مؤشرات الاحتياج
تظهر أهمية هذا الحل عادة عند ملاحظة هذه المؤشرات في البيئة التشغيلية.
اتصالات داخلية بين خدمات كثيرة.
حاجة لحماية خفيفة دون تعقيد.
تحكم محدود بالتكاملات الداخلية.
العودة للحلول
ناقش حالة الاستخدام
ما هذا الحل؟
تضع Microgateway نقطة إنفاذ قريبة من خدمة مصغرة أو مجموعة مسارات بدل الاعتماد فقط على بوابة مركزية عند حدود الشبكة. يمر الطلب عبر سياسات تخص الخدمة، مثل التحقق من الهوية أو مخطط الواجهة أو حدود الاستخدام. في Kubernetes، يعتمد موضعها وعزلها على تصميم النشر ومسارات الدخول الفعلية.
تتيح بوابة الحماية المصغّرة في Kubernetes فحص طلبات API قرب الخدمات المستهدفة، وتطبيق السياسات على حركة الاتصال بين الخدمات ضمن المسارات المُدارة.
مثال عملي
يضيف فريق تطبيق خدمة مصغّرة جديدة. تُختبر سياسة الطلبات قرب الخدمة ضمن بيئة تجريبية قبل نشرها مع الإصدار.
ملخص التفاصيل التقنية ونطاق الاستخدام
التفاصيل التقنية
تقنية بوابة الحماية الخفيفة لبيئات Kubernetes هي منظومة أمنية متخصصة تُستخدم لحماية واجهات API والخدمات المصغّرة وتطبيقات الويب داخل البيئات المعتمدة على الحاويات.
تعتمد التقنية على إنشاء طبقة حماية أمام الخدمات والتطبيقات لفحص الطلبات الواردة، والتحقق من الهوية والتفويض، وتطبيق سياسات الحماية، ومنع الهجمات المعروفة قبل وصول الطلبات إلى الأنظمة المستهدفة.
تساعد هذه التقنية على حماية التطبيقات وواجهات API داخل بيئات Kubernetes من خلال وضع طبقة أمنية أمام الخدمات، بحيث يتم فحص جميع الطلبات قبل وصولها إلى التطبيق.
تقوم التقنية بالتحقق من هوية المستخدم أو النظام، والتأكد من صلاحية الوصول، وفحص الطلبات ضد الهجمات المعروفة، ثم السماح فقط للطلبات الموثوقة بالوصول إلى الخدمة.
كما تساعد فرق التطوير والتشغيل على تطبيق سياسات حماية موحدة داخل بيئات Kubernetes، مع إمكانية دمج الحماية ضمن عمليات التطوير والتشغيل والأتمتة.
تُستخدم هذه التقنية في البيئات التي تعتمد على الخدمات المصغّرة والتطبيقات الحديثة وواجهات API، خاصة عند الحاجة إلى حماية مستمرة وقابلة للتوسع.
نطاق الاستخدام
تعمل التقنية داخل بيئات Kubernetes، ويمكن تشغيلها كبوابة داخلية أو كنقطة دخول للتطبيقات والخدمات داخل العنقود.
تُستخدم التقنية في:
- حماية تطبيقات الويب
- حماية واجهات API
- حماية الخدمات المصغّرة
- تطبيق نموذج الثقة الصفرية
- حماية الأحمال الداخلية والخارجية
- دعم بيئات التطوير والتشغيل الحديثة
الهدف التقني منها:
- منع الوصول غير المصرح به
- حماية التطبيقات والخدمات من الهجمات المعروفة
- فرض سياسات وصول موحدة
- تحسين أمن واجهات API
- دمج الأمن داخل بيئات التطوير والتشغيل
- دعم الأتمتة وإدارة السياسات الأمنية
ما الذي يقدمه الحل
القدرات الأساسية التي تساعد على تحويل الاحتياج إلى ضوابط قابلة للتطبيق.
الحماية التطبيقية وواجهات API
إدارة الهوية والتحكم بالوصول
الشبكات والتوجيه
القيمة المتوقعة
الأثر الذي يمكن أن يلمسه فريق الأمن والإدارة بعد التطبيق الصحيح.
ضوابط أدق للخدمات
تقليل الاعتماد على نقطة حماية واحدة
حماية أفضل للتطبيقات الموزعة
القدرات التقنية
تختلف إتاحة الميزات بحسب إصدار الحل والأنظمة وطريقة النشر والتكامل.
الحماية التطبيقية وواجهات API
حماية تطبيقات الويب وواجهات API داخل بيئات Kubernetes
يدعم النشر في بيئة حاويات مشمولة؛ اختبر الاتصال والتخزين والأسرار قبل الإنتاج.
فلاتر أمنية متعددة المستويات للحماية من الهجمات المعروفة
تحقق من السيناريو الذي تُفعّل فيه الحماية ومن حالة سليمة مماثلة لضبط الإنذارات الخاطئة.
الحماية من هجمات OWASP Top 10
تحقق من السيناريو الذي تُفعّل فيه الحماية ومن حالة سليمة مماثلة لضبط الإنذارات الخاطئة.
فحص الطلبات الواردة وتحليلها
افحص العينة في النطاق المدعوم وقارن الإشارات الناتجة بحركة سليمة وأخرى غير اعتيادية.
فرض مخططات واجهات API
قارن طلبات API الواردة بالمخطط المعتمد، واختبر رفض طلب يخالف بنية الحقول قبل وصوله إلى الخدمة.
تحليل طلبات JSON
افحص العينة في النطاق المدعوم وقارن الإشارات الناتجة بحركة سليمة وأخرى غير اعتيادية.
فرض مواصفات OpenAPI
يقارن بنية الطلب بالواجهة المتفق عليها قبل تمريره، مع اختبار الحقول غير المتوقعة.
التحقق من مخططات GraphQL
تحقق من السيناريو الذي تُفعّل فيه الحماية ومن حالة سليمة مماثلة لضبط الإنذارات الخاطئة.
حماية الخدمات على مستوى الخدمة
تحقق من السيناريو الذي تُفعّل فيه الحماية ومن حالة سليمة مماثلة لضبط الإنذارات الخاطئة.
تطبيق مبدأ الحماية الافتراضية
تحقق من السيناريو الذي تُفعّل فيه الحماية ومن حالة سليمة مماثلة لضبط الإنذارات الخاطئة.
إدارة الهوية والتحكم بالوصول
السماح فقط للطلبات المصادق عليها والمفوّضة
اربط المستخدمين أو المجموعات بالنطاق المصرّح به وراجع أثر تغيّر العضوية على الوصول.
دعم OIDC للتحقق من الهوية
يربط تسجيل الدخول بمزوّد هوية عبر إثبات هوية؛ تحقّق من المصدر والجمهور وصلاحية الرمز.
دعم JWT للتحقق من الطلبات
تحقّق من توقيع الرمز ومصدره وجمهوره وصلاحيته قبل قبول الطلب.
دعم mTLS لتأمين الاتصال
اربط المستخدمين أو المجموعات بالنطاق المصرّح به وراجع أثر تغيّر العضوية على الوصول.
دعم المصادقة الإضافية عند الحاجة (Step-up Authentication)
اربط المستخدمين أو المجموعات بالنطاق المصرّح به وراجع أثر تغيّر العضوية على الوصول.
تطبيق نموذج الثقة الصفرية
تعتمد التقنية على التحقق من جميع الطلبات وعدم افتراض الثقة داخل البيئة التشغيلية.
دعم تبادل الرموز بين مزودي الهوية
اربط المستخدمين أو المجموعات بالنطاق المصرّح به وراجع أثر تغيّر العضوية على الوصول.
الشبكات والتوجيه
العمل كبوابة عكسية
يختار وجهة الطلب بناءً على المسار والسياسة؛ راجع سلوك المسارات غير المطابقة.
تطبيق قواعد توجيه للطلبات
حوّل متطلبات الجهة إلى إعدادات قابلة للاختبار وحدّد من يملك اعتماد الاستثناء.
إنهاء TLS
ينهي التشفير عند البوابة للفحص؛ حدّد كيف تُحمى القناة من البوابة إلى التطبيق.
دعم HTTP/1.1
يختار وجهة الطلب بناءً على المسار والسياسة؛ راجع سلوك المسارات غير المطابقة.
دعم HTTP/2
يختار وجهة الطلب بناءً على المسار والسياسة؛ راجع سلوك المسارات غير المطابقة.
دعم HTTP/3
يختار وجهة الطلب بناءً على المسار والسياسة؛ راجع سلوك المسارات غير المطابقة.
التشغيل كنقطة دخول للتطبيقات
حدّد أي مسارات تطبيق تمر بالبوابة، وأبقِ المسارات المباشرة خارج النطاق مقيدة.
التشغيل كبوابة داخلية في Kubernetes
ضع الفحص على المسارات الداخلية التي يمر عبرها الاتصال بين الخدمات المشمولة.
دعم Kubernetes Gateway API
راجع أنواع موارد التوجيه المدعومة وكيف تتصل بالخدمات المستهدفة في العنقود.
حماية الأحمال الداخلية والخارجية
طبّق الفحص قبل وصول الطلب إلى الخدمة، وحدّد المسارات المشمولة وكيف يُرفض الطلب المخالف.
التكامل وعمليات التطوير والتشغيل
تكامل أصيل مع Kubernetes
يدعم النشر في بيئة حاويات مشمولة؛ اختبر الاتصال والتخزين والأسرار قبل الإنتاج.
إعدادات تصريحية عبر موارد Kubernetes المخصصة
عرّف الإعدادات المطلوبة في الموارد المخصصة المدعومة، وراجع أثر تعديلها والرجوع عنها.
دعم الأتمتة
شغّل الخطوات المتكررة وفق شروط ثابتة، مع مراجعة نتائج الفشل والاستثناءات.
دعم عمليات DevSecOps
حدّد طرفي التكامل والبيانات المتبادلة وتحقّق من سلوك الحل إذا توقف أحد الطرفين.
دعم GitOps
حدّد طرفي التكامل والبيانات المتبادلة وتحقّق من سلوك الحل إذا توقف أحد الطرفين.
دعم النشر عبر Helm
اضبط قيم نشر Helm للإصدار والموارد المطلوبة، واختبر التحديث والرجوع على بيئة ممثلة.
دعم التشغيل عبر Kubernetes Operator
تحقّق من الموارد التي يديرها المشغّل وكيف يتعامل مع تحديث الإعدادات أو تعطل مكوّن.
ملاءمة للبيئات المعتمدة على الحاويات
يدعم النشر في بيئة حاويات مشمولة؛ اختبر الاتصال والتخزين والأسرار قبل الإنتاج.
دعم البيئات السحابية المختلفة
تحقّق من متطلبات البيئة المستهدفة والإصدار والاعتماديات قبل نقل الإعداد إلى الإنتاج.
الإدارة والتشغيل
مكوّن خفيف وقابل للأتمتة
شغّل الخطوات المتكررة وفق شروط ثابتة، مع مراجعة نتائج الفشل والاستثناءات.
قابل للتحكم من فرق التطبيقات
تحقّق من متطلبات البيئة المستهدفة والإصدار والاعتماديات قبل نقل الإعداد إلى الإنتاج.
قابل للدمج ضمن مراحل التطوير
اربط نتائج الفحص بقرار الانتقال إلى المرحلة التالية وحدّد من يراجع الاستثناءات.
إمكانية التشغيل كطبقة حماية مستقلة داخل Kubernetes
يدعم النشر في بيئة حاويات مشمولة؛ اختبر الاتصال والتخزين والأسرار قبل الإنتاج.
إمكانية الدمج ضمن بنية أمنية متعددة الطبقات
تحقّق من متطلبات البيئة المستهدفة والإصدار والاعتماديات قبل نقل الإعداد إلى الإنتاج.
مناسب للبيئات المؤسسية
تحقّق من متطلبات البيئة المستهدفة والإصدار والاعتماديات قبل نقل الإعداد إلى الإنتاج.
الأداء والتوسع
دعم قابلية التوسع داخل بيئات Kubernetes
اختبر كيف يتغير عدد نسخ البوابة تحت الحمل، وما إذا بقيت سياسات المسارات ثابتة.
ملائم للنشر الخفيف
قِس سلوك الحل تحت الحمل المتوقع وأثناء انقطاع مكوّن أو عودته.
دعم البيئات السحابية والمؤسسية
تحقّق من متطلبات البيئة المستهدفة والإصدار والاعتماديات قبل نقل الإعداد إلى الإنتاج.
دعم التشغيل داخل البيئات الحديثة المعتمدة على الحاويات
يدعم النشر في بيئة حاويات مشمولة؛ اختبر الاتصال والتخزين والأسرار قبل الإنتاج.
حالات الاستخدام
حماية تطبيقات Kubernetes
يدعم النشر في بيئة حاويات مشمولة؛ اختبر الاتصال والتخزين والأسرار قبل الإنتاج.
حماية واجهات API
تدعم التقنية فرض مخططات API والتحقق من الطلبات عبر OpenAPI وGraphQL وتحليل JSON.
تطبيق نموذج الثقة الصفرية
تعتمد التقنية على التحقق من جميع الطلبات وعدم افتراض الثقة داخل البيئة التشغيلية.
حماية الأحمال الداخلية والخارجية
طبّق الفحص قبل وصول الطلب إلى الخدمة، وحدّد المسارات المشمولة وكيف يُرفض الطلب المخالف.
حماية التطبيقات التقليدية والحديثة
طبّق الفحص قبل وصول الطلب إلى الخدمة، وحدّد المسارات المشمولة وكيف يُرفض الطلب المخالف.
ربط الهويات بين مزودي الهوية
اربط المستخدمين أو المجموعات بالنطاق المصرّح به وراجع أثر تغيّر العضوية على الوصول.
كيف تعمل التقنية؟
فحص وتحليل الطلبات
تقوم التقنية بفحص الطلبات الواردة وتحليلها باستخدام فلاتر أمنية متعددة المستويات للحماية من الهجمات المعروفة.
التحكم بالوصول
تفرض التقنية التحقق من الهوية والتفويض قبل السماح بالوصول إلى الخدمات والتطبيقات.
حماية واجهات API
تدعم التقنية فرض مخططات API والتحقق من الطلبات عبر OpenAPI وGraphQL وتحليل JSON.
تطبيق الثقة الصفرية
تعتمد التقنية على التحقق من جميع الطلبات وعدم افتراض الثقة داخل البيئة التشغيلية.
التوجيه الآمن
توفر التقنية بوابة عكسية مع دعم التوجيه وإنهاء TLS وإدارة حركة الطلبات بين المستخدمين والخدمات.
الأتمتة
تعتمد التقنية على إعدادات تصريحية قابلة للأتمتة داخل Kubernetes.
التكامل
تتكامل التقنية مع Kubernetes وعمليات DevSecOps وGitOps لتطبيق الحماية ضمن دورة التطوير والتشغيل.
ماذا تختبر قبل التطبيق؟
- حدّد نقطة إنفاذ السياسة أمام مسارات الخدمة المشمولة.
- اضبط الطلبات المتوقعة وتحقق من مسار الهوية والتفويض.
- اختبر السياسة مع نشر التطبيق وخطّط للرجوع عند ظهور أثر على التكاملات.
التكامل ونطاق التطبيق
تحقّق من نمط النشر وتوافق بيئة الحاويات وموقع TLS. حدّد الاتصالات التي تمر عبر البوابة والتي تبقى خارج نطاقها.
تحديات يعالجها الحل
- الوصول غير المصرح به إلى التطبيقات والخدمات
- ضعف حماية واجهات API
- تعرض التطبيقات للهجمات المعروفة
- ضعف التحقق من الطلبات الواردة
- صعوبة تطبيق الحماية داخل Kubernetes
- غياب نموذج الثقة الصفرية
- ضعف التحكم بالوصول
- تعقيد إدارة الحماية داخل البيئات الحديثة
- تأخر دمج الأمن داخل مراحل التطوير
- ضعف توحيد السياسات الأمنية
- صعوبة حماية الأحمال الداخلية والخارجية
- الحاجة إلى أتمتة السياسات الأمنية
- ضعف التكامل بين الأمن وعمليات التشغيل
المواءمة مع المتطلبات التنظيمية
أمثلة توضيحية على دعم تطبيق الضوابط. قد يضم الجدول أكثر من مثال للمجال نفسه، ولا يعني كل صف أنه ضابط رسمي مستقل.
NCA · ECC 2:2024للجهات الواقعة ضمن نطاق الضوابط الأساسية للأمن السيبراني.
| المجال أو الضابط | كيفية الدعم | التطبيق |
|---|---|---|
| الأمن السيبراني في إدارة مشاريع التقنية | دمج الأمن داخل مراحل التطوير والتشغيل والأتمتة الميزة المرتبطة: DevSecOps وإعدادات Kubernetes التصريحية | مطبّق |
| إدارة الهوية والوصول | التحقق من الهوية والتفويض قبل الوصول إلى الخدمات الميزة المرتبطة: OIDC وJWT وmTLS | مطبّق |
| إدارة أمن الشبكات | التحكم في حركة الطلبات والتوجيه وإنهاء TLS الميزة المرتبطة: البوابة العكسية وقواعد التوجيه | مطبّق |
| التشفير | حماية الاتصالات أثناء النقل الميزة المرتبطة: mTLS وTLS | مطبّق |
| أمن تطبيقات الويب | حماية تطبيقات الويب وواجهات API من الهجمات المعروفة الميزة المرتبطة: حماية OWASP Top 10 وOpenAPI وGraphQL | مطبّق |
| أمن الحوسبة السحابية والاستضافة | دعم التشغيل داخل بيئات Kubernetes السحابية الميزة المرتبطة: التكامل مع Kubernetes | مطبّق |
SAMA · CSFللمؤسسات المالية المشمولة بإطار البنك المركزي السعودي، وفق نطاق انطباق البند.
| المجال أو الضابط | كيفية الدعم | التطبيق |
|---|---|---|
| إدارة الهوية والوصول | تقييد الوصول إلى الخدمات بحيث لا تصل إلا الطلبات المصادق عليها والمفوّضة الميزة المرتبطة: دعم OIDC وJWT وmTLS | مطبّق |
| إدارة الامتيازات والصلاحيات | فرض التفويض قبل تمرير الطلبات إلى التطبيقات والخدمات المحمية، بما يقلل الوصول غير المصرح به الميزة المرتبطة: التحكم بالوصول على مستوى الطلبات | مطبّق |
| أمن التطبيقات | حماية تطبيقات الويب وواجهات API من الهجمات المعروفة وفحص الطلبات قبل وصولها إلى الخدمات الميزة المرتبطة: فلاتر حماية متعددة المستويات وOWASP Top 10 | مطبّق |
| حماية الأنظمة | تقليل تعرض الخدمات المصغّرة والتطبيقات لهجمات الطلبات الخبيثة عبر طبقة حماية أمامية الميزة المرتبطة: فحص الطلبات الواردة وحماية الخدمات | مطبّق |
| حماية البيانات | حماية البيانات أثناء النقل من خلال استخدام الاتصالات المشفرة الميزة المرتبطة: mTLS وTLS | مطبّق |
| إدارة الشبكات | تنظيم حركة الطلبات وتوجيهها عبر بوابة عكسية مع قواعد توجيه وإنهاء اتصال مشفر الميزة المرتبطة: Reverse Proxy وRouting Rules وTLS Termination | مطبّق |
| حماية البنية التحتية | حماية الأحمال العاملة داخل Kubernetes عبر طبقة أمنية مدمجة مع بيئة الحاويات الميزة المرتبطة: تكامل Kubernetes الأصلي وGateway API | مطبّق |
| الأمن التشغيلي | دعم التشغيل الآلي للإعدادات الأمنية داخل بيئات Kubernetes وتقليل الاعتماد على الضبط اليدوي الميزة المرتبطة: Kubernetes Custom Resources وHelm وKubernetes Operator | مطبّق |
| أمن البيئات السحابية | دعم التشغيل داخل بيئات Kubernetes والسحابة والحاويات مع قابلية الدمج في استراتيجيات السحابة المختلفة الميزة المرتبطة: Kubernetes-native Deployment | مطبّق |
| إدارة المخاطر | تقليل مخاطر الوصول غير المصرح به والهجمات المعروفة على التطبيقات والخدمات من خلال المصادقة والتفويض والفحص تساعد الإعدادات أو السجلات في تجهيز الأدلة؛ تبقى قرارات الحوكمة والتحقق من الفعالية مسؤولية الجهة. الميزة المرتبطة: Zero Trust وفحص الطلبات والتحكم بالوصول | مطبّق |
| الامتثال والتدقيق | دعم تطبيق ضوابط أمنية موحدة قابلة للتعريف والتشغيل عبر إعدادات تصريحية قابلة للأتمتة تساعد الإعدادات أو السجلات في تجهيز الأدلة؛ تبقى قرارات الحوكمة والتحقق من الفعالية مسؤولية الجهة. الميزة المرتبطة: الإعدادات التصريحية عبر Kubernetes | مطبّق |
| حماية الأنظمة المالية الحساسة | حماية واجهات API وتطبيقات الويب التي قد تُستخدم لتقديم خدمات رقمية حساسة من خلال التحقق والفحص قبل الوصول الميزة المرتبطة: حماية API وWeb Workloads | مطبّق |
NCA · OTCC-1:2022لبيئات التقنية التشغيلية وأنظمة التحكم الصناعي التي تنطبق عليها الضوابط.
تُقيّم الأمثلة حسب مستوى المنشأة والأصول المشمولة. لا تعني السماح بالربط بين شبكات التشغيل وتقنية المعلومات أو بتثبيت مكوّن على أصل تشغيلي دون تقييم.
| المجال أو الضابط | كيفية الدعم | التطبيق |
|---|---|---|
| التحكم بالوصول | التحقق من هوية الطلبات قبل الوصول إلى الخدمات يقتصر الاستخدام على المسارات والأصول المصرّح بها؛ ولا تُستبدل متطلبات عزل الشبكات أو الموافقة على الوصول عن بعد. الميزة المرتبطة: OIDC وJWT وmTLS | مطبّق |
| اكتشاف التهديدات | فحص الطلبات وتحليلها ضد أنماط الهجمات المعروفة الميزة المرتبطة: الفلاتر الأمنية متعددة المستويات | مطبّق |
| عزل الشبكات | تنظيم حركة الطلبات بين المستخدمين والخدمات يقتصر الاستخدام على المسارات والأصول المصرّح بها؛ ولا تُستبدل متطلبات عزل الشبكات أو الموافقة على الوصول عن بعد. الميزة المرتبطة: البوابة العكسية وقواعد التوجيه | مطبّق |
«مطبّق» يصف الميزة في المثال التوضيحي، ولا يؤكد تطبيقها لدى العميل أو استيفاء متطلبات الإطار.
أسئلة تساعد على القرار
أسئلة قبل أن تبدأ
كيف أعرف أن هذا الحل مناسب لنا؟
ابدأ من الأعراض والمخاطر المذكورة في هذه الصفحة. إذا كانت تنطبق على بيئتك، يمكن تحويلها إلى تقييم مختصر يحدد النطاق والأولوية وخارطة التنفيذ المناسبة.
كيف نبدأ دون تعقيد تشغيلي؟
نبدأ بتقييم مختصر للمخاطر والنطاق، ثم نحدد أولوية التنفيذ والمتطلبات الفنية وخطوات التدرج حتى لا يتحول المشروع إلى عبء تشغيلي.
حلول مرتبطة
WAAP
حماية تطبيقات الويب وواجهات API
توسيع حماية التطبيقات لتشمل واجهات API والروبوتات وسوء الاستخدام.
استكشف الحلAPI Security
بوابة أمن واجهات API
تنظيم حماية واجهات API عبر التحقق، التفويض، مراقبة الاستخدام، وتقليل التعرض.
استكشف الحلCloud Advisory
استشارات أمن السحابة والاستضافة
تقييم تعرض السحابة والاستضافة ومسؤوليات التحكم قبل اختيار أدوات الحماية.
استكشف الحلجاهز للخطوة التالية؟
حوّل هذا الاحتياج إلى تقييم عملي وخطة تنفيذ واضحة.
شاركنا حالة الاستخدام والأنظمة ذات الأولوية لنناقش ما يلزم للتجربة والتكامل.