Cloud Configuration Review

تقيس حساباً سحابياً مقابل معايير معترف بها بحثاً عن الإعدادات الخاطئة والثغرات الأمنية: صلاحيات IAM المفرطة، وتخزين storage العام، والشبكات المفتوحة، وغياب التسجيل، والبيانات غير المشفّرة؛ مُسنَدة إلى معيار CIS Foundations الخاص بالمزوّد، وكل اكتشاف مدعوم بالأدلة وبطريقة معالجة.

مراجعة إعدادات. اختبار الاختراق يهاجم النظام ليرى ما ينكسر؛ أما مراجعة الإعدادات فتقرأ إعدادات الحساب مقابل معيار لتجد نقاط الضعف قبل أن يهاجم أحد. وهما متكاملان: المراجعة تخبركم أين أنتم منكشفون، والاختبار يؤكّد ما يمكن الوصول إليه فعلاً.

معايير CIS Foundations لـ AWS وAzure وGoogle Cloud، إلى جانب إرشادات الأمان well-architected لكل مزوّد. وتنطبق الطريقة نفسها على مزوّد واحد أو على بيئة سحابية متعددة.

دور تدقيق أمني للقراءة فقط في كل حساب أو اشتراك أو مشروع ضمن النطاق؛ ويكفي دور التدقيق القياسي الذي يوفّره كل مزوّد. لا نغيّر شيئاً؛ نقرأ الإعدادات فقط. ونتفق على النطاق وعلى كل ما يُستثنى قبل أن نبدأ.

الحد الأدنى من الصلاحيات يعني أن تمتلك كل هوية الصلاحيات التي يحتاجها عملها فقط. وتهمّ الصلاحيات الزائدة لأن أي دور واسع يحوّل أي مفتاح مُسرَّب أو workload مُخترَق إلى اختراق أكبر؛ فبيانات اعتماد قادرة على قراءة كل حاوية أو على انتحال أدوار أخرى تتيح للمهاجم أن يتحرك إلى ما هو أبعد بكثير من الموطئ الأول.

نعم. الحاويات والكائنات العامة، وقواعد البيانات ولقطات الأقراص المواجهة للإنترنت، ومنافذ الإدارة مثل SSH وRDP المفتوحة للجميع، من أكثر مسارات الاختراق شيوعاً، ولذلك فهي جزء أساسي من المراجعة.

نعم. نتحقق من أن سجل التدقيق مُفعَّل ومحمي، وأن flow logs والتنبيهات تغطّي الأحداث المهمة أمنياً، وأن البيانات مشفّرة أثناء السكون وأثناء النقل بمفاتيح تُدار وتُدوَّر. فمن دون ذلك يصبح الاختراق أسهل واكتشافه أصعب في آنٍ معاً.

يُصنَّف كل اكتشاف بحسب المخاطر الفعلية في حسابكم، لا بحسب تصنيف ثابت: ما الذي يكشفه، وما مدى إمكانية الوصول إليه، وما الذي يكسبه المهاجم. فقاعدة بيانات عامة تحوي بيانات العملاء تفوق في الأولوية إعداداً داخلياً لا تصل إليه إلا هوية موثوقة.

نعم؛ بعد المعالجة، نعيد فحص الاكتشافات المُبلَّغ عنها ونحدّث حالتها. وتعتمد المدة على عدد الحسابات والخدمات؛ وتستغرق المراجعة المعتادة نحو أسبوع إلى ثلاثة أسابيع، ونقدّم تقديراً دقيقاً بعد تحديد النطاق.