التهديدات لأمان السحابة

تتعرض مراكز البيانات والتطبيقات التي تستضيفها لهجوم مستمر. نميل إلى تخيل منشآت موفري خدمات السحابة الضخمة كحصون ضخمة بجدران حماية لا يمكن اختراقها ومنافذ دخول شديدة الحراسة، وتتحمل وابلًا مستمرًا من هجمات العدو بقذائف الهاون. من الناحية العملية ، يثبت نموذج "دفاع القلعة" أنه غير عملي لأي سحابة. تصبح القلعة غير قابلة للدفاع، بغض النظر عن قوة محيطها، عندما يصبح أساسها عرضة للفساد.

ولهذا السبب، ينبغي أن يشتمل أي نموذج استجابة استباقية لتهديدات الأمن السيبراني لعميل السحابة العامة على بروتوكول المرونة. وتشير المرونة في هذا السياق إلى قدرة نظام المعلومات (الذي يتضمن الجزء القائم على السحابة العامة) على تحمل التهديدات من داخل وخارج النظام، ومواصلة تقديم الخدمة للعملاء بالمستوى الذي يتوقعونه. وقد يكون كل عنصر من عناصر نظام المعلومات عاملاً مساهماً في المرونة. ويتمثل المبدأ التوجيهي لتنفيذ نموذج المرونة في التعامل مع كل مكون كما لو كان يتعرض لتهديد مستمر، وتنفيذ تدابير الاسترداد والمعالجة الآن بدلاً من انتظار ظهور دليل على هجوم خطير أو كارثي.

في استطلاع عام 2019، شارك أعضاء مؤسسة الأمن (ISC)² وجهات نظرهم حول أمن النظام فيما يتعلق بالبنية الأساسية السحابية. قال حوالي 28 بالمائة من المستجيبين إنهم تعرضوا لحادث أمني مرتبط بالسحابة العامة خلال الأشهر الـ 12 الماضية. ومن بين أولئك الذين اقروا بوقوع حادثة، قال أكثر من ربعهم (27 بالمائة) إن بياناتهم تعرضت لوصول غير مصرح به (على الرغم من أنه لم يتم الوصول إليها بالضرورة دون إذن)، بينما قال 19 بالمائة آخرون إن حسابات المستخدمين وكلمات المرور الخاصة بهم قد تم اختراقها. وأقر واحد من كل خمسة ممن تعرضوا لخرق بأن الأنظمة مصابة ببرامج ضارة، بينما قال 17 بالمائة فقط إنهم كانوا ضحايا ثغرة أمنية.

وقال ما يقرب من ثلثي المستجيبين لاستطلاع (ISC)² (64 بالمائة) إن أكبر مخاوفهم بشأن أمان السحابة كان احتمال فقدان البيانات أو تسربها. وعندما أُعيد صياغة السؤال بشكل أكثر تحديدًا، وطلب من المشاركين اختيار أكبر التهديدات الأمنية التي تواجهها الخدمات السحابية (مع السماح لهم باختيار أكثر من إجابة واحدة)، ذكر 42 بالمائة من المستجيبين الوصول غير المصرح به.

مع كل مستوى متتابع من الخدمات السحابية، من البنية الأساسية إلى النظم الأساسية للنشر إلى التطبيقات، يتنازل عميل المؤسسة عن التحكم في أصوله لإدارة موفر خدمة السحابة والإشراف عليها. عندما اتيحت الخدمات السحابية العامة لأول مرة، أشار المشاركون في الاستطلاعات المشابهة لهذا الاستقصاء غالبًا إلى فقدان السيطرة على أصول المعلومات الخاصة بهم باعتباره أحد أكبر العوائق، إن لم يكن الأكبر بالفعل، أمام اعتماد السحابة. لكن تلاشى هذا الخوف بمرور السنين، حيث أثبت موفرو خدمات السحابة أنهم على الأقل قادرون على تأمين بيانات العملاء أكثر من مهندسي الأمن في الشركات. وكما يوضح الشكل 2، أشار 22 بالمائة فقط من المشاركين في استطلاع (ISC)² لعام 2019 إلى "فقدان التحكم" باعتباره عائقاً كبيراً أمام اعتماد مؤسساتهم على السحابة الإلكترونية وترتيبها رقم 7 في قائمة الـ 20.

الشكل 2: أهم العوائق التي تحول دون اعتماد السحابة، من تقرير أمان السحابة (ISC)^2 لعام 2019. [Courtesy (ISC)^2]

الشكل 2: أهم العوائق التي تحول دون اعتماد السحابة، من تقرير أمان السحابة (ISC)² لعام 2019. [بإذن من (ISC)²]

ما تكشفه استطلاعات مثل هذه هو أن طبيعة التهديد الأمني تتغير اعتمادًا على ما إذا كانت تتم مناقشتها في سياق الاستراتيجية أو سياق الخسارة - الموضوع الذي تهتم به إدارة المخاطر نفسها. وبشكل عام، فإن التهديد الأكبر الذي تتصوره المؤسسات هو خصوصية وسلامة بياناتها.

تصنيف التهديدات

تحالف أمن الحوسبة السحابية هو مؤسسة تضم قادة مجتمع أمن تكنولوجيا المعلومات الذين يخدمون السحابة العامة. من وقت لآخر، ينشر تحالف أمن الحوسبة السحابية (CSA) تصنيفها للتهديدات التي تتعرض لها السحابة العامة، مرتبة حسب الأهمية، استنادًا إلى استطلاع شمل 241 عضوًا. ¹ كل من التهديدات التي صنفها تحالف أمن الحوسبة السحابية (CSA) قادرة على التأثير على مستويات الخدمة الرئيسية الثلاثة: IaaS وPaaS وSaaS. ويرد أدناه ملخص لـ "Egregious Eleven" لعام 2019.

1: خروقات البيانات

وكما يرى تحالف أمن الحوسبة السحابية (CSA)، فإن خرق البيانات هو أي حادث للوصول غير المصرح به إلى المعلومات، من قبل أي فرد أو كيان آلي غير مصرح به، بأي حجم. لا ينبغي أن يكون الاختراق ضارًا حتى يكون خطيرًا. قد يتم الكشف عن المعلومات الشخصية أو إتاحتها للجمهور دون مصادقة من خلال خطأ بشري أو عن طريق الصدفة في تصميم البرنامج، حتى لو لم يتم الوصول إلى البيانات مطلقًا. يُقرأ تحليل تأثير الأعمال لمثل هذا الخرق على أنه تمهيد لإطار عمل FAIR.

2: التكوين الخاطئ وعدم كفاية التحكم في التغيير

يشير التحكم في التغيير إلى العمليات وأفضل الممارسات التي قد تطبقها إحدى المؤسسات والتي قد تتبعها لتوفير المرونة في مواجهة التغييرات التي تطرأ على البنية الأساسية والأنظمة الأساسية للدعم. أحد الأسباب الشائعة للحوادث الأمنية هو التكوين الثابت (بيان أو برنامج نصي يقوم بإعداد مكونات في نظام معلومات) يتم تطبيقه على حالة سابقة للنظام ولكنه لم يعد ينطبق على حالته الحالية. ويقر تحالف أمن الحوسبة السحابية (CSA) بأن المكونات العامة القائمة على السحابة تخضع للتغيير اليومي، إن لم يكن بشكل أكثر تواتراً، وأن ممارسات مراقبة التغيير في المؤسسات التي اعتادت على التعديلات الفصلية أو حتى السنوية غير قابلة للتطبيق على بيئة تتطور باستمرار.

3: عدم وجود بنية واستراتيجية لأمان السحابة

يُقر تحالف أمن الحوسبة السحابية (CSA) بأن عملاء المؤسسات غالباً ما يُقادون إلى الاعتقاد من قبل موفرو خدمات السحابة بأن بيئات تكنولوجيا المعلومات الحالية الخاصة بهم يمكن أن تنجو من عملية ترحيل "الرفع والنقل" دون تغيير. غالبًا بسبب ترك نموذج المسؤولية المشتركة غير مفسر أو غير مُوضح، تصبح الخدمات الهامة غير مراقبة بمجرد ترحيلها، ونتيجة لذلك، تصبح الخدمات التي كانت آمنة نسبياً في البيئة المحلية عُرضة للهجمات في السحابة. ويمضي تحالف أمن الحوسبة السحابية (CSA) في اقتراح أن تصبح ممارسات أمان العملاء أكثر قوة، ولا تقل، بمجرد الانتقال إلى السحابة - ليس لأن الأنظمة الأساسية السحابية أقل أمانًا، ولكن لأنها تندرج تحت نموذج تهديد جديد وأكثر عدوانية.

4: عدم كفاية إدارة الهوية، وبيانات الاعتماد، والوصول والمفتاح

لا طائل من حماية الوصول إلى المعلومات باستخدام التشفير إذا كانت المفاتيح التي تلغي هذه الحماية متاحة للغرباء، خاصة إذا تم تخزينها على نفس النظم الأساسية للأصول التي تحميها. في الكثير من الحالات، سمح مطورو البرامج بالوصول الإداري إلى موارد معينة باستخدام مفتاح وصول واحد أو أكثر يقومون بتضمين قيمهم في التعليقات داخل التعليمات البرمجية المصدر الخاصة بهم للوصول بسهولة. ويقترح تحالف أمن الحوسبة السحابية (CSA) أن نفس عمليات دورة حياة إدارة الهوية التي وجهت المؤسسة عندما كانت جميع أصولها متواجدة محلياً ينبغي تطبيقها بنفس الصرامة، إن لم يكن أكثر من ذلك، على النظم الأساسية القائمة على السحابة. بحكم التعريف، يصبح أي مفتاح مركزي بحت أو نظام أساسي لإدارة السرية هدفًا ذا قيمة عالية. يتعين على الشركات أن تفكر بشدة في أنظمة التعريف متعددة العوامل، بما في ذلك المفاتيح المادية مثل تلك التي تنتجها Yubico ² والتي أقرها تحالف FIDO.³

5: سرقة الحساب

سرقة الحساب هي النموذج الكلاسيكي للاستخدام الضار، حيث يكتسب الفرد حق الوصول إلى حساب غير مصرح له. على الرغم من أن "القرصنة" قد تؤدي نظرياً إلى اختراق حسابات متعددة، إلا أن المتسللين لا يحتاجون إلى مواجهة الكثير من المشاكل إذا كان بإمكانهم بدلاً من ذلك استخدام الاستغلال الاجتماعي ("التصيد الاحتيالي") لاكتشاف هذه المعلومات بذكاء - على سبيل المثال، عن طريق خداع المستخدمين لإدخال أسماء المستخدمين وكلمات المرور في نموذج غير قانوني أو مربع حوار تسجيل دخول يحاكي الشيء الحقيقي.

6: تهديد من الداخل

يتوسع التهديد من المطلعين الضارين عندما يتم نشر الأصول في السحب العامة. يستشهد CSA بتعريف فريق الاستجابة لحالات الطوارئ الحاسوبية في كارنيجي ميلون (CERT) للتهديد الداخلي بأنه "احتمال أن يتصرف الفرد الذي لديه إذن بالوصول إلى أصول المؤسسة، إما عن قصد أو عن غير قصد، بطريقة يمكن أن تؤثر سلباً على المؤسسة". وبعبارة أخرى، على عكس الحالة مع اختطاف الحساب، يأتي تهديد من الداخل من الاستفادة بشكل ضار من الاستخدام المصرح به للحساب. بالنسبة للسحابة العامة، هناك مستويان من التهديد الداخلي المحتمل: من العميل ومن الموفر. ولمواجهة هذه التهديدات، يقوم موفرو خدمات السحابة بفرض معايير صارمة على موظفيهم، ومراقبة سلوك شبكاتهم بقوة، وإجراء عمليات تدقيق مفصلة. كما أنها تحدد نُهج الموارد البشرية والإخطار بالخرق في عقود خدمة العملاء الخاصة بهم.

7: الواجهات وواجهات برمجة التطبيقات غير الآمنة

يوفر موفرو خدمات السحابة وحدات تحكم ولوحات معلومات سهلة الاستخدام وقائمة على المتصفح للعملاء لإدارة خدماتهم وتوفيرها. يجلب الاتصال من خلال هذه الواجهات معه إمكانية حدوث تهديدات لخدمات العملاء في حالة تعرض أي من عمليات التسليم بين العميل والموفر للخطر. بغض النظر عن مدى أمان البنية الأساسية للسحابة، قد تسمح ثغرة أمنية واحدة في موقع الويب الخاص بالموفّر للمهاجم بالاستيلاء على حساب العميل.

يستخدم معظم الموردين الآن مصادقة قوية ومتعددة العوامل، وتسجيل مفصل، واكتشاف العيوب، وافتراضيات آمنة لمواجهة هذا التهديد. يتم توفير واجهات الويب بشكل عام فقط بعد إجراء فحوصات CI/CD تلقائية التشغيل بحثًا عن نقاط الضعف في التعليمات البرمجية (اختبار الصندوق الأبيض) وكذلك التنفيذ (اختبار الصندوق الأسود).

8: ضعف مستوى التحكم

نظم تزامن متطورة مثل Kubernetes إنشاء شبكات افتراضية داخل منها المادية، حيث تصبح الموارد معالجة باستخدام عناوين بروتوكول الإنترنت. في تراكباتالشبكة الظاهرية، يتم فصل نسبة استخدام الشبكة المتعلقة بالتحكم في الخدمة (مستوى التحكم) عن نسبة استخدام الشبكة الناتجة عن التطبيقات التي يستخدمها العملاء ( مستوى البيانات). هذا هو المبدأ التوجيهي للشبكات المعرفة بالبرمجيات (SDN)، وهو ما يجعل الحوسبة السحابية ممكنة. ويقر تحالف أمن الحوسبة السحابية (CSA) الآن بأنه يدرك وجود تهديد أمني بعد فصل هذه المستويات، ولا يوجد أي فرد داخل مؤسسة العملاء لديه أي رؤية أو سيطرة على العمليات المنطقية التي يتم الحفاظ عليها داخل مستوى التحكم.

9: أعطال في البنية الفوقية وبنية التطبيق

لم يدخل أي من هذين المصطلحين في اللغة العامية، وكلاهما يستحق مزيدًا من التوضيح. أنت على دراية بمفهوم البنية الأساسية، وهي طبقة الدعم لخدمات النظام التي لا ينبغي للمستخدم النهائي رؤيتها أو الشعور بوجودها. يُعرّف تحالف أمن الحوسبة السحابية (CSA) البنية الفوقية على أنها الواجهة بين البنية الأساسية والموارد التي تدعمها، والتي تتكون من مكونات مستوى التحكم أو مستوى الإدارة التي يمكن للمسؤولين الوصول إليها عن بُعد. ⁴بنية التطبيق تتألف في نموذج تحالف أمن الحوسبة السحابية (CSA) من مكونات التطبيق نفسها، إلى جانب الخدمات التي تنشرها وتديرها. كلاهما مفاهيم جديدة في أنظمة المعلومات، ولا يستخدم حتى مطورو البرمجيات هذه الكلمات لوصفها. ومع ذلك، تصور CSA نقطة التسليم بين خدمات البنية الفوقية والخدمات التي يسيطر عليها العملاء على أنهاخط ترسيم الحدود للعملاء، أو "خط المياه". وفوق هذا الخط المائي، يقترح أن يتعرف العملاء على الإجراءات المناسبة لنشر التطبيقات والخدمات وتنفيذها. ويشير تحالف أمن الحوسبة السحابية (CSA) إلى أن هذا الجزء من سلسلة المعاملات يصبح عرضة للاستغلال، إلى الحد الذي لا يفهم فيه هؤلاء الأشخاص هذه الإجراءات.

10: رؤية محدودة لاستخدام السحابة

تحدث هذه الحالة تحدث داخل المؤسسات، ويقول تحالف أمن الحوسبة السحابية (CSA)، عندما يفتقر موظفو تكنولوجيا المعلومات إلى رؤية طبيعة كيفية استخدام مواردهم السحابية، وبالتالي لا يكون لديهم طريقة للتحقق أو تقدير ما إذا كان نمط الاستخدام متسقًا مع الاستخدام الشائن أو لا. يحدث هذا الوضع في أغلب الأحيان في حالات "تكنولوجيا المعلومات الظلية"، حيث يوفر الموظفون أو المقاولون بتوفير الخدمات المستندة إلى السحابة (على سبيل المثال، التخزين الكتلي أو تخزين الملفات) دون إذن من أقسام تكنولوجيا المعلومات الخاصة بهم، وبالتأكيد بدون إشرافهم أو إدارتهم. قد يحدث أيضًا نقص في الرؤية، كما يقول تحالف أمن الحوسبة السحابية (CSA)، عندما يتعذر على المسؤولين رؤية أو تحليل السلوك داخل التطبيقات الخاضعة للعقوبات بعد مصادقة المستخدمين ومنح حق الوصول.

11: إساءة الاستخدام والاستخدام الشائن للخدمات السحابية

قد يكون الأفراد الخبثاء قادرين على الاستفادة من الجوانب الضعيفة لعملية المعاملات السحابية العامة (انظر التفسير أعلاه لـ "الخط المائي") لشن هجمات تستهدف المستخدمين الفرديين أو الخدمات السحابية نفسها. وتم استخدام السحب العامة عن غير قصد للتحكم والسيطرة من البرامج المتصلة بالإنترنت، واختبار كابتشا، وحسابات جدول قوس قزح (طريقة لتكسير وظائف التجزئة) - الإجراءات التي تطبق القوة الغاشمة بنجاح بدلاً من المنطق لتحقيق الوصول غير المصرح به. يحاول موفرو خدمات السحابة مواجهة هذا التهديد من خلال فحوصات التسجيل الصارمة والمراقبة الشاملة لكافة نسب استخدام الشبكة - على سبيل المثال، تصفية البيانات الوصفية من سجلات البريد الإلكتروني للتأكد مما إذا كان حساب العميل قد يرسل بريدًا عشوائياً.

المراجع

المطلعون على الأمن السيبراني (2019). تقرير أمان السحابة. https://crowdresearchpartners.com/2019-cloud-security-report/.
Yubico. YubiKey. https://www.yubico.com/products/yubikey-hardware/.
تحالف FIDO. https://fidoalliance.org/.
تحالف أمن الحوسبة السحابية. مشروع المبادئ التوجيهية لتحالف أمن الحوسبة السحابية 4.0 على GitHub. https://github.com/CloudSecurityAlliancePublic/CSA-Guidance/blob/master/Domain%201-%20Cloud%20Computing%20Concepts%20and%20Architectures.md.