منطقة منزوعة السلاح (الحوسبة)

في مجال أمن الحاسوب ، تُعرف المنطقة منزوعة السلاح (DMZ) أو المنطقة المعزولة (وتُسمى أحيانًا شبكة محيطية أو شبكة فرعية محمية ) بأنها شبكة فرعية مادية أو منطقية تحتوي على خدمات المؤسسة الخارجية وتُعرّضها لشبكة غير موثوقة، عادةً ما تكون أكبر حجمًا، مثل الإنترنت . يكمن الغرض من المنطقة منزوعة السلاح في إضافة طبقة أمان إضافية إلى الشبكة المحلية (LAN) للمؤسسة: إذ لا يمكن لأي عقدة شبكة خارجية الوصول إلا إلى ما هو مُعرّض في المنطقة منزوعة السلاح، بينما تتم حماية باقي شبكة المؤسسة خلف جدار ناري . ^{[ 1 ]} تعمل المنطقة منزوعة السلاح كشبكة صغيرة معزولة تقع بين الإنترنت والشبكة الخاصة . ^{[ 2 ]}

لا ينبغي الخلط بين هذا وبين مضيف DMZ ، وهي ميزة موجودة في بعض أجهزة التوجيه المنزلية والتي غالباً ما تختلف اختلافاً كبيراً عن DMZ العادية.

الاسم مشتق من مصطلح المنطقة منزوعة السلاح ، وهي منطقة تقع بين الدول ولا يُسمح فيها بالعمليات العسكرية.

تُعتبر منطقة الشبكة المحايدة (DMZ) منفصلة عن أي من الشبكتين المحيطتين بها. وينطبق هذا التشبيه على استخدامها في الحوسبة، حيث تعمل منطقة الشبكة المحايدة كبوابة للإنترنت العام. فهي ليست آمنة كالشبكة الداخلية، ولا غير آمنة كالإنترنت العام.

في هذه الحالة، تكون الأجهزة المضيفة الأكثر عرضة للهجوم هي تلك التي تقدم خدمات للمستخدمين خارج الشبكة المحلية ، مثل خوادم البريد الإلكتروني والويب ونظام أسماء النطاقات (DNS). ونظرًا لزيادة احتمالية تعرض هذه الأجهزة للهجوم، يتم وضعها في هذه الشبكة الفرعية تحديدًا لحماية بقية الشبكة في حال تعرض أي منها للاختراق.

يُسمح للأجهزة المضيفة في منطقة DMZ باتصال محدود فقط بأجهزة مضيفة محددة في الشبكة الداخلية، نظرًا لأن محتوى DMZ ليس بنفس مستوى أمان الشبكة الداخلية. وبالمثل، يُقيّد الاتصال بين الأجهزة المضيفة في DMZ والشبكة الخارجية لجعل DMZ أكثر أمانًا من الإنترنت، ومناسبة لاستضافة هذه الخدمات ذات الأغراض الخاصة. يسمح هذا للأجهزة المضيفة في DMZ بالتواصل مع كلٍ من الشبكة الداخلية والخارجية، بينما يتحكم جدار حماية وسيط في حركة البيانات بين خوادم DMZ وعملاء الشبكة الداخلية، ويقوم جدار حماية آخر بمستوى معين من التحكم لحماية DMZ من الشبكة الخارجية.

يوفر تكوين DMZ حماية إضافية من الهجمات الخارجية، ولكنه عادة لا يؤثر على الهجمات الداخلية مثل التجسس على الاتصالات عبر محلل الحزم أو التزييف ، مثل تزييف البريد الإلكتروني .

من الممارسات الجيدة أحيانًا إنشاء منطقة عسكرية سرية منفصلة (CMZ)، ^{[ 3 ]} وهي منطقة عسكرية تخضع لمراقبة دقيقة، وتضم في الغالب خوادم ويب (وخوادم مماثلة تتصل بالإنترنت) لا تقع ضمن منطقة الشبكة المحايدة (DMZ)، ولكنها تحتوي على معلومات حساسة حول الوصول إلى الخوادم داخل الشبكة المحلية (مثل خوادم قواعد البيانات). في هذا النوع من البنية، تحتوي منطقة الشبكة المحايدة (DMZ) عادةً على جدار حماية التطبيقات وبروتوكول نقل الملفات (FTP)، بينما تستضيف منطقة الشبكة العسكرية السرية (CMZ) خوادم الويب. (يمكن أن تكون خوادم قواعد البيانات في منطقة الشبكة العسكرية السرية (CMZ)، أو في الشبكة المحلية (LAN)، أو في شبكة محلية ظاهرية (VLAN) منفصلة تمامًا).

يمكن وضع أي خدمة تُقدَّم للمستخدمين على الشبكة الخارجية في منطقة الشبكة المحايدة (DMZ). ومن أكثر هذه الخدمات شيوعًا ما يلي:

• خوادم الويب
• خوادم البريد
• خوادم FTP
• خوادم VoIP

تتطلب خوادم الويب التي تتصل بقاعدة بيانات داخلية الوصول إلى خادم قاعدة البيانات ، والذي قد لا يكون متاحًا للعامة وقد يحتوي على معلومات حساسة. ويمكن لخوادم الويب الاتصال بخوادم قواعد البيانات إما مباشرةً أو عبر جدار حماية التطبيقات لأسباب أمنية.

تعتبر رسائل البريد الإلكتروني وقاعدة بيانات المستخدمين على وجه الخصوص سرية، لذلك يتم تخزينها عادة على خوادم لا يمكن الوصول إليها من الإنترنت (على الأقل ليس بطريقة غير آمنة)، ولكن يمكن الوصول إليها من خوادم البريد الإلكتروني المعرضة للإنترنت.

يقوم خادم البريد الموجود داخل منطقة الشبكة المحايدة (DMZ) بتمرير البريد الوارد إلى خوادم البريد الآمنة/الداخلية. كما أنه يتعامل مع البريد الصادر.

لأسباب أمنية، وللامتثال للمعايير القانونية مثل قانون HIPAA ، ولأغراض المراقبة، تقوم بعض المؤسسات في بيئة الأعمال بتثبيت خادم وكيل داخل منطقة الشبكة المحايدة (DMZ). وهذا يوفر المزايا التالية:

• يلزم المستخدمين الداخليين (عادةً الموظفين) باستخدام خادم الوكيل للوصول إلى الإنترنت.
• انخفاض متطلبات عرض النطاق الترددي للوصول إلى الإنترنت نظرًا لإمكانية تخزين بعض محتوى الويب مؤقتًا بواسطة خادم الوكيل.
• يُسهّل تسجيل ومراقبة أنشطة المستخدم.
• تصفية مركزية لمحتوى الويب.

خادم الوكيل العكسي ، مثله مثل خادم الوكيل، هو وسيط يُستخدم بطريقة معاكسة. فبدلاً من توفير خدمة للمستخدمين الداخليين الراغبين في الوصول إلى شبكة خارجية، فإنه يوفر وصولاً غير مباشر من الشبكة الخارجية (عادةً الإنترنت) إلى الموارد الداخلية. على سبيل المثال، يمكن توفير إمكانية الوصول إلى تطبيق مكتبي، مثل نظام البريد الإلكتروني، للمستخدمين الخارجيين (لقراءة رسائل البريد الإلكتروني من خارج الشركة)، ولكن لن يتمكن المستخدم البعيد من الوصول المباشر إلى خادم البريد الإلكتروني الخاص به (إذ لا يمكن الوصول فعلياً إلى خادم البريد الإلكتروني الداخلي إلا من خلال خادم الوكيل العكسي). تُعد هذه طبقة أمان إضافية يُوصى بها بشدة عند الحاجة إلى الوصول إلى الموارد الداخلية من الخارج، ولكن تجدر الإشارة إلى أن هذا التصميم لا يزال يسمح للمستخدمين البعيدين (وربما ذوي النوايا الخبيثة) بالتواصل مع الموارد الداخلية بمساعدة الوكيل. وبما أن الوكيل يعمل كوسيط بين الشبكة غير الموثوقة والموارد الداخلية، فقد يقوم أيضاً بتوجيه حركة مرور ضارة (مثل استغلال الثغرات على مستوى التطبيق ) نحو الشبكة الداخلية؛ لذا فإن قدرات الوكيل على كشف الهجمات وتصفيتها بالغة الأهمية لمنع المهاجمين الخارجيين من استغلال الثغرات الأمنية الموجودة في الموارد الداخلية المكشوفة عبر الوكيل. عادةً ما يتم توفير آلية الوكيل العكسي هذه باستخدام جدار حماية على مستوى التطبيق يركز على الشكل والمحتويات المحددة لحركة المرور بدلاً من مجرد التحكم في الوصول إلى منافذ TCP وUDP محددة (كما يفعل جدار الحماية لتصفية الحزم )، ولكن عادةً ما لا يكون الوكيل العكسي بديلاً جيدًا لتصميم DMZ مدروس جيدًا لأنه يعتمد على تحديثات التوقيعات المستمرة لناقلات الهجوم المحدثة.

توجد طرق عديدة لتصميم شبكة مزودة بمنطقة معزولة (DMZ). من أبسط هذه الطرق استخدام جدار حماية واحد ، يُعرف أيضًا بالنموذج ثلاثي الأرجل، واستخدام جداري حماية، يُعرف أيضًا بالنموذج المتصل. ويمكن توسيع هذه البنى لإنشاء بنى معقدة للغاية حسب متطلبات الشبكة.

جدار حماية واحد

يمكن استخدام جدار حماية واحد مزود بثلاث واجهات شبكية على الأقل لإنشاء بنية شبكية تتضمن منطقة معزولة (DMZ). تتكون الشبكة الخارجية من مزود خدمة الإنترنت إلى جدار الحماية عبر واجهة الشبكة الأولى، وتتكون الشبكة الداخلية من واجهة الشبكة الثانية، بينما تتكون المنطقة المعزولة (DMZ) من واجهة الشبكة الثالثة. يصبح جدار الحماية نقطة ضعف الشبكة، ويجب أن يكون قادرًا على التعامل مع جميع البيانات المتجهة إلى المنطقة المعزولة (DMZ) بالإضافة إلى الشبكة الداخلية. عادةً ما تُحدد المناطق بألوان مختلفة، على سبيل المثال، البنفسجي للشبكة المحلية (LAN)، والأخضر للمنطقة المعزولة (DMZ)، والأحمر للإنترنت (مع استخدام لون آخر غالبًا للمناطق اللاسلكية).

جدار حماية مزدوج

يرى كولتون فراليك أن الطريقة الأكثر أمانًا ^{[ 4 ]} هي استخدام جداري حماية لإنشاء منطقة معزولة (DMZ). يجب تهيئة جدار الحماية الأول (ويُسمى أيضًا جدار الحماية "الأمامي" أو "المحيطي" ^{[ 5 ]} ) للسماح بمرور البيانات المتجهة إلى منطقة DMZ فقط. أما جدار الحماية الثاني (ويُسمى أيضًا جدار الحماية "الخلفي" أو "الداخلي") فيسمح بمرور البيانات إلى منطقة DMZ من الشبكة الداخلية فقط.

يُعتبر هذا الإعداد ^{[ 4 ]} أكثر أمانًا، إذ يتطلب اختراق جهازين. وتزداد الحماية إذا كان جدارا الحماية من موردين مختلفين، لأن ذلك يقلل من احتمالية تعرض كلا الجهازين لنفس الثغرات الأمنية. فعلى سبيل المثال، من غير المرجح أن تظهر ثغرة أمنية في نظام أحد الموردين في نظام المورد الآخر. ومن عيوب هذا التصميم ارتفاع تكلفته، سواءً من حيث الشراء أو الإدارة. ^{[ 6 ]} ويُشار أحيانًا إلى استخدام جدران حماية مختلفة من موردين مختلفين كجزء من استراتيجية أمنية تُعرف باسم " الدفاع المتعدد الطبقات " ^{[ 7 ]} .

تتضمن بعض أجهزة التوجيه ميزة تُسمى "مضيف المنطقة المحايدة" (DMZ host ). تُتيح هذه الميزة تحديد جهاز واحد (حاسوب أو أي جهاز آخر له عنوان IP ) كمضيف للمنطقة المحايدة. يقوم جدار حماية جهاز التوجيه بعرض جميع منافذ مضيف المنطقة المحايدة للشبكة الخارجية، ولا يمنع أي حركة مرور واردة من الخارج إلى مضيف المنطقة المحايدة. ^{[ 8 ] [ 9 ]} يُعد هذا بديلاً أقل أمانًا من إعادة توجيه المنافذ ، التي تعرض عددًا محدودًا من المنافذ فقط. يجب تجنب هذه الميزة، إلا في الحالات التالية: ^{[ 9 ]}

• العقدة المعينة كمضيف DMZ هي جدار الحماية التابع لمنطقة DMZ الفعلية (ربما لا يكون جهاز التوجيه نفسه جزءًا من شبكة منزلية).
• تقوم العقدة بتشغيل جدار حماية قوي قادر على تنظيم الأمن الداخلي
• إن العدد الهائل من المنافذ كبير جدًا بالنسبة لميزة إعادة توجيه المنافذ
• لم يكن من الممكن صياغة قواعد إعادة توجيه المنافذ الصحيحة مسبقًا
• لا يستطيع جهاز التوجيه التعامل مع حركة البيانات ذات الصلة، مثل أنفاق 6in4 أو GRE.

في جميع السيناريوهات المذكورة أعلاه باستثناء السيناريو الأول، يتم استخدام ميزة مضيف DMZ خارج تكوين DMZ حقيقي.

• مضيف الحصن
• شبكة فرعية مفحوصة
• بنية شبكة DMZ العلمية ، وهي شبكة DMZ في الحوسبة عالية الأداء

• شيندر، ديب. "سوليوشن بيس: تعزيز دفاعات الشبكة باستخدام منطقة منزوعة السلاح" . تيك ريبابليك . مؤرشف من الأصل في 15 ديسمبر 2022.
• إريك مايوالد. أمن الشبكات: دليل للمبتدئين. الطبعة الثانية. ماكجرو هيل/أوزبورن، 2003.
• جدران الحماية على الإنترنت: الأسئلة الشائعة، من تأليف مات كورتين، وماركوس رانوم، وبول روبرتسون