تقسية أمان الكلاود: IAM والأسرار والمراجعات اللي بتصمد

الأمان صفة، مش منتج

خليني أحكي معك بصراحة: ما فيك تشتري نظام آمن. ما في أداة بتخلي دور IAM بصلاحيات زيادة آمن، ولا بتخلي سر محطوط بملف config يظل سر. الأمان صفة بطريقة بناء النظام وتشغيله، والتقسية هي الشغل المستمر لإزالة الطرق اللي ممكن تخرب فيها الأمور.

أغلب الاختراقات مش غريبة ولا معقدة. هي مفتاح مسرب معه وصول أكتر من اللازم، bucket تخزين متروك عام، رابط callback وصل لخدمة داخلية، سجل تدقيق ما حدا احتفظ فيه. شغل التقسية ممل ومحدد، وهو الفرق بين نظام بينجو من غلطة ونظام بيحول الغلطة لعنوان بالأخبار.

هدف التقسية مش إنك تخلي الهجوم مستحيل. الهدف إنك تخلي الغلطة الواحدة قابلة للنجاة، بإنك تضمن إنه ما في فشل واحد إله نطاق ضرر كبير.

منعمل مراجعات معمارية أمنية وتقسية كجزء من شغلنا في الاستشارات، ومنبني هالضوابط بمنصاتنا نحنا، Exfinity وOGuardAI. هالدليل هو اللي فعلياً منفحصه ومنصلحه. للزاوية الخاصة بالـ AI، اقرنه مع دليل حوكمة الـ AI ودليل منع تسرب البيانات.

مين بيهتم بشو

الهوية: أقل امتياز أو ولا شي

أكتر نتيجة خطيرة شائعة بأي مراجعة هي هوية بصلاحيات زيادة. دور بيقدر يعمل أكتر بكتير من اللي شغله بيحتاجه هو كارثة مفتاح مسرب ناطرة تصير. الحل هو أقل امتياز: كل هوية بتاخد بالضبط الوصول اللي بتحتاجه، ولا أكتر.

هالشغلة مملة وبتستاهل. بيانات اعتماد مخترقة محدودة بقراءة bucket واحد هي حادثة. نفس بيانات الاعتماد مع صلاحية كتابة واسعة هي كارثة.

بمنصاتنا نحنا، هويات الآلات محصورة لكل خدمة وبتتبدل دورياً، ووصول البشر منفصل عن وصول الآلات بامتيازات مختلفة. المبدأ بينطبق على أي كلاود. دليل تصميم الأنظمة متعددة المستأجرين عنا بيغطي كيف حصر الهوية بيتفاعل مع عزل المستأجرين.

الأسرار: لا بالكود ولا بالإعدادات

السر اللي بمستودع كود هو سر تسرب، سواء حدا لقاه لهلق أو لأ. الأسرار مكانها مخزن أسرار مدار، مشفرة، بتنسحب وقت التشغيل، وبتتبدل دورياً.

القائمة قصيرة وصارمة:

1. ما في أسرار بالكود أو ملفات الإعدادات. لا بالريبو، لا بصورة الكونتينر، ولا بملف environment معمول له commit بأي مكان.
2. مشفرة وهي مخزنة بمفتاح مدار. المخزن بيشفر، والوصول للمفتاح نفسه مضبوط.
3. بتنسحب وقت التشغيل، مش مخبوزة جوا. التطبيق بيسحب الأسرار لما يشتغل أو لما يحتاجها.
4. بتتبدل دورياً، مع فترة سماح. المفتاح المبدل بيعطي القديم تداخل قصير حتى ما ينكسر شي بنص التبديل.

Exfinity بيحتفظ بمفاتيح المزودين وسلاسل الاتصال وأسرار التوقيع بمخزن أسرار مدار مع تشفير مبني على المفاتيح، وOGuardAI بيشفر ربط الجلسات عنده بتشفير موثق وبيدعم تبديل المفاتيح بدون توقف عبر key ring. النمط نفسه بكل مكان: السر ما بيقعد أبداً كنص صريح بمكان ممكن نسخة من الريبو أو سحبة image تكشفه.

حدود الشبكة: خاص افتراضياً

الوضع الافتراضي لكل مخزن بيانات وخدمة داخلية هو خاص. قواعد البيانات والبحث والكاش ووسطاء الرسائل لازم يعيشوا بشبكات فرعية خاصة بدون مسار عام، وما يوصلهم غير الـ compute اللي بيحتاجهم.

Internet
   │
   ▼
Load balancer (public, HTTPS only)
   │
   ▼
Compute (private subnet)
   │
   ▼
Data stores (private subnet, no public access)
   ── database ── search ── cache ── message broker

بس الـ load balancer والـ CDN بيواجهوا الإنترنت، وبيحكوا HTTPS بس. كل شي وراهم بينوصل عبر الشبكة، مش من الإنترنت المفتوح. مجموعات الأمان بتسمح بالحد الأدنى: الـ load balancer للـ compute، والـ compute لمخازن البيانات، ولا شي أوسع. جدار حماية تطبيقات ويب قدامهم بيلقط أنماط الهجوم الشائعة. هيك الواجهة المخترقة ما بتعني تلقائياً قاعدة بيانات مخترقة. دليل SaaS متعدد المستأجرين على AWS عنا بيعرض هالتوبولوجيا بمنصة كاملة.

اللي بينساه الكل: SSRF والنداءات الصادرة

هي فئة ثغرات أغلب المراجعات بتفوتها لحد ما تعض. إذا نظامك بيعمل نداءات HTTP صادرة لروابط ما تحكم فيها بالكامل، webhooks، callbacks، معاينات روابط، جلب صور، المهاجم بيقدر يوجهها على شبكتك الداخلية ويستخدم سيرفرك نفسه ليتحسسها. هاد هو تزوير الطلبات من جهة الخادم، الـ SSRF، وهيك خدمات الـ metadata الداخلية والنقاط الخاصة بتنوصل من برا.

الدفاع هو قائمة سماح fail-closed بتتحقق من الوجهة قبل ما يطلع النداء، وبترفض أي شي بيحل على عنوان داخلي أو غير عام.

Outbound URL ──▶ resolve ──▶ is it a public unicast address?
                                  │ no                │ yes
                                  ▼                   ▼
                              reject               proceed, pinned to
                              (fail closed)        the validated host

Exfinity بيتحقق من وجهات الـ webhooks والفحوصات الصادرة مقابل قائمة سماح unicast وبيثبت الاتصال على المضيف المتحقق منه حتى ما يقدر redirect يهرب الطلب لمكان تاني. إذا نظامك بينادي روابط مشتقة من إدخال المستخدم، هاد إصلاح إجباري. منغطي جانب التكامل بـدليل التكامل المؤسسي عنا.

التشفير وسجل التدقيق

ضابطين المدققين دايماً بيسألوا عنهم، وبدك ياهم جاهزين قبل ما يسألوا.

التشفير بكل مكان: البيانات مشفرة وهي مخزنة بكل مخزن، وبالنقل عبر TLS على كل قفزة. هاد الحد الأدنى، ورخيص على منصات الكلاود الحديثة، فما في عذر تتجاهله.

سجل تدقيق بيصمد: كل إجراء مهم مسجل مع مين وشو وإيمتى وعلى أي مورد، بمخزن دائم بيكشف التلاعب، ومحفوظ طول ما التزاماتك بتطلب. Exfinity بيحتفظ بسجل تدقيق تشغيلي بيأرشف لتخزين دائم مع احتفاظ لعدة سنين للامتثال، وOGuardAI بيسجل سجل تدقيق خالي من البيانات الشخصية مع سلسلة hash اختيارية كدليل على التلاعب. الاختبار بسيط: بعد الحادثة، بتقدر تعيد بناء شو صار بالضبط؟ إذا لأ، عندك فجوة. دليل المراقبة عنا بيغطي صورة القياس عن بعد الأوسع.

الاعتماديات وسلسلة التوريد

الكود اللي ما كتبته إنت لسا هو سطح هجومك. حزمة فيها ثغرة عميقة بشجرة اعتمادياتك، أو صورة أساس مخترقة، هي اختراق بيفوت من الباب الرئيسي اللي تركته مفتوح لأنك ما طليت عليه. نظافة سلسلة التوريد صارت اليوم جزء أساسي من التقسية، مش فكرة متأخرة.

الضوابط العملية ملموسة وقابلة للأتمتة. افحص صور الكونتينرات عن الثغرات المعروفة بكل build، وخلي الـ build يفشل على أي شي خطير. وقع صورك حتى يقدر النشر يتحقق إنه شغال على اللي بنيته إنت مش artifact مبدل. أنتج قائمة مواد برمجية SBOM حتى تقدر تجاوب على "هل نحنا متأثرين بهالثغرة الجديدة" بدقايق بدل أيام.

منطبق هالشي على منتجاتنا نحنا. بيئة تشغيل OGuardAI بتنشحن كصور مفحوصة وموقعة مع قائمة مواد مرفقة، حتى يقدر المشغل يتحقق من المصدر قبل ما يشغلها. نفس الانضباط لازم يكون على أي صورة بتنشرها.

الثغرة بالاعتمادية مش ذنبك، بس إنك تشحنها وإنت ما بتعرف هي مسؤوليتك. دليل البنية التحتية ككود عنا بيغطي كيف تربط هالفحوصات بالـ pipeline.

كيف فعلياً تدير مراجعة أمنية

المراجعة مش فحص بالإحساس. هي مرور منظم على الأسطح اللي بتفرق، وبتطلع قائمة مرتبة بالأولوية وقابلة للتنفيذ.

الناتج مش "إنتو غير آمنين". هو خطة معالجة مرتبة بالأولوية: شو بينصلح أول حسب نطاق الضرر، شو متوسط، وشو خطر مقبول بتقبله عن وعي. هالترتيب هو القيمة، لأنه مش كل شي بيقدر يكون عاجل. فريق الاستشارات عنا بيدير بالضبط هالنوع من المراجعات، ومنهجيتنا بتأطر كيف منرتب الإصلاحات.

من وين تبلش

1. اجرد الهوية. لاقي الأدوار بصلاحيات زيادة والمفاتيح الثابتة أول شي. هني أكبر نطاق ضرر.
2. مشط عن الأسرار. افحص الكود والإعدادات والصور. انقل كل شي لمخزن مدار.
3. سكر الشبكة. خلي مخازن البيانات خاصة، شدد مجموعات الأمان، ضيف جدار حماية.
4. افحص النداءات الصادرة. أي رابط بيتأثر بالمستخدم هو خطر SSRF. ضيف قائمة سماح fail-closed.
5. تحقق من سجل التدقيق. تأكد إنك بتقدر تعيد بناء حادثة. سد الفجوات.

ابلش من التواصل أو خد عرض سعر محدد النطاق لمراجعة. هاد شغل أساسي من شغلنا بـالكلاود والاستشارات.

الطرق الشائعة اللي بتخرب فيها الأمور

1. هوية بصلاحيات زيادة. أكتر نتيجة خطيرة شائعة. احصر كل دور بشغله.
2. أسرار بالكود أو الإعدادات. تسربت من هلق. انقلها لمخزن مدار ومشفر.
3. مخازن بيانات عامة. قاعدة بيانات على الإنترنت المفتوح هي اختراق ناطر يصير. خليها خاصة.
4. تجاهل SSRF. النداءات الصادرة اللي بيأثر فيها المستخدم بتقدر توصل لدواخلك. قائمة سماح وfail closed.
5. ما في سجل تدقيق نافع. إذا ما بتقدر تعيد بناء الحادثة، ما بتقدر ترد عليها. ابنيه من البداية.
6. معاملة الأمان كمشروع لمرة وحدة. التقسية شغل مستمر. راجع بإيقاع ثابت، مش مرة وحدة.

مين بيبني هاد

Oronts شركة برمجيات بقيادة مؤسسها بميونخ. Refaat Al Ktifan، مؤسسنا ومهندس الحلول، بيقود فريق senior بيغطي الـ backend والكلاود والأمان. منعمل مراجعات معمارية أمنية ومنبني التقسية بالتسليم، والضوابط اللي بهالدليل هي اللي منفرضها بمنصاتنا نحنا، Exfinity وOGuardAI. منقيم انكشافك، منسلمك خطة معالجة مرتبة بالأولوية، ومنساعدك تصلحها حسب الأولوية. شوف صفحات الخدمات والحلول والثقة عنا.

الخلاصة

• الأمان صفة بطريقة بناء النظام وتشغيله، مش منتج بتنصبه.
• هوية أقل امتياز هي الإصلاح الأعلى تأثيراً، لأنها بتصغر نطاق ضرر التسريب.
• خلي الأسرار برا الكود والإعدادات، بمخزن مشفر مدار، وبدلها دورياً.
• خلي مخازن البيانات خاصة، دافع ضد SSRF بالنداءات الصادرة، وشفر كل شي.
• احتفظ بسجل تدقيق فعلاً بتقدر تعيد بناء حادثة منه، وراجع بإيقاع ثابت.

التقسية مش عن دفاع مثالي. هي عن إنك تضمن لما يصير شي غلط، ورح يصير، الضرر يظل محصور وإنت تشوف بالضبط شو صار.

بدك مراجعة أمنية بتطلع إصلاحات مش PDF؟ خبرنا شو عم تشغل. ابلش من التواصل أو خد عرض سعر محدد النطاق.