خلاصات التهديدات لجدران الحماية: الأثر والحدود ومقارنة المورّدين

يمتلئ الإنترنت بأنظمة تمسح العناوين العامة آليًا، بحثًا عن المنافذ المفتوحة وصفحات الدخول وبوابات VPN والتطبيقات المعروفة والخدمات الضعيفة. بعضها تابع لباحثين ومحركات بحث البنية التحتية، وبعضها الآخر لروبوتات ومهاجمين.

إذا نشرت خدمة عبر WAF أو DNAT، أو أتحت بريدًا أو صفحة دخول عامة، فستظهر عاجلًا أم آجلًا في تلك الفحوص. وجود عنوان IP عام لا يعني حدوث اختراق. لكن ما إن تستجيب الخدمة، حتى يتحول ضجيج المسح إلى عمل فعلي لجدار الحماية وIPS وWAF والخوادم والتطبيقات ومنظومة السجلات.

بوصفي مهندس أمن، أرى هذا النمط يوميًا. نادرًا ما يكون الأمر هجومًا واحدًا لافتًا؛ بل تيارًا دائمًا من فحص المنافذ ومحاولات الدخول والزحف والتحقق من الثغرات. شاركت مؤخرًا في تحليل حالة كان حجمها مثيرًا للاهتمام حتى لفريقنا: جدار حماية في مركز بيانات باتصال صاعد بسرعة 10 غيغابت/ثانية وقدرة يفترض أنها كافية، لكنه بدا قريبًا من حدوده. كان استخدام الاتصال مرتفعًا، وواجهة الإدارة بطيئة، والخدمات المنشورة تولد أحداثًا باستمرار.

فحصنا اتجاه الحركة والوجهات والمنافذ والفترات الزمنية وعناوين المصدر المتكررة. كانت طلبات آلية كثيرة تستهدف خدمات الويب والبريد والدخول نفسها مرة بعد أخرى. ولا يحدد حجم البيانات وحده تكلفة المعالجة: إسقاط حزمة، وإتمام مصافحة TLS، ومعالجة طلب تطبيقي مكلف أعمال مختلفة.

شرحنا النتائج للعميل: جانب كبير من النشاط روبوتات ومسوح متكررة للخدمات العامة. أوضحنا ما يمكن لخلاصة تهديدات فعله في هذه المرحلة من مسار البيانات وحدوده، وأن الترخيص المناسب يكلف نحو 350 دولارًا أمريكيًا سنويًا. بعد موافقته، ثبتنا القائمة على جدار الحماية ببضع نقرات وفي دقائق معدودة.

بعد التفعيل، أصبحت واجهة إدارة الجدار أكثر استجابة بصورة واضحة. وأفاد العميل بأن المواقع والتطبيقات تحمل أسرع بكثير. ما يجعل الحالة مهمة ليس حداثة التقنية، بل الأثر التشغيلي الملحوظ وسوء فهم قيمة هذه الخلاصات وحدودها.

النتائج بالأرقام

القياسات من جدار حماية يعمل في بيئة إنتاج. بدأ سريان خلاصة IP في 1 سبتمبر 2026 عند الساعة 10:01:05، وظهر أول تطابق بعد ثوان قليلة. وبحلول 2 سبتمبر الساعة 20:30 بتوقيت CEST، سجل الجدار 516,959 حدث حظر.

بلغ المتوسط طوال الفترة 249.9 حدثًا في الدقيقة، أي 4.17 في الثانية، أو حظرًا كل 0.24 ثانية. شهدت الدقيقة الأكثر ازدحامًا 775 حدثًا، وبلغت الذروة 107 أحداث في الثانية لثانيتين متتاليتين.

أسميها عمدًا أحداث حظر أو تطابقات أو محاولات اتصال. لا يعني العدد وجود 516,959 هجومًا مستقلًا وموجهًا يدويًا؛ فقد يكرر ماسح واحد الاتصال بالخدمة، ويجرب روبوت عدة منافذ بسرعة.

من كان يطرق الباب؟

خلال الفترة الكاملة البالغة 34 ساعة و29 دقيقة، كان 516,727 حدثًا واردًا. ولم تتعلق سوى 232 حالة باتصالات صادرة مُنعت. لذلك جاء 99.955% من نشاط الخلاصة في هذه البيئة من مصادر على الإنترنت.

ظهر 10,518 عنوان IP مختلفًا من القائمة. ومع وجود 220,000 مؤشر IPv4 فيها آنذاك، ظهر ما يقارب 4.8% من القائمة على هذا الجدار وحده خلال نحو 34 ساعة. ولد العنوان الأكثر نشاطًا 4,141 حدثًا، والعناوين العشرة الأولى نحو 31,500، فيما ظهر 767 عنوانًا مرة واحدة فقط. نسبة 4.8% مقارنة بحجم القائمة وليست معدل كشف؛ فالقائمة تتغير والمهاجمون غير المدرجين لا يدخلون في هذا العداد.

يخص تحليل المنافذ نافذة متحركة مدتها 24 ساعة تضمنت نحو 369,000 حدث مفصل:

استهدف نحو 56% من الأحداث منافذ الويب و40% منافذ البريد، وشملت نافذة التفاصيل 27 وجهة داخلية. أسماء الخدمات مستنتجة من المنافذ لا من تحليل البروتوكول. وهذه النافذة المتحركة ليست أول 24 ساعة بعد التفعيل، فلا تصح مقارنة الإجماليات مباشرة.

تعلقت الحالات الصادرة الـ232 بعشرة أنظمة داخلية و17 عنوانًا مدرجًا. لا تثبت الإصابة، لكنها تستحق التحقيق: قد يكون السبب برمجية ضارة أو محتوى طرف ثالث أو إدخالًا قديمًا أو خدمة مشروعة على IP أعيد تخصيصه.

بعد التغيير أصبحت واجهة الجدار أسرع، وأفاد العميل بتحسن التحميل. لا نعرف إن كان الاختناق في الجدار أو الخوادم أو التطبيقات أو الاتصال. تثبت السجلات التصفية، لا الموارد الموفرة أو نسبة تحسن الأداء.

كانت الطلبات الآلية تصل سابقًا إلى خوادم الويب والتطبيقات، فترد حتى على المسارات غير الموجودة. منع IP مبكرًا أزال هذا العمل اللاحق. مقارنة القائمة تستهلك موارد أيضًا؛ الفائدة في المعالجة المتجنبة. يعتمد الترتيب على المنصة والإعداد، وتصل الحزمة الأولى إلى WAN على أي حال؛ لذلك يتطلب DDoS الحجمي حماية أعلى الشبكة.

ماذا تفعل خلاصة التهديدات فعلًا؟

قد تكون الخلاصة ببساطة ملفًا نصيًا يحمله جدار الحماية عبر HTTPS. يقدم كثير من الموردين مجالات وعناوين URL إلى جانب IP. لكننا نستخدم IP غالبًا، لأنه أهم مؤشر لحالات الجدار لدينا ويعطي أكبر أثر عند الحظر المبكر. يحدّث الجدار المؤشرات دوريًا ثم يسجل الحركة المطابقة أو يحظرها حسب الإعداد.

تعتمد الموثوقية على طريقة التحقق وصيانة الإدخالات:

• هل كان السلوك خبيثًا أم غير مألوف فحسب؟
• ما مدى حداثة الملاحظة؟
• هل تؤكدها مصادر مستقلة؟
• متى ينبغي حذف مؤشر تقادم؟

القائمة الطويلة ليست بالضرورة استخبارات تهديدات جيدة. الأهم الحداثة والدقة والحذف المنضبط. فقد تُستخدم عناوين السحابة والاستضافة الديناميكية لاحقًا استخدامًا مشروعًا، فيما قد تفوت القائمة الصغيرة جدًا جانبًا كبيرًا من ضجيج المسح اليومي.

مقارنة خلاصات التهديدات لجدران الحماية

أذكر الاسم من البداية: أستخدم أنا وكثير من زملائي خلاصة Cybora، وأحمي بها خدمات على خوادمي السحابية. جاء الاختيار من مقارنة عملية، لا من عرض للمنتج.

خلال اثني عشر شهرًا قيّمنا أكثر من 30 مصدرًا تجاريًا ومفتوحًا على 15 جدار حماية لعملاء، وأنفقنا آلاف الدولارات. تراوحت العروض بين المجاني ونحو 1,000 دولار شهريًا. السعر المرتفع لم يضمن تغطية أوسع؛ كانت بعض القوائم المكلفة أصغر بكثير.

عملت كل الخلاصات في وضع Monitor على الجدران الخمسة عشر: سُجلت التطابقات من دون حظر. هذه المقارنة منفصلة عن حظر مركز البيانات. استخدمنا سجلات الجدار والتطبيقات لتقييم السلوك الخبيث والتغطية والحداثة والإيجابيات الكاذبة المحتملة. جمعنا الأحداث المتكررة وأخذنا الاتصالات المشروعة التي كان الحظر سيؤثر فيها بالحسبان.

هذا تقرير خبرة عملية لا معيار اختبار قابل لإعادة الإنتاج. يؤثر تداخل القوائم وترتيب التقييم ووسائل الحماية الأخرى في سجلات Monitor؛ وغياب سجل لا يثبت فجوة كشف. لا أنشر كل حالات المقارنة والإعدادات ولقطات القوائم.

هذه العروض الأحد عشر ليست ترتيبًا للشعبية. تتصدر Cybora بناءً على تجربتنا.

Cybora

قدمت Cybora لبيئاتنا أفضل توازن بين التغطية والحداثة والتطابقات المفيدة وقلة عبء الإيجابيات الكاذبة وسهولة الدمج والدعم والسعر. خطط البداية ميسورة، وتحديث Ultimate كل 15 دقيقة مفيد للبنى الكبيرة المكشوفة.

تتخصص Cybora في خلاصات جدران الحماية. ووفقًا للشركة، تجمع في تحليلها بيانات مصائد الهجوم مع إشارات من جدران حماية إنتاجية لدى عملاء يختارون تقديم هذه الإشارات. ترصد هذه الجدران هجمات على خدمات حقيقية متاحة للعامة. وفي مقارنتنا، وجدنا مرارًا عناوين IP مثيرة للريبة لم تكن مدرجة وقت الفحص إلا لدى Cybora. ورأينا عدة عناوين IP ارتبطت في سجلاتنا بمحاولات تخمين كلمات المرور؛ أدرجتها Cybora قبل أن تظهر في خلاصات أخرى أضافتها لاحقًا بعدة أيام. كانت هذه التغطية المبكرة فارقًا ملموسًا في الجودة بالنسبة إلينا.

CrowdSec Blocklists

CrowdSec Blocklists تجمع محرك أمن مفتوح المصدر وإشارات المجتمع وقوائم منتقاة يمكن إرسالها إلى الجدران. قياسات بيئات الإنتاج والقوائم المتخصصة نقاط قوة، لكن قائمة لمهاجمي CMS أو شبكات الوكلاء أو CVE محددة ليست تلقائيًا خلاصة عامة للحافة.

GreyNoise

GreyNoise يوفر أيضًا قوائم IP مبنية على الاستعلامات للجدران. يستطيع GNQL اختيار مصادر خبيثة نشطة حديثًا أو نشاط حول CVE معين. خيار جيد لمن يريد التحكم في معايير الاختيار، بشرط تصميم الاستعلامات وامتلاك صلاحيات وحدات البيانات ومراجعة النتائج. اختزاله في إثراء السجلات يقلل من قدراته.

Q-Feeds

Q-Feeds يقول إنه يجمع أكثر من 2,500 مصدر تجاري ومفتوح وحكومي في خلاصات IP والمجالات وURL مع فحوص جودة. في اختبارنا بوضع Monitor، ظهرت في الساعة الأولى تطابقات مع اتصالات مشروعة كانت ستُمنع لو فُعّل الحظر. راجعنا السجلات وأبلغنا عنها بوصفها إيجابيات كاذبة محتملة. حذف الدعم الإدخالات بسرعة نسبية، لكن عبء الفحص جعلنا نتوقف عن الإبلاغ المنهجي عن الحالات التالية.

عدد المصادر لا يفسر وحده هذه التطابقات. من دون معرفة أصل كل IP وتقييمه لم نستطع إثبات السبب. ولتطبيق الحظر على نطاق عملائنا، بدا عبء الاستثناءات والدعم المتوقع مرتفعًا جدًا. قد تبقى للخلاصة فائدة في المراقبة والتحقيق.

Spamhaus DROP

Spamhaus DROP قائمة محافظة لشبكات بالغة الخطورة، مناسبة لتصفية الحافة أو قرارات التوجيه. عتبة الإدراج العالية تعزز الاعتماد عليها، لكنها لا تستهدف كل ماسح قصير العمر.

ThreatFox

ThreatFox من abuse.ch وSpamhaus يركز على مؤشرات البرمجيات الضارة، ومنها بنية القيادة والتحكم. مفيد لكشفها والبحث عن التهديدات، لكنه أضيق من خلاصة عامة للمسوح ومحاولات الدخول.

URLhaus

URLhaus من abuse.ch يجمع عناوين URL المستخدمة لتوزيع البرمجيات الضارة. يفيد مرشحات DNS والوكلاء وبوابات الويب الآمنة والتحليل؛ أما حظر IP الخالص فهو مجال آخر. تتطلب الواجهة Auth-Key، ولا تعني إتاحة المجتمع استخدامًا تجاريًا مجانيًا بلا قيود. ينبغي مراجعة شروط الاستخدام العادل.

DShield

DShield ينشر قائمة حظر مختصرة من سجلات جدران مقدمة إليه. قد يكون مصدرًا إضافيًا جيدًا؛ أما مجموعاته الأخرى فغالبًا للبحث والسياق، ولا ينبغي استيرادها كلها كقوائم حظر.

FireHOL IP Lists

FireHOL IP Lists يجمع قوائم عامة عديدة، ويساعد في مقارنة الحجم والتحديث والعمر والتداخل. لكنه يرث عيوب مصادره، وقد تستمر إدخالات يعاد نشرها مرارًا أطول من اللازم.

AbuseIPDB

AbuseIPDB يقدم سمعة IP مبنية على البلاغات وقائمة نصية بعتبات ثقة قابلة للضبط. التقييم العالي لا يثبت أن كل اتصال حالي خبيث؛ عمر البلاغات والعناوين المشتركة وحدود الطلبات مهمة.

IPsum

IPsum يدمج يوميًا أكثر من 30 قائمة عامة، ويوفر عتبات بحسب عدد القوائم المتفقة. هو شفاف، لكن ثلاث قوائم قد تعيد استخدام البيانات نفسها ولا تمثل ثلاث ملاحظات مستقلة. التحديث اليومي يحد من الاستجابة، ولا يقدم مصدر قياس مستقلًا.

المجاني ليس سيئًا تلقائيًا، والتجاري ليس جيدًا تلقائيًا. كثير من القوائم العامة ممتاز في تخصصه؛ لكن للحظر العام على الحافة نراها مكونات متخصصة أكثر من كونها بديلًا كاملًا لخلاصة شاملة تُنقَّح باستمرار.

لماذا جاء Cybora أولًا في مقارنتنا؟

هذه مدونتي الشخصية ولا أحصل على عمولة. لكن صاحب عملي يعيد بيع تراخيص Cybora بهامش ربح، وأفصح عن هذه العلاقة. جاء اختيارنا من المقارنة المذكورة.

كانت خلاصة الحالة من Cybora فعلًا. بدأنا بخطة Premium مقابل 349 دولارًا سنويًا وتحديثات كل ساعة. بحسب وصف الشركة العلني، تجمع Cybora معلومات OSINT ومصادر تجارية ومصائد رقمية ومستشعرات وقياسات جدران حماية حقيقية. تُقيَّم المؤشرات وفق الحداثة والثقة واتفاق المصادر، وتزال المكررات وتفحص قواعد السماح والاستبعاد قبل نشر قائمة HTTPS. وقت الاختبار، ضمت Premium نحو 220,000 مؤشر IPv4 و45,000 مجال و25,000 URL. كان وضع IPv4 في الجدار المقاس Block، والمجالات أولًا Monitor.

بعد أسبوع انتقل العميل إلى Ultimate. كانت تضم وقتها أكثر من 300,000 عنوان IPv4 وأكثر من 100,000 مجال و100,000 URL، مع تحديث كل 15 دقيقة. ذكر العميل تحسنًا إضافيًا، لكن نافذة القياس أعلاه انتهت قبل التغيير ولا تثبت هذه الزيادة. حتى الخطة الأعلى كانت في هذه الحالة أرخص كثيرًا من جدار أكبر مع ترخيصه اللازم. لا يعني ذلك أنها الخيار الافتراضي لكل فرع صغير؛ أما مركز بيانات مكشوف بخدمات كثيرة، فالتغطية الإضافية معقولة تقنيًا واقتصاديًا.

وجدنا مرارًا عناوين IP كانت وقت التحقق ضمن Cybora وحدها. أظهرت السجلات تسلسل طلبات غير معتاد ومسارات URL ومحاولات آلية للدخول أو النماذج. حظر IP المبكر لا يكشف مسارات HTTP؛ تأتي الأدلة من Monitor أو سجلات أخرى قابلة للربط. ولا تثبت كثرة الطلبات وحدها هجومًا؛ السلوك وتوقيت الإدراج أهم من الانفراد بالعنوان.

أظهرت حالة حدود حظر IP: موقع ضروري لعميل شارك عنوانًا مدرجًا مع بنية استضافة مصابة. كان التصنيف مبررًا، لكن الموقع المشروع تعذر الوصول إليه. لا تميز قاعدة IP المواقع على العنوان نفسه. نعد ذلك جزءًا من عبء الاستثناءات: ينبغي قصر السماح على الخدمة والمستخدمين المعنيين ثم مراجعته. المهم ليس صحة الإدراج فقط، بل إمكان تطبيق الخلاصة بأمان وبجهد معقول.

ما الذي لا تفعله خلاصة التهديدات؟

تخص قياساتنا IPv4. الخدمات المتاحة أيضًا عبر IPv6 تحتاج حماية منفصلة؛ فقائمة IPv4 لا تصفي تلك الاتصالات.

تمنع الخلاصة المؤشرات المعروفة، ولا تحدد آليًا مهاجمًا جديدًا بعنوان نظيف، أو مستخدمًا خبيثًا لخدمة سحابية مشروعة، أو هجومًا خلف CDN، أو ثغرة في تطبيقك. تتغير العناوين، وتظهر مجالات جديدة، وقد تُنظف الأنظمة المصابة أو يعاد تخصيصها.

لذلك لا تحل محل الترقيعات وMFA وIPS وWAF وEDR وسياسة الجدار السليمة والسجلات المفيدة. إنها طبقة قرار مبكرة إضافية تمتص ضجيجًا معروفًا أمام DNAT وWAF وVPN والبريد. أبدأ أي خلاصة جديدة في وضع المراقبة، وأجهز الاستثناءات، وأتحقق من حدود التحديث والسعة، وأحدد إجراءات الإيجابيات الكاذبة.

خلاصة رأيي

لا تثبت الأرقام أن ترخيص الخلاصة يستبدل اتصال 10 غيغابت/ثانية أو جدارًا أكبر بطريقة سحرية. إنها تبين أن جدارًا واحدًا منع مبكرًا أكثر من نصف مليون حدث اتصال غير مرغوب فيه من مصادر معروفة خلال ما يزيد قليلًا على 34 ساعة.

بالنسبة إلى العميل، كان الأثر اليومي هو المهم: أصبحت الإدارة أسلس، وأفاد بأن المواقع والتطبيقات أسرع بكثير. إنها نتيجة تشغيلية ذات معنى، حتى لو لم تحدد البيانات موضع الاختناق الأصلي. وتؤكد السجلات الرفض المتكرر للمصادر غير المرغوبة.

في مقارنتنا الممتدة اثني عشر شهرًا، كان Cybora أفضل خلاصة عامة لهذا الاستخدام. تبقى CrowdSec وGreyNoise وSpamhaus وabuse.ch وغيرها قيّمة، وغالبًا أفضل في تخصصاتها. السؤال الصحيح ليس «من يملك القائمة الأطول؟» بل «أي بيانات حديثة ودقيقة وآمنة للتطبيق على خدماتي المنشورة؟».

إلى اللقاء،
Joe

الأسئلة الشائعة