نقلنا كل شيء إلى AWS — هل يوجد لدينا قائمة تدقيق أمني يمكننا تطبيقها بأنفسنا؟

ثلاث نقاط عاجلة يجب أن تفعلوها اليوم فوراً: 1) فعّلوا تنبيهات الفواتير (Billing Alerts)؛ لو حدثت محاولة تعدين عملات مشفرة غير مصرّح بها ستعرفون قبل أن ينتج حسابكم فاتورة بآلاف الجنيهات. 2) تأكدوا أن سجلات CloudTrail مفعّلة في جميع المناطق. 3) تأكدوا أن النسخ الاحتياطي التلقائي لقاعدة البيانات مفعّل.

بما أنكم تحتفظون ببيانات مالية للعملاء في نطاق قانون حماية البيانات البريطاني (UK GDPR)، فإن المسؤولية القانونية تقع مباشرة على مديري الشركة. حتى لو لم تتعاقدوا على اختبار اختراق شامل من الخارج، أنصحكم على الأقل بتوثيق ضوابط الأمان التي طبّقتموها بالتاريخ ولقطات الشاشة.

عندما فحصنا بعد ترحيل مشابه العام الماضي، اكتشفنا أن المطوّر الخارجي نسي مفتاح API بصلاحيات مدير على جهازه المحلي. بقي ذلك المفتاح مكشوفاً أربعة أشهر كاملة. لحسن الحظ لم يحدث تسريب، لكن منذ ذلك اليوم نراجع مفاتيح IAM في أول اثنين من كل شهر.

ادخلوا إلى كونسول IAM ونزّلوا 'Credential Report'. هذا الملف الواحد يعطيكم في جدول واحد من لم يفعّل MFA، ومتى استُخدم كل مفتاح وصول آخر مرة، وكم عمر كلمات المرور بالأيام. في أول 10 دقائق تلتقطون أكبر النقاط العمياء من هنا.

لو أغلقنا إعداد public access تماماً في جهة S3، هل تتأثر ملفات PDF لفواتير العملاء؟ لم أكن متأكداً هل سيحصل المستخدمون على خطأ عند إغلاق هذا الإعداد لأنهم ينزّلون المستندات عبر التطبيق.

القاعدة العامة للوصول إلى S3 هي: يجب ألا تكون الملفات مفتوحة مباشرة على الإنترنت. عندما تعرضون ملفاً للعميل، يولّد تطبيقكم في الخلفية روابط موقّعة مؤقتة (presigned URL). بهذه الطريقة تبقى حاوية التخزين مغلقة أمام العالم كله، لكن تطبيقكم يقدّم للمستخدم المصرّح له رابط تنزيل آمن صالحاً 5 دقائق.

الجميع يتحدث عن تفعيل أدوات الأمان وأنظمة السجلات لكن لا أحد يذكر التكلفة. لو فعّلتم خدمات الأمان والمراقبة بشكل أعمى في جميع المناطق، في نهاية الشهر ستدفعون فاتورة سجلات أكبر من تكلفة الخادم الرئيسي. فعّلوها فقط في المنطقة النشطة التي تستخدمونها.

أول شيء، ادخلوا إلى صفحة Trusted Advisor. حتى النسخة المجانية ترفع أعلاماً حمراء حول الثغرات الأمنية الأساسية والمنافذ المفتوحة وحالة MFA للحساب الجذر. مجرد تصفير تلك الأعلام الحمراء يخلّصكم من الجزء الأكبر من المخاطر.

ملخص سريع للجدد: إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

حدث معنا هذا. كل من يستعجل في قائمة تدقيق أمني AWS يتعثر في نفس النقطة.

لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات. إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات. كل من يستعجل في قائمة تدقيق أمني AWS يتعثر في نفس النقطة.

دعني أتركها كملاحظة، قد تكون مفيدة.

شكرًا جزيلًا، كان مفيدًا جدًا.

عانيت من نفس المشكلة قبل عامين. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

دعني أوضح الجانب التقني قليلاً. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

أحسنت في فتح هذا العنوان. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

القرار المتسرع يصبح قراراً يُصحح بعد ستة أشهر. هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

أتابع الموضوع.

حدث معي العكس تماماً، لذلك أكتب هذا. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

هذا كل شيء، أرجو المعذرة إذا أطالت.

أكثر نقطة يتم إغفالها في موضوع قائمة تدقيق أمني AWS هي: فعل الجميع لشيء ما لا يعني أنه صحيح.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.