نقدّم لكم FireMon Agentic AI. اعرف المزيد ←
Published:
Policy Workbench 101: متى تستخدمه وكيف
يتيح FireMon Policy Workbench للمهندسين تصميم خطط تغيير الـ firewall، لكن الحفظ لا يعني النشر؛ إذ تمرّ التغييرات أولًا عبر الـ workflow في Policy Planner.
by FireMon
يرد طلب تغيير على الـ firewall للسماح بالوصول بين نظامين. يحدد FireMon Rule Recommendation الـ firewall المعني ويقترح إضافة قاعدة جديدة أعلى قاعدة قائمة لأن القاعدة القائمة واسعة أكثر من اللازم.
تمنحكم التوصية نقطة انطلاق. لكن قبل المضي قدمًا، عليكم فهم القاعدة القائمة وتقييم الموضع المقترح والتأكد من أن التغيير يلبي الطلب دون إتاحة وصول غير ضروري.
وهنا يأتي دور FireMon Policy Workbench بالتحديد.
يجمع Policy Workbench بين التوصيات الآلية للقواعد ومساحة عمل لفحص السياسة القائمة وتصميم التغييرات. ويمكن للمهندسين مراجعة التوصيات وتحليل القواعد والكائنات وإجراء التغييرات اليدوية المدعومة عند الحاجة.
فيما يلي متى تستخدمون Workbench وكيف تنتقلون من التوصية إلى خطة التغيير.
موضع Policy Workbench في إدارة تغييرات الـ firewall
لا يقتصر تغيير الـ firewall على تحديد القاعدة الواجب إضافتها. فالمهندسون بحاجة إلى رؤية واضحة للبيئة القائمة، وإلى وسيلة لتصميم التغيير، وإلى عملية لمراجعته وتنفيذه.
تدعم FireMon هذه المهام عبر ثلاث قدرات مترابطة.
يوفر Security Manager سياق السياسة. فهو يمنح المهندسين رؤية واضحة لقواعد الـ firewall والكائنات والإعدادات عبر الأجهزة المدعومة.
يدير Policy Planner عملية التغيير. فهو يوفر workflows منظمة لإنشاء تغييرات سياسة الـ firewall وتحليلها واعتمادها وتنفيذها والتحقق منها.
يوفر Policy Workbench مساحة عمل التصميم. وبوصفه جزءًا من Policy Planner، يتيح Workbench للمهندسين مراجعة توصيات القواعد وفحص السياسة القائمة وإعداد التغييرات قبل أن تمر عبر بقية الـ workflow.
يحلل Rule Recommendation الوصول المطلوب لتحديد الأجهزة واقتراح تغييرات السياسة المناسبة. وبحسب البيئة، قد يوصي بإضافة قاعدة أو تعديل قاعدة قائمة أو عدم اتخاذ أي إجراء إذا كان الوصول متاحًا بالفعل.
يساعد Workbench المهندسين على تقييم هذه التوصيات بدلًا من قبولها دون مراجعة.
كما يوفر أسلوبًا منظمًا لتصميم التغييرات يدويًا عندما تكون التوصيات الآلية غير مكتملة أو بحاجة إلى تحسين.
وهذا التمييز مهم: حفظ خطة تغيير مقترحة في Workbench لا ينشر التغييرات على الـ firewall. إذ تمر الخطة عبر الـ workflow المعني في Policy Planner قبل التنفيذ.
متى ينبغي استخدام Policy Workbench؟
لا يتطلب كل تغيير على الـ firewall القدر نفسه من التدقيق. فبعض التوصيات واضحة ومباشرة، بينما تثير أخرى تساؤلات حول القواعد القائمة أو موضع القاعدة ضمن السياسة أو المعلومات الناقصة.
يدعم Workbench ثلاث حالات شائعة.
عندما تلبي توصيات القواعد الطلب
لنفترض أن Rule Recommendation حدد الـ firewall المعني واقترح إضافة قاعدة تلبي الوصول المطلوب.
يمكنكم فحص التغيير المقترح ومراجعة السياسة المتأثرة واختيار التوصية إذا كانت مناسبة.
الهدف ليس تكرار عملية التوصية يدويًا، بل التأكد من أن التغيير المقترح يلبي المتطلب ويتوافق مع معايير السياسة في مؤسستكم.
عندما تحتاج التوصية إلى فحص أدق
لنعد إلى المثال الوارد في المقدمة.
يقترح Rule Recommendation إنشاء قاعدة جديدة أعلى قاعدة قائمة لأن القاعدة القائمة واسعة أكثر من اللازم.
ولماذا يهم ذلك؟
تُقيَّم قواعد الـ firewall وفقًا لسلوك السياسة على الجهاز وترتيب القواعد. وقد يؤثر موضع القاعدة المقترحة في كيفية التعامل مع حركة المرور.
وقبل قبول التوصية، عليكم فحص القاعدة القائمة وفهم كيفية اندراج التغيير المقترح ضمن السياسة.
يتيح لكم Workbench فحص قواعد الأمان ذات الصلة وكائنات الشبكة وكائنات الخدمة. ويمكنكم مراجعة الموضع المقترح وتحديد ما إذا كان التصميم الموصى به مناسبًا.
عندما تكون التوصيات غير مكتملة أو غير متاحة
في بعض الحالات، لا يتمكن Rule Recommendation من تقديم نتيجة كاملة.
وقد يعود السبب إلى معلومات ناقصة أو اختيار الجهاز أو إعدادات غير مدعومة أو حالة أخرى تؤثر في التحليل.
يوفر Workbench معلومات تساعد على تشخيص المشكلة. ويمكنكم تصحيح الخلل حيثما أمكن ثم طلب التوصيات مجددًا.
وإذا ظلت التوصية غير متاحة، يدعم Workbench أيضًا تصميم التغيير يدويًا ضمن قدرات البيئة وصلاحياتها.
ويمكن أن تسهم التغييرات الموصى بها واليدوية في خطة التغيير نفسها، بما يتيح للمهندسين مواصلة العمل دون الاعتماد الكامل على الأتمتة.
كيفية استخدام Policy Workbench: من التوصية إلى خطة التغيير
لنتابع السيناريو الأصلي.
يستلزم أحد طلبات الوصول تغييرًا في سياسة الـ firewall. ويقترح Rule Recommendation إضافة قاعدة جديدة أعلى قاعدة قائمة لأن تلك القاعدة واسعة أكثر من اللازم.
إليكم كيف يمكن للمهندس تقييم التوصية وإعداد خطة التغيير في Workbench.
الخطوة 1: تحديد متطلب الوصول
ابدأوا من طلب الوصول، لا من قاعدة الـ firewall المقترحة.
تأكدوا من المصدر والوجهة والخدمات المطلوبة والغرض من العمل. فهذه التفاصيل تحدد ما يجب أن يحققه التغيير.
على سبيل المثال، ينبغي لطلب السماح بالاتصال بين نظامين أن يحدد بدقة الأنظمة التي تحتاج إلى الوصول والخدمات التي تتطلبها.
وتجنبوا افتراض أن الصلاحيات الأوسع لقاعدة قائمة ينبغي أن تنتقل إلى الوصول الجديد.
فالهدف هو تلبية الطلب بوصول محدد النطاق بالقدر المناسب.
الخطوة 2: فتح خطة التغيير في Workbench
في Policy Planner، حددوا التذكرة والمتطلب الذي يحتاج إلى خطة تغيير.
وسّعوا المتطلب ثم اختاروا إضافة خطة تغيير. عندها يُفتح محرر خطة التغيير في علامة تبويب جديدة في المتصفح.
يتيح المحرر الوصول إلى توصيات القواعد والتغييرات اليدوية المدعومة ومعلومات السياسة اللازمة لتصميم التغيير.
وقبل طلب التوصيات، تأكدوا من أن المتطلب يصف الوصول المقصود بدقة.
الخطوة 3: مراجعة توصية القاعدة
حدّدوا طلب التوصيات لتشغيل عملية التوصية. وعند توفّر النتائج، حدّدوا عرض التوصيات.
تحدّد خاصية توصية القواعد الأجهزة المحتملة وتقترح التغييرات استنادًا إلى معلومات السياسة المتاحة وإعدادات الـ workflow وصلاحيات المستخدم.
في السيناريو الذي نعرضه، توصي النتيجة بإنشاء قاعدة جديدة أعلى قاعدة قائمة لأن تلك القاعدة واسعة أكثر من اللازم.
وقبل تحديدها، افحصوا الجهاز والقاعدة والموضع المقترح.
في الإصدارات المدعومة، يوفّر قسم حول هذه التوصية سياقًا إضافيًا يوضّح سبب اقتراح إجراء معيّن.
استعينوا بهذه المعلومات لفهم التوصية قبل أن تقرروا ما إذا كنتم ستدرجونها في خطة التغيير.
الخطوة 4: فحص السياسة القائمة وتحسين التصميم
تحدّد التوصية تغييرًا محتملًا. والآن عليكم تحديد ما إذا كان منطقيًا.
استخدموا Workbench لفحص قاعدة الأمان القائمة وما يرتبط بها من كائنات الشبكة والخدمات.
اطّلعوا على ما تسمح به القاعدة الحالية، وعلى مقارنة نطاقها بالوصول المطلوب.
وفي مثالنا، السؤال الأساسي هو ما إذا كانت إضافة قاعدة أكثر تحديدًا أعلى القاعدة القائمة ستلبّي الطلب على النحو الصحيح.
راجعوا المصدر والوجهة والخدمات والموضع الخاص بالقاعدة المقترحة. وتحقّقوا مما إذا كانت تتوافق مع اصطلاحات التسمية المعتمدة ومتطلبات السياسة الداخلية.
إذا كانت التوصية مناسبة، فحدّدوها لإدراجها في خطة التغيير.
وإذا كانت بحاجة إلى تعديل، فإن Workbench يدعم إجراء تغييرات يدوية على القواعد والكائنات في الأجهزة المدعومة. ويمكنكم إعداد تغيير مختلف أو استكمال التوصيات المحددة عند الحاجة.
تعتمد إجراءات التحرير المتاحة على الجهاز وإعدادات السياسة والصلاحيات والـ workflow المدعوم.
وأثناء العمل، تعرض لوحة خطة التغيير التغييرات التي يجري تجميعها. ويتيح لكم ذلك مراجعة التغييرات الموصى بها واليدوية معًا بدلًا من التعامل معها كأنشطة منفصلة.
والهدف هو تصميم متكامل ومتّسق يلبّي متطلب الوصول.
الخطوة 5: حفظ خطة التغيير والتحقق من المخاطر قبل التنفيذ
قبل الحفظ، راجعوا خطة التغيير المجمّعة.
تأكّدوا من تضمين الأجهزة والسياسات المناسبة. وافحصوا تعريفات القواعد المقترحة والكائنات والموضع. واحرصوا على أن تكون أي تغييرات يدوية مكمّلة للتوصيات المحددة.
وعندما تصبح الخطة جاهزة، حدّدوا حفظ.
الحفظ يحتفظ بالتغييرات المقترحة، لكنه لا ينفّذها على الـ firewall.
وهنا يصبح تحليل المخاطر والامتثال قبل التغيير من FireMon أمرًا بالغ الأهمية.
فمع انتقال التذكرة عبر الـ workflow في Policy Planner، يمكن لـ FireMon محاكاة التغييرات المقترحة وتقييمها مقابل ضوابط الأمان والامتثال السارية قبل التنفيذ.
وتساعد هذه التقييمات على تحديد ما إذا كان التغيير المقترح سيؤدي إلى حالات عدم امتثال للسياسات أو يزيد من المخاطر. وبدلًا من اعتماد التغيير استنادًا إلى تلبيته لطلب الوصول فحسب، يمكن للمهندسين تقييم أثره الأمني المحتمل.
وإذا كشف التقييم عن مشكلات، يمكن للفريق مراجعة النتائج وتحديد ما إذا كانت خطة التغيير بحاجة إلى تعديل قبل الاعتماد.
وهذا تمييز مهم؛ إذ يمكن للتغيير أن يلبّي الوصول المطلوب وأن ينطوي في الوقت نفسه على مخاطر غير مقبولة.
وبالجمع بين قدرات تصميم التغيير في Workbench وتقييمات ما قبل التغيير في Policy Planner، يمكن للمهندسين المضي قدمًا بفهم أوضح لما سيفعله التغيير ولما إذا كان يلبّي متطلبات الأمان في مؤسستهم.
وبمجرد اكتمال التقييمات والموافقات المطلوبة، يمكن أن تنتقل التذكرة إلى مرحلتي التنفيذ والتحقق وفقًا للـ workflow المُعدّ.
ما الذي يجب التحقق منه قبل المضي قدمًا
ينبغي أن تصف خطة التغيير المكتملة بوضوح ما يجب تغييره وسبب ذلك.
وقبل تمرير التذكرة إلى المرحلة التالية، راجعوا خمسة أسئلة.
هل يطابق الوصول المقترح المتطلب؟ تأكّدوا من توافق المصدر والوجهة والخدمات والغرض التجاري مع الطلب الأصلي. وانتبهوا إلى الصلاحيات الواسعة بلا داعٍ.
هل الأجهزة والكائنات وموضع القاعدة مناسبة؟ افحصوا كيفية تفاعل التغييرات المقترحة مع السياسة القائمة. وفي مثالنا، تأكّدوا من أن إدراج قاعدة أعلى القاعدة الأوسع يحقّق السلوك المقصود.
هل تمت معالجة التحذيرات أو التوصيات غير المكتملة؟ تقصّوا أخطاء التوصيات أو المعلومات الناقصة. ولا تفترضوا أن النتيجة غير المكتملة تعني عدم الحاجة إلى أي تغييرات.
ما التحليلات والموافقات المتبقية؟ حدّدوا تقييمات المخاطر وفحوصات الامتثال وموافقات الـ workflow المطلوبة قبل التنفيذ.
كيف سيتم التحقق من الوصول المقصود؟ حدّدوا كيف ستتأكّدون من أن التغيير يعمل كما هو متوقّع ولا يتيح وصولًا غير مقصود بعد النشر.
تساعد هذه الفحوصات على ضمان جاهزية التغيير المقترح للمرحلة التالية من العملية.
وظّفوا توصيات القواعد وتقدير الممارسين معًا
تساعد توصية القواعد المهندسين على تحديد المواضع التي قد تحتاج إلى تغييرات والإجراءات التي يمكن أن تلبّي طلب الوصول.
ويمنحهم Policy Workbench السياق والمرونة اللازمين لتحديد كيفية المضي قدمًا.
فعندما تكون التوصيات واضحة، يمكن للمهندسين مراجعتها وتحديدها. وعندما يحتاج تغيير مقترح إلى مزيد من التدقيق، يمكنهم فحص السياسة القائمة. وعندما تكون التوصيات غير مكتملة، يوفّر التصميم اليدوي المدعوم وسيلة لمواصلة بناء الخطة.
والنتيجة نهج أكثر عملية في تصميم تغييرات الـ firewall، تتولّى فيه الأتمتة الأعمال التمهيدية بينما يتّخذ المهندسون القرارات المهمة.
تعرّفوا على Policy Workbench لمعرفة كيف يجمع FireMon بين توصيات القواعد الآلية والتصميم العملي لتغييرات السياسات.
الأسئلة الشائعة
لا. حفظ خطة التغيير في FireMon Policy Workbench لا يدفع التغيير إلى الـ firewall، بل يحتفظ فقط بالتعديلات المقترحة على القواعد والكائنات داخل Policy Planner. ولا يزال يتعيّن أن تمرّ الخطة عبر الـ workflow المُعدّ في Policy Planner، بما يشمل تقييم المخاطر والامتثال والموافقة الرسمية، قبل أن ينفّذها أي شخص على أحد الأجهزة.
بعد حفظ الخطة، ينقلها FireMon Policy Planner إلى مراحل الـ workflow المتبقية. وبحسب الإعدادات، تشمل هذه المراحل محاكاة التغيير المقترح مقابل ضوابط الأمان والامتثال، وتوجيهه للحصول على الموافقة، ثم تنفيذه والتحقق منه على الـ firewall بعد ذلك فقط. فالحفظ خطوة تصميم، وليس خطوة تنفيذ.
يقع FireMon Policy Workbench داخل Policy Planner بوصفه مساحة العمل التصميمية بين طلب التغيير وتنفيذه. فـ FireMon Security Manager يوفّر الرؤية الأساسية للقواعد والكائنات، وRule Recommendation يقترح التغييرات الممكنة، أما Workbench فهو المكان الذي يفحص فيه المهندسون تلك الاقتراحات ويعدّلونها أو يبنون التغييرات يدويًا قبل أن تنتقل الخطة عبر مراحل الموافقة والنشر.
يقيّم FireMon خطة التغيير المحفوظة مقابل ضوابط الأمان والامتثال المعمول بها كجزء من الـ workflow الخاص بـ Policy Planner، فيحاكي التغييرات المقترحة على القواعد والكائنات قبل أن ينفّذها أحد. ويتيح ذلك للمهندسين والمعتمِدين معرفة ما إذا كان التغيير الذي يلبّي طلب الوصول سيؤدي أيضًا إلى حالة عدم امتثال للسياسة أو إلى مخاطر إضافية، بدلًا من منح الموافقة استنادًا إلى الوصول وحده.
نعم. يحلّل FireMon Rule Recommendation الوصول المطلوب مقابل سياسة الـ firewall القائمة، وقد يخلص إلى أن قاعدة قائمة تسمح به بالفعل، فلا يوصي عندئذٍ بأي قاعدة جديدة. ومع ذلك يستخدم المهندسون Policy Workbench لتأكيد هذه النتيجة مقابل القاعدة المعنية قبل إغلاق الطلب دون إجراء أي تغيير.
داخل Policy Workbench، يفتح المهندسون التوصية ويراجعون الجهاز والقاعدة وموضع الإدراج المقترح، ويستعينون بالسياق المتاح لتأكيد سبب اقتراحها. فإذا كانت تلبّي الطلب على نحو صحيح، يختارونها لإضافتها إلى خطة التغيير؛ وإن لم تكن كذلك، يدعم Workbench التعديل اليدوي للقواعد والكائنات على الأجهزة المدعومة لتحسينها أو استبدالها.
قبل تصميم أي تغيير في وصول الـ firewall، ينبغي أن يؤكد المهندسون المصدر والوجهة والخدمات المطلوبة وغرض العمل انطلاقًا من الطلب الأصلي، بدلًا من افتراض أن الصلاحيات الأوسع لقاعدة قائمة ينبغي أن تنتقل إلى التغيير الجديد. وبعد ذلك يتيح لهم FireMon Policy Workbench التحقق من تلك المعلومات مقابل السياسة القائمة قبل قبول التغيير أو بنائه.
قبل دفع التذكرة إلى المرحلة التالية، ينبغي أن يتأكد المهندسون من أن الوصول المقترح مطابق للطلب، ومن ملاءمة الجهاز والكائن وموضع القاعدة، ومن معالجة أي تحذيرات في التوصيات أو نتائج غير مكتملة. كما ينبغي أن يحدّدوا ما تبقّى من تقييمات للمخاطر والامتثال أو من موافقات، وكيف سيجري التحقق من الوصول الناتج بعد النشر.