تصور کنید قلعه‌ای ساخته‌اید که درهای داخلی‌اش را با دقت قفل کرده‌اید، اما پل متحرک بیرونی را پایین نگه داشته‌اید چون تصور می‌کنید خندق دور قلعه همه‌ی مهاجمان را متوقف خواهد کرد. این دقیقاً همان تله‌ای است که بسیاری از برنامه‌نویسان در برخورد با امنیت شبکه به آن دچار می‌شوند و آن را به عنوان یک لایه‌ی جانبی نگاه می‌کنند نه یک سنگر معماری اصلی. اگر مهاجم اصلاً نتواند با یک کامپوننت ارتباط برقرار کند، نفوذ به آن به شدت دشوار می‌شود؛ به همین دلیل است که کنترل‌های شبکه حکم حصارهای بلند دور پایگاه نظامی و دروازه‌بانی مطمئن را دارند که توپ را پس از شکست سایر دفاع‌ها متوقف می‌کند. ما در دنیایی از پچ‌های نرم‌افزاری بی‌نقص و توک‌های احراز هویت بی‌خطا زندگی نمی‌کنیم و به همین دلیل است که کنترل‌های شبکه همچنان به عنوان خط دفاعی ثانویه اهمیت حیاتی دارند. در عمیق‌ترین سطح، این فصل با واقعیت دشوار ایمن‌سازی زیرساخت‌های توزیع‌شده‌ی مدرن روبه‌رو می‌شود که در آن‌ها برنامه‌ها نمی‌توانند ارتباط خود را با اینترنت قطع کنند. بدون کنترل‌های ساختاریافته‌ی شبکه، یک سرویس آسیب‌دیده می‌تواند به عنوان درگاهی باز برای حرکت جانبی در کل کلاستر عمل کند. ما بررسی خواهیم کرد چگونه محیط‌های ابری مدرن، تفکر ما را از توهم کهنه پیرامون سخت تغییر داده و به سمت مکانیزم‌های ایزوله‌سازی پویا و نرم‌افزاری هدایت می‌کنند. شما یاد خواهید گرفت چگونه دفاع‌های شبکه‌ای چندلایه را طراحی کنید که بدون کند کردن سرعت توسعه‌دهندگان، از بارهای کاری شما محافظت کنند. گذر از فناوری اطلاعات سنتی به شبکه‌های ابری مدرن مستلزم تغییر بنیادی در نگرش است، زیرا پیرامون سنتی مرده است و اعتماد به یک آدرس آی‌پی صرفاً به این دلیل که از داخل شبکه سازمانی می‌آید، راه را برای فجایع هموار می‌کند. این واقعیت مدرن در شبکه مبتنی بر اعتماد صفر خلاصه می‌شود؛ پارادایمی که هر کامپوننت را مجبور می‌کند هر درخواست را احراز هویت و مجوزسنجی کند، فارغ از اینکه از کجا آمده است. برای اعمال این قانون، معماران به فهرست‌های مجاز و غیرمجاز تکیه می‌کنند تا دقیقاً مشخص کنند چه کسی با چه کسی صحبت می‌کند، و این را با دیواره‌های آتش و بخش‌بندی شبکه ترکیب می‌کنند تا زیرساخت‌های یکپارچه را به مناطق انفجار ایزوله تقسیم کنند. وقتی ترافیک باید از مرزهای اعتماد عبور کند، پروکسی‌ها و منطقه غیرنظامی وارد عمل می‌شوند تا پیش از رسیدن ترافیک به منطقه‌ی تجاری، آن را با دقت فیلتر کنند. مدیریت این موانع در مقیاس بزرگ، صنعت را به سمت انتزاع‌های پیشرفته‌ای مانند شبکه نرم‌افزاری و مجازی‌سازی عملکردهای شبکه سوق داده است که سخت‌افزارهای صلب فیزیکی را با لایه‌های مسیریابی انعطاف‌پذیر جایگزین می‌کنند. در زیر این لایه‌ها، شبکه‌های همپوشان و کپسوله‌سازی بسته‌ها را درون بسته‌های دیگر بسته‌بندی می‌کنند تا ماشین‌های مجازی و کانتینرها بتوانند به طور امن ارتباط برقرار کنند. در ابرهای عمومی، ابرهای خصوصی مجازی فضای آدرس خصوصی ایزوله‌ای را فراهم می‌کنند، در حالی که ترجمه آدرس شبکه شکاف بین اجزای داخلی و اینترنت عمومی را پر می‌کند. برای همگام شدن با مقیاس‌های مدرن، صنعت همچنین به طور پیوسته به سمت نسخه‌ی ششم پروتکل اینترنت حرکت می‌کند تا چالش‌های اتمام آدرس‌ها را به طور کامل حل کند. ایمن‌سازی داده‌ها در حال حرکت مستلزم هوشیاری کامل در برابر شنود است، و رمزگذاری در حال حرکت از طریق پروتکل‌های امن به یک ضرورت غیرقابل مذاکره تبدیل می‌شود. در همین حال، اسناد هویت و زیرساخت کلید عمومی خودکار، مدیریت گواهی‌نامه‌ها را بدون گلوگاه‌های انسانی ساده‌تر می‌کنند. هنگامی که بارهای کاری مقیاس‌پذیر می‌شوند، اجازه دسترسی مدیریتی ایمن از طریق هاست‌های پرش یا تونل‌های امن از ایجاد نقاط ورودی سرکش جلوگیری می‌کند، و فیلتر خروجی تضمین می‌کند که بارهای کاری آسیب‌دیده نمی‌توانند با سرورهای فرماندهی ارتباط برقرار کنند. در نهایت، ترکیب این کنترل‌های انتقال با پیشگیری از گم شدن داده‌ها و ابزارهای دفاعی شبکه، به تیم‌های مهندسی دیدگاهی می‌دهد که برای تشخیص ناهنجاری‌ها پیش از تبدیل شدن به قطعی نیاز دارند. | لایه کنترلی | هدف اصلی | چه اتفاقی بدون آن می‌افتد؟ | | :--- | :--- | :--- | | بخش‌بندی و دیواره آتش | محدود کردن حرکت جانبی بین مناطق | یک نفوذ کلگان کلاستر را به خطر می‌اندازد | | رمزگذاری در حال حرکت | محافظت از داده‌ها در برابر شنود | آسیب‌پذیری در برابر حملات مرد میانی | | فیلتر خروجی | محدود کردن ترافیک خروجی مخرب | میزبان‌های آلوده اطلاعات را به بیرون نشت می‌دهند | [ ] پیکربندی فهرست‌های مجاز سخت‌گیرانه برای مسدود کردن ارتباطات غیرمجاز بین سرویس‌ها [ ] پیاده‌سازی بخش‌بندی شبکه و دیواره‌های آتش برای ایزوله کردن بارهای کاری حیاتی [ ] برقراری رمزگذاری خودکار در حال حرکت با استفاده از گواهی‌نامه‌ها و اسناد معتبر [ ] تنظیم قوانین فیلتر خروجی برای جلوگیری از خروج غیرمجاز داده‌ها [ ] طراحی ابرهای خصوصی مجازی با بهره‌گیری ایمن از ترجمه آدرس شبکه