NGFW اختصار لـ Next-Generation Firewall، وهو تطور لجدار الحماية التقليدي الذي كان يعتمد على عناوين IP والمنافذ فقط. المشكلة أن التطبيقات الحديثة كلها تقريباً تعمل عبر المنفذ 443، فقاعدة مثل “اسمح بـ TCP 443” تعني عملياً السماح بكل شيء. هنا يأتي دور الـ NGFW الذي يفهم ما هو التطبيق ومن هو المستخدم وليس فقط من أين وإلى أين تذهب الحزمة.
أهم قدرات الـ NGFW
- التعرف على التطبيقات (Application Awareness): التمييز بين Facebook وWhatsApp وTeams حتى لو استخدمت كلها نفس المنفذ، وإمكانية السماح بالتطبيق مع منع ميزة داخله كرفع الملفات.
- الربط بهوية المستخدم (User Identity): كتابة قواعد بأسماء المستخدمين والمجموعات من Active Directory بدلاً من عناوين IP.
- نظام IPS مدمج: يفحص محتوى الحركة بحثاً عن محاولات استغلال الثغرات.
- فحص الحركة المشفرة (SSL/TLS Inspection): فك التشفير وإعادة تشفيره لفحص المحتوى.
- استخبارات التهديدات (Threat Intelligence): تحديثات مستمرة من السحابة للتعرف على العناوين والنطاقات الضارة، مثل خدمة FortiGuard لدى Fortinet.
مثال عملي
مدير شبكة يريد السماح للموظفين باستخدام YouTube لقسم التسويق فقط، ومنع تطبيقات التورنت للجميع، والسماح بـ Microsoft 365 بأعلى أولوية. على جدار حماية تقليدي هذا شبه مستحيل، أما على NGFW مثل FortiGate أو Palo Alto أو Cisco Secure Firewall فيتم ذلك بقواعد قليلة تعتمد على أسماء التطبيقات ومجموعات المستخدمين.
نصائح عند الاختيار والتشغيل
- انتبه لأرقام الأداء الحقيقية عند تفعيل IPS وفحص SSL، فهي أقل بكثير من سرعة الجدار في وضع الفلترة فقط (Firewall Throughput).
- الاشتراك في خدمات التحديث ضروري، فبدونه يفقد الجهاز جزءاً كبيراً من قيمته.
- عند تفعيل فحص SSL استثنِ المواقع البنكية والصحية احتراماً للخصوصية والقوانين.
الفرق بين NGFW و UTM
كلاهما يجمع خدمات متعددة في جهاز واحد. تاريخياً، ارتبط UTM بالشركات الصغيرة والمتوسطة كحل “كل شيء في صندوق” يضم مضاد فيروسات وفلترة بريد وويب، بينما ارتبط NGFW بالمؤسسات الكبيرة مع التركيز على الأداء والتحكم الدقيق بالتطبيقات. اليوم تلاشى هذا الفرق تقريباً وأصبحت معظم الأجهزة تقدم الخصائص نفسها.
