راهکارها – تقویت تاب‌آوری (Resilience) ارائه‌دهندگان خدمات در عصر هوش مصنوعی

مقدمه: واقعیت ۸ ساعته

زمان به سرعت در حال گذر است. بر اساس تحلیل سیسکو، فاصله زمانی میان کشف یک آسیب‌پذیری (Vulnerability) و ظهور یک اکسپلویت (Exploit) مخرب، انتظار می‌رود از حدود ۲.۳ سال در سال ۲۰۱۸ به تنها ۸ ساعت در ژوئن ۲۰۲۶ کاهش یابد. این تشدید سریع با ریسک پایدار زیرساخت‌های فرسوده دوچندان می‌شود. طبق گزارش بررسی سالانه Cisco Talos Intelligence 2025، چهل درصد از آسیب‌پذیری‌ها مستقیماً دستگاه‌های پایان عمر (EOL) را تحت تأثیر قرار می‌دهند و ۳۲ درصد از آسیب‌پذیری‌ها حداقل یک دهه قدمت دارند. ما وارد عصر هوش مصنوعی (AI) شده‌ایم که سازمان‌ها را ملزم می‌کند قابلیت‌های امنیتی را پیاده‌سازی کنند که با سرعت و مقیاس هوش مصنوعی عمل می‌کنند و در عین حال، مدل عملیاتی را اتخاذ کنند که از رویکردی مستمر برای دفاع سایبری پشتیبانی نماید. این گذار، هم نشان‌دهنده تکاملی ضروری در قابلیت‌های فنی و هم یک تغییر بنیادی سازمانی است.

به عنوان یکی از اعضای اولیه پروژه Glasswing شرکت Anthropic و پروژه Daybreak شرکت OpenAI، شرکت Cisco از دسترسی مستقیم و زودهنگام به مدل‌های Claude Mythos Preview و GPT-5.5-Cyber بهره می‌برد. این همکاری به ما امکان می‌دهد تا مشکلات موجود در پایگاه‌های کد (Codebases) را شناسایی و رفع کنیم و چرخه حیات توسعه نرم‌افزار (Software Development Lifecycle) خود را برای پیشگیری، شناسایی و پاسخ به تهدیدات ارتقا دهیم.

برای ارائه‌دهندگان خدمات ارتباطی (CSPs)، مدل‌های عملیاتی فعلی برای پاسخگویی به این چشم‌انداز کافی نیستند. برای بقا و پیشرفت، ارائه‌دهندگان خدمات ارتباطی (CSPs) باید تحول معماری خود را به سمت شبکه‌های ساده‌سازی‌شده و خودکار (Autonomous) تسریع بخشند. این مقاله سه رکن اصلی این تحول را ترسیم می‌کند: ساده‌سازی شبکه (Network Simplification)، بهداشت نرم‌افزاری خودکار (Automated Software Hygiene) و تقویت چشم‌انداز سازمانی (Enterprise Landscape) خودِ ارائه‌دهندگان خدمات ارتباطی.

ستون اول: ساده‌سازی شبکه (Network simplification)

پیچیدگی شبکه همواره باعث گسترش سطوح حمله (Attack Surfaces) می‌شود. با کاهش تعداد گره‌ها (Nodes) و ساده‌سازی فرآیندها، وضعیت شبکه به چالشی قابل مدیریت تبدیل می‌گردد. تغییرات معماری زیر برای کاهش پیچیدگی و همزمان محدود کردن سطح تهدیدات (Threat Surface) حیاتی هستند.

مسیریابی بخش‌بندی‌شده (Segment Routing – SR): زیربنای سادگی

در حالی که مسیریابی بخش‌بندی‌شده (Segment Routing یا SR) به دلیل توانایی‌اش در «تکه‌تکه کردن» (Slice) هوشمندانه شبکه‌ها به توافق‌نامه‌های سطح خدمات (SLA) دقیق و تضمین‌شده بسیار مورد تحسین است، محرک اصلی و اولیه آن، سادگی بنیادین بوده است. با کاهش پشته پروتکل (Protocol Stack) از چهار به یک، SR به طور چشمگیری سطح حمله (Attack Surface) شبکه را کوچک می‌کند.

قابلیت تکه‌تکه‌سازی (Slicing) در SR، پلتفرم حیاتی برای همگرایی سرویس‌ها (Service Convergence) را فراهم می‌کند و امکان کنار گذاشتن شبکه‌های قدیمی و پیچیده را حتی در محیط‌های متنوع میسر می‌سازد. یک نمونه برجسته، شرکت Swisscom است که با موفقیت 20 شبکه مجزا را در یک پلتفرم واحد SRv6 همگرا کرد. این اقدام نه تنها ارائه سرویس‌های تضمین‌شده سرتاسری (e2e) را ممکن ساخت، بلکه سطح تهدیدات (Threat Surface) را به میزان قابل‌توجهی کاهش داد و در عین حال، زیرساخت را برای تقاضاهای سخت‌گیرانه ترافیک رو به رشد هوش مصنوعی (AI) بر بستر WAN، آینده‌نگرانه (Future-proof) کرد.

یکی از دستاوردهای کلیدی این نوسازی، حذف نظام‌مند سیستم‌های آسیب‌پذیر و پایان‌یافته از نظر پشتیبانی (End-of-Support یا EoS) است؛ نرم‌افزارهایی که دیگر امکان وصله‌گذاری (Patch) یا ارتقاء ندارند و اغلب فاقد محافظت‌های مدرن مانند مکانیزم‌های ایمنی حافظه (Memory Safety) و کاهش‌دهنده‌های اکسپلویت (Exploit Mitigations) هستند. برای تسریع این فرآیند، می‌توانید از پلتفرم Cisco IQ استفاده کنید تا به سرعت سخت‌افزارها و نرم‌افزارهای فاقد پشتیبانی را در سراسر زیرساخت خود شناسایی کنید. علاوه بر این، این پلتفرم‌های نوسازی‌شده به‌صورت بومی از رمزنگاری پساکوانتومی (Post-quantum Cryptography) پشتیبانی می‌کنند که تضمین می‌کند داده‌های ارزشمند مشتریان شما، حتی در حالی که برای دنیای رایانش کوانتومی فردا آماده می‌شویم، امروز نیز محافظت‌شده باقی بمانند.

جداسازی صفحه کنترل از صفحه کاربری (Control User Plane Separation – CUPS) و سرویس‌های ابری (aaS)

مدیریت مشترکین تلفن همراه و خطوط ثابت ذاتاً پیچیده است، به‌ویژه از دیدگاه صفحه کنترل (Control Plane). سیسکو دریافته است که با متمرکز کردن این پیچیدگی صفحه کنترل، صفحات کاربری (User Planes) توزیع‌شده—که امکان شکست ترافیک (Traffic Breakout) را در نزدیکی مشترک فراهم می‌کنند—بر روی یک پشته نرم‌افزاری (Software Stack) به‌مراتب ساده‌تر عمل می‌کنند.

دروازه شبکه پهن‌باند (Broadband Network Gateway) با قابلیت جداسازی صفحه کنترل و کاربر (CUPS BNG)، لبه شبکه مشترکین را از طریق جداسازی صفحه کنترل (Control Plane) و صفحه کاربر (User Plane) مدرن‌سازی کرده و معماری چابک‌تر، مقیاس‌پذیرتر و ساده‌تری را از نظر عملیاتی در اختیار اپراتورها قرار می‌دهد. مدیریت مشترکین در شبکه‌های سیمی ذاتاً پیچیده است، به‌ویژه در صفحه کنترل که وضعیت مشترک، سیاست‌ها (Policy)، احراز هویت (Authentication)، یکپارچه‌سازی با سیستم‌های پشتیبانی عملیات و کسب‌وکار (OSS/BSS) و منطق سرویس باید در مقیاس بالا مدیریت شوند. با متمرکز کردن این پیچیدگی در یک صفحه کنترل ابری و مبتنی بر میکروسرویس‌ها، اپراتورها می‌توانند صفحه کنترل و صفحه کاربر (CP and UP) را به‌طور مستقل مقیاس‌دهی کنند، مدیریت چرخه حیات مبتنی بر CI/CD را اعمال نمایند و ارتقاهای صفحه کنترل را به‌صورت کاملاً ساده و بدون وقفه (Hitless) امکان‌پذیر سازند. این موضوع در عصر عملیات مبتنی بر هوش مصنوعی (AI-driven operations) اهمیت فزاینده‌ای دارد؛ جایی که رفع سریع مشکلات، از جمله اصلاحات در عصر هوش مصنوعی، باید به‌صورت ایمن، سریع و بدون ایجاد قطعی برای مشترکین انجام شود.

در عین حال، CUPS امکان قرارگیری صفحات کاربری (User Planes) توزیع‌شده را در نزدیکی مشترکین برای تخلیه بار در لبه شبکه (Edge Offload) فراهم می‌کند که باعث بهبود عملکرد و کاهش ترافیک غیرضروری در شبکه پشتیبان (Backhaul) می‌شود. از آنجایی که صفحه کاربری (UP) دیگر وضعیت مشترک یا وابستگی‌های مستقیم به OSS/Northbound را حمل نمی‌کند، بر روی یک پشته نرم‌افزاری (Software Stack) به‌مراتب ساده‌تر اجرا می‌شود که منجر به کاهش تقریبی ۴۰ درصدی در پیچیدگی نرم‌افزاری صفحه کاربری می‌گردد. این ساده‌سازی، ریسک عملیاتی را کاهش داده، ارتقای UP را ایمن‌تر می‌سازد و شعاع تأثیر تغییرات (Blast Radius) را در مقایسه با مدل یکپارچه BNG محدود می‌کند. با استفاده از هدایت نشست (Session Steering)، اپراتورها می‌توانند خدمات جدید را سریع‌تر ایجاد و معرفی کنند، ترافیک را به موقعیت مناسب صفحه کاربری هدایت نمایند و منابع پردازشی و ارسال (Forwarding) را برای دستیابی به ابعاد بهینه، با تقاضای شبکه هماهنگ کنند. در مجموع، CUPS BNG مقیاس‌پذیری منعطف (Elastic Scale)، چابکی در ارائه خدمات، ارتقاهای ساده‌سازی شده، تخلیه بار در لبه شبکه و مدیریت یکپارچه مشترکین را در انواع دسترسی‌ها نظیر شبکه نوری غیرفعال گیگابیتی (GPON)، شبکه PON متقارن 10Gbps (XGS-PON) و دسترسی بی‌سیم ثابت (FWA) ارائه می‌دهد.

با توجه به پیچیدگی ذاتی هسته بسته موبایل (Mobile Packet Core)، شرکت Cisco این عملکرد را به صورت سرویس (aaS) ارائه می‌دهد. این مدل امکان انطباق با الزامات حاکمیتی سخت‌گیرانه را فراهم می‌کند؛ برای مثال، میزبانی صفحه کنترل (Control Plane) در حوزه قضایی اتحادیه اروپا (مانند فرانکفورت) در حالی که صفحه کاربر (User Plane) به صورت محلی (مانند میلان) مدیریت می‌شود. با ارائه این قابلیت به عنوان یک سرویس، Cisco تخصص عمیق خود در امنیت Kubernetes را به کار می‌گیرد و با پیاده‌سازی فیلتر بسته برکلی توسعه‌یافته (eBPF) در سطوح مختلف پشته (Stack)، تمرکز دقیق و ویژه‌ای بر سلامت و بهداشت نرم‌افزار (Software Hygiene) حفظ می‌کند.

همگرایی لایه (Layer convergence) و سیستم روی تراشه (SoC)

ادغام لایه نوری (Optical layer) در لایه مسیریابی/سوئیچینگ (Routing/Switching) از طریق ماژول‌های نوری قابل‌تعویض (Pluggable optics) با فرم‌فاکتور استاندارد و کارایی بالا، بُعد جدیدی به همگرایی (Convergence) و در نتیجه ساده‌سازی شبکه می‌افزاید. صرفه‌جویی در مصرف انرژی تا ۸۵ درصد – که اخیراً در پیاده‌سازی شبکه نوری مسیریابی‌شده (Routed Optical Networking) توسط Deutsche Telekom تأیید شده است – محرکی برای به‌کارگیری گسترده این فناوری در جریان اصلی بازار است. اکنون مزیت نوظهور دیگر این است که با حذف لایه‌ای دیگر از تجهیزات و کدهای اجرایی بر روی آن‌ها، سطح تهدیدات (Threat surface) به صورت ذاتی بیش از پیش کاهش می‌یابد.

طراحی‌های سیستم روی تراشه (System-on-a-Chip یا SoC)

بهره‌گیری از طراحی‌های System-on-a-Chip (SoC) — که در آن SerDes از پردازنده‌های شبکه (NPU) با مقیاس‌پذیری بالا و اندازه بهینه، اتصال مستقیم به رابط‌های روتر را فراهم می‌کند — مزایای چشمگیری را در ابعاد مختلف ارائه می‌دهد. با حذف نیاز به قطعات اضافی پرمصرف و گران‌قیمت مانند کارت‌های فابریک (fabric cards) و ماژول‌های حافظه اضافی که در طراحی‌های سنتی وجود دارند، ما پیچیدگی سخت‌افزاری را کاهش می‌دهیم. این کاهش در قطعات فیزیکی، به‌طور ذاتی سربار نرم‌افزاری مورد نیاز برای مدیریت آن‌ها را کم می‌کند که این امر به نوبه خود به کاهش نرخ خرابی‌های احتمالی و کوچک‌تر شدن سطح کلی تهدیدات (threat surface) کمک می‌کند.

در حالی که پلتفرم‌های ماژولار همچنان سنگ‌بنای سبد محصولات ما هستند و به ارائه پشتیبانی ضروری برای محیط‌های با ظرفیت بالا (High-capacity) و تراکم بالا (High-density) ادامه می‌دهند، صنعت به طور فزاینده‌ای در حال به‌کارگیری طراحی‌های مبتنی بر SoC برای دستیابی به بهره‌وری بیشتر در سناریوهای خاص استقرار است.

معماری‌های تاب‌آور (Resilient)

فراتر از خود سخت‌افزار، ما باید معماری‌های شبکه را که برای تاب‌آوری (Resilience) و مقرون‌به‌صرفه بودن بهینه شده‌اند، بازنگری کنیم. طراحی شبکه مدرن به سمت دامنه‌های خرابی (Failure domains) کوچک‌تر در حال حرکت است که «شعاع انفجار» (Blast radius) هر حادثه احتمالی را محدود کرده و پتانسیل حرکت جانبی (Lateral movement) توسط عوامل تهدید را کاهش می‌دهد.

این امر اکنون بیش از هر زمان دیگری از طریق پلتفرم‌های ساده‌تر و همگرایی (Convergence) لایه‌های بیشتر، دست‌یافتنی است. با سرمایه‌گذاری بر روی استراتژی‌های اتصال دوگانه (Dual-homing) در هر زمان ممکن، ما امکان خارج کردن اجزای منفرد از مدار برای تعمیر و نگهداری یا ارتقا را بدون ایجاد اختلال عمده در سرویس فراهم می‌کنیم. هنگامی که این سیستم‌های ساده‌سازی شده در معماری‌های فیزیکی افزونه (Redundant) و مبتنی بر فابریک (Fabric-type) ترکیب می‌شوند، زمان در دسترس بودن (Uptime) کل شبکه به طور چشمگیری افزایش می‌یابد. نکته حیاتی این است که چون این شاسی‌های (Chassis) منفرد می‌توانند بدون تأثیر بر ترافیک زنده سرویس‌دهی شوند، ارتقای نرم‌افزاری در کل ناوگان بسیار ساده‌تر شده و می‌تواند با تناوب بیشتری انجام شود. این تغییر در تفکر معماری، یک عامل توانمندساز بنیادی برای موضوع بعدی ما یعنی بهداشت نرم‌افزاری (Software Hygiene) جامع است.

ستون دوم: بهداشت نرم‌افزار (Software hygiene) و امنیت زمان اجرا (Runtime security)

آسیب‌پذیری‌های سیستم‌عامل (Operating system) به‌طور فزاینده‌ای با سرعت ماشین کشف و مورد بهره‌برداری قرار می‌گیرند. این تغییر، الزامات مدیریت وصله (Patch management) را به‌طور بنیادی دگرگون کرده و رویکردهای جدیدی را برای دفاع در برابر تهدیدات روز صفر (Zero-day threats) ضروری می‌سازد. هر دو چالش باید به‌صورت جامع و به‌عنوان بخشی از یک عملیات مدرن و خودکار بهداشت نرم‌افزار (Software hygiene) مورد توجه قرار گیرند.

تهدیدات روز صفر (Zero-day threats) و محافظت زنده (Live Protect)

چرخه‌های وصله‌گذاری (Patching) دستی نمی‌توانند با سرعت آسیب‌پذیری‌های حیاتی مدرن همگام شوند و اجرای چنین ارتقاهای مکرر و مختل‌کننده‌ای برای ارائه‌دهندگان خدمات ابری (CSPs) از نظر عملیاتی امکان‌پذیر نیست. در این فاصله، ما می‌توانیم کنترل‌های جبرانی (Compensating Controls) را برای ایزوله‌سازی فرآیندهای آسیب‌پذیر مستقر کنیم. با استقرار یک عامل مبتنی بر eBPF در هسته سیستم‌عامل (Operating System Kernel)، شرکت Cisco می‌تواند بدون تأثیر بر عملکرد پردازنده (CPU) یا ایجاد ریسک توقف شبکه (Network Downtime)، به‌سرعت از سیستم‌ها محافظت کند.

این راهکار، Live Protect، هم‌اکنون برای خانواده Cisco Nexus Data Center Networking و مسیریابی سازمانی (Cisco IOS XE) در دسترس است و در حال حاضر برای پلتفرم‌های مسیریابی XR در دست توسعه می‌باشد. این راهکار مسیری شفاف برای محافظت سرتاسری در برابر تهدیدات روز صفر (Zero-day protection) فراهم می‌کند؛ از برنامه‌های کاربردی در حال اجرا در مرکز داده (Data Center) امن، از طریق شبکه گسترده (WAN) و آخرین مایل (Last mile) آن، تا تجهیزات مستقر در محل مشتری (CPE) که تحت مدیریت شما هستند.

اگرچه این موضوع خارج از محدوده اصلی این مقاله است، اما شایان ذکر است که eBPF یک مؤلفه بنیادی در Cisco Hybrid Mesh Firewall و Isovalent نیز محسوب می‌شود. این راهکارها به صورت هماهنگ عمل می‌کنند تا حفاظت فایروال (Firewall) را به پورت‌های سوئیچ (Switch) در بالای رک (Top-of-Rack) و مستقیماً به هسته (Kernel) میزبان گسترش دهند.

وصله نرم‌افزاری کامل (Full software patching)

با انتشار یک وصله نرم‌افزاری (Software Patch)، چالش اصلی، چرخه تست طولانی‌مدت—که اغلب چندین ماه به طول می‌انجامد—و مورد نیاز عملیات‌های CSP پیش از استقرار است. Cisco با به‌کارگیری یادگیری ماشین (Machine Learning) و خدمات پیشرفته، این چرخه‌های اعتبارسنجی (Validation Cycles) را به‌طور چشمگیری کوتاه می‌کند.

نقش راهکارهای مدیریت ناوگان نرم‌افزاری (Software fleet management) در این فرآیند به‌طور فزاینده‌ای حیاتی می‌شود. هنگامی که این راهکارها با معماری‌های فابریک (Fabric architectures) ترکیب می‌شوند، امکان استقرار سریع ارتقاهای نرم‌افزاری بدون تأثیر بر ترافیک (Non-traffic-impacting) را فراهم کرده و نیاز سنتی به انتظار برای پنجره‌های نگهداری (Maintenance window) کاملاً برنامه‌ریزی‌شده را از بین می‌برند. این رویکرد جامع—که شامل کنترل‌های جبرانی روز صفر (Zero-day compensating controls) و استقرار سریع نرم‌افزار است—باید تحت نظارت یک کنترلر یکپارچه شبکه مبتنی بر نرم‌افزار (SDN) مدیریت شود، همان‌طور که در زیر نشان داده شده است.

ستون سوم: ایمن‌سازی زیرساخت عملیاتی (Operational Enterprise)

تأمین امنیت سازمانی که شبکه را مدیریت می‌کند

اگرچه تمرکز این مقاله بر مأموریت اصلی ارائه‌دهندگان خدمات (Service Provider) یعنی تعبیه امنیت در زیرساخت شبکه برای ارائه خدمات تاب‌آور (Resilient) به مشتریان بوده است، اما یک حوزه اغلب نادیده گرفته شده وجود دارد که برای تاب‌آوری کلی حیاتی است: شبکه داخلی سازمان (Enterprise Network). تضمین زمان در دسترس بودن (Uptime) این شبکه برای آنلاین نگه داشتن تیم‌های عملیاتی ضروری است، اما در عین حال یک بردار حمله (Attack Vector) قابل‌توجه نیز محسوب می‌شود. در صورت نفوذ به این شبکه، این بخش به عنوان دروازه‌ای برای عوامل تهدید (Threat Actors) عمل می‌کند تا به داده‌های مشتریان دسترسی پیدا کنند یا به زیرساخت تولید (Production Infrastructure) دسترسی‌های سطح بالا (Privileged Access) یابند.

Cisco Cloud Control به عنوان یک پلتفرم عملیاتی یکپارچه برای کل زیرساخت‌های سازمانی عمل می‌کند. این راهکار با همگرا کردن هویت (شامل هویت عامل‌های هوش مصنوعی)، توپولوژی (Topology) و سیاست‌ها (Policy) در حوزه‌های شبکه، امنیت و مشاهده‌پذیری (Observability)، امکان مدیریت زیرساخت‌های حیاتی را از یک محیط واحد فراهم می‌سازد. این رویکرد، فراتر از نظارت (Monitoring) غیرفعال حرکت کرده و به اجرای فعالانه منجر می‌شود؛ امری که دفاع در لحظه و عملیات بهینه‌سازی شده—از جمله ارتقای نرم‌افزاری در سطح کل ناوگان و حفظ یکپارچگی پیکربندی (Configuration)—را در یک مسیر کنترلی تحت نظارت، امکان‌پذیر می‌سازد.

این رویکرد متمرکز، پیچیدگی را کاهش داده و به تیم‌های شما اجازه می‌دهد تا یک وضعیت امنیتی (Security Posture) منسجم را در سراسر شبکه داخلی حفظ کنند.

نکات پایانی

در عصر هوش مصنوعی، امنیت دیگر یک ویژگی (Feature) نیست، بلکه یک مدل عملیاتی اصلی است. با پذیرش و تسریع در ساده‌سازی شبکه، بهداشت نرم‌افزاری خودکار (Autonomous software hygiene) و کنترل یکپارچه سازمانی، ارائه‌دهندگان خدمات (Service Providers) می‌توانند زیرساخت خود را به پلتفرمی تاب‌آور و پیش‌دستانه تبدیل کنند که قادر به دفاع در برابر پیچیده‌ترین تهدیدات عصر هوش مصنوعی باشد. Cisco به این سفر جامع متعهد است؛ محافظت از تجهیزات CPE سازمانی تحت مدیریت شما، در سراسر شبکه WAN تا برنامه‌های میزبانی‌شده و در واقع محیط سازمانی خودتان، با به‌کارگیری تخصص و ابزارهای مبتنی بر هوش مصنوعی که برای ایمن‌سازی زیرساخت‌های حیاتی جهان ضروری هستند.