تحصين الهوية السحابية
أدوار الدليل المُميّزة، والإعدادات الخطرة، والوصول المشروط — بما في ذلك اشتراط المصادقة متعددة العوامل مباشرةً أو عبر قوة مصادقة. وتُقرأ المخاطر على المستخدمين من Identity Protection في المستأجرين المرخَّصين لها.
وحدة AthonisOne 02 من 08
السحابة
الوضع الأمني السحابي — وطبقة التعاون التي تتسرّب منها البيانات فعلًا.
الوضع الأمني السحابي أوسع من البنية التحتية. فمعظم تعرّض البيانات اليومي يحدث في طبقة التعاون — رابط مشاركة، أو إعداد افتراضي متساهل، أو فريق لا مالك له. تقرأ هذه الوحدة الهوية السحابية والموارد السحابية في Azure وOracle Cloud وMicrosoft 365 معًا، وتُظهر أين يكمن الضعف. وكل مصدر يعمل بمفرده، فالمنظمة التي تعمل على Oracle Cloud أو Azure وحدهما تُغطّى دون ربط دليل.
ما الذي تجيب عنه
الأسئلة التي وُجدت هذه الوحدة لتجيب عنها.
- 01 هل أي من الموارد السحابية منكشف للعموم أو غير محصَّن؟
- 02 أي الهويات السحابية تملك صلاحيات مفرطة؟
- 03 ما المحتوى المشارَك خارج المنظمة، وإلى أي حدّ هو متساهل؟
- 04 هل إعدادات المشاركة الافتراضية على مستوى المستأجر آمنة؟
- 05 أي تطبيقات Azure وعناوينه العامة تصل إلى الإنترنت دون المرور بجدارنا الناري وجدار حماية تطبيقات الويب؟
- 06 هل ثمة تطبيق منشور على نطاق لا نملكه؟
- 07 ما مدى امتثال بيئتنا السحابية لأفضل الممارسات؟
- 08 كيف يتجه وضعنا الأمني السحابي عبر الزمن؟
ما الذي تفحصه
بالتفصيل.
وضع الموارد السحابية
تعرّض خدمات السحابة وتحصينها وامتثالها عبر الاشتراكات، مع إبقاء الموارد التي تتشارك الاسم نفسه عبر مجموعات الموارد منفصلة.
ما يتجاوز المحيط
في بيئة تنشر عبر مسار واحد — DNS فالجدار الناري للمحيط فجدار حماية تطبيقات الويب فالتطبيق — تجد ثلاثة فحوص ما يصل إلى الإنترنت بطريق آخر: خدمة تطبيقات (App Service) يقبل عنوانها الخاص، أو موقع نشرها، اتصالات من أي مصدر؛ وخدمة تطبيقات مرتبطة بنطاق ليس من نطاقاتك، وهو في الغالب نطاق مورّد؛ وعنوان عام في Azure على بوابة أو عنقود أو جهاز افتراضي أو موازن حمل لا يقع خلف الجدار الناري للمحيط ولا ينشره.
وضع Oracle Cloud
مسؤولو الـ tenancy وما يُمنح لمن، والمصادقة متعددة العوامل وسياسة تسجيل الدخول، وبيانات الاعتماد طويلة العمر، وقواعد الأمان التي تفتح منافذ الإدارة على الإنترنت، وحاويات التخزين العامة، والتسجيل والمراقبة المعطَّلان، وموازنات الحمل ومستمعاتها. وتستشهد فحوص الهوية بمعيار CIS Oracle Cloud Infrastructure Foundations Benchmark.
قواعد بيانات Oracle Cloud
هل تنسخ الخدمة كل قاعدة بيانات احتياطيًا، ومن أين يمكن بلوغ مستمعها. وتسرد كل قاعدة بيانات حاوية (container) قواعد البيانات القابلة للتوصيل (pluggable) فيها، مع حالة فتح كلٍّ منها وهل يبلغها تدقيق قاعدة بيانات — ويُحكم على التغطية لكل قاعدة بيانات قابلة للتوصيل، لا للحاوية فقط. وقاعدة البيانات المدقَّقة من الداخل بوحدة أمن قواعد البيانات تُربط بقاعدة بيانات Oracle Cloud التي هي نفسها.
التعاون في Microsoft 365
مواقع ومحركات أقراص وفرق تُجرَد عبر SharePoint Online وOneDrive وTeams، مع مستكشفات مخصصة إلى جانب النتائج التي تنتجها.
المشاركة الخارجية
أين يُشارَك المحتوى خارج المنظمة، وما الروابط القائمة، وإلى أي حدّ هي متساهلة — وتُقيَّم إعدادات المشاركة على مستوى المستأجر وفق أفضل الممارسات، فيُلتقط الإعداد الافتراضي المتساهل مرة واحدة على مستوى المستأجر، لا موقعًا تلو الآخر.
نتائج مُصنَّفة
كل نتيجة مع الدليل وراءها، لا مجرد وسم للخطورة.
دليل النتائج
شرح مدمج لكل نتيجة — ما هي، ولماذا تهمّ، وماذا تفعل.
مؤشر الوضع الأمني
يُحتسب من النتائج ويُتتبَّع عبر الزمن.
أدلة الامتثال
نتائج مربوطة بضوابط الأطر التي تُسندها.
كيف تحكم
حيث تمتنع عن الادّعاء الزائد.
الفحص الذي يخمّن يُنتج نتائج زائفة، والنتائج الزائفة تعلّم الفريق تجاهل النتائج الحقيقية. هذه هي المواضع التي تتحفّظ فيها هذه الوحدة.
- يُحكم على النشاط بآخر تسجيل دخول ناجح، تفاعليًا كان أم لا. فالضيف أو المستخدم المرخَّص الذي يعمل عبر التطبيقات وتجديد الرموز لا يُبلَّغ عنه خاملًا، ومحاولات كلمة المرور الفاشلة لا تُحتسب نشاطًا.
- لا تقرأ السجل الكامل لتسجيلات دخول المستخدم.
- نتيجة واحدة لكل شخص، مع سرد كل دور مُميّز يحمله.
- مجموعة سياسات وصول مشروط تعذّرت قراءتها تُعرض غير مُقاسة — لا غائبة.
- خدمة التطبيقات التي تعذّرت قراءة قيود الوصول إليها لا يُحكم عليها، ولا يُحكم على التطبيقات داخل بيئة خدمة التطبيقات (App Service Environment). ونقطة النهاية الخاصة وحدها لا تُغلق التطبيق. وتسرد النتيجة المصادر التي يسمح بها الموقع، ولا تقرّر هل هي جدار حماية تطبيقات الويب لديك.
- فحص العناوين العامة يتطلب أن تقرأ وحدة الشبكة جدارًا ناريًا واحدًا على الأقل يعمل في Azure. وإلى حين أول مزامنة لـ Azure والدليل بعد الترقية، تُعرض هذه الفحوص غير مُقاسة.
- إن تعذّرت قراءة جزء من tenancy في Oracle Cloud في مزامنة ما — منطقة أو خدمة لم تستجب — يبقى ما قُرئ آخر مرة معروضًا، مؤرَّخًا، وتُعلَّق الفحوص عليه بدل أن تُرفع أو تُغلق.
- لكل نتيجة سحابية صفحة في دليل النتائج.
ما الذي تقرؤه
متصلة بما تشغّله بالفعل.
- Microsoft Entra IDالمستخدمون والمجموعات والعضويات وأدوار الدليل السحابية، عبر Microsoft Graph بصلاحيات القراءة
- Microsoft Azureإعدادات الموارد ووضعها الأمني عبر الاشتراكات، عبر واجهة إدارة Azure
- Microsoft 365المشاركة والإعدادات في SharePoint وOneDrive وTeams، عبر Microsoft Graph بصلاحيات القراءة
- Oracle Cloud Infrastructureهوية الـ tenancy والشبكة والحوسبة وخدمة قواعد البيانات والتخزين والتسجيل وإعدادات الحافة، عبر واجهة Oracle Cloud بمفتاح توقيع لا يُستخدم إلا للقراءة
ما لا تفعله أبدًا
الحدّ، معلنًا بوضوح.
- لا تكتب أبدًا في مستأجر أو tenancy أو اشتراك. كل موصّل يقرأ فقط — لا ترسل المنصة أي تغيير، مهما كانت صلاحيات بيانات اعتمادها.
- لا تقرأ المحتوى أبدًا — تقرأ كيف يُشارَك المحتوى، لا ما يقوله.
تُعدّ نتائج هذه الوحدة دليلًا في مجالات ضوابط الإعدادات والتحكم في الوصول وتحصين السحابة في كل إطار مُفعَّل.
تعمل مع
مجموعة بيانات واحدة، فتجيب الوحدات بعضها عن بعض.
اطّلع على ما ستقوله وحدة السحابة عن بيئتك التقنية.
تُرخَّص وحدها، وعلى المنصة نفسها التي تعمل عليها كل وحدة أخرى. سنُريك الإجابة — وما الذي ستقول إنها لم تستطع قياسه.