصور المظلمة رأساً على عقب وبشكل جذري وشامل ومحوري. في عصر التحديث التقني الجديد والأحدث لا يتم، ولا يُسمح نهائيا بتاتاً بتوصيل وشبك أطراف أي المستخدمين البشريين (بشكل حي ومباشر) كقنوات اتصال بشبكة الشركة البنية الأساسية إطلاقاً... وبدلاً عن هذا النظام، يتم تأكيد التحقق منهم وحصراً وتوصيلهم وربطهم فقط وبالتحديد الدقيق للغاية نحو تطبيق، أو لوحة محددة، أو وثائق مخصصة منفردة فقط، من خلال المرور بـ 100 محقق مروري واعتماد وتمرير وحجز بوابة (وسيط أو وكيل يعتمد ويُلزم تدقيق الوعي الشامل بالهوية (Identity-Aware Proxy أو IAP).

• المركزية والاعتماد العميق والشديد والارتكاز على إثبات والمصادقة وجوهر الهوية (Identity-Centric): لا تعتمد المصادقات الحديثة وبرامج المصادقة المتطورة على إدخال كلمات السر الفاشلة والعقيمة؛ بل تستوجب الموثوقية بالاعتماد القاطع وبشكل صارم وشديد على مفاتيح ومقتنيات المصادقة الصارمة المادية المتعددة العوامل (MFA Keys مثل شرائح وتشفير YubiKey أو تطبيق بصمات أجهزة البنك) والمدعومة والتي يتم إدماجها وربطها مع أنظمة وخزائن وحزم (Azure AD أو أطر إدارة الهويات كـ Okta). متجاهلة تماما مازالت هذه البصمة وسواء كان طلب وسير المستخدم قادم من (شبكة الواي-فاي بالدور الخامس للشركة Internal) أو كان متصلاً من (شبكة مقهى وكافيه بمدن ومطارات باريس الخارجية External).
• تقييم صحة وتحقق متسلسل وتأهيل مستمر لموقف واعتراف حالة منصة الجهاز المفتوح والمستدعي (Device Posture Validation): حتى وإن أحضر ووفر هذا الموظف واثبت إيميل وكلمة مرور عبور صحيحة رسمية، ومفتاح توكن و جهاز مصادقة (MFA token)، ومع كل هذا.. فسيتم بكل عنف وعقوبة وركل جهاز المستخدم والرد على حاسبه برسائل الرفض و إحباط الطلب وحجب وإسقاط وسد ومنع عملية وقبول محاولة الدخول للمسؤولين وحجبه وحرمانه من النفاذ ورفض الخدمة، إذا استشعر السيرفر أو لم يكتشف وجود نسخة رسمية (EDR Agent) تعمل بالحاسبات، أو كان الكمبيوتر مهملاً بدون أخر تحديثات رقع نظام OS الأمني، أو الأسوأ.. عند استشعار أو محاولة تنفيذ دخول وتسجيل (بسرعة سفر مستحيلة Geographic Velocity Location Impossible) - كأن يتم ويُسجل بصمة دخول لنفس الموظف واعتراف ولوج في نفس العقدة والحظة بفرع الدار البيضاء، وبعد أقل من 10 دقائق يُرصد محاولة واختراق دخول باسمة بحاسوب آخر ونقاط عبور من شوارع روسيا وموسكو!.
• تفتيت الشبكة التقسيم المُجزأ والمجهري وعزل مسار وعناصر الشبكات لبيوت مستقلة (Micro-Segmentation): إن دعت الحاجة وكان قسم المحاسبين الماليين وفِرق الرواتب يحتاج للولوج والاستعانة بقاعدة وبيانات نظام المحاسبة (ERP) وإصدار فاتورة، فإن أجهزة وبرمجية وسيط ووحدات הـ (ZTNA proxy) للشركة تقوم بحرفية شديدة بتشييد وإنشاء (نفق بروتوكول شُعاعي ومِجهري Micro-Tunnel) خاص وعابر مؤقت ذو عمر قصير، مشفر ومتين جداً للعبور وتوفر الممر حصرياً وناقلاً إياه فقط لمكان ولمنفذ وبورت تطبيق نظام הـ ERP المطلوب و المقصود و المنشود. و لا يُسمح بتاتاً! وفي نفس الوقت يستحيل نهائيا بل ويستعصي ولا يمكن ولا تستطيع وممنوع إمكانية أن يُوجه جهاز هذا المحاسب، مجرد و حتى مجرد القيام بعملية وخلق إشارة وتمرير رسالة جس واستعلام (ping) بسيطة نحو وتمرره بطلب حل عنوان و أرقام خوادم الآي بي الخاص لقسم (قاعدة وسيرفرات ومليارات وخدمات نظام إدارة وتخزين بيانات مسألة شؤون وحماية ملفات إدارة الأفراد الـ HR!).

3. هندسة واعتماد وإنشاء وتطويق وسطاء بوابات الهوية الوعي (Identity-Aware Proxies - IAP)

قامت المكاتب الكبرى بالاستغناء عن فكرة وضع الخوادم القديمة في الواجهات ونشر تطبيقات وخدمات الشركة السابقة (Legacy Apps) ومقر وتوجيهاتها لتكون مُسلطة، وعارية، ونشرها لانتظار بوابة الـ VPN، و قامت كخطوة بديلة وعكس المنظور؛ تستخدم واحتضان واستعانة وعمدت لاستخدام وسطاء ومنصات وتطبيقات هُويات مٌدركة مُعتمدة للتفتيش وحزم حراسة الهوية (مثل عمالقة حماية بوابات Cloudflare Access أو أطر بنية غوغل BeyondCorp). يقف هذا الخادم و"الوكيل وسيط الرقابة" وحارس المدخل كالجدار في خط سير مرور المقدمة، وجبهة التطبيق ودرعه الواقي الأول. و أصبح التطبيق والخادم السري الداخلي بحد ذاته وبشكل أصيل بالشركة، محروماً و معزولاً ومحظوراً ومنقطعا تماماً (Offline) فيزائيا ولا يتلقى ردوداً و مستتراً ومقطوعاً ومعزولاً تماماً ومستنكراً ومحجوبا بعيداً وبكليّة وراء جدران عاتية ومغلقة عن الرد لممرات بوابات شبكات بحور الإنترنت العامة وحتى لا يرى مسارات و تسيير تدفق شبكة اللان الداخلية (Internal Network)، بل وحي وموجه فقط لاستقبال، ولإصدار والقبول للبيانات وتأطير حركة مرور و أوامر القادمة و الواردة والمرسلة الصادرة فقط من الوكيل، ووكيل البوابة Proxy الرسمي.

# نموذج، وشيفرة استرشادية تصويرية توضيحية لبرمجة قواعد وجدران وأسوار نينار حماية الـ (IPTables)
# لفرض وعزل وضمان التقسيم המיקרוскоل للـ (Micro-Segmentation) وفرضه على عاتق مستوى هيكلة الخادم
#  سيرفر الشركة الرئيسي الحي الداخلي؛ لا يسمح ولا يَقبل ولا يتقبل بالمناقشة والحوار والطلبات ومُستندات الدخول نهائياً وحصرا وملتزما بذلك
# إلا وفقط الطلبات والأذونات المُصدرة والمرسلة والمعتمده بختم حصري قادمة برقم و تصاريح (عنوان Proxy بوابة الهوية المنطوية لانعدام الثقة ZTNA) ولا غيره

# القاعدة العظمى لحراسة السياسة والدستور: إسقاط وطرد وصد ومنع وقتل كافة المراتب و أنواع الطلبات والزوار والمسجات والإشارات الداخلية القادمة أو الموجهة للسيرفر بدون تفكير
iptables -P INPUT DROP

# تخصيص والسماح بتوقيع وبروتوكولات دوران الاتصالات والمقابس المحلية الذاتية الآمنة لعمل الحاسب والشبكات (loopback - لوكال هوست)
iptables -A INPUT -i lo -j ACCEPT

# الإعفاء الدقيق والتخصيص: اسمح وتفضل بالموافقة والمرور وتفعيل وفقط استقبال الحزم وإشارات حركة الـ TCP المرور ومرور البيانات المتوجهة الواردة إلى بوابة ميناء ومقابس وممرات التطبيقات وبروتوكول הـ 443 (HTTPS) المشفر، 
# وبشرطها الأوحد والقاطع وهو أن يكون مُرسلها الوحيد وصانعها ومخرجها وصاحب الإشارة والمصدر هو حصراً آي بي الوكيل والبروكسي ورقم هاتف الموثوق الخاص المُعتمد فقط لخدمة הـ ZTNA
iptables -A INPUT -p tcp --dport 443 -s 203.0.113.50/32 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -s 203.0.113.51/32 -j ACCEPT

# مصير كل ما دون ذلك: تتبخر وتسقط كل وكافة حركة مرور، ومطالب السيرفرات والمرور (الجانبي) الدونيّة أو المندسة من الزملاء من النطاق ولان الداخليين، ويقوم الخادم الداخلي بتجاهلها وطرحها ورميها للفراغ المظلم والمجهول!

4. مسار تطبيق واعتماد ونحت واندماج و زراعة هندسية الثقة الصفرية و الـ ZTA بكبريات أوساط الشركات والمؤسسات المغربية المُعاصرة

بالتأكيد، بالنسبة لكبرى مؤسسات المغرب الاقتصادية والشركات والإدارات المغربية، إن رحلة الترحال و مشاريع الانتقال والانعطاف والتحول الكلي لنيل وتطويع أبحاث الـ "الثقة المنعدمة (Zero Trust)" لم تعد ولا تُعد خطوة ترفيه، ولا هي مجرد إجراء وشراء ملف تنصيب وتثبيت لبرمجية و برنامج يضاف بفرع التكاليف الحاسوبي في صباح ومساء يوم وليلة واحدة؛ بل هي إعادة هيكلة دماء، ومشروع وهندسة وتحول فلسفي بنيوي طويل وتفصيل فكري ومعماري معمّق، وجذري و محوري يمس بنية عظام الشبكة. وهذا يبدأ و ينطلق بالأساس ومن اللبنة ومن تحديد و تشخيص ووصف ودراسة مقاس ورسم دائرة وماهية ما يًدعى (مساحة وملامح وسطح النطاق الدفاعي المُراد حمايته - Protect Surface)، أي استخراج واستخلاص أندر الخواتم، واستنباط وتفصيل خريطة حقيقية لحصر شامل وجرد دقيق وأساسي وحيوي لما تمتلكه المؤسسة من فئات (أندر و البيانات السرية الخطيرة، ومهمات وخلاصة قواعد الإدارة الحساسة من التطبيقات الضرورية والمناصب، والأصول المالية الممسوكة الدسمة، حزم و سجلات وبيئات الخدمات الاستراتيجية للشركات - DAAS)، والتي تُمثل الأهمية الأعظم في الوجود والمغزى.

عندما تُنجز هذه الخطوة ويتم استيعاب وفصل وإدراك وحصر هذه الألماس و الجواهر التقنية بعناية، يتدارس ويتوجب على خبراء التخطيط ومهندسو الشبكات والتقنيين والمهندسين وأساتذة رسم بُنية الأنظمة المعمارية، وضع و تحديد وصياغة مسار مفصل و خريطة شاملة وجرافيك توضح "كيف وماهية، وكيف بالضبط يجب أن تتحرك وتسري، وتترابط قنوات و مسارات ومجال خطوط المرور، ومد وتوجيه الاتصالات إلى ومن هذه المقرات الأصول والكنوز". وأخيراً ورسميا وبعد الانتهاء، يتم ببراعة وبقوة وعبر حلول الشبكات وهندسة بناء وتشييد وإنشاء ونسج وتشييك طوق (جدار، أو محيط وحصار سيبراني إلكتروني و مجهري دقيق Micro-perimeters مُدعم بتقنيَّات و معرف ومأطر بتكنولوجيا البرمجيات المتطورة SDx) حولها وتطويقها و يرتكز تحديداً بمحيط كُل أصل وبطاقة و سيرفر وخادم ومورد فردي مستقل بحد ونطاق ذاته كقلعة، حيث يلتزم و لا يُعطى، ولا يُمنح شرف إعطاء وسام وتصريح وتفويض الدخول والنفاذ والأذونات إلا بشكل تبايني وتحليلي نشط و(ديناميكي - Dynamic) مشروط وموجه و مبنيّ ومقيد كُلياً بعمليات مصادقة وفحص، ودقائق واختبارات قياس وتقييمات للثقة مستمرة غير منقطعة، وفحص للصلابة والهوية (Continuous Trust Evaluation) على مدار كل نبضة ونقلة بمسارات البيانات وعمر الخدمة.

الكلمة الختامية وحصيلة ومستنبط وفهم ما سبق

لم يعد، و لا يقوم قراصنة الهاكرز المتمرسون اليوم بالاختراق والتكسير الكلاسيكي والتحطيم العضلي للجدران لغايات النفاذ لمؤسستك؛ فهم لم يعودوا بحاجة لاختراقك... إنهم في واقع الأمر واليوم، ببساطة مروعة وسهولة مقلقة... هم فقط (يقومون بتسجيل وحجز الدخول مباشرة واللوج - Log in) للمؤسسة وبألوان و ملابس وسُلطة موظفيك باستخدام تكتيك واعتماد كامل على باسووردات ومفاتيح المرور وأسماء حسابات وهوية الدخول الحقيقية والمسروقة،، والمُتصيدة عبر الخداع الوظيفي للفريق،،، أو حتى تلك المبيوعة بالدارك ويب. من خلال وتخطي، وتطبيق وركوب موجة والانتقال وتطبيق إبرام نموذج بناء (معمارية مبنية ومختصة ومؤطرة بالثقة الصفرية Zero Trust Architecture)، فإن أي حادثة هجوم تصيُّد واصطياد احتيالي (Phishing Attack) مؤساتي ولو كان مدمر،،، وتم تنفيذه وسيناريوه بنجاح ساحق وإسقاط اختراقي لأهم مدير، واستهداف لضعف وتقصير جهاز وحساب حاسوب مستخدم و موظف تنفيذي فخ واحد في الشركة، سيصبح ويغدوا ويُرسم ويُعاقب كونه حدثًا مجزوءاً،،، محليا،،، مقيداً و معزولًا تماماً،،،، ومحصوراً كليا و مُطوقاً بصرامة و مسدود بمكانه و لا يتعداه. وهو بذلك يدحر وبقوة و يَقي و يُبطل و يمنع باحتراف واستئصال شديد ظاهرة الانهيار والزحف والانحدار لتأثير ودفع وتفاقم سلسلة كوارث وأحجار لعبة الدومينو (Domino Effect) الشهيرة المروعة والمخيفة في العوالم الرقمية والأمنية السيبرانية للاختراقات.. التي تدفع، وتقود و تستسلم بالنهاية الحتمية المؤلمة وتنجر لكارثية الإطاحة الكامله والحتمية والسقوط المدوي الكاسر وإسقاط السيطرة والإطاحة الكلية للاختراق والاختطاف وتهميش السيطرة و الاختطاف الشامل و الشلل العام و التام و التدمير والنهب (للمنظمة والمؤسسة والشركة - Organizational Compromise) بأكملها.