انتقلنا إلى AWS — هل يوجد أداة نراجع بها أمن السحابة بأنفسنا دون دفع أموال للمدقق؟

أول ما يجب أن تركّزوا عليه هو جانب التخزين والهوية. من اللوحة، بنقرة واحدة، فعّلوا مفتاح منع الوصول العام على مستوى الحساب بالكامل. ثم حدّدوا في سياسات الهوية المستخدمين الممنوحين صلاحيات مدير غير محدودة معرّفة بنجمة، وقلّصوها وفق قاعدة أقل صلاحية. ولا تنسوا تفعيل خدمة التدقيق التي تحفظ سجلات الدخول في جميع المناطق.

نحن أيضاً تلقّينا عرضاً مشابهاً عندما نقلنا بنية التجارة الإلكترونية في نيويورك، طلبوا منا 5.500 دولار. شغّل اثنان من مطوّرينا سكربتات التدقيق مفتوحة المصدر. تم الإبلاغ عن 18 خطأ إعداد حرج إجمالاً، 11 منها كانت مجموعات أمان قديمة منسية. حلّيناها كلها في 3 أيام بتكلفة صفر.

الأدوات التلقائية مفتوحة المصدر رائعة لكن لا تثقوا بها كثيراً. هذه الفاحصات تنظر فقط إلى إعدادات البنية التحتية السحابية. لا تستطيع أن تخبركم بثغرة التخويل في كودكم أو إن كان يمكن حقن SQL في قاعدة البيانات. يعني حتى لو بدت بنيتكم التحتية خضراء، قد يكون تطبيقكم مثقوباً من كل جانب.

أكثر شيء عاجل يمكنكم فعله هذا المساء: توقفوا عن العمل اليومي بحساب الجذر. افتحوا حساب مطوّر جديداً، وخصّصوا للحساب الجذر مفتاح أمان مادي، واقفلوا كلمة مروره في خزنة. معظم اختراقات السحابة تنفجر من مفاتيح المدير المسرّبة.

هل العملاء الذين ستوقّعون معهم يطلبون منكم تقرير امتثال معياري أو توقيع مدقق مستقل رسمي؟ إذا كان دفتر الشروط يفرض شهادة تدقيق رسمية، فقد لا يُقبل الفحص الذي تقومون به بأنفسكم وحده على طاولة الشركات.

نحن أيضاً أصابنا الذعر أول ما انتقلنا. ثبّتنا فاحصين مفتوحي المصدر منفصلين وربطناهما باللوحة فطلع لنا تقرير html قدامنا. أكثر شي استغربنا له إن سيرفر الاختبار المكشوف جاته آلاف محاولات كلمة المرور خلال يومين، سكّرنا المنافذ على طول.

ما دامت ميزانيتكم محدودة فلا تدفعوا الـ 6.000 دولار تلك أبداً. بصراحة تبويب المستشار المجاني في اللوحة وسكربتات التدقيق الشائعة على GitHub تكفي وتزيد... خصّصوا عطلة نهاية أسبوع لهذه المخرجات، واجلسوا مع الفريق وأنجزوا البنود واحداً واحداً.

الأمان ليس تدقيقاً لمرة واحدة، بل عملية حيّة. حتى لو دفعتم اليوم 6.000 دولار وحصلتم على تقرير نظيف تماماً، لو فتح أحد مطوّريكم الأسبوع القادم قاعدة أمان خاطئة ستبقون بلا دفاع مجدداً. لذلك اربطوا أداة التدقيق مفتوحة المصدر بخط نشر الكود كخطوة اختبار تلقائية.

إذا كنت ستسلك هذا المسار، فحل هذه المشكلة من البداية. محاولة فعل هذا بمفردك هي أغلى الطرق.

معظم الحوادث لا تبدأ من ثغرة أمنية، بل من كلمة مرور مسربة.

سأدافع عن الرأي المعاكس، لا تغضبوا. محاولة فعل هذا بمفردك هي أغلى الطرق.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أوافق.

سأجرب ذلك. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

هذا كل شيء، أرجو المعذرة إذا أطالت.

هذا العنوان مؤرشف.

هناك جانب قياس لهذا الأمر أيضًا وبصراحة إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

تشتت النقاش، دعني ألخصه. محاولة فعل هذا بمفردك هي أغلى الطرق.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أتفق، بل أود التأكيد على هذه النقطة. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

صححوا لي إن أخطأت.

إذا دخلنا في التفاصيل: تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

سأدافع عن الرأي المعاكس، لا تغضبوا ثم الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً.