ترافیک شبکه | بررسی East-West و North-South و نقش آن در امنیت شبکه

در شبکه‌های سازمانی، ترافیک شبکه فقط به ارتباط کاربران با اینترنت محدود نمی‌شود. سرورها، ماشین‌های مجازی، سرویس‌های سازمانی، تجهیزات ذخیره‌سازی، برنامه‌های کاربردی و زیرساخت‌های Cloud نیز دائماً با یکدیگر تبادل داده دارند.

این ارتباطات از نظر مسیر حرکت، الگوهای متفاوتی دارند. دو اصطلاح مهم برای توصیف این الگوها North-South Traffic و East-West Traffic هستند. شناخت این دو نوع جریان ترافیک برای طراحی فایروال، Network Segmentation، مانیتورینگ و جلوگیری از حرکت جانبی مهاجمان اهمیت زیادی دارد.

در معماری‌های قدیمی‌تر، تمرکز امنیت بیشتر روی مرز شبکه و ترافیک ورودی و خروجی بود؛ اما با گسترش Virtualization، Cloud ، Containerها و Microservices، حجم و اهمیت ارتباطات داخلی افزایش پیدا کرده است. به همین دلیل، امنیت ترافیک داخلی دیگر موضوعی فرعی محسوب نمی‌شود.

ترافیک شبکه چیست؟

ترافیک شبکه (Network Traffic) به جریان داده و Packetهایی گفته می‌شود که بین دستگاه‌ها، سرویس‌ها و شبکه‌های مختلف جابه‌جا می‌شوند.

برای مثال، وقتی کاربری یک وب‌سایت را باز می‌کند، Packetها بین سیستم کاربر و سرویس مقصد منتقل می‌شوند. اما همین مفهوم در داخل دیتاسنتر نیز وجود دارد؛ مثلاً زمانی که یک Application Server برای دریافت اطلاعات به Database Server متصل می‌شود.

بنابراین ترافیک شبکه می‌تواند شامل ارتباطات مختلفی مانند موارد زیر باشد:

• ارتباط کاربران با اینترنت
• کاربران با سرویس‌های داخلی
•  Server با Server
•  Application با Database
• ماشین‌های مجازی با یکدیگر
• Workloadهای Cloud
• ارتباط بین Segmentها و VLANهای مختلف

از دید امنیت، تنها حجم ترافیک مهم نیست؛ مسیر، مبدأ، مقصد، نوع ارتباط و رفتار آن نیز باید بررسی شود.

North-South Traffic چیست؟

ترافیک North-South یا ترافیک شمال-جنوب به ترافیکی گفته می‌شود که از یک محدوده مشخص شبکه خارج شده یا وارد آن می‌شود.

برای مثال، اگر محدوده موردنظر یک Data Center باشد، ارتباط بین سرورهای داخل دیتاسنتر و اینترنت، Cloud یا یک شبکه خارج از Data Center، North-South محسوب می‌شود. Fortinet نیز North-South Traffic را در معماری دیتاسنتر به‌عنوان ترافیک ورودی و خروجی نسبت به محیط دیتاسنتر توضیح می‌دهد.

مثال:

فرض کنید کاربر شرکت مرورگر خود را باز می‌کند و وارد سایت Microsoft 365 می‌شود.

مسیر ارتباط تقریباً به این شکل است:

کاربر → سوئیچ → فایروال → اینترنت → Microsoft 365

وقتی کاربر یک سایت خارجی را باز می‌کند، ترافیک از شبکه سازمان خارج شده و به اینترنت می‌رود.

در این مسیر، فایروال می‌تواند:

• Firewall Policy را بررسی کند.
• NAT انجام دهد.
• IPS را اعمال کند.
• SSL Inspection انجام دهد.
• Web Filtering را اجرا کند.

این یک نمونه از North-South Traffic است.

همین موضوع در جهت معکوس نیز وجود دارد؛ برای مثال زمانی که یک سرویس عمومی سازمان از اینترنت درخواست دریافت می‌کند:

Internet → Firewall → Web Server

در اینجا نیز ترافیک نسبت به محدوده شبکه سازمانی، North-South است.

نمونه‌های رایج:

• دسترسی کاربران به اینترنت
• ارتباط با سرویس‌های SaaS و Cloud
• Remote Access VPN
• دسترسی کاربران خارج از سازمان به سرویس‌های منتشرشده
• ارتباط Data Center با شبکه‌های خارجی
• ترافیک ورودی و خروجی از Internet Gateway

به همین دلیل، فایروال مرزی معمولاً یکی از مهم‌ترین نقاط کنترل ترافیک North-South (شمال-جنوب) است.

East-West Traffic چیست؟

ترافیک East-West یا ترافیک شرق-غرب به ارتباطات جانبی یا داخلی بین سیستم‌ها و سرویس‌هایی گفته می‌شود که در یک محدوده شبکه قرار دارند.

این ترافیک East-West (شرق-غرب) می‌تواند بین موارد زیر باشد:

• سرورهای داخلی (Server-to-Server)
• ماشین‌های مجازی
• VLANهای مختلف
• تجهیزات دیتاسنتر
• سرویس‌های سازمانی
• ارتباط بین Application و Database

این نوع ترافیک شبکه می‌تواند بدون عبور از فایروال مرزی اینترنت انجام شود.

مثال:

فرض کنید در یک شرکت این تجهیزات وجود دارند:

• File Server
• SQL Server
• سرور حسابداری
• Domain Controller
• سیستم کاربران

کاربر وارد نرم‌افزار حسابداری می‌شود.

مسیر ارتباط به این شکل است:

Client → Accounting Server → SQL Server

ارتباط Application Server با Database Server یک ارتباط داخلی است و این ارتباط اصلاً از اینترنت عبور نمی‌کند. در چنین Scopeای East-West محسوب می‌شود.

در محیط‌های مجازی نیز East-West Traffic اهمیت ویژه‌ای دارد.

تفاوت East-West و North-South

نکته مهم این است که این دو اصطلاح به یک جهت جغرافیایی واقعی اشاره نمی‌کنند.  North، South، East و West صرفاً یک مدل مفهومی برای توصیف مسیر حرکت ترافیک نسبت به محدوده موردنظر هستند.

چرا امنیت ترافیک East-West  اهمیت دارد؟

یکی از مهم‌ترین دلایل اهمیت کنترل ترافیک East-West، جلوگیری از Lateral Movement یا حرکت جانبی مهاجم در شبکه است.

فرض کنید مهاجم از طریق یک حمله Phishing به سیستم یکی از کاربران دسترسی پیدا کرده باشد. در این مرحله، مهاجم دیگر لزوماً نیازی ندارد از مرز شبکه عبور کند؛ بلکه می‌تواند از ارتباطات داخلی برای شناسایی و دسترسی به سایر سیستم‌ها و سرویس‌ها استفاده کند.

این موضوع در شبکه‌هایی که ساختار Flat دارند یا ارتباط میان Segmentهای مختلف بدون محدودیت انجام می‌شود، خطر بیشتری ایجاد می‌کند. برای مثال، اگر شبکه کاربران بتواند مستقیماً با سرورهای حساس ارتباط داشته باشد، یک سیستم آلوده می‌تواند به نقطه شروع حرکت مهاجم در بخش‌های دیگر شبکه تبدیل شود.

سناریوی واقعی از حمله در ترافیک داخلی

فرض کنیم یک سازمان دارای چهار بخش اصلی است:

• شبکه کاربران
• Application Server
• Database Server
• Domain Controller

فایروال سازمان در مرز اینترنت به‌درستی تنظیم شده و تمام ترافیک ورودی و خروجی را بررسی می‌کند.

اما بین شبکه کاربران و سرورهای داخلی هیچ Segmentation مناسبی وجود ندارد.

حالا یکی از سیستم‌های کاربران آلوده می‌شود.

مهاجم ابتدا همان سیستم را در اختیار می‌گیرد و سپس شروع به شناسایی منابع داخلی می‌کند.

اگر Policy مناسبی وجود نداشته باشد، ممکن است ارتباط‌هایی مانند این برقرار شوند:

• User VLAN → Application Server
• User VLAN → Database Server
• User VLAN → Domain Controller

در این حالت، فایروال مرزی نمی‌تواند به‌تنهایی مشکل را حل کند؛ زیرا بخش زیادی از این ارتباطات داخل شبکه اتفاق می‌افتند.

راهکار مناسب این است که ارتباط‌ها بر اساس نیاز واقعی محدود شوند. برای مثال:

• User VLAN → Application Server: مجاز
• User VLAN → Database Server: غیرمجاز
• Application Server → Database Server: فقط سرویس‌های موردنیاز
• User VLAN → Domain Controller: فقط سرویس‌های ضروری

در نتیجه حتی اگر یک سیستم کاربری آلوده شود، مسیر حرکت مهاجم محدودتر خواهد شد.

بنابراین، کنترل East-West Traffic فقط به معنای مسدود کردن ارتباطات داخلی نیست؛ بلکه هدف اصلی آن کاهش سطح دسترسی، محدود کردن مسیرهای حرکت مهاجم و جلوگیری از گسترش تهدید در شبکه است.

نقش فایروال در کنترل East-West Traffic

فایروال فقط برای اتصال شبکه داخلی به اینترنت استفاده نمی‌شود. در معماری‌های سازمانی می‌توان از فایروال برای کنترل ارتباط میان Segmentها، Zoneها و بخش‌های حساس شبکه نیز استفاده کرد.

در این معماری، فایروال می‌تواند بسته به قابلیت‌های خود و محل استقرار، ارتباطات داخلی را بر اساس معیارهایی مانند موارد زیر کنترل کند:

• Source IP
• Destination IP
• Port
• Protocol
• Application
• User Identity
• Security Profile

برای مثال، به‌جای ایجاد دسترسی گسترده میان شبکه کاربران و سرورها، می‌توان فقط ارتباط‌های موردنیاز را مجاز کرد. این رویکرد باعث می‌شود دسترسی میان بخش‌های مختلف شبکه بر اساس Least Privilege تعریف شود.

در محیط‌های Virtualized و Cloud نیز فایروال‌های مجازی می‌توانند برای کنترل ترافیک داخلی و اعمال Policy میان Workloadها و Segmentهای مختلف مورد استفاده قرار گیرند.

بنابراین، جایگاه فایروال در معماری East-West به محل استقرار آن و طراحی شبکه بستگی دارد و لزوماً به معنی عبور تمام ترافیک داخلی از یک فایروال مرکزی نیست.

آیا فقط Firewall برای کنترل East-West کافی است؟

خیر.

فایروال یکی از اجزای معماری امنیتی است، اما امنیت ترافیک شبکه داخلی معمولاً به ترکیبی از چند کنترل نیاز دارد.

برای مثال:

• Network Segmentation: برای جدا کردن بخش‌های مختلف شبکه.

• Internal Firewall: برای کنترل ارتباط میان Segmentهای حساس.

• IPS: برای شناسایی و جلوگیری از الگوهای حمله در ترافیک مجاز.

• NDR: برای تحلیل رفتار ترافیک و شناسایی فعالیت‌های غیرعادی.

• Zero Trust: برای جلوگیری از اعتماد خودکار به ارتباطات صرفاً به دلیل قرار داشتن سیستم‌ها در شبکه داخلی.

• Monitoring و Logging: برای ثبت رویدادها و فراهم کردن Visibility از ارتباطات شبکه.

Fortinet نیز در معماری‌های جدید امنیت شبکه بر ترکیب Segmentation ،Visibility ،Inspection و Zero Trust برای کنترل ترافیک داخلی تأکید می‌کند.

ترافیک East-West در Virtualization و Cloud

Virtualization باعث شده الگوی ترافیک شبکه در دیتاسنترها تغییر کند.

در یک محیط سنتی ممکن است بخش زیادی از ارتباطات از طریق تجهیزات فیزیکی و مسیرهای مشخص عبور کند. اما در یک محیط Virtualized، ارتباط بین VMها، Applicationها و سرویس‌ها می‌تواند در داخل همان زیرساخت مجازی اتفاق بیفتد.

در چنین شرایطی، اگر معماری امنیتی فقط روی Perimeter متمرکز باشد، ممکن است بخشی از East-West Traffic از دید کنترل‌های سنتی خارج شود.

این مسئله در محیط‌های Cloud و Microservices نیز اهمیت بیشتری پیدا می‌کند؛ زیرا سرویس‌ها و Workloadها به‌صورت توزیع‌شده اجرا می‌شوند و ارتباطات داخلی زیادی میان آن‌ها شکل می‌گیرد.

نقش مانیتورینگ در شناسایی ترافیک غیرعادی شبکه

کنترل ترافیک شبکه فقط به مسدود کردن ارتباطات محدود نمی‌شود.

گاهی یک ارتباط از نظر Policy مجاز است، اما رفتار آن غیرعادی است.

برای مثال:

یک Workstation معمولی در حالت عادی فقط با چند سرویس مشخص ارتباط دارد. اگر ناگهان شروع به برقراری ارتباط با تعداد زیادی Server کند، این رفتار می‌تواند نیازمند بررسی باشد.

تیم امنیت می‌تواند با استفاده از ابزارهایی مانند:

• NetFlow
• IPFIX
• Firewall Logs
• NDR
• SIEM

الگوهای معمول ترافیک شبکه را شناسایی و تغییرات غیرعادی را بررسی کند.

تحلیل ترافیک شبکه می‌تواند علاوه بر مسائل امنیتی، برای پیدا کردن Bottleneckهای عملکردی و مشکلات پهنای باند نیز استفاده شود.

اشتباهات رایج در مدیریت ترافیک شبکه

برخی اشتباهات در طراحی و مدیریت ترافیک شبکه می‌توانند سطح ریسک امنیتی را افزایش دهند:

• تمرکز فقط روی Perimeter:
  محدود کردن کنترل‌های امنیتی به Edge Firewall باعث می‌شود بخشی از ارتباطات داخلی کمتر تحت کنترل قرار گیرد.
• قرار دادن تمام سیستم‌ها در یک Segment:
  Flat Network می‌تواند مسیرهای بیشتری برای حرکت جانبی مهاجم ایجاد کند.
• استفاده بیش از حد از Any-to-Any:
  Ruleهای بسیار باز، کنترل دسترسی میان سیستم‌ها و بررسی ارتباطات غیرضروری را دشوار می‌کنند.
• نادیده گرفتن ارتباطات Server-to-Server:
  ارتباط میان سرورها نیز باید بر اساس نیاز واقعی سرویس‌ها کنترل شود و نباید صرفاً به دلیل داخلی بودن، قابل اعتماد در نظر گرفته شود.
• نبود مستندسازی و بازبینی Policyها:
  Ruleهای قدیمی یا دسترسی‌هایی که دیگر موردنیاز نیستند، می‌توانند به مرور زمان سطح حمله شبکه را افزایش دهند.

چگونه یک معماری امن برای ترافیک شبکه طراحی کنیم؟

۱. شناسایی جریان‌های ترافیک

ابتدا باید مشخص شود چه سیستم‌هایی با یکدیگر ارتباط دارند و هر ارتباط برای چه سرویسی موردنیاز است.

در این مرحله، ترافیک North-South مانند ارتباط با اینترنت و سرویس‌های خارجی از ترافیک East-West مانند ارتباط میان Serverها، Applicationها و Databaseها تفکیک می‌شود.

۲. دسته‌بندی سیستم‌ها و Workloadها

سیستم‌ها باید بر اساس نقش و سطح حساسیت در بخش‌های منطقی مناسب قرار گیرند.

برای مثال:

• User Network
• Application Network
• Database Network
• Management Network
• Server Network
• DMZ

این دسته‌بندی پایه‌ای برای اعمال کنترل دسترسی میان بخش‌های مختلف شبکه ایجاد می‌کند.

۳. تعیین ارتباطات مجاز

برای هر بخش باید مشخص شود چه منابعی باید در دسترس باشند و چه ارتباطاتی ضرورتی ندارند.

در این مرحله می‌توان مبدأ، مقصد، Protocol ، Port و در صورت نیاز Application یا هویت کاربر را برای هر ارتباط مشخص کرد.

۴. پیاده‌سازی Segmentation

پس از مشخص شدن وابستگی‌ها، ارتباط میان بخش‌های مختلف باید با استفاده از مکانیزم‌های مناسب کنترل شود.

بسته به معماری شبکه، این کار می‌تواند با استفاده از VLAN ، Firewall ، Virtual Firewall ، Security Group یا سایر کنترل‌های دسترسی انجام شود.

۵. اعمال Least Privilege

دسترسی‌ها باید بر اساس اصل Least Privilege تعریف شوند؛ یعنی هر کاربر، سیستم یا سرویس فقط به منابعی دسترسی داشته باشد که برای انجام وظایف خود به آن نیاز دارد.

به این ترتیب، به‌جای ایجاد دسترسی‌های گسترده، ارتباطات مشخص و موردنیاز مجاز می‌شوند.

۶. بازبینی و بهینه‌سازی Policyها

Policyهای شبکه باید به‌صورت دوره‌ای بررسی شوند. با تغییر سرویس‌ها، کاربران و Workloadها، ممکن است برخی دسترسی‌ها دیگر موردنیاز نباشند یا نیاز به تغییر داشته باشند.

بنابراین Ruleهای بلااستفاده، دسترسی‌های اضافی و Policyهای قدیمی باید شناسایی و اصلاح شوند.

در نهایت، یک معماری مناسب باید بتواند ترافیک North-South و East-West را متناسب با نیاز هر بخش کنترل کند و دسترسی‌ها را بر اساس سطح نیاز و ریسک تنظیم کند.

FortiGate ،Sophos و Cisco در کنترل ترافیک داخلی

فایروال‌های نسل جدید مانند FortiGate، Sophos Firewall و Cisco Secure Firewall فقط برای کنترل ترافیک اینترنت استفاده نمی‌شوند و می‌توانند در معماری‌های Segmentation و کنترل ارتباطات داخلی نیز نقش داشته باشند.

برای مثال، Fortinet در معماری‌های Data Center و Cloud، استفاده از FortiGate برای بررسی و کنترل East-West Traffic را مطرح می‌کند و در کنار آن از Segmentation و Zero Trust برای محدود کردن حرکت جانبی استفاده می‌شود.

اما انتخاب محصول نباید صرفاً بر اساس برند انجام شود. محل استقرار فایروال، حجم ترافیک، Latency، معماری Virtualization یا Cloud، تعداد Sessionها و نوع Security Inspection باید در طراحی در نظر گرفته شوند. Fortinet نیز در راهنمای معماری دیتاسنتر، تفاوت الگوی North-South و East-West و ملاحظاتی مانند Throughput و Latency را از عوامل مهم طراحی معرفی می‌کند.