يجيب تدقيق البنية التحتية المفيد عن أربعة أسئلة: ما الذي نشغّله، ومن يستطيع الوصول إليه أو تغييره، وما الأدلة التي تثبت عمل الضوابط، وما الذي ينبغي إصلاحه أولًا؟ تعامل مع PaaS وIaaS والشبكات والجدران النارية وأنظمة التشغيل كنظام مترابط. ابدأ بتفويض مكتوب ونطاق متفق عليه ومسؤولين محددين وموعد ووسيلة اتصال للطوارئ. استخدم صلاحيات القراءة فقط قدر الإمكان، ولا تفحص أنظمة لا تملك إذنًا لتقييمها.
ارسم خريطة البيئة قبل الاختبار: حسابات واشتراكات السحابة، والمناطق والمشاريع وبيئات الإنتاج والاختبار والنقاط العامة والأحمال ومخازن البيانات والهويات والمورّدين الخارجيين. وثّق تدفقات البيانات وحدود الثقة. سجّل لكل أصل مالكه والغرض التجاري وحساسية البيانات والتعرّض والتبعيات وأهمية الاستعادة. قارن الجرد بالفوترة وDNS وتصديرات لوحة السحابة وإدارة الأجهزة وInfrastructure as Code لاكتشاف الموارد المنسية والتغييرات اليدوية.
حدّد أولًا حدود المسؤولية المشتركة. في IaaS يدير المزوّد عادة المرافق المادية والخدمة الأساسية، بينما يدير فريقك أنظمة التشغيل الضيف وإعداد الأحمال والهويات وقواعد الشبكة والبيانات. وفي PaaS يدير المزوّد قدرًا أكبر من بيئة التشغيل، لكن فريقك يظل مسؤولًا عن الشيفرة وسياسات الوصول والبيانات والأسرار وإعدادات الخدمة. تحقق من شروط كل خدمة؛ فوصفها بأنها «مدارة» لا يعني أن المزوّد يتولى كل ضوابط الأمان.
في IaaS راجع حدود الحسابات والمشاريع وأدوار المسؤولين وMFA وهويات الأحمال وحسابات الخدمة وتخزين المفاتيح والأسرار وعناوين IP العامة وانكشاف التخزين والنسخ الاحتياطية والتشفير والتحديثات وانحراف الإعدادات. فضّل بيانات اعتماد قصيرة الأجل ومحدودة ومسارات إدارة خاصة. وفي PaaS راجع عزل المستأجرين والمصادقة والتفويض والاتصال الخاص والمصادر المسموح بها وصلاحيات النشر ومتغيرات البيئة ومراجع الأسرار والاحتفاظ وسجلات التدقيق. تأكد من تفعيل سجلات التشخيص والاحتفاظ بها وحمايتها وفائدتها أثناء الحوادث.
في شبكة الحاسوب تحقق من المسارات الفعلية بين المستخدمين ومدخل الإنترنت وموازنات الحمل وطبقات التطبيقات وقواعد البيانات وواجهات الإدارة والوجهات الصادرة. راجع الشبكات الفرعية والمسارات والتقسيم وDNS وVPN أو الوصول الخاص والإدارة عن بُعد وقيود الخروج والمرونة. قارن مخطط الشبكة بسجلات التدفق وتصديرات الإعداد. تحقق من المسارات غير المتوقعة والشبكات المسطحة وقواعد البيانات المكشوفة مباشرة والواجهات غير المستخدمة والحركة التي تتجاوز الفحص. قد يكشف ماسح مصرح به الخدمات المتاحة؛ نسّق الوقت والسرعة وتحقق من النتائج، فالفحص ليس تدقيقًا كاملًا للشبكة.
راجع معًا قواعد مجموعات الأمان السحابية وقوائم ACL والجدران النارية للمضيف والأجهزة المخصصة. حدّد لكل قاعدة مالكها وغرضها ومصدرها ووجهتها والبروتوكول والمنفذ والاتجاه والبيئة وموعد الانتهاء أو المراجعة. ابحث عن مصادر إنترنت غير مقيدة ونطاقات منافذ واسعة وقواعد السماح للجميع والتكرار والوصول المؤقت القديم ومنافذ الإدارة العامة. تحقق من الرفض الافتراضي والتسجيل. اختبر التغييرات بأمان، ولا تحذف قاعدة قبل تأكيد تبعياتها وإعداد خطة تراجع.
لكل نظام تشغيل تديره، تحقق من الإصدار المدعوم والتحديثات وخط الأساس الآمن والحسابات المحلية وحسابات الدليل والمجموعات ذات الامتيازات وMFA للإدارة وانكشاف SSH أو سطح المكتب البعيد وإعدادات المصادقة وجدار المضيف وحماية الأجهزة وتشفير القرص وSecure Boot عند توفره ومزامنة الوقت والخدمات ومهام بدء التشغيل. تحقق من إرسال السجلات مركزيًا والتنبيهات والنسخ والاستعادة وإدارة الإعداد. قارن الإعدادات بدليل المورّد الحالي أو معيار CIS المناسب ووثّق الاستثناءات المبررة. في PaaS افحص ضوابط المضيف التي يكشفها المزوّد فقط، وركّز مراجعتك على التطبيق والخدمة.
احتفظ بأدلة قابلة لإعادة الإنتاج: الأصل والحساب والتوقيت والأداة أو شاشة لوحة التحكم ولقطة الإعداد والحالة المتوقعة والمرصودة والقائم بالفحص والقيود. احمِ التصديرات ولقطات الشاشة لأنها قد تكشف معرفات أو بنية الشبكة أو أسرارًا؛ أخفِ القيم الحساسة وقيّد الوصول. صنّف النتائج بحسب الأثر والاحتمال والأصول المتأثرة والتعرّض وقابلية الاستغلال والضوابط التعويضية. افصل نقاط الضعف المؤكدة عن الملاحظات التي تحتاج إلى أدلة إضافية، وعيّن مسؤولًا تجاريًا وآخر تقنيًا.
حوّل النتائج إلى خطة معالجة قابلة للمتابعة تتضمن الأولوية والمالك والموعد وسجل التغيير وخطة التراجع وخطوة التحقق. عالج أولًا الوصول الإداري المكشوف والصلاحيات المفرطة، ثم فجوات التقسيم والأنظمة الضعيفة أو غير المدعومة وثغرات السجلات والنسخ الاحتياطية غير الكافية. أعد اختبار الضابط بعد التغيير واحتفظ بأدلة ما قبل وما بعد. اعرض المخاطر المتبقية على المخول بقبولها. ينتهي التدقيق عندما يفهم المالكون المخاطر وتخفضها إجراءات تم التحقق منها.
استخدم الإرشادات المعروفة أساسًا لا بديلًا عن السياق: يشرح NIST SP 800-115 تخطيط التقييمات التقنية وإجراءها؛ وتقدم CIS Benchmarks توصيات إعداد آمن حسب التقنية للسحابة وأجهزة الشبكة وأنظمة التشغيل. اختر المعيار المطابق للمزوّد وإصدار المنتج، وكيّفه بقرارات مخاطر موثقة، واستخدم طرق الاختبار المسموح بها في قواعد المهمة فقط. المصادر: https://csrc.nist.gov/pubs/sp/800/115/final وhttps://www.cisecurity.org/cis-benchmarks-overview
امنح المنتج القادم شخصاً يبقى معه.
هل أنت مستعد للبدء؟ أرسل لي رسالة؛ أنا متاح للبدء الآن والبقاء. عقود طويلة الأمد، لا تسليم خلال أسبوعين. لنتحدث عن مشروعك ومتطلباته وأفضل طريقة للمضي قدماً.