المدقق يطلب سياسة SecurityAudit لبيئة AWS، فما مدى أمان هذا الوصول؟

سياسة SecurityAudit لا تتضمن إذن تنزيل كائنات التخزين، أي لا يمكنهم سحب بيانات العملاء. لكن استدعاءات قراءة إعداد الدوال أو بيانات بدء تشغيل الخادم مسموحة. إذا نسيتم كلمة مرور بنص صريح في الكود أو في سكربت بدء الخادم الافتراضي، فقد يراها المدقق. نظفوا تلك الأجزاء أولاً.

عند فتح الدور اجعلوا شرط External ID إلزامياً بلا استثناء. وأضيفوا أيضاً قيد عنوان IP المصدر إلى علاقة الثقة بحيث لا تستطيع شركة التدقيق تسجيل الدخول إلا من عناوين IP الخاصة بمكتبها أو VPN الخاص بها. وبعد أسبوعين تحذفون الدور بنقرة واحدة.

هل ستشغّل شركة التدقيق أداة فحص آلية أم سيتفحص المهندسون عبر وحدة التحكم؟ إذا كانوا سيربطون أدوات سحابية آلية، فهل طلبتم كتابياً مسبقاً رقم حساب الطرف الثالث وسياسة الهوية الخارجية التي سيحددونها في علاقة ثقة الدور؟

احنا عرّفنا دور مشابه لتدقيق الامتثال. التدقيق استمر 12 يوم. أول ما خلصت العملية مسحنا دور IAM وسألنا عن جلسة المدقق من خلال سجلات التدقيق؛ طلعوا عملوا حوالي 14,200 استدعاء API للقراءة فقط. ما كان في أي محاولة تنزيل بيانات.

لا تفتح مستخدم iam وتعطي access key أبداً. يعني بعدين هالمفاتيح تنسى في مكان ما لكن افتح دور بس، حط الهوية الخارجية، وأول ما يخلصون شغلهم امسح الدور وخلاص.

شركات التدقيق تبغى كل شي جاهز بس ما لازم تعطي دور مباشرة على حساب الإنتاج. معظم الشركات تسحب تقارير الإعدادات ومخرجات الأمان بنفسها بأدوات سطر الأوامر وتسلمها كملفات. ليش تفتح الحساب كله للفحص المباشر أصلاً؟

في اتفاقية السرية الموقعة قبل بدء التدقيق، لازم يتم الالتزام بوضوح بكيفية معالجة بيانات الإعدادات، وبعد كم يوم يتم إتلاف السجلات المخزنة في ذاكرة أدوات التدقيق المؤقتة، وعدم مشاركتها مع أطراف ثالثة.

باختصار: SecurityAudit يوصل للكونفيغ مش للبيانات، عشان كذا هو طلب عادي. ومع ذلك حط External ID وتقييد IP وحد زمني وأعطِ الصلاحية عبر الدور، وفي نفس يوم ما يخلص التدقيق امسح الدور وافحص سجلات النظام.

أنت محق تمامًا. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

أتمنى أن يفيدك هذا.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

عندنا نفس المشكلة.

هناك نقطة لم أفهمها. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

دعني أتركها كملاحظة، قد تكون مفيدة.

يجب أن نسير بالترتيب وعند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أتفق مع هذا. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

هذا كل شيء، أرجو المعذرة إذا أطالت.

زالت حيرتي، شكراً لكم. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

صحيح. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

لو كنت مكانك، لسلك هذا المسار.

مررت بهذا الطريق، دعني أشرح. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

أكتب هذا حتى لا تكرروا نفس الخطأ ثم وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

لو كنت مكانك، لسلك هذا المسار.