قلنا نركب honeypot على السيرفر — هل ينفع مع شركة صغيرة، وفيه مخاطر؟

الـ honeypot مش أداة دفاع، هو أداة استخبارات. المؤسسات الكبيرة بتركبه عشان تدرس أساليب الهجوم. على مقاس الشركات الصغيرة والمتوسطة، مراقبة بوتات عشوائية بتحاول تتسلل ما فيهاش أي فايدة تجارية أو تقنية للشركة. وفّر وقتك لباتشات الأمان والالتزام بالنسخ الاحتياطي.

الـ 40 ألف محاولة اللي جاية دي غالبًا بوتات بسيطة بتعمل brute force وتمسح الإنترنت عشوائي. مش حتى هجوم موجّه ليك بشكل خاص، وفي الحالة دي تركيب نظام طُعم ومحاولة متابعة اللوجات زي اللي بيولّع حريق وهو بيدوّر على إبرة في كومة قش. ولو ظبطت الشبكة غلط هتخلي السيرفر الأساسي هدف مكشوف.

المبرمج عندك متحمس بس مفيش داعي خالص. انقل منفذ SSH من 22 لمنفذ عشوائي من خمس أرقام، واقفل الدخول بكلمة السر وخلّي مفتاح SSH إلزامي، وركّب fail2ban على السيرفر. الـ 40 ألف محاولة هتنزل لصفر في يوم واحد، ودماغك هترتاح.

إحنا السنة اللي فاتت جربنا من باب الفضول وركّبنا طُعم تفاعل منخفض على IP منفصل. في أسبوع سجّل 180 ألف IP. أول تلات أيام كنا بنبص عليه بحماس، وبعدين محدش فتح اللوجات أصلاً. ما عملش أي حاجة غير إنه زوّد 450 TL على تكلفة السيرفر الشهرية، وقفلناه بعد شهرين.

طيب المهاجم اللي بيقع في الطُعم ده فعلًا بيصدّق إنه استولى على السيرفر؟ يعني يعني لازم نحط جواه بيانات عملاء وهمية مثلاً عشان يبقى مقنع؟

إحنا كمان جربناها مرة، ملف اللوجات انتفخ وملأ القرص فقاعدة البيانات الأساسية وقعت في نص الليل... أنا رأيي ما تدخلوش في الموضوع ده أصلاً، خطوات الأمان القياسية كفاية.

لو الفريق لسه مصمم على تركيبه، التزموا بالقواعد دي أكيد: 1) ما تستضيفوش الطُعم على نفس الشبكة المحلية بتاعة السيرفر الأساسي أبدًا، خلّوه على سيرفر افتراضي معزول تمامًا. 2) ما تسمحوش أبدًا باتصالات خارجة، عشان سيرفركم ما يتحوّلش لزومبي يهاجم غيره. 3) طبّقوا تدوير يومي للوجات عشان ما تستهلكش مساحة القرص.

باختصار، نظام الطُعم مخصص لفرق الأمان الكبيرة اللي بتراقب هجمات موجّهة. أما مواقع التجارة الإلكترونية الصغيرة فهو مخاطرة وأعباء تشغيلية مش لازمين. تغيير المنفذ والتحوّل للدخول بالمفاتيح بيحل مشكلتكم بالكامل.

تشتت النقاش، دعني ألخصه. ابدأ بتجربة صغيرة، لا تربط كل شيء دفعة واحدة.

بالتوفيق.

أوافق.

بعد تجربة ذلك، تغيرت نظرتي للأمور. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

دعني أترك تنبيهًا. طيب معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أنا أيضًا أوافق على هذا الرأي. انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

مثبت بالتجربة.

زالت حيرتي، شكراً لكم.

بالضبط هكذا. محاولة فعل هذا بمفردك هي أغلى الطرق.

المسألة ليست الرقم، بل الأساس الذي بُني عليه. بالتوفيق.

مررت بهذا الطريق، دعني أشرح. الخطأ المرتكب من جانب ما هو نظام الطُعم قابل للإصلاح عادةً، لكنه مكلف.

قضيت وقتًا طويلاً في هذا المجال لكن انظروا أولاً إلى البيانات المتاحة لديكم عند اتخاذ القرار.

بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

أتفق مع هذا. إذا كانت هذه أول مرة، ابدأ صغيراً، والتوسع يأتي لاحقاً.

أتمنى أن يفيدك هذا.