UserGate: ماذا تستطيع بوابة الأمان هذه أن تفعل للشركة

بدأ UserGate في العقد الأول من القرن كخادم بروكسي للمكاتب: توزيع الإنترنت وحساب البيانات وإغلاق مواقع الترفيه. ومنذ ذلك الحين نما المنتج إلى بوابة أمان يسميها القطاع NGFW، أي جدار ناري من الجيل الجديد. بقي الاسم وتغيرت فئة المهام، وهو مثير للاهتمام خصوصًا بصفته ممثلًا لهذه الفئة: فكل بوابات الشركات الحديثة مبنية بطريقة مشابهة.

مكانه في الشبكة

توضع البوابة على الحدود: تمر عبرها كل بيانات المكتب إلى الإنترنت والعكس. ومن هنا إمكاناتها ومسؤوليتها: إنها أنسب مكان للفلترة والحساب والحماية، وهي أيضًا نقطة فشل واحدة، لذلك تعمل التكوينات الكبرى كزوج احتياطي. وتتوفر كعتاد وكجهاز افتراضي، وتكفي المكاتب المتوسطة عادة النسخة الافتراضية.

الوحدات الرئيسية

الكلمة المفتاحية في كل شيء هي المستخدم. تتكامل البوابة مع خدمة الدليل، وتُكتب القواعد للأشخاص والمجموعات بدل عناوين IP: قاعدة للمحاسبة وأخرى للتطوير وثالثة لشبكة Wi-Fi الضيوف. ويستحق فحص TLS تحفظًا خاصًا: فهو تقنيًا فتح مُدار لقناة مشفرة باستبدال الشهادة، ويتطلب تثبيت شهادة الشركة على الأجهزة وإبلاغ الموظفين بصدق. وتُستثنى الفئات المصرفية والطبية من الفحص عادة.

تربط السياسات الوحدات في سيناريوهات. مثال واقعي: يُسمح لفريق التسويق بوسائل التواصل دون رفع ملفات؛ ولا يصل المتعاقدون إلا إلى قائمة خدمات العمل؛ وتُغلق على الباقين خدمات مشاركة الملفات والنطاقات الحديثة التسجيل، الأداة المفضلة للتصيد. تصاحب كل قاعدة تقريرًا، ويُحسم جدال «أحتاج إلى هذا الموقع للعمل» بالبيانات لا بالصوت العالي.

من يحتاج إليه

• الشركات الخاضعة لمتطلبات تنظيمية. يهم المؤسسات الروسية أن المنتج معتمد من الجهات التنظيمية المحلية ولا يزال مدعومًا.
• المؤسسات التعليمية. تُحل فلترة المحتوى الإلزامية بفئات وقوائم سوداء جاهزة.
• المكاتب من خمسين شخصًا فأكثر. دون هذا الحد يكفي غالبًا موجه جيد؛ وفوقه تبدأ حديقة حيوان من الخدمات الخفية لا تُرى دون مراقبة التطبيقات.
• الشبكات ذات العمل عن بعد والفروع. VPN وسياسات موحدة وتقارير في مكان واحد.

توجد بدائل مفتوحة لهذه الفئة: يغطي pfSense وOPNsense الجدار الناري وVPN مجانًا، وتضاف الفلترة بالإضافات. تأتي الكلفة من جهتين متعاكستين: تُدفع المفتوحة بوقت المدير وتقارير مبنية يدويًا، والتجارية بالمال في اشتراكات الوحدات. ما يحسم عادة هو وجود أشخاص مستعدين للعيش مع الحل سنوات، أكثر من الوظائف.

كيف يُختار ويُطبق

تُشترى هذه الفئة عبر تجربة على بياناتك أكثر من قائمة الوظائف، لأن كل المصنعين متشابهون فيها. تُشغّل البوابة في وضع المراقبة دون حظر لمدة أسبوعين: تعرض التقارير الصورة الحقيقية للبيانات والحمل. الرقم الأهم من التجربة هو الأداء مع تفعيل فحص TLS وIPS. فالسعة المعلنة تقاس دونهما وتنخفض عدة مرات مع كامل الفحوص، وهنا يقع الخطأ في حجم العتاد. والنتيجة الثانية هي قائمة ما يجب استثناؤه من الفحص، من الخدمات المصرفية إلى مكالمات الفيديو، ولكل شركة قائمتها.

1. حدد السياسة مسبقًا: ما تحظره وما تراقبه ومن لا تمسه. البوابة تنفذ السياسة ولا تحل محلها.
2. احسب المستخدمين وذروة السعة بهامش لسنتين: تُشترى التراخيص والعتاد للنمو.
3. تحقق من التكامل مع خدمة الدليل ومن تحمل الشبكة لسقوط البوابة: هل تحتاج إلى تجاوز أو زوج احتياطي؟
4. وضّح محتوى الاشتراك: الفلترة وIPS وقواعد مكافحة الفيروسات مرخصة كوحدات، والسعر المجرد للجهاز مضلل.
5. عيّن مسؤولًا. البوابة التي لا يقرأ أحد تقاريرها تتحول خلال سنة إلى موجه غالٍ.

لا تخلط بينها وبين البروكسي التجاري

تحل بوابة الشركة وخدمات البروكسي مثل خدمتنا مهام متعاكسة، وإن سمي كلاهما «بروكسي». تراقب البوابة البيانات الصادرة لموظفيها: الرؤية والفلترة والانضباط. أما البروكسي التجاري فيغير نقطة الخروج لمهام العمل: البيانات الجغرافية ومجمعات العناوين والحسابات، كما كتبنا في تحليل مهام خوادم البروكسي. الأولى تعني «نرى بياناتنا ونقيدها»، والثاني «تبدو بياناتنا كما يجب من الخارج». وفي الشركة الناضجة يعيشان معًا بهدوء: البوابة على حدود المكتب، ومجمعات العناوين لدى التسويق والتحليل. لكن يجب أن تعرف البوابة المجمعات المشروعة للزملاء، وإلا اصطدم قسم التحليل يومًا بنظام أمانه، واستغرق إصلاح سوء الفهم أكثر من الإعداد كله. بيّنا مكان هذه البوابة في بقية البنية في مراجعة أنواع الخوادم.