تتصدّر الهجمات المتطورة العناوين، لكن معظم اختراقات السحابة تبدأ بشيء أبسط بكثير: إعداد تُرك مفتوحًا، أو مفتاح نُسي في مستودع، أو صلاحية مُنحت «مؤقتًا» قبل عامين. ويعرف المهاجمون ذلك جيدًا، فيبحثون عن نقاط الضعف هذه آليًا وعلى مدار الساعة.
إليك خمسة أخطاء في الإعدادات تتكرر باستمرار في تقارير الاختراقات المنشورة وفي إرشادات مزوّدي الخدمات السحابية، وكيفية معالجة كل منها معالجة دائمة بدلًا من التعامل معها تذكرةً تلو الأخرى.
1. وحدات تخزين متاحة للعموم
لا تزال حاويات التخزين (buckets وblob containers) المكشوفة على الإنترنت سببًا رئيسيًا لتسرّب البيانات. وغالبًا ما تُنشأ لمشاركة ملفات على عجل أو لاستضافة موقع ويب ثابت، ثم يُعاد استخدامها لاحقًا لتخزين بيانات حساسة.
الحل الدائم: فعّل حظر الوصول العام على مستوى الحساب، واستخدم سياسات المؤسسة لمنع إعادة تفعيل الوصول العام إلا عبر عملية استثناء معتمدة.
2. مفاتيح وصول طويلة الأمد
ينتهي المطاف ببيانات الاعتماد الثابتة في الشيفرة ومتغيرات CI والحواسيب المحمولة ورسائل المحادثة. وبمجرد تسرّبها، تعمل من أي مكان إلى أن ينتبه أحد.
الحل الدائم: استبدل المفاتيح ببيانات اعتماد اتحادية قصيرة الأجل: الدخول الموحّد للأشخاص، وهوية أحمال العمل واتحاد OIDC للتطبيقات وخطوط النشر. وأضف فحص الأسرار إلى كل مستودع.
3. هويات بصلاحيات مفرطة
تحوّل الصلاحيات الشاملة (wildcard) وأدوار المسؤول الواسعة أي اختراق بسيط إلى سيطرة كاملة. وتُعدّ مسارات تصعيد الامتيازات، التي تستطيع فيها هوية منخفضة الامتياز منح نفسها صلاحيات أكبر، خطيرة بشكل خاص ويصعب اكتشافها يدويًا.
الحل الدائم: حلّل الصلاحيات الفعلية مقارنةً بالاستخدام الحقيقي، وأزل ما لا يُستخدم، واشترط رفع الصلاحيات عند الحاجة فقط (just-in-time) للوصول الإداري.
4. واجهات إدارة مكشوفة
تُكتشف منافذ SSH وRDP وقواعد البيانات وخوادم Kubernetes API المفتوحة على الإنترنت في غضون دقائق من كشفها. وبعد ذلك تكفي مصادقة ضعيفة أو ثغرة واحدة غير مُرقّعة.
الحل الدائم: أزل الانكشاف العام تمامًا. استخدم الوكلاء المدركين للهوية (identity-aware proxies) أو خدمات الخوادم الوسيطة (bastion) أو نقاط النهاية الخاصة، وافرض ضوابط حماية شبكية ترفض القواعد التي تفتح المنافذ الحساسة على الإنترنت بأكمله.
5. سجلات مفقودة أو غير مكتملة
عند وقوع حادث، يكون السؤال الأول: «ماذا فعل المهاجم؟» ومن دون سجلات تدقيق مستوى التحكم وسجلات الوصول إلى البيانات ومدة احتفاظ كافية، قد لا تكون هناك إجابة، ولا سبيل لأن تُثبت للجهات التنظيمية ما تم الوصول إليه وما لم يتم.
الحل الدائم: فعّل تسجيل التدقيق على مستوى المؤسسة بالكامل في حساب أو مشروع منفصل ومحمي، وحدّد مدة الاحتفاظ بناءً على التزاماتك التنظيمية، واختبر أن قواعد الكشف لديك تُطلق التنبيهات فعلًا.
من الملاحظات إلى ضوابط الحماية
يمكن إصلاح كل مشكلة من هذه المشكلات يدويًا مرة واحدة. لكن التحدي هو إبقاؤها مُصلحة بينما تُنشئ الفرق حسابات ومشاريع وأحمال عمل جديدة كل أسبوع. ولهذا تنتقل المؤسسات الناضجة من الكشف إلى الوقاية: سياسات وقائية على مستوى المؤسسة، وقوالب آمنة افتراضيًا في البنية التحتية كشيفرة، وفحوصات مستمرة في خطوط النشر.
يكشف تقييم الوضع الأمني للسحابة الذي نقدّمه هذه المشكلات عبر حساباتك واشتراكاتك، فيما يحوّل عملنا في البنية السحابية الآمنة الإصلاحات إلى ضوابط حماية تدوم.