عميلنا طلب منا نفتح "دور تدقيق أمني في AWS" على حسابنا السحابي — قديش صلاحيات لازم نعطيه؟

أهم فرق هو الفرق بين ReadOnlyAccess و SecurityAudit. إذا عطيت ReadOnlyAccess بيقدر المدقق ينزّل الملفات من مساحات تخزين الكائنات ويلعب كتير في بيانات قواعد البيانات الوصفية. مدقق الأمان بيحتاج بس سياسة SecurityAudit وإذا لزم كم لوحة مراقبة محدودة.

لدور تدقيق آمن لا تتجاوز هالثلاث خطوات: 1) ضيف شرط ExternalId ما ينمكن تخمينه عشوائياً على علاقة الثقة بالدور. 2) خلي مدة الجلسة القصوى (MaxSessionDuration) للدور ساعة وحدة. 3) حط قيد عنوان IP في سياسة المصدر لتحديد الدور بكتلة IP معينة.

معايير التدقيق اللي بتشترط إن المدقق الخارجي يدخل مباشرة على حساب AWS الحيّ قليلة كتير. غالباً تقارير الإعدادات والمخرجات بتكون كافية. قبل ما تعطيه وصول للحساب، سألتهم كتابياً ليش ما بيقبلوا بس تقارير الإعدادات؟

تصحيح: كنت أذكر الرقم خطأً، كان أقل قليلاً.

قبل تحديد الوصول لازم توقّع اتفاقية سرية (NDA) ثنائية مع شركة التدقيق. لازم تنص هالاتفاقية بوضوح على نطاق التدقيق والموارد اللي بينوصلها ومسؤولية سجلات الجلسات. ما لازم تنشارك أي صلاحية حساب قبل ما تتوضح الأرضية القانونية.

السنة الماضية مرقنا بتدقيقين مشابهين. فعّلنا الدور بس لفترة تقويمية 72 ساعة وحددنا مدة الجلسة بثلاث ساعات. المدقق شغّل بالمجموع بس 42 استعلام API مختلف وخلّص شغله. أول ما خلص الوقت شلنا الدور وما صار أي مشكل.

أول مرة الواحد بيتلخبط كتير طبيعي. بس لا تدبّروا، إذا قلتوا لمدقق العميل "حسب سياستنا ما منقدر نعطي مستخدم كونسول مباشر، منعرّف دور تدقيق بهوية خارجية" بتكونوا قدّمتوا موقف مهني.

بعد ما تعرّف الدور فلتر اسم المدقق من cloudtrail وطلّ عليه بين فترة وفترة شو عم يعمل. إذا عم يتجول بالخدمات بلا داعي اسأله فوراً.

بلا ما تضيّع وقت، من لوحة IAM اعمل دور جديد، اختر النوع "حساب AWS آخر"، حط رقم حساب العميل، علّم على خانة الهوية الخارجية، واربط بس صلاحية SecurityAudit واحفظ.

دعني أشارك تجربتي. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

عند النظر إلى العملية ككل، تتغير الصورة. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

هذا كل شيء، أرجو المعذرة إذا أطالت.

هناك جانب قياس لهذا الأمر أيضًا. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أنت محق.

إذا كنت ستسلك هذا المسار، فحل هذه المشكلة من البداية. فعل الجميع لشيء ما لا يعني أنه صحيح.

لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

أنت محق، لقد مررت بنفس المسار. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

بعد تجربة ذلك، تغيرت نظرتي للأمور. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

تقرير الفحص الآلي ليس نفس اختبار الاختراق. مثبت بالتجربة.

لم أكن أعلم بهذا.

عانيت من نفس الشيء.

دعني أوضح الجانب التقني قليلاً. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.