لقد كنت أراجع الشبكات لأكثر من عقد من الزمن، وأريد أن أقول هذا بصراحة: لا يمكن للرموز غير القابلة للاستبدال (NFTs) تأمين شبكتك. أعلم أنك رأيت العناوين الرئيسية. ربما اقترح عليك شخص ما تسجيل الدخول باستخدام NFT. ربما قرأت عن أمان blockchain على تويتر. لكن إليك ما رأيته فعلاً يسبب خللاً في الشبكات—موجهات غير مُعدة بشكل صحيح، كلمات مرور معاد استخدامها، برامج ثابتة غير محدثة تعمل منذ 2021. لم يكن يوماً ما NFT هو المشكلة. ولم يكن يوماً ما هو الحل.

عبارة "كيفية الحفاظ على أمان شبكتك باستخدام حلول NFT" ليست نصيحة حقيقية. إنها فخ كلمات مفتاحية. إنها نتيجة لخلط شخص ما بين "blockchain" و"الأمان". هما ليسا الشيء ذاته. ليس حتى قريباً.

دعني أكون صريحاً بشأن ما شاهدته يحدث العام الماضي. بنك متوسط الحجم أرجأ تطبيق المصادقة متعددة العوامل (MFA) لأربعة أشهر لأن مدير تقنية المعلومات (CTO) كان يلاحق تسجيل الدخول باستخدام NFT. أربعة أشهر. بينما كانت شبكتهم معرضة للخطر. في الوقت نفسه، رأيت بائعين يدعون أن منتجاتهم مؤمنة بواسطة NFT، ومُرمزة، ومُتحققة عبر blockchain—وعندما تسأل عن مكان وجود المادة المفتاحية التشفيرية فعلياً، يصمتون. فحصت ثلاثة منصات NFT آمنة مزعومة الشهر الماضي. لم يكن لدى أي منها تقارير SOC 2. ولا نتائج اختبار اختراق منشورة. وكانت ورقة بيضاء واحدة تتكون حرفياً من ثلاثة صفحات من الاستعارات.

إليك ما يعمل فعلاً. ما أطبقه على كل شبكة. ما يوقف الهجمات الحقيقية:

كلمات مرور قوية بالإضافة إلى MFA. لا واحد أو الآخر. كلاهما. ولا تستخدم التحقق عبر الرسائل القصيرة (SMS)—فهو يُعترض. استخدم Microsoft Authenticator أو مفتاح أمان مادي. أوقف خدمة الرسائل القصيرة على كل شبكة عميل.

قم بتحديث كل شيء. موجهك الذي يعمل ببرامج ثابتة من 2021؟ تم اختراقه بالفعل بثلاث طرق معروفة. نظام التشغيل الخاص بك؟ نفس القصة. لا استثناءات.

تقسيم الشبكة. إذا كانت VLAN الخاص بالموارد البشرية يمكنها التواصل مع شبكة الواي فاي للضيوف، وإذا كان الطابعة يمكنها الوصول إلى خادم الرواتب، فقد خسرت بالفعل. احتواء الاختراق ليس نظرياً عندما تقوم بالتقسيم بشكل صحيح—إنه تلقائي.

DNS مشفر. باستخدام DoH أو DoT. يمنع التنصت المحلي. يحجب إعادة توجيه برمجيات خبيثة عبر DNS. بدون تكلفة إضافية. فقط قم بتشغيله.

قبل الغداء اليوم، قم بما يلي: عطل UPnP، أعد تسمية حسابات المدير الافتراضية (جدياً، غيّر "admin"/"password")، تحقق من تفعيل التحديثات التلقائية وأنها تعمل فعلاً.

لست بحاجة إلى الذكاء الاصطناعي. لست بحاجة إلى blockchain. أنت بحاجة إلى الانضباط.

بنيت خطة أمان حقيقية لمكتب محاماة صغير العام الماضي. الأسبوع الأول، أوقفت Telnet و SMBv1. الأسبوع الثالث، تطبيق MFA في كل مكان. من الأسبوع الخامس إلى الثامن، قمنا بتقسيم الشبكة بشكل صحيح. الأسبوع التاسع، أجرينا تمرين محاكاة—تظاهر أن سجلات الجدار الناري تظهر Cobalt Strike، ورأينا من يعرف فعلاً مكان النسخ الاحتياطية. النجاح لم يُقاس بالأدوات الفاخرة. بل بما لم يحدث: صفر ثغرات حرجة غير محدثة خلال 30 يوماً، وصفر نقرات تصيد بعد الشهر الثاني.

قرأت 47 عرضاً لموردين هذا العام. جميعها استخدمت عبارات مثل "وصول مؤمن بواسطة NFT" أو "جدار حماية مرمز" أو "امتلك مفاتيح شبكتك عبر NFT". هل تعرف ماذا تعني حقاً؟ استعلام قاعدة بيانات مع استدعاء API إضافي. ملف تكوين يُعاد تسميته إلى firewall.json. أنت تحمل رمزاً يشير إلى مفتاح يسيطر عليه شخص آخر. فرضت لجنة التجارة الفيدرالية (FTC) غرامة على شركة واحدة بمبلغ 2.5 مليون دولار العام الماضي لأنها زعمت أن VPN الخاص بها الذي يتحقق عبر NFT يلتزم FIPS 140-2. ولم يكن كذلك.

إذا قادك مورد إلى الحديث عن أمان NFT قبل ذكر TLS 1.3 أو تصحيح CVE، ابتعد. إذا لم يُظهر العرض التوضيحي وحدة أمان مادية أو توليد مفتاح معزول، فافترض أنه مجرد تمثيل.

البلوكتشين يفعل شيئاً واحداً جيداً: يجعل السجلات صعبة التزوير. هذا مفيد. لكنه ليس سحراً. ليس جدار حماية. هو دفتر أستاذ. جدار الحماية الخاص بك لا يزال يحتاج إلى قواعد. ومستخدموك لا يزالون بحاجة إلى تدريب. ومدير أمن المعلومات (CISO) لا يزال بحاجة إلى النوم.

الأمان الحقيقي ممل. هو تحديث البرامج الثابتة. هو فحص موجهك الآن. هو تغيير كلمة المرور الافتراضية تلك.

لا تطارد الرموز اللامعة. قائمة Shields Up الخاصة بـ CISA مجانية. NIST SP 800-207 مجاني. CIS Controls v8 مجاني. استخدمها. الثبات يتفوق على الحداثة في كل مرة.

المصادقة متعددة العوامل على كل حساب إداري وسحابي. قم بذلك قبل الغد. ليس الأسبوع المقبل. ليس بعد الاجتماع. قبل أن تغلق هذا. شبكتك ليست آمنة لأنها تبدو كذلك. هي آمنة لأنك قمت فعلاً بالعمل.