رخصة FortiGate المنتهية بتسيب الفايروول شغال Gateway أعمى ومن غير حماية حقيقية

اضغط للتكبير · المقال يفضل مفتوح

صحيح أن ثبات اللمبات بالأخضر واستمرار الترافيك لا يعني أمان الشبكة ضد التهديدات الحديثة؛ فبمجرد انتهاء FortiGuard تتوقف التحديثات اللحظية للـ Signatures، ويتوقف التصنيف السحابي للمواقع (Web Categorization)، ويفقد مسؤولو الـ IT القدرة على ترقية الـ Firmware لسد الثغرات الحرجة في أجهزة الـ Edge والـ VPN (مثل ثغرات SSL-VPN المعروفة)، مما يجعل استمرار النت يعطي شعوراً زائفاً بالأمان.

هل الإنترنت بيفصل في الشركة لما رخصة FortiGuard تخلص؟

اضغط للتكبير · المقال يفضل مفتوح

الإنترنت مش بيفصل تلقائياً كـ Routing؛ الجهاز بيكمل شغل كـ Stateful Firewall وNAT، لكن خدمات الـ Web Filtering المبنية على الكلاود بتفقد التصنيف اللحظي، ولو إعدادات البروفايل عندك مضبوطة على Fail-Close أو حظر المواقع غير المصنفة ممكن صفحات معينة أو التصفح كله يقف، أما لو Fail-Open الترافيك هيمر بدون تفتيش أمني.

إيه اللي بيحصل لمحرك الـ IPS والـ Antivirus بعد انتهاء السيرفس؟

اضغط للتكبير · المقال يفضل مفتوح

المحركات مش بتتعطل تماماً، لكنها بتتجمد على آخر قاعدة بيانات وتواقيع (Signatures) تم تحميلها قبل لحظة انتهاء الرخصة؛ وبالتالي الجهاز هيفضل يصد الهجمات القديمة بس هيكون أعمى تماماً قدام أي برمجية خبيثة أو هجمة Zero-Day ظهرت بعد تاريخ الانتهاء.

ليه عدم تجديد الـ FortiCare بيمثل خطر مباشر على أجهزة الـ Edge؟

اضغط للتكبير · المقال يفضل مفتوح

لأن انتهاء FortiCare بيمنعك رسمياً من تنزيل تحديثات نظام التشغيل (FortiOS Firmware Upgrades)، وده بيحرم الشركة من سد الثغرات الأمنية الحرجة المعلنة في أجهزة الفايروول والـ SSL-VPN، فضلاً عن توقف الدعم الفني واستبدال الهاردوير عند الأعطال (RMA).

رخصة FortiGate منتهية والنت شغال، نجدد ليه؟

اضغط للتكبير · المقال يفضل مفتوح

يا عَمْرو، الأسبوع اللي فات كنت في زيارة لشركة، ولقيت مسؤول الـ IT فاتح الـ Dashboard بتاعة الـ FortiGate، الـ Traffic ماشي طبيعي جداً، والموظفين شغالين على النت ومحدش بيشتكي. بس لَمَّا بصيت على حالة الرخص، لقيتها منتهية بَقَالْهَا أكتر من ست شهور، والـ Signatures واقفة تماماً من ساعتها. لَمَّا سألته قالي: طالما النت مكمل ومفيش مشاكل واضحة في التصفح، الإدارة شايفة إن مفيش داعي ندفع آلاف في تجديد رخص، والجهاز كِده كِده قايم بدوره وبيفصل الشبكة ومأدي الغرض. فالسؤال اللي جه في بالي علطول: هو فعلاً إيه المشكلة لو فضلنا مأجلين التجديد طالما الـ Traffic معدي والروتين اليومي ماشي ومفيش أي تعطيل؟

الجهاز بقى راوتر أعمى، جدد عشان الحماية مش النت.

اضغط للتكبير · المقال يفضل مفتوح

دِي أكبر خدعة أمنية بتقع فيها إدارات كتير. اللي بيحصل لَمَّا رخصة الـ FortiGate بتنتهي، إن الجهاز بِيِتْحَوِّل في هدوء من Next-Generation Firewall بيفتش كل Packet، لمجرد راوتر عادي جداً أو Gateway أعمى في قلب الـ Rack. فكرة إن الترافيك شغال والنت مِشْ قاطع ده طبيعي، لأن الـ Routing الأساسي مِشْ بيقف بانتهاء الرخصة، الهاردوير هيفضل يعدي الـ Packets من الـ LAN للـ WAN عادي خالص. بس الفرق الجوهري هنا هو: إيه اللي بيعدي من غير ما حد يبص في وشه؟ الجهاز زمان كان بيفحص الملفات، بيقارن أنماط الاختراق بالـ Signatures اللي بتنزل له يومياً، وبيشوف هل الموقع ده نظيف ولا واخد تصنيف مشبوه. النهاردة، بَقَالَك ست شهور الجهاز مِشْ شايف أي تهديد اتولد في الست شهور دول. يعني أنت حاطط حارس أمن على باب الشركة، بس الحارس ده لابس نضارة سودة ومبيطلبش بطاقة حد، فأي حد داخل أو خارج هو مِشْ شايفه أصلاً، ورغم كِدَه الإدارة مبسوطة لأن الباب مفتوح والناس داخلة وخارجة بسلاسة!

سؤال

بس فيه شركات تانية يا عمرو بتشتكي من العكس أول ما الرخصة تخلص، يعني بلاقي الـ Web Filtering فجأة يبتدي يهنج، أو يمنع مواقع عادية، أو يخلي تصفح النت بطيء ومتقطع، وساعتها مسؤول الشبكة عشان يحل المشكلة ويسكِّت شكاوى الموظفين، يروح داخل على الـ Policies وعامل Disable للـ Web Filtering أو للـ SSL Inspection بالكامل. ده غير إن فيه ناس تانية بتقول: طب ما إحنا عندنا الـ Signatures بتاعة زمان، هي يعني الفيروسات والتهديدات اتغيرت للدرجة دي في كام شهر؟

الرد

الحركة بتاعة إنه يِقفل الخدمات عشان التصفح ما يِعَطّلش، دي بالظبط بداية الكارثة. جهاز FortiGate لما رُخصِته بتخلص، الـ web filtering بيحصل له حاجة من اتنين حسب الإعدادات: يا إما بيفشل إنه يِكلّم سيرفرات FortiGuard فيِقفل التصفح تماماً فالدنيا تِقَف، أو مسؤول الـ IT يِضطر يخليه يفتح على البحري عشان ما يوَقّفش الشغل. فلما يِقفل الـ filtering ويِطفي فحص الـ traffic، هو رسمياً جَرّد الشبكة من أي طبقة حماية كان دافع فيها تَمَن الجهاز. أما بخصوص نقطة إن التهديدات اتغيرت ولا لأ، فالأرقام بتِثبِت إن كل يوم بِيطلَع آلاف من عينات الـ ransomware والـ malware الجديدة، وسيرفرات التحكم بتتغير أساميها والـ domains بتاعتها بالساعة مِش بالشهر. فالـ signature اللي بقالها ست شهور دي عاملة زَيّ قاعدة بيانات قديمة جداً لمجرمين، وجاي تطبّقها على هجمات شغالة بطرق جديدة لِسّه ظاهرة الأسبوع ده. أنت حرفياً سايب الـ traffic يِعَدّي من غير أي تفتيش حقيقي، ولو نِزِل ransomware مِتشفّر على جهاز موظف عن طريق link خبيث، الـ firewall مِش هيرمِش ولا هيحِسّ بيه أصلاً.

سؤال

طب ده بالنسبة للـ Signatures وفحص الترافيك، إيه بقى وضع الهاردوير والسيستم نفسه؟ يعني أنا بسمع دايماً عن خدمات الـ FortiCare، بس ناس كتير في السوق بتعتبرها مجرد دعم فني على التليفون، وبيقولوا: إحنا مهندسينا شاطرين ومش محتاجين نكلم الدعم، ومبنحبش نعمل Updates للـ Firmware أصلاً عشان خايفين السيستم يِقَع أو يحصل Downtime في الشركة. هل سقوط رخصة الـ FortiCare خطورته بتقتصر بس على الدعم الفني، ولا الموضوع ليه أبعاد تانية بتمِسّ استقرار وأمان الـ FireWall نفسه؟

الرد

دي النقطة الأخطر بكتير بقى. سقوط الـ FortiCare مش معناه إنك مش هتعرف تِتصل بمهندس الدعم بس، ده معناه إن اتقطع عنك تماماً أي تحديث أمني لنظام الـ FortiOS نفسه. وإحنا شايفين الفترة دي قد إيه أجهزة الـ Perimeter وأنظمة الـ FireWall بقت هدف أساسي للهجمات الموجهة. فيه ثغرات أمنية خطيرة بتتكشف باستمرار في واجهات الإدارة وبروتوكولات الربط الخارجي، والشركة المصنعة بتنزل لها Patches وتحديثات سريعة عشان تِسد الثغرات دي. فلما تكون رخصتك ساقطة، إنت ممنوع تنزل التحديث ده رسمي. ومجموعات الاختراق بتعمل Scan أوتوماتيك على عناوين الـ IP في المنطقة، بيدوروا مخصوص على أجهزة FortiGate شغالة بإصدارات قديمة عشان يِدخلوا منها جوه شبكة الشركة في دقايق. فالمسألة مش مسألة تليفون دعم، المسألة إن جهازك اللي المفروض بيحميك، بيتحول هو نفسه لأسهل باب مفتوح يسيطروا منه على الـ Servers.

سؤال

يعني الإدارة لَمَّا بتيجي تحسبها، بتفتكر إنها وفرت بند مصروفات كان هيطلع في التجديد، وبتقول لنفسها: أهو عدت شهور ومحصلش حاجة والشركة شغالة ومفيش اختراق حسينا بيه. بس لَمَّا بنيجي نبص للموضوع كقرار بيزنس، إيه التكلفة الحقيقية اللي المشروع بيشيلها وهو مِشْ واخد باله؟ وتأجيل القرار ده بيكلف الشركة إيه لما يِقَرَّروا في الآخر يجددوا أو لما تِحْصَل مصيبة لا قدر الله؟

الرد

التكلِفة الحقيقية بتتقاس بحاجتين: حجم الخسارة لو حصل اختراق، وتكلفة التجديد المتأخر. أولاً، لو حصل تشفير للبيانات بـ Ransomware أو تسريب داتا، تكلفة الـ Downtime وساعات العمل الضايعة بتعدي تمن تجديد الترخيص لسنين قدام بأضعاف مضاعفة. ثانياً، لَمَّا الشركة بتيجي تجدد بعد تأخير شهور طويلة، التجديد في أغلب الأوقات بيتطلب تغطية الفترة اللي فاتت بأثر رجعي أو رسوم استرجاع خدمات، فبتلاقي نفسك في الآخر بتدفع المبلغ اللي كنت فاكر إنك وفرته، بس بعد ما عشت فترة طويلة في ريسك أمني كامل ومكشوف. غير كِدَه، الهاردوير نفسه في الراك واخد مكان ومستهلِك كهرباء، وأنت مِشْ واخد منه غير وظيفة راوتر عادي كنت تقدر تشغله بجزء بسيط من التكلِفة. أنت دافع في تكنولوجيا متطورة، بس قافل كل أنظمة الأمان بتاعتها وماشي بيها في طريق خطر!

سؤال

كلامك يا عمرو بيوَضّح إن وجود الجهاز شغال في الـ rack ومكتوب عليه Firewall بيدي راحة بال وهمية، وهو في الحقيقة مَيِّت من ناحية الأمان من غير الرُّخَص. طب دلوقتي، أي حد بيسمعنا وحاسس إن رُخَص أجهزته ساقطة أو مشكوك في كفاءتها، إيه الخطوة اللي المفروض ياخُدها عشان يضمن إنه مش سايب بابه مفتوح؟

الرد

الخطوة الأولى إننا نِبَطّل نبُص للـ Firewall على إنه مجرد حديدة شغالة بتعدّي نت، ونبُص له كخدمة حماية مستمرة محتاجة تغذية وتحديث لَحظي. استقرار الشبكة الحقيقي مِش إن الموظف يِعرَف يفتح موقع وخلاص، الاستقرار هو إنك تكون متأكد إن الـ traffic اللي بيمُر نضيف ومفحوص، وإن مافيش ثغرة في الـ system سايباك مكشوف بَرّه. عشان كده بنصح أي مدير مشروع أو مسؤول تكنولوجيا حاسس إن أجهزته شغالة برُخَص منتهية، أو بسياسات مِش متأكد إن معمول لها مراجعة صح: ابعتوا لنا تفاصيل أجهزة الشبكة و الـ Topology اللي عندكم، ونقعد نراجع سوا سياسات الـ Firewall وجاهزية الموقع، ونرتّب خِطّة الحماية المظبوطة قبل ما يِحصَل أي هجوم يعطل شغل الشركة بالكامل.