VPN (الشبكة الافتراضية الخاصة). تعمل بإنشاء نفق مشفر بين جهاز الموظف والشبكة الداخلية للشركة عبر الإنترنت — كأن الموظف يجلس جسديًا في المكتب. كل البيانات المرسلة مشفرة ولا يستطيع مزود الإنترنت أو أي طرف ثالث رؤية محتواها.

الهجمات عبر المنافذ المفتوحة ذاتها: (1) هجمات تطبيقات الويب (SQL Injection, XSS) تمر عبر 443. (2) Phishing — المستخدمون يفتحون روابط مشبوهة عبر المتصفح (443). (3) البرمجيات الخبيثة التي تتخفى كحركة ويب عادية. الجدار يحمي من حركة غير مصرح بها لكن لا يفهم محتوى حركة الويب المسموح بها.

IDS: يُراقب ويُنبّه فقط دون توقف الحركة (Passive). IPS: يتدخل ويحجب تلقائيًا (Active). في المستشفى: IDS أنسب لأن الأنظمة الحيوية (أجهزة التنفس، ضخ الدواء) لا يمكن إيقافها تلقائيًا بالخطأ حتى لو رُصد نشاط مشبوه — تنبيه + تدخل بشري أسلم من منع تلقائي قد يوقف جهازًا طبيًا.

المبدأ: كل مستخدم ونظام يحصل على الصلاحيات الدنيا اللازمة لأداء مهامه فقط — لا أكثر. التطبيق: محاسب يصل لنظام المالية فقط لا لقواعد بيانات العملاء. مطوّر يصل لخادم الاختبار لا للإنتاج. إذا اخترق مهاجم حساب الموظف، ضرره محدود بصلاحياته المحدودة.

لو اخترق مهاجم خادم الويب العام (الأكثر تعرضًا) في شبكة موحدة يصل مباشرة لبيانات المالية. التقسيم بـ VLAN وجدران نارية داخلية يعزل كل قسم — الاختراق يبقى محاصرًا في منطقته. الأداة: VLAN (Virtual LAN) تُقسّم الشبكة منطقيًا مع جدران نارية داخلية للتحكم بالحركة بين الأقسام.

صعوبة الدفاع: الهجوم يأتي من آلاف العناوين المختلفة (شبكة Botnet) — حجب عنوان واحد لا يجدي. يصعب تمييز الطلب الحقيقي من المزيف. التخفيف: (1) CDN وتوزيع الحمل جغرافيًا. (2) Rate Limiting — تقييد الطلبات لكل IP. (3) خدمات حماية متخصصة (Cloudflare) تمتص الهجوم قبل وصوله للخادم.

DMZ منطقة شبكية وسيطة بين الإنترنت والشبكة الداخلية — محمية بجدار ناري من الخارج وآخر من الداخل. تُوضع فيها: خوادم الويب العامة، خوادم البريد الإلكتروني، خوادم DNS. المنطق: تتعرض للإنترنت مباشرة لكن اختراقها لا يُعطي وصولًا مباشرًا للشبكة الداخلية الحساسة.

المخاطر: شبكات Wi-Fi العامة غير مشفرة — كل من في نفس الشبكة قد يعترض البيانات (Packet Sniffing). هجوم ‘Rogue AP’ — شبكة وهمية باسم المقهى يُنشئها مهاجم. الإجراءات: استخدام VPN دائمًا على شبكات عامة، تفعيل HTTPS فقط، عدم الدخول لأنظمة حساسة دون VPN.

Stateless: يفحص كل حزمة بيانات باستقلالية (هل IP المصدر مسموح به؟) دون ذاكرة للاتصالات السابقة. Stateful: يتذكر حالة الاتصال (Session) — يعلم أن هذه الحزمة جزء من اتصال شرعي بدأ من الداخل. أكثر أمانًا: يمنع هجمات تُرسل حزمًا تبدو صحيحة لكنها ليست جزءًا من اتصال شرعي.

Zero Trust: لا تثق بأي شيء أو أي شخص بشكل تلقائي — حتى لو داخل الشبكة — وتحقق من كل طلب وصول. النموذج التقليدي: ما دمت داخل الشبكة فأنت موثوق (‘القلعة والخندق’). مشكلة التقليدي: اختراق حساب داخلي يُعطي المهاجم صلاحيات واسعة. Zero Trust: كل مستخدم وجهاز يُثبت هويته وصلاحيته لكل مورد في كل مرة.

Honeypot: خادم وهمي يبدو كهدف حقيقي وجذاب للمهاجمين لكنه معزول ولا يحتوي بيانات حقيقية. الغاية: (1) استيعاب انتباه المهاجم وإشغاله بعيدًا عن الأنظمة الحقيقية. (2) رصد تقنياته وأدواته لفهم أسلوب هجومه. (3) جمع معلومات استخباراتية دون المخاطرة بأنظمة حيوية.

الفوائد الأمنية: ربط كل نشاط شبكي بهوية المستخدم — في حالة نشاط مشبوه يمكن تتبعه وحجبه. المعلومات المجمعة: اسم المستخدم أو البريد الإلكتروني، رقم الجهاز (MAC Address)، سجل الزيارات. الملاحظة الأخلاقية: المستخدم يتنازل عن خصوصية نشاطه مقابل الإنترنت المجاني.