شبكة الضيوف في المكتب مفتوحة بدون أي كلمة مرور — هل يمكن للعملاء رؤية كل شيء؟ ما مدى خطورة حركة مرور الشبكة؟

الواي فاي المفتوح = خطير طبعاً لكن الجميع يمكنهم رؤية الشبكة ويمكنهم تنفيذ ARP spoofing... ضعي كلمة مرور على الأقل، WPA2 أفضل بمليار مرة. وتقسيم الشبكة الإعداد معقد قليلاً لكن يمكن تنفيذه، راوترات tp-link سريعة ومتغيرة...

إذا سيتم تقسيم الشبكة: 1) إعداد VLAN على نقطة الوصول (VLAN 1 = الضيوف، VLAN 2 = الشركة)، 2) قواعد التوجيه بين VLANs على الراوتر/السويتش، 3) قواعد قائمة التحكم في الوصول (ACL): حظر المنافذ من الضيوف إلى الشركة. 4) نقطة وصول مُدارة (meraki، ubiquiti إلخ)، نقاط الوصول غير المُدارة لا تدعم VLAN. 5) مصادقة RADIUS مع بوابة الضيوف (Captive Portal). يجب أن تكون حركة مرور DNS و NTP منفصلة أو محظورة أيضاً. يمكن استخدام IDS (Suricata، Snort) للكشف عن التنصت لكنه مبالغ فيه للمكاتب الصغيرة.

لا تجعلي الواي فاي مفتوحاً يا أخي، ضعي كلمة مرور على الأقل. مسألة التقسيم تقنية وقد تكون معقدة للمبتدئين — وظّفي مدير شبكة، لن تنتهي المهمة في أسبوعين. لكن إذا لم يحدث أي شيء حتى الآن، فوضع كلمة مرور بسرعة سيكون جيداً جداً ثم ثم عندما يبدأ المدير بالعمل، ستقومين بإعداد الشبكة...

أفضل الممارسات لعزل شبكة الضيوف: 1) SSID منفصل (ssid-guest)، 2) مفتاح مشترك قوي WPA2، 3) عزل عبر VLAN (لا يمكن الوصول من شبكة الضيوف إلى موارد الشركة)، 4) تصفية محتوى الويب + DNS over HTTPS، 5) تحديد معدل النقل لكل عميل، 6) صفحة بوابة للشروط والأحكام، 7) انتهاء صلاحية الجلسة (8 ساعات)، 8) سجلات الاتصال. يلزم استخدام نقاط وصول مُدارة (UniFi، Meraki، Arista Instant On). الإعداد في البداية صعب لكن على المدى الطويل أكثر أماناً.

هل ينقل العملاء بيانات الشركة عبر واي فاي مفتوح؟ إذن هذه مشكلتهم. لكن يمكنك حماية نفسك على أي حال: شفر شبكة الضيوف، فعّل VPN، واجعل على الأقل حركة مرور HTTP عبر HTTPS. هل تحققت مما إذا كان العملاء قد ثبتوا مضاد فيروسات على أجهزتهم؟ هم أيضاً مصدر خطر...

أنا في قطاع تكنولوجيا المعلومات منذ سنوات، والواي فاي المفتوح لا يملك أي أمان. المهاجم على نفس الشبكة (MITM، ARP spoofing إلخ) يمكنه رؤية كل حركة المرور غير المشفرة. المعيار في القطاع: WPA2 enterprise + مصادقة 802.1X. لكن للشركات الصغيرة والمتوسطة، WPA2 personal + تقسيم الشبكة كافٍ. يجب فصل شبكة الضيوف عن شبكة الشركة تماماً.

أتفق، بل أود التأكيد على هذه النقطة... إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

أتمنى أن يفيدك هذا.

أنت محق تمامًا. عندما نتخذ قرارات دون قياس، نعود لنفس النقطة دائماً.

سأتحدث من الطرف الآخر، فأنا من جانب الموردين. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

ما كُتب هنا يطابق تماماً ما عشناه. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

لو كنت مكانك، لسلك هذا المسار.

دعني أترك تنبيهًا. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أنا أيضًا متحمس لمعرفة ذلك.

أحسنت، بارك الله في جهدك. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

بالتوفيق.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

أكتب هذا حتى لا تكرروا نفس الخطأ. بصراحة عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

بالضبط هكذا. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

لو كنت مكانك، لسلك هذا المسار.

أنت محق.

قضيت وقتًا طويلاً في هذا المجال. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك. بالطبع يختلف الأمر إذا كانت حالتك مختلفة.