لا تنطوي معظم الحوادث الأمنية في السحابة على اختراق البنية التحتية الخاصة بمزوّد الخدمة السحابية نفسه، بل تتعلق بإعدادات العميل: حاوية تخزين تُركت عامة، أو مفتاح وصول أُودع في مستودع شيفرة، أو حساب مسؤول دون مصادقة متعددة العوامل، أو قاعدة بيانات يمكن الوصول إليها من الإنترنت بأكمله. يعمل مزوّدو الخدمات السحابية وفق نموذج المسؤولية المشتركة، الذي يتولون فيه تأمين المنصة الأساسية، وتتولى أنت تأمين ما تُعدّه عليها. يسرد هذا الدليل أكثر مخاطر أخطاء إعدادات السحابة شيوعًا وفحوصًا عملية لكل منها.
ما هو
خطأ إعدادات السحابة هو أي إعداد في حساباتك السحابية يعرّض البيانات أو الأنظمة أكثر مما هو مقصود، أو يتركك عاجزًا عن اكتشاف المشكلات والتعافي منها. وتميل هذه الأخطاء إلى التراكم مع نمو الفرق، وإنشاء المشاريع بسرعة، وتحوّل التغييرات المؤقتة إلى دائمة. والفئات الرئيسية متشابهة في AWS وMicrosoft Azure وGoogle Cloud. الهوية والوصول: أدوار واسعة أكثر من اللازم، ومفاتيح وصول طويلة الأمد، وحسابات مشتركة، وغياب المصادقة متعددة العوامل (MFA). التخزين: حاويات أو كائنات blob أو لقطات يمكن لأي شخص قراءتها أو مشاركة على نطاق واسع جدًا. الشبكة: مجموعات أمان أو قواعد جدار حماية مفتوحة لجميع العناوين، ومنافذ إدارة مكشوفة، وشبكات مسطحة دون تجزئة. الأسرار: بيانات اعتماد في الشيفرة أو ملفات البيئة أو صور الحاويات. التسجيل: سجلات تدقيق معطّلة أو غير محفوظة أو لا تُراجَع أبدًا. التشفير: بيانات حساسة مخزّنة دون تشفير أو بمفاتيح سيئة الإدارة. المرونة: نسخ احتياطية مفقودة أو غير مختبرة أو مخزّنة في الحساب نفسه الذي يُفترض أن تحميه. الحوكمة: حسابات غير معروفة، وموارد دون وسوم، ومشاريع بلا مالك.
لمن هذا؟
قائمة التحقق هذه مفيدة لـ:
- الشركات الناشئة والشركات الصغيرة والمتوسطة التي نمت بيئتها السحابية بسرعة دون تصميم رسمي
- الفرق التي تستعد لمراجعة أمنية من عميل أو لعملية فحص نافٍ للجهالة (Due Diligence)
- المؤسسات التي تخطط لتشغيل أحمال عمل الذكاء الاصطناعي أو البيانات في السحابة
- المديرين الذين ورثوا حسابات سحابية من موظفين أو موردين سابقين
ما يساعد على توضيح
يساعد العمل وفق قائمة التحقق على توضيح:
- من يملك صلاحيات إدارية، وما إذا كانت محمية ولا تزال ضرورية
- البيانات التي يمكن الوصول إليها علنًا، عن قصد أو دون قصد
- ما إذا كنت ستلاحظ نشاطًا مريبًا وتستطيع التحقيق فيه
- ما إذا كنت تستطيع استعادة الأنظمة الحرجة إذا تعرّض أحد الحسابات للاختراق
ما هو متضمن
- فرض المصادقة متعددة العوامل (MFA) على جميع المستخدمين البشريين، ولا سيما المسؤولين وحساب الجذر أو المالك
- استبدال مفاتيح الوصول طويلة الأمد بأدوار أو بيانات اعتماد قصيرة الأمد حيثما أمكن
- مراجعة الأدوار وفق مبدأ الحد الأدنى من الصلاحيات وإزالة المستخدمين والصلاحيات غير المستخدمة
- حظر الوصول العام إلى التخزين افتراضيًا ومراجعة أي استثناءات
- قصر منافذ الإدارة وقواعد البيانات على شبكات معروفة أو وصول خاص
- نقل الأسرار إلى خدمة مُدارة للأسرار وفحص المستودعات بحثًا عن مفاتيح مسرّبة
- تفعيل سجلات التدقيق في كل حساب ومنطقة قيد الاستخدام، والاحتفاظ بالسجلات بشكل آمن
- ضبط تنبيهات للأحداث عالية المخاطر، مثل إضافة مسؤولين جدد أو تعطيل التسجيل أو جعل التخزين عامًا
- تشفير البيانات الحساسة أثناء التخزين والتحكم فيمن يمكنه إدارة المفاتيح
- نسخ البيانات الحرجة احتياطيًا إلى حساب أو موقع منفصل واختبار الاستعادة
- الاحتفاظ بقائمة جرد للحسابات والمشاريع ومالكي الموارد
- استخدام البنية التحتية كشيفرة ومراجعة التغييرات قبل تطبيقها
ما لا يشتمل عليه
- ادعاء بأن البيئة التي جرت مراجعتها لا يمكن اختراقها
- تدقيق سحابي رسمي أو شهادة أو اعتماد امتثال
- اختبار الاختراق ما لم يُحدَّد نطاقه بشكل منفصل
- المراقبة المستمرة أو العمليات المُدارة ما لم يُتفق على ذلك بشكل منفصل
متى تختارها
استخدم قائمة التحقق هذه إن لم تراجع حساباتك السحابية منذ فترة، وقبل مراجعة أمنية من عميل أو مستثمر، وبعد تغييرات في الموظفين أو الموردين، وقبل إدخال أحمال عمل الذكاء الاصطناعي أو البيانات الكبيرة. وإن لم تستطع الإجابة بسرعة عمّن يملك صلاحيات إدارية على كل حساب، فابدأ من هناك.
نهجنا
أعطِ الأولوية للهوية أولًا، لأن معظم الضوابط الأخرى تعتمد عليها. ثم أزِل التعرّض العام، وأمّن الأسرار، وتأكد من أن التسجيل والنسخ الاحتياطية تدعم الاكتشاف والتعافي. وتعامل مع الإصلاحات على أنها عمل هندسي له مالكون وإدارة للتغيير، لا عملية تنظيف لمرة واحدة. تغطي خدمتنا «Cloud Platform & Production Engineering» قرارات البنية، وخطوط الإصدار، وقابلية الرصد، والنسخ الاحتياطي، وأدلة إجراءات الاستعادة للبيئات المتفق عليها، ولا تُجرى تغييرات الإنتاج إلا وفق خطة معتمدة وتفويض كتابي صريح. وإذا كنت تحتاج أولًا إلى رؤية موثّقة للوضع الحالي، فيمكن لخدمة «Security Baseline Review» تقديم ملاحظات مصنّفة حسب درجة الخطورة، كما تقدّم مراجعة «AI & Cloud Readiness» بطاقة تقييم للجاهزية وسجل قرارات يركّزان على الأسس اللازمة لأحمال عمل الذكاء الاصطناعي. ويمكن تحديد نطاق اختبار اختراق التطبيقات المستضافة في السحابة بشكل منفصل. راجع قائمة التحقق بانتظام؛ فالإعدادات تنحرف مع تغيّر الفرق والمشاريع.
الأسئلة المتكررة
مقالات ذات صلة
ابدأ
هل تريد رؤية أوضح لإعدادات السحابة لديك؟
شاركنا المزوّدين والحسابات التي تستخدمها، وما يعمل عليها، وأي مراجعة أو ترحيل مرتقب. وسنقترح نطاقًا مكتوبًا.
اطلب نطاقًا مكتوبًا