دورة الأمن السيبراني للمبتدئين أساسيات الإنترنت والشبكات الجدران النارية وأنظمة (IDS/IPS)
اليوم سننتقل خطوة إلى الأمام، ونتعرف على الأدوات التي تحمي هذه الشبكات من التهديدات ... الجدران النارية Firewalls، وأنظمة كشف التسلل ومنعه IDS وIPS. هذه الأنظمة هي خط الدفاع الأول في أي بنية تحتية رقمية، وفهمها جيداً يعتبر حجر الأساس لأي شخص يريد الدخول إلى عالم الأمن السيبراني بثقة.
 |
| أساسيات الإنترنت والشبكات الجدران النارية وأنظمة (IDS/IPS). |
لماذا تحتاج الشبكات إلى طبقة حماية إضافية؟
عندما تتصل الأجهزة ببعضها عبر الشبكة، تتبادل بينها آلاف الحزم Packets في الثانية الواحدة. بعض هذه الحزم شرعي وينتمي إلى اتصالات طبيعية مثل تصفح موقع أو إرسال بريد إلكتروني، وبعضها الآخر قد يكون محاولة اختراق أو استطلاع أو هجوم منظم.
المشكلة أن الشبكة بحد ذاتها لا تملك آلية تلقائية تفرق بين النوعين، وهنا يأتي دور أنظمة الحماية الشبكية.
الجدار الناري وأنظمة IDS/IPS تعمل كحراس دائمين على حدود الشبكة، يفحصون كل حزمة تمر، ويقررون بناءً على قواعد وأنماط محددة إن كانت هذه الحزمة مسموحة أو يجب رفضها أو التنبيه عنها.
بدون هذه الطبقة، تصبح أي شبكة متصلة بالإنترنت هدفاً سهلاً لمحاولات الفحص والاستغلال المستمرة.
الأمر لا يقتصر على التهديدات الخارجية القادمة من الإنترنت العام فقط، بل يشمل أيضاً التهديدات الداخلية التي قد تنشأ من جهاز مصاب داخل الشبكة نفسها، أو من موظف يحاول الوصول إلى موارد غير مصرح له بها. لهذا السبب، تُعد الشبكات الحديثة أنظمة حماية تراقب الحركة في الاتجاهين ... من الخارج إلى الداخل، ومن الداخل إلى الخارج، لأن الخطر لا يأتي دائماً من جهة واحدة.
تخيل شبكة شركة متوسطة الحجم تستقبل يومياً آلاف الاتصالات من موظفين وعملاء وأنظمة خارجية.
من الناحية العملية، يستحيل على أي فريق تقني مراقبة كل اتصال يدوياً على مدار الساعة. هنا بالتحديد تظهر قيمة الأتمتة التي توفرها الجدران النارية وأنظمة IDS/IPS، إذ تعمل بشكل مستمر دون كلل، وتطبق القواعد نفسها بدقة على كل حزمة تمر عبرها، بغض النظر عن الوقت أو حجم الحركة.
ما هو الجدار الناري Firewall؟
الجدار الناري هو نظام، سواء كان برنامجاً أو جهازاً مستقلاً، مهمته مراقبة حركة البيانات الداخلة والخارجة من الشبكة، والسماح بها أو حظرها بناءً على مجموعة من القواعد المحددة مسبقاً. يمكن تشبيهه بنقطة تفتيش عند مدخل الشبكة، تفحص كل حزمة قبل أن تسمح لها بالمرور.
يمكن أن يكون الجدار الناري جهازاً فيزيائياً مستقلاً يوضع عند حدود الشبكة، وهذا شائع في الشركات والمؤسسات الكبيرة، أو برنامجاً يعمل داخل نظام التشغيل نفسه، كما هو الحال في جدران الحماية المدمجة في أنظمة ويندوز ولينكس.
كلا النوعين يقوم بالوظيفة الأساسية نفسها، لكن يختلف مستوى التحكم والمرونة المتاح للمستخدم أو المسؤول عن الشبكة.
من المفيد أيضاً أن نفرق بين مكانين يمكن أن يوضع فيهما الجدار الناري.. عند حدود الشبكة الخارجية Network Firewall لحماية الشبكة بأكملها من الإنترنت، أو على مستوى جهاز واحد Host-based Firewall لحماية ذلك الجهاز تحديداً حتى لو كان داخل شبكة محمية أصلاً. الاعتماد على الطبقتين معاً يمنح حماية أقوى بكثير من الاعتماد على طبقة واحدة فقط.
كيف يعمل الجدار الناري في فحص حركة البيانات؟
يعتمد الجدار الناري في عمله على قراءة رأس الحزمة Packet Header، والذي يحتوي على معلومات أساسية مثل عنوان IP المصدر وعنوان IP الوجهة، ورقم المنفذ Port المستخدم، ونوع البروتوكول.
بناءً على هذه المعلومات، يقارن الجدار الناري الحزمة بقائمة القواعد المخزنة لديه، ويقرر إن كانت الحزمة مطابقة لقاعدة سماح أو قاعدة حظر.
على سبيل المثال، يمكن إعداد قاعدة تسمح فقط بحركة البيانات القادمة على المنفذ 443 الخاص بتصفح المواقع الآمنة HTTPS، وتحظر أي محاولة اتصال على منافذ أخرى غير مصرح بها. هذه القواعد تُبنى عادة وفق مبدأ "الرفض الافتراضي"، أي أن كل شيء ممنوع ما لم يُسمح به صراحة.
أنواع الجدران النارية... Stateless مقابل Stateful مقابل Next-Generation
لا تعمل جميع الجدران النارية بنفس الطريقة، فهناك فروقات جوهرية في مستوى الذكاء والتحليل بين الأنواع المختلفة. الجدول التالي يوضح أبرز الفروقات بينها بشكل مبسط..
| 🧠 مستوى الذكاء | ⚙️ طريقة العمل | 🛡️ النوع |
|---|---|---|
| بسيط جداً | يفحص كل حزمة بشكل منفصل دون تذكر ما سبقها | Stateless Firewall |
| متوسط إلى متقدم | يتتبع حالة الاتصال كاملاً ويربط الحزم ببعضها | Stateful Firewall |
| متقدم جداً | يفحص محتوى البيانات نفسه وليس فقط الرأس، ويتكامل مع أنظمة كشف التهديدات | Next-Generation Firewall (NGFW) |
الجدار الناري من النوع Stateless يفحص كل حزمة بمعزل عن غيرها، وهو سريع لكنه محدود الفهم لأنه لا يعرف سياق الاتصال.
أما الجدار من النوع Stateful فهو يحتفظ بجدول داخلي يسجل فيه حالة كل اتصال قائم، فيستطيع مثلاً أن يميز أن حزمة رد Response تنتمي فعلاً إلى طلب Request تم إرساله مسبقاً، وهذا يجعله أكثر دقة في اكتشاف الحزم المزيفة.
أما الجيل الجديد من الجدران النارية Next-Generation Firewall فيذهب أبعد من ذلك، إذ يدمج بين وظيفة الجدار الناري التقليدي ووظائف إضافية مثل فحص محتوى التطبيقات، والتكامل مع أنظمة كشف التسلل، وتحليل السلوك، مما يمنحه القدرة على اكتشاف تهديدات لا يستطيع الجدار التقليدي رؤيتها.
ما حدود قدرة الجدار الناري وحده؟
رغم أهمية الجدار الناري، إلا أنه يبقى نظاماً يعتمد بشكل أساسي على قواعد ثابتة معرّفة مسبقاً. هذا يعني أنه ممتاز في منع ما هو معروف أنه غير مسموح، لكنه ليس مصمماً أصلاً لاكتشاف سلوك مشبوه يحدث ضمن حركة مسموحة أساساً.
على سبيل المثال، إذا كان المنفذ 443 مفتوحاً للسماح بتصفح المواقع الآمنة، فإن الجدار الناري التقليدي لن يفرّق بسهولة بين طلب تصفح عادي ومحاولة استغلال ثغرة تمر عبر نفس المنفذ.
هذه الفجوة تحديداً هي ما تسدّها أنظمة كشف التسلل ومنعه، لأنها لا تكتفي بالنظر إلى "هل هذا المنفذ مسموح؟"، بل تذهب أعمق لتحليل طبيعة الحركة نفسها وسلوكها عبر الزمن.
فهم أنظمة كشف التسلل ومنعه... IDS وIPS
إذا كان الجدار الناري يشبه حارساً يقرر من يدخل ومن يُمنع بناءً على قواعد ثابتة، فإن أنظمة IDS وIPS تشبه كاميرات مراقبة ذكية تراقب السلوك بشكل مستمر، وتكتشف الأنماط غير الطبيعية حتى لو نجحت في تجاوز الجدار الناري.
أين توضع هذه الأنظمة داخل الشبكة؟
يختلف موقع نظام IDS عن موقع نظام IPS داخل مسار حركة البيانات، وهذا الفرق ليس تفصيلاً بسيطاً بل هو ما يفسر سبب اختلاف قدرتهما على التدخل. نظام IDS يوضع عادة بشكل جانبي Out-of-band، يستقبل نسخة من الحركة المارة دون أن يقف في مسارها المباشر، وهذا يجعله يراقب دون أن يبطئ الشبكة، لكنه أيضاً لا يستطيع إيقاف الحزمة قبل وصولها لأنه لا يقف في طريقها أصلاً.
أما نظام IPS فيوضع مباشرة في مسار الحركة Inline، بحيث تمر كل حزمة عبره فعلياً قبل أن تصل إلى وجهتها. هذا الموقع هو ما يمنحه القدرة على إسقاط الحزمة المشبوهة فوراً، لكنه في المقابل يضيف حلقة إضافية في مسار البيانات، لذلك يجب أن يكون سريعاً وموثوقاً حتى لا يتسبب في تأخير أو مشاكل في الأداء.
ما الفرق بين IDS وIPS؟
نظام كشف التسلل Intrusion Detection System، المعروف اختصاراً بـ IDS، مهمته مراقبة حركة الشبكة وتحليلها للبحث عن أي نشاط مشبوه، ثم إصدار تنبيه للمسؤول عن الأمان دون التدخل المباشر لإيقاف الهجوم. بمعنى آخر، هو نظام مراقبة وإنذار فقط.
أما نظام منع التسلل Intrusion Prevention System، أو IPS، فهو يقوم بنفس عملية المراقبة والتحليل، لكنه يذهب خطوة أبعد بأن يتخذ إجراءً فورياً لمنع الهجوم بمجرد اكتشافه، مثل إسقاط الحزمة المشبوهة أو قطع الاتصال بالمصدر الذي أرسلها.
| 🎯 هل يتخذ إجراء؟ | 🔍 الوظيفة الأساسية | 🛡️ النظام |
|---|---|---|
| لا، يسمح أو يمنع فقط حسب القواعد | التحكم في الوصول عبر قواعد ثابتة | Firewall |
| لا، يكتفي بإرسال تنبيه | مراقبة وكشف السلوك المشبوه | IDS |
| نعم، يوقف الهجوم فوراً | كشف السلوك المشبوه ومنعه تلقائياً | IPS |
أساليب الكشف.. Signature-based مقابل Anomaly-based
الأسلوب الثاني يسمى الكشف بالشذوذ Anomaly-based Detection، وفيه يبني النظام أولاً نموذجاً لما يعتبر سلوكاً طبيعياً للشبكة، ثم يقارن أي نشاط جديد بهذا النموذج. إذا ظهر نمط غير معتاد، مثل ارتفاع مفاجئ في عدد الاتصالات من جهاز واحد، يعتبره النظام حالة شاذة تستحق التنبيه.
- الكشف بالتوقيع دقيق جداً مع الهجمات المعروفة، لكنه عاجز عن اكتشاف هجوم جديد لم يُسجَّل من قبل.
- الكشف بالشذوذ قادر على اكتشاف هجمات جديدة غير معروفة، لكنه أكثر عرضة لإصدار إنذارات كاذبة False Positives.
- الأنظمة الحديثة غالباً تجمع بين الأسلوبين للحصول على أفضل توازن بين الدقة والتغطية.
كيف تقرأ هذه الأنظمة حركة الشبكة؟ فهم رؤوس الحزم
سواء كان الجدار الناري أو نظام IDS/IPS، فإن كليهما يعتمد بشكل أساسي على تحليل رأس الحزمة Packet Header، وهو الجزء الذي يحمل معلومات التوجيه والتحكم قبل البيانات الفعلية. فهم هذه الحقول هو ما يمكّن هذه الأنظمة من اتخاذ قرارات دقيقة.
الحقول المهمة التي يتم فحصها في كل حزمة
هناك مجموعة من الحقول التي تركز عليها أنظمة الحماية عند تحليل أي حزمة عابرة للشبكة، وأهمها...
- عنوان IP المصدر والوجهة (IP Source/Destination).💢. يحددان من أرسل الحزمة ومن المفترض أن يستقبلها، وهما أول ما يُفحص لمطابقته بقوائم السماح أو الحظر.
- أرقام المنافذ (Port Numbers) .💢.. تحدد نوع الخدمة المستهدفة، مثل المنفذ 80 لتصفح الويب أو 22 للاتصال عن بعد عبر SSH، وأي منفذ غير معتاد قد يثير الشك.
- أعلام TCP (TCP Flags) .💢.. مثل SYN وACK وFIN وRST، وهي التي تحدد مرحلة الاتصال، وأي نمط غير منطقي منها يعتبر مؤشراً قوياً على نشاط مريب.
- أرقام التسلسل (Sequence Numbers) .💢.. تُستخدم لترتيب الحزم والتأكد من تسلسلها الصحيح، وأي تلاعب فيها قد يشير إلى محاولة تزوير أو إعادة إرسال خبيثة.
كيف تميز هذه الأنظمة بين حزمة طبيعية وحزمة مشبوهة؟
الفهم النظري للحقول لا يكتمل دون رؤية أمثلة عملية توضح كيف تتحول هذه المعلومات إلى قرار أمني فعلي. فيما يلي مثالان شائعان يوضحان كيفية اكتشاف النشاط المشبوه.
مثال أول ... اكتشاف محاولة Port Scanning
 |
| اكتشاف محاولة Port Scanning. |
فحص المنافذ Port Scanning هو أسلوب يستخدمه المهاجمون لمعرفة أي المنافذ مفتوحة على جهاز أو خادم معين، تمهيداً لاستغلال ثغرة محتملة. في هذا الهجوم، يرسل المهاجم عدداً كبيراً من الحزم في وقت قصير جداً، كل حزمة موجهة إلى منفذ مختلف، من نفس عنوان IP المصدر.
مثال ثانٍ ... اكتشاف هجوم SYN Flood
 |
| اكتشاف هجوم SYN Flood. |
كيف تُبنى قواعد بسيطة للجدار الناري؟
- حدد الخدمات التي تحتاجها فعلاً، مثل تصفح الويب عبر المنفذ 443 أو البريد الإلكتروني عبر منفذه المخصص.
- اكتب قاعدة سماح واضحة لكل خدمة ضرورية فقط، مع تحديد المصدر إن أمكن.
- أضف قاعدة حظر عامة في نهاية القائمة تمنع أي حركة أخرى غير مذكورة صراحة.
- راجع القواعد بشكل دوري، فالخدمات والاحتياجات تتغير مع الوقت.
قراءة اللوغات والتنبيهات ... أول خطوة لبناء تفكير أمني
من أين جاءت الحزمة؟
ما هو المنفذ المستهدف؟
هل هذا النمط تكرر عدة مرات؟
وهل يتوافق مع سلوك معروف داخل الشبكة أم لا؟ الإجابة على هذه الأسئلة تدريجياً هي ما يبني لديك حس أمني حقيقي، حتى لو كنت في بداية الطريق.
أسئلة شائعة حول الجدران النارية وأنظمة IDS/IPS
هل يمكن الاستغناء عن الجدار الناري إذا كان لدي نظام IPS؟
هل نظام IDS يستطيع إيقاف الهجوم بنفسه؟
ما الفرق بين حظر عنوان IP بالكامل وحظر منفذ واحد فقط؟
هل الإنذارات الكاذبة False Positives مشكلة خطيرة؟
خاتمة ... إلى أين بعد هذا الدرس؟
وصلنا في هذا الدرس من دورة الأمن السيبراني للمبتدئين إلى فهم أعمق لكيفية عمل الجدران النارية وأنظمة IDS/IPS كخط دفاع أساسي لأي شبكة. تعرفنا على الفرق بين الأنواع المختلفة من الجدران النارية، وكيف تختلف مهمة الكشف في IDS عن مهمة المنع في IPS، إضافة إلى فهم أساسي لكيفية قراءة رؤوس الحزم وتمييز الأنماط المشبوهة.
هذه المعرفة تشكل حجر أساس مهم قبل الانتقال إلى مواضيع أكثر تقدماً في الدورة، مثل تحليل الثغرات الأمنية، واختبار الاختراق، وأدوات المراقبة المتقدمة.
الخطوة التالية الطبيعية هي التدرب عملياً على بيئة محاكاة، لمشاهدة هذه المفاهيم وهي تُطبَّق بشكل حي على حركة شبكة حقيقية.
📚 دورة الأمن السيبراني للمبتدئين — معرفة شاملة
- 🟡 المرحلة التمهيدية ... فهم الأمن السيبراني.
- 🟢 المرحلة الأولى ... أساسيات الحماية من الاختراق.
- 🔵 المرحلة الثانية ... أساسيات الشبكات والإنترنت.
- 🔐 المرحلة الثالثة ... أساسيات التشفير
- 🟠 المرحلة الرابعة ... أمن الحسابات والهوية.
- 🔴 المرحلة الخامسة ... أمن المواقع وتطبيقات الويب.
- 🟣 المرحلة السادسة ... البرمجيات الخبيثة والهجمات المتقدمة.
- ☁️ المرحلة السابعة ... أمن السحابة والأجهزة الحديثة.
- 🤖 المرحلة الثامنة ... الذكاء الاصطناعي والأمن السيبراني.
- 🛡️ المرحلة التاسعة ... الأمن السيبراني للمؤسسات.