تُعد مراقبة المنافذ مهمة لأن كل منفذ مفتوح هو في الوقت نفسه خدمة يعتمد عليها مستخدموك وباب قد يحاول المهاجم طرقه. فالتحقق المستمر من المنافذ التي تستجيب، ومن الخدمة التي تستمع خلفها، ومن كيفية تغيّر ذلك بمرور الوقت، يتيح لك اكتشاف الخدمات المكشوفة والأعطال الصامتة وانحراف الإعدادات مبكرًا. كما يمنح سجل الفحوصات نفسه المدققين دليلًا على أن ضوابط الشبكة لديك تعمل كل يوم، لا في يوم التدقيق فقط.
الأمان: رصد انحراف سطح الهجوم
قد يفتح تعديل في Terraform مجموعة أمان (security group) على 0.0.0.0/0، أو تنشر حاوية تصحيح منفذًا على المضيف. لا يتسبب أي منهما في خطأ بالتطبيق، لذا قد يبقيان دون أن يلاحظهما أحد لأشهر.
تقارن مراقبة المنافذ بين ما يمكن الوصول إليه فعلًا وما ينبغي أن يكون متاحًا. ومن أبرز ما تكشفه:
- مخازن بيانات مكشوفة. منافذ مثل 3306 (MySQL) و5432 (PostgreSQL) و6379 (Redis) و27017 (MongoDB) و9200 (Elasticsearch) تستجيب من الإنترنت العام.
- منافذ الإدارة والوصول عن بُعد. SSH على المنفذ 22، أو RDP على 3389، أو لوحة إدارة ويب على 8080 أو 8443 يمكن الوصول إليها من أي مكان بدلًا من الاقتصار على VPN أو خادم وسيط (bastion).
- برمجيات قديمة. يكشف التعرف على الخدمات مع اكتشاف الإصدار عن خدمة لا تزال تعلن إصدارًا قديمًا من OpenSSH أو nginx أو خادم بريد بعد دورة تحديثات يُفترض أنها اكتملت.
- خدمات غير متوقعة. خدمة جديدة تستمع على منفذ لم يكن جزءًا من التصميم أصلًا، ما قد يشير إلى خطأ في الإعداد أو اختراق.
هناك قاعدة لا تقبل التفاوض: لا تراقب إلا المضيفات التي تملكها أو المصرّح لك صراحةً بفحصها.
التوافر: المضيف المتاح لا يعني خدمة تعمل
يخبرك ping بأن الجهاز يستجيب، لكنه لا يخبرك ما إذا كان PostgreSQL يقبل الاتصالات، أو ما إذا كان SMTP على المنفذ 587 لا يزال يرحّب بالعملاء، أو ما إذا كانت خدمة VoIP على منفذ UDP تستجيب. فقد تتعطل العمليات وتختفي الخدمات المستمعة بينما يظل المضيف متاحًا.
تسد الفحوصات على مستوى المنفذ هذه الفجوة. يؤكد فحص TCP اكتمال المصافحة، بينما يؤكد التحقق من الاستجابة الخاص بكل بروتوكول أن الخدمة خلفه تتحدث بروتوكولها بشكل صحيح. ويوفر تتبع زمن الاتصال وزمن الاستجابة إنذارًا مبكرًا: فمنفذ قاعدة بيانات يرتفع زمن اتصاله من 5 ms إلى 400 ms يتدهور عادةً قبل أن يبدأ في رفض الاتصالات. ونقطة البداية المعتادة هي فحص المنافذ الحرجة كل دقيقة، وإطلاق التنبيه بعد فشلين أو ثلاثة متتالية من أكثر من موقع واحد.
الامتثال: أدلة مستمرة على ضوابط الشبكة
تتوقع معظم الأطر أن تحدد خدمات الشبكة المسموح بها وأن تتحقق من الالتزام بالقواعد. لا تجعلك مراقبة المنافذ ممتثلًا بمفردها، لكنها توفر أدلة داعمة:
- PCI DSS يخصص Requirement 1 لضوابط أمان الشبكة وRequirement 11 لاختبارات الأمان الدورية، بما في ذلك فحوصات الثغرات الخارجية الفصلية التي يجب أن يجريها مزود فحص معتمد (Approved Scanning Vendor - ASV). تكمّل المراقبة المستمرة للمنافذ فحوصات ASV ولا تحل محلها أبدًا.
- ISO/IEC 27001 يتضمن في الملحق A ضوابط لتأمين الشبكات وخدمات الشبكة. ويُظهر خط أساس للمنافذ المعتمدة مع تنبيهات عند الانحراف أن الضابط يعمل بمرور الوقت.
- SOC 2: تفحص مراجعاته إدارة التغيير ومراقبة الأنظمة. وتُثبت التنبيهات المؤرخة عند فتح منافذ بشكل غير متوقع، مع ملاحظات المعالجة، أن التغييرات غير المصرح بها تُكتشف وتُعالج.
يثبت الفحص في نقطة زمنية واحدة الحالة في يوم واحد، بينما يغطي سجل المراقبة فترة التدقيق بأكملها.
كيف تتكامل الزوايا الثلاث
| الزاوية | المخاطر | ما توفره مراقبة المنافذ |
|---|---|---|
| الأمان | قواعد بيانات ومنافذ إدارة مكشوفة، وإصدارات خدمات قديمة | اكتشاف التغييرات مقارنةً بخط الأساس، والتعرف على الخدمات، وتنبيهات عند ظهور خدمات غير متوقعة |
| التوافر | تعطل الخدمة رغم استمرار استجابة المضيف | فحوصات TCP/UDP، والتحقق من البروتوكول، واتجاهات زمن الاتصال وزمن الاستجابة |
| الامتثال | غياب دليل على أن ضوابط الشبكة تعمل باستمرار | سجل مؤرخ لحالة المنافذ والانحرافات والإجراءات المتخذة |
التطبيق العملي
- احصر المضيفات المتاحة من الإنترنت وحدد المنافذ المعتمدة لكل منها.
- راقب المنافذ المعتمدة من حيث التوافر وزمن الاستجابة، وأطلق تنبيهًا عند فتح أي منفذ خارج خط الأساس.
- افحص من مناطق متعددة لكشف مشكلات جدار الحماية أو التوجيه الخاصة بمسار معين.
- وجّه تنبيهات الأمان وتنبيهات التوافر إلى الفرق المسؤولة عنها.
- حدّث خطوط الأساس بعد كل تغيير مخطط.
تغطي مراقبة المنافذ من UpScanX سير العمل هذا بفحوصات TCP وUDP، والتعرف على الخدمات مع اكتشاف الإصدار، والتحقق من الاستجابة الخاص بكل بروتوكول، واكتشاف التغييرات مقارنةً بخط الأساس، من أكثر من 15 موقعًا حول العالم. وتصل التنبيهات عبر البريد الإلكتروني أو Slack أو Telegram أو Microsoft Teams أو Webhook. وللاطلاع على قائمة تفصيلية بما يجب مراقبته، راجع قائمة التحقق لمراقبة المنافذ المفتوحة الحرجة.
أهم النقاط
- تجيب مراقبة المنافذ عن سؤالين: هل تعمل الخدمة، وهل ينبغي أن تكون متاحة أصلًا؟
- تحوّل خطوط الأساس واكتشاف التغييرات الانحراف الصامت في سطح الهجوم إلى تنبيهات قابلة للتنفيذ.
- تكتشف الفحوصات على مستوى الخدمة أعطالًا تفوتها فحوصات المضيف.
- يعزز السجل المستمر أدلة الامتثال، لكنه لا يغني عن التقييمات الإلزامية مثل فحوصات ASV.
- مع UpScanX، اقصر الفحوصات على البنية التحتية التي تملكها أو المصرّح لك باختبارها.