بعد ما انتقل كل شي للسحابة، أي أدوات تقييم أمني سحابي منطقية للشركات الصغيرة؟

تقدر تشغل الأدوات مفتوحة المصدر على جهاز افتراضي كمهمة cron أسبوعية وتوجه النتائج لبريدك. الأدوات اللي تدقق على قواعد إدارة الهوية والوصول تحديداً تلتقط بوضوح مفاتيح الخدمة غير المستخدمة وأدوار الصلاحيات المعرّفة بمدى واسع جداً. بالبداية هالمستوى كافي جداً.

قبل ما تدور على أدوات غالية، تحقق فوراً من هذي الثلاثة: 1) هل إذن القراءة العام مقفل في مساحات التخزين الكائنية؟ 2) هل منافذ قاعدة البيانات وإدارة السيرفر مفتوحة بس على عنوان IP ثابت داخل الشركة؟ 3) هل التحقق بخطوتين إلزامي عند الدخول للوحة الإدارة؟ هذي لحالها تشيل الجزء الأكبر من المخاطر.

إحنا دفعنا 12,000 دولار سنوياً على أداة مؤسسية وشريناها، وأول شهر عشنا حالة ذعر لأن النظام طلع 600 تنبيه خرق. بعدين فهمنا إن واحد من التنبيهات كان بس سيرفر اختبار ناقصه وسم. الأدوات اللي تطلع هالقد من الضجيج مع الفرق الصغيرة توقف الشغل. المضي خطوة بخطوة بأدوات اللوحة المحلية أعقل بكثير.

نماذج تدقيق العملاء تخوف عادة بس بكون صريح معك، هم بعد ما يدورون على اسم برنامج مؤسسي لكن يبون يشوفون توثيق يثبت إنكم تسوون فحص دوري لبنيتكم التحتية وكيف تسدون الثغرات اللي تلقونها.

ركّب الفاحصات مفتوحة المصدر وخذ المخرجات بصيغة html وعلى كل حال قول للعميل إننا نمرر بنيتنا السحابية على فحوصات أمنية تلقائية أسبوعية وأرسل له التقرير الملخص، هذي دليل كافٍ جداً لأغلب العملاء المؤسسيين.

ملاحظة: كتبت هذا بناءً على تجربتي الشخصية، قد لا ينطبق على الجميع.

هل عند عميلك لائحة تنظيمية خاصة؟ هل تحفظون بيانات صحية أو معلومات بطاقات ائتمان؟ إذا ما فيه إلزام قانوني خاص بالامتثال، الدخول في أدوات خارجية غالية يضغط ميزانيتك بلا داعي.

افتح مركز الأمان المحلي لمزود السحابة، شدد القواعد، وسوِّ فحص أسبوعي بأداة تدقيق مفتوحة المصدر.

شكرًا جزيلاً، سأجربها اليوم.

سأكتب ما حدث لي، ربما يفيدكم. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة. إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

ليس لدي خبرة في أدوات تقييم أمني سحابي، لذا أسأل. محاولة فعل هذا بمفردك هي أغلى الطرق.

صححوا لي إن أخطأت.

صحيح.

سأدافع عن الرأي المعاكس، لا تغضبوا. وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

ما كُتب هنا يطابق تماماً ما عشناه. كل من يستعجل في أدوات تقييم أمني سحابي يتعثر في نفس النقطة.

لم أكن أعلم بهذا. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

هناك شيء يجب الانتباه إليه وإذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

هذا كل شيء، أرجو المعذرة إذا أطالت.

بالتأكيد.. لكن وإذا أردت إضافة شيء: لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

بالتوفيق.

سأكون ممتنًا لو شاركت النتيجة. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

المسألة ليست الرقم، بل الأساس الذي بُني عليه. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

سأجرب ذلك.