Network Defences: Firewalls, Segmentation, Monitoring and SIEMبەرگرییەکانی ڕایەڵە: ئاگرەدیوار، بەشبەشکردنی ڕایەڵە، چاودێریی ئاسایش و SIEM

Almost every attack in this course travels over a network: a phishing e-mail, a worm, a stolen password typed into a login page from far away. So defenders protect the network itself, in several layers. Some layers block traffic, some watch it and raise an alarm, and some divide the network into rooms so that one break-in does not open every door.

نزیکەی هەموو هێرشێکی ئەم کۆرسە بە ناو ڕایەڵەدا دەڕوات: ئیمەیڵێکی فیشینگ (Phishing)، کرمێک (Worm)، تێپەڕەوشەیەکی (Password) دزراو کە لە دوورەوە لە پەڕەیەکی چوونەژوورەوەدا (Log in) دەنووسرێت. بۆیە بەرگریکاران خودی ڕایەڵە لە چەند چینێکدا دەپارێزن. هەندێک چین هاتوچۆ ڕادەگرن، هەندێکیان چاودێری دەکەن و ئاگادار دەکەنەوە. هەندێکی تریش ڕایەڵە دابەش دەکەن بۆ چەند ژوورێک، بۆ ئەوەی یەک دزەکردن هەموو دەرگاکان نەکاتەوە.

The course notes name two network defences: continuous monitoring and network segmentation, with SIEM tools to collect what is seen. This lesson teaches them and adds the tools they work with — firewalls, intrusion detection and prevention, VPNs — and two network attacks they must stop: denial of service and man-in-the-middle.

تێبینییەکانی کۆرسەکە دوو بەرگریی ڕایەڵە ناو دەبەن: چاودێریی ئاسایشی بەردەوام و بەشبەشکردنی ڕایەڵە، لەگەڵ ئامرازەکانی SIEM بۆ کۆکردنەوەی ئەوەی دەبینرێت. ئەم وانەیە ئەوانە فێر دەکات و ئەو ئامرازانەی لەگەڵیاندا کار دەکەن زیاد دەکات — ئاگرەدیوارەکان، دۆزینەوە و ڕێگریکردن لە دزەکردن، VPN — هەروەها دوو هێرشی ڕایەڵە کە دەبێت ڕابگیرێن: ڕێگەگرتن لە خزمەتگوزاری و هێرشی کەسی ناوەڕاست.

No single layer is enough. This is defence in depth: each layer catches some of what the others miss.

هیچ چینێک بە تەنها بەس نییە. ئەمە بەرگریی چەندچینـە: هەر چینێک هەندێک لەوە دەگرێت کە چینەکانی تر لەدەستی دەدەن.

A firewall sits between two networks — usually between the Internet and an organisation's network — or on a single computer. It looks at each piece of traffic (each packet) and compares it with a list of rules. Each rule says, for example: from where, to which address, to which port, and then allow or block. The list of rules is the firewall's policy.

ئاگرەدیوار لە نێوان دوو ڕایەڵەدا دادەنرێت — زۆرجار لە نێوان ئینتەرنێت (Internet) و ڕایەڵەی ڕێکخراوێکدا — یان لەسەر یەک کۆمپیوتەر (Computer). سەیری هەر پارچەیەکی هاتوچۆ (هەر پاکێتێک (Packet)) دەکات و لەگەڵ لیستێکی یاسا بەراوردی دەکات. هەر یاسایەک بۆ نموونە دەڵێت: لە کوێوە، بۆ کام ناونیشان، بۆ کام پۆرت و پاشان ڕێگەبدە یان ڕابگرە. لیستی یاساکان سیاسەتی ئاگرەدیوارەکەیە.

Real firewalls show their policy as a table. Here is a small office's inbound policy, written in plain words. Read it from the top:

ئاگرەدیواری ڕاستەقینە سیاسەتەکەیان وەک خشتە پیشان دەدەن. ئەمە سیاسەتی هاتنە ژوورەوەی ئۆفیسێکی بچووکە، بە وشەی سادە نووسراوە. لە سەرەوە دەستی پێ بکە:

Firewalls have grown smarter over the years. Each newer kind can see more about the traffic, so it can make better decisions — but it also needs more computing power and more care to set up.

ئاگرەدیوارەکان بە درێژایی ساڵان زیرەکتر بوون. هەر جۆرێکی نوێتر دەتوانێت زیاتر دەربارەی هاتوچۆکە ببینێت، بۆیە بڕیاری باشتر دەدات — بەڵام هێزی ژمێرکاریی زیاتر و وریایی زیاتری لە ڕێکخستندا دەوێت.

Organisations usually combine them: an NGFW at the Internet edge, internal firewalls between zones, a WAF in front of the public website (see Injection attacks) and a host firewall switched on in every laptop.

ڕێکخراوەکان زۆرجار تێکەڵیان دەکەن: ئاگرەدیوارێکی نەوەی نوێ لە لێواری ئینتەرنێت، ئاگرەدیواری ناوخۆیی لە نێوان ناوچەکاندا، ئاگرەدیوارێکی بەرنامەی وێب لە پێش تۆڕگە گشتییەکەوە (بڕوانە هێرشەکانی تێخزاندن) و ئاگرەدیواری سەر ئامێر کە لە هەموو لاپتۆپێکدا هەڵکراوە.

A firewall decides by rules about where traffic goes. Some attacks travel along allowed paths: a request to the public website that carries an attack, or a staff laptop that suddenly talks like infected malware. To catch these, organisations add intrusion detection and prevention.

ئاگرەدیوار بەپێی یاسا بڕیار دەدات کە هاتوچۆ بۆ کوێ دەڕوات. هەندێک هێرش بە ڕێگا ڕێگەپێدراوەکاندا دەڕۆن: داواکارییەک بۆ تۆڕگە گشتییەکە کە هێرشێکی تێدایە، یان لاپتۆپی کارمەندێک کە لەناکاو وەک نەرمەواڵەیەکی زیانبەخش قسە دەکات. بۆ گرتنی ئەمانە، ڕێکخراوەکان دۆزینەوە و ڕێگریکردن لە دزەکردن زیاد دەکەن.

Both can watch the network (network-based) or run on one computer (host-based). Modern endpoint tools (EDR) do host-based detection on laptops and servers; see Malware.

هەردووکیان دەتوانن چاودێریی ڕایەڵە بکەن (لەسەر ڕایەڵە) یان لەسەر یەک کۆمپیوتەر کار بکەن (لەسەر ئامێر). ئامرازە نوێیەکانی پاراستنی ئامێر (EDR) دۆزینەوەی سەر ئامێر لەسەر لاپتۆپەکان و ڕاژەکارەکان دەکەن؛ بڕوانە نەرمەواڵەی زیانبەخش.

Attackers know about IDSs and try to slip past them. Two old tricks: flooding the IDS with so much traffic, or so many fake alerts, that it cannot inspect everything and the real attack hides in the noise; and sending the attack along a path no sensor watches, for example by splitting the traffic over different routes (asymmetric routing), so no single sensor sees the whole conversation. Defenders place sensors where all traffic must pass, give the IDS enough capacity, raise an alarm when it starts dropping packets, and add host-based detection (EDR) as a second view.

هێرشبەرەکان IDS دەناسن و هەوڵ دەدەن لێی دەرباز ببن. دوو فێڵی کۆن هەن: نوقمکردن — ئەوەندە هاتوچۆ، یان ئەوەندە ئاگادارکردنەوەی ساختە، دەنێرن کە IDS نەتوانێت هەمووی بپشکنێت و هێرشە ڕاستەقینەکە لە ناو ژاوەژاوەکەدا ون ببێت؛ هەروەها ناردنی هێرشەکە بە ڕێگایەکدا کە هیچ هەستەوەرێک (Sensor) چاودێریی ناکات، بۆ نموونە بە دابەشکردنی هاتوچۆکە بەسەر چەند ڕێگایەکی جیاوازدا (asymmetric routing)، بۆ ئەوەی هیچ هەستەوەرێک هەموو گفتوگۆکە نەبینێت. بەرگریکاران هەستەوەرەکان لەو شوێنانە دادەنێن کە هەموو هاتوچۆیەک دەبێت پێیاندا تێپەڕێت، توانای پێویست دەدەنە IDS، کاتێک دەست دەکات بە فڕێدانی پاکێتەکان ئاگادار دەکەنەوە و دۆزینەوەی سەر ئامێر (EDR) وەک دیمەنێکی دووەم زیاد دەکەن.

A flat network is one big room: every device can talk to every other device. If one laptop is infected, the attacker can reach the payroll server, the backups and the cameras. Segmentation splits the network into zones and puts rules between them. The course gives it two purposes:

ڕایەڵەیەکی تەخت یەک ژووری گەورەیە: هەموو ئامێرێک دەتوانێت قسە لەگەڵ هەموو ئامێرێکی تر بکات. ئەگەر یەک لاپتۆپ تووش ببێت، هێرشبەرەکە دەتوانێت بگاتە ڕاژەکاری مووچە، باکئەپەکان (Backup) و کامێراکان. بەشبەشکردنی ڕایەڵە ڕایەڵە دابەش دەکات بۆ چەند ناوچەیەک و یاسا لە نێوانیاندا دادەنێت. کۆرسەکە دوو ئامانجی بۆ دیاری دەکات:

A VPN (virtual private network) builds an encrypted tunnel between two points across the Internet: a member of staff working from home and the office, or two branches of a bank. What a VPN is and how the tunnel is made is explained in Private networks: VPN; here we look at its security role.

VPN تونێلێکی شفرەکراو لە نێوان دوو خاڵدا بە ناو ئینتەرنێتدا دروست دەکات: کارمەندێک کە لە ماڵەوە کار دەکات و ئۆفیسەکە، یان دوو لقی بانکێک. VPN چییە و تونێلەکە چۆن دروست دەکرێت لە ڕایەڵە تایبەتەکان: VPN ڕوون کراوەتەوە؛ لێرە سەیری ڕۆڵی ئاسایشیی دەکەین.

Firewalls and segmentation prevent. But no prevention is perfect, so defenders also watch. The course names two benefits of continuous monitoring:

ئاگرەدیوارەکان و بەشبەشکردنی ڕایەڵە ڕێگری دەکەن. بەڵام هیچ ڕێگرییەک تەواو نییە، بۆیە بەرگریکاران چاودێریش دەکەن. کۆرسەکە دوو سوودی چاودێریی ئاسایشی بەردەوام ناو دەبات:

What is watched? Mostly logs: records that systems write about what happened, when and by whom. Typical sources are the firewall, the IDS/IPS, VPN and Wi-Fi logins, servers, e-mail filters, antivirus/EDR on laptops and cloud accounts. Teams first learn what is normal for their network, because an attack usually shows up as something unusual.

سەیری چی دەکرێت؟ زۆربەی جار لۆگەکان: تۆمارانێک کە سیستەمەکان دەینووسن دەربارەی ئەوەی چی ڕووی دا، کەی و لەلایەن کێوە. سەرچاوە باوەکان ئاگرەدیوار، ⁦IDS/IPS⁩، چوونەژوورەوەی VPN و وای‌فای، ڕاژەکارەکان، فلتەرەکانی ئیمەیڵ، بەرنامەی دژەڤایرۆس/EDR لەسەر لاپتۆپەکان و هەژمارەکانی هەورن. تیمەکان سەرەتا فێر دەبن چی بۆ ڕایەڵەکەیان ئاساییە، چونکە هێرش زۆرجار وەک شتێکی نائاسایی دەردەکەوێت.

A large organisation produces millions of log lines a day — far too many for people to read. A SIEM (security information and event management) tool collects security data from many sources into one place and analyses it to detect suspicious activity. In order, it:

ڕێکخراوێکی گەورە ڕۆژانە ملیۆنان دێڕی لۆگ بەرهەم دەهێنێت — زۆر زیاترە لەوەی خەڵک بیخوێننەوە. ئامرازێکی SIEM دراوەی ئاسایش لە زۆر سەرچاوەوە لە یەک شوێندا کۆ دەکاتەوە و شیکاریی بۆ دەکات بۆ دۆزینەوەی چالاکیی گوماناوی. بە ڕیز:

An example correlation rule: "Six failed logins to one account, then a successful login from a country where the company has no staff, then a large download — within one hour." Each event alone is common; together they look like a stolen password. The SIEM can also trigger actions based on predefined rules, which the course mentions as automated incident response.

نموونەیەکی یاسای بەستنەوە: «شەش چوونەژوورەوەی سەرنەکەوتوو بۆ یەک هەژمار، پاشان چوونەژوورەوەی سەرکەوتوو لە وڵاتێکەوە کە کۆمپانیاکە هیچ کارمەندێکی تێدا نییە، پاشان دابەزاندنێکی گەورە — هەمووی لە یەک کاتژمێردا.» هەر ڕووداوێک بە تەنها باوە؛ پێکەوە وەک تێپەڕەوشەیەکی دزراو دەردەکەون. SIEM دەتوانێت بەپێی یاسای پێشوەختە هەنگاوی خۆکاریش بنێت، کە کۆرسەکە وەک وەڵامدانەوەی ڕووداوی (Incident response) خۆکار ناوی دەبات.

Some attackers do not want to steal anything. They want a service to stop working: the bank's app on salary day, a ministry's website, an online exam. A denial-of-service (DoS) attack floods a server or network with so much traffic or so many requests that real users cannot get through. It attacks availability, the A of the CIA triad.

هەندێک هێرشبەر نایانەوێت هیچ شتێک بدزن. دەیانەوێت خزمەتگوزارییەک لە کار بکەوێت: ئەپی بانکەکە لە ڕۆژی مووچەدا، تۆڕگەی وەزارەتێک، تاقیکردنەوەیەکی ئۆنلاین. هێرشی ڕێگەگرتن لە خزمەتگوزاری ⁦(DoS)⁩ ڕاژەکارێک یان ڕایەڵەیەک بە ئەوەندە هاتوچۆ یان داواکاری نوقم دەکات کە بەکارهێنەرە ڕاستەقینەکان ناتوانن تێپەڕن. هێرش دەکاتە سەر بەردەستبوون (Availability)، واتە Aـی سێگۆشەی CIA.

Defences are prepared before an attack: a DDoS protection service or a CDN that absorbs and filters floods far from your server; rate limiting (no single address may send more than a set number of requests); spare bandwidth, load balancing and backup servers; firewall rules and an IPS that drop known attack traffic; a CAPTCHA on pages that bots abuse; and a response plan with the provider's phone number. During an attack, confirm it is really an attack (not a busy day), call the provider and the ISP, keep the logs as evidence, tell users what is happening, and keep watching your other systems — CISA warns that a flood is sometimes a distraction for a second attack.

بەرگرییەکان پێش هێرش ئامادە دەکرێن: خزمەتگوزارییەکی پاراستنی DDoS یان ڕایەڵەی گەیاندنی ناوەڕۆک (CDN) کە لافاوەکان دوور لە ڕاژەکارەکەت هەڵدەمژێت و فلتەریان دەکات؛ سنووردانانی داواکاری (هیچ ناونیشانێک نابێت لە ژمارەیەکی دیاریکراو زیاتر داواکاری بنێرێت)؛ پانایی باندی زیادە، دابەشکردنی بار و ڕاژەکاری یەدەگ؛ یاساکانی ئاگرەدیوار و سیستەمی ڕێگریکردن لە دزەکردن کە هاتوچۆی هێرشە ناسراوەکان فڕێ دەدەن؛ کاپچا (CAPTCHA) لەسەر ئەو پەڕانەی بۆتەکان خراپ بەکاریان دەهێنن؛ هەروەها پلانی وەڵامدانەوە لەگەڵ ژمارەی تەلەفۆنی دابینکەرەکە. لە کاتی هێرشدا، دڵنیا ببەرەوە کە بەڕاستی هێرشە (نەک ڕۆژێکی قەرەباڵغ)، پەیوەندی بە دابینکەرەکە و دابینکەری ئینتەرنێتەوە بکە، لۆگەکان وەک بەڵگە بپارێزە و بە بەکارهێنەران بڵێ چی ڕوو دەدات. هەروەها چاودێریی سیستەمەکانی ترت بەردەوام بێت، چونکە CISA ئاگادار دەکاتەوە کە لافاوەکە هەندێک جار تەنها سەرقاڵکردنە بۆ هێرشێکی دووەم.

In a man-in-the-middle attack the attacker secretly sits between two sides — you and your bank, a laptop and the office — and passes their messages on, reading and perhaps changing them. You met the idea in Passive and active attacks. On a network it can happen when:

لە هێرشی کەسی ناوەڕاستدا هێرشبەرەکە بە نهێنی لە نێوان دوو لایەندا دادەنیشێت — تۆ و بانکەکەت، لاپتۆپێک و ئۆفیسەکە — و نامەکانیان دەگوازێتەوە، دەیانخوێنێتەوە و لەوانەیە بیانگۆڕێت. بیرۆکەکەت لە هێرشە ناچالاک و چالاکەکاندا بینی. لەسەر ڕایەڵە دەتوانێت ڕوو بدات کاتێک:

The strongest defence is encryption with checked identity: HTTPS (TLS) encrypts the conversation and the browser checks the website's certificate, so a middleman can neither read the data nor pretend to be the bank (see Certificates and TLS). Add a VPN on networks you do not trust, MFA or passkeys so that a stolen password is not enough, strong Wi-Fi security (WPA3) at home and work, and switches and IDS rules that detect address lies on the local network.

بەهێزترین بەرگری شفرەکردن لەگەڵ ناسنامەی پشکنراوـە: HTTPS (TLS) گفتوگۆکە شفرە دەکات و تۆڕگەڕ (Web browser) بڕوانامەی تۆڕگەکە دەپشکنێت، بۆیە کەسی ناوەڕاست نە دەتوانێت دراوەکە بخوێنێتەوە و نە خۆی وەک بانکەکە نیشان بدات (بڕوانە بڕوانامەکان و TLS). VPN لەسەر هەر ڕایەڵەیەک کە متمانەت پێی نییە زیاد بکە، MFA یان پاسکییەکان (Passkey) بۆ ئەوەی تێپەڕەوشەیەکی دزراو بەس نەبێت، ئاسایشی بەهێزی وای‌فای ⁦(WPA3)⁩ لە ماڵ و کار، هەروەها سویچەکان و یاساکانی IDS کە درۆی ناونیشان لەسەر ڕایەڵەی ناوخۆیی دەدۆزنەوە.

Each defence in this lesson stops some attacks and misses others. That is why they are used together:

هەر بەرگرییەکی ئەم وانەیە هەندێک هێرش ڕادەگرێت و هەندێکی تر لەدەست دەدات. بۆیە پێکەوە بەکار دەهێنرێن:

Monitoring is only useful when people act on what it finds. Who reads the alerts, and what they do next, is the subject of the next two lessons: Incident response and Security operations centres.

چاودێریی ئاسایش تەنها کاتێک بەسوودە کە خەڵک کار لەسەر ئەوە بکەن کە دەیدۆزێتەوە. کێ ئاگادارکردنەوەکان دەخوێنێتەوە و دوای ئەوە چی دەکات، بابەتی دوو وانەی داهاتووە: وەڵامدانەوەی ڕووداو و ناوەندی کارەکانی ئاسایش.