الوصول عن بُعد إلى المختبر المنزلي دون فتح الباب على مصراعيه
قد ينمو المختبر المنزلي ليشمل مضيفي المحاكاة الافتراضية، والتخزين، ولوحات التحكم، وخدمات يعتمد عليها آخرون. يتيح الوصول عن بُعد إدارة هذه الأنظمة من خارج المنزل، لكن كل مسار وصول يحتاج إلى غرض واضح.
إدارة البنية التحتية ونشر تطبيق للآخرين قراران منفصلان. حدّد من يحتاج إلى الوصول، وأي أنظمة يحتاج إليها، وكيف سيتصل بها.
أبقِ واجهات الإدارة خاصة
استخدم VPN خاصًا لإدارة جهاز التوجيه، ومنصات المحاكاة الافتراضية، والمراقبة، ومشاركة الملفات. احصر صلاحيات كل حساب في الأنظمة التي يحتاج إليها. لا ينبغي أن يمنح الاتصال بالـ VPN وصولًا تلقائيًا إلى الشبكة كلها.
أغلق منافذ الإدارة أمام الإنترنت العام. راجع إعادات توجيه المنافذ القائمة، وقواعد جدار الحماية لكل من IPv4 وIPv6.
قد يحتاج خادم VPN تقليدي إلى منفذ وارد يتصل به العملاء؛ وثّق هذا الاستثناء. ويمكن لبعض شبكات VPN التراكبية العمل دون إعادة توجيه منافذ على جهاز التوجيه، كما توضّح وثائق Tailscale.
انشر الخدمات عن قصد
قد يحتاج مستند مشترك أو تطبيق ويب إلى مستخدمين خارج الـ VPN. سجّل مالك الخدمة، ومستخدميها المقصودين، وسبب نشرها.
يمكن لنفق صادر تمرير الحركة عبر مزوّد دون فتح منفذ وارد على جهاز التوجيه. لكن التطبيق يظل قابلًا للوصول عبر المزوّد، ويحتاج إلى المصادقة والتحديثات وضوابط الوصول المناسبة. توضح وثائق Cloudflare هذا النمط من الاتصال الصادر.
راجع متطلبات البروتوكول وطريقة الوصول. فالطريقة التي توثقها Cloudflare للوصول إلى TCP عام عبر أداة العميل تتطلب وجود cloudflared على المضيف والجهاز المتصل معًا. وتختلف المتطلبات في الطرق الأخرى (إرشادات TCP من Cloudflare).
طبّق الضوابط الأساسية
أبقِ SMB بعيدًا عن الإنترنت العام. امنع الوصول العام إلى TCP 445، واستخدم وصولًا خاصًا لمشاركة الملفات. قيّد صلاحيات المشاركات وحدّث الأنظمة، حتى التي لا تُستخدم إلا عبر الـ VPN.
راجع UPnP. تسمح أجهزة التوجيه المتوافقة للتطبيقات المحلية بطلب تعيين منافذ تلقائيًا. عطّله حيث يمكن ذلك بعد معرفة ما يعتمد عليه. راجع التعيينات الموجودة وأنشئ الاستثناءات التي تحتاج إليها فقط (إرشادات المركز الكندي للأمن السيبراني).
فعّل المصادقة متعددة العوامل حيث تُدعَم. فضّل الوسائل المقاومة للتصيّد، مثل مفاتيح المرور أو مفاتيح الأمان، عند توافرها. الرسائل النصية والرموز التي تُدخَل يدويًا لا توفر مقاومة للتصيّد (إرشادات المصادقة من NIST).
قيّد الصلاحيات. امنح الضيوف وصولًا إلى المشاركات المطلوبة فقط. واستخدم للخدمات حسابات منفصلة بصلاحيات تقتصر على مهامها، وامنع تسجيل الدخول التفاعلي لحسابات الخدمة حيث تسمح طبيعة العمل بذلك.
احمِ النسخ الاحتياطية
احتفظ بنسخة غير متصلة أو بنسخة غير قابلة للتعديل. هاتان حمايتان مختلفتان: النسخة غير المتصلة مفصولة، بينما تقاوم النسخة غير القابلة للتعديل التغييرات خلال مدة الاحتفاظ. وتعتمد هذه الحماية على ضوابط التخزين ومن يملك صلاحية تغييرها.
استخدم بيانات اعتماد منفصلة للنسخ الاحتياطي، وقيّد الوصول إلى إدارته. واختر مدة احتفاظ تمنحك وقتًا لاكتشاف المشكلة واستعادة إصدار أقدم.
اختبر الاستعادة دوريًا وسجّل ما استعدته وهل نجح الاختبار.
قائمة تحقق
- واجهات الإدارة لا تُتاح إلا عبر وصول خاص.
- صلاحيات الـ VPN تصل إلى الأنظمة المطلوبة فقط.
- روجعت قواعد IPv4 وIPv6 وإعادات التوجيه وتعيينات UPnP.
- لكل خدمة منشورة مالك وسبب للنشر.
- التطبيقات المنشورة محمية بمصادقة وصلاحيات وتحديثات مناسبة.
- يبقى SMB خاصًا، وتُفعّل المصادقة متعددة العوامل حيث تُدعَم.
- للنسخ الاحتياطية نسخ محمية وبيانات اعتماد منفصلة ومدة احتفاظ مناسبة واختبارات استعادة.