ما بعد CSPM: سد الثغرة الأمنية في بيانات السحابة

أصبحت إدارة الوضع الأمني للسحابة (CSPM) إجراءً أساسيًّا لتحديد حالات التكوين الخاطئ في السحابة، والانحراف عن السياسات، وإعدادات مستوى التحكم غير الآمنة، لكنها لا تعالج جميع الأسئلة المتعلقة بالبيانات التي تحتاج فرق الأمن إلى إجابات عليها.

تم تصميم CSPM لأتمتة تقييم حالة الأمان وكشف الانحرافات عبر بيئات السحابة. ويمكنه تحديد الخدمات المعرضة للخطر، وأدوار IAM ذات الصلاحيات المفرطة، ووحدات التخزين غير المشفرة، واللقطات العامة، وانتهاكات السياسات عبر AWS وAzure وGoogle Cloud ومنصات IaaS الأخرى. وتعد هذه القدرة أمرًا أساسيًّا. تستمر تقارير DBIR الصادرة عن Verizon في إظهار أن الأخطاء وأخطاء التكوين لا تزال من العوامل المهمة المساهمة في حدوث الانتهاكات؛ فقد أفاد الرسم البياني التوضيحي لتقرير DBIR لعام 2024 أن الأخطاء شكلت 28% من الانتهاكات، مع كون أخطاء التكوين نمطًا شائعًا من الأخطاء.

لكن أدوات CSPM التقليدية تركز على تكوين البنية التحتية وأمن مستوى التحكم، وليس على محتوى البيانات أو حساسيتها. فهي لا تفحص بعمق ما تحتوي عليه موارد البيانات، أو مدى حساسية تلك البيانات، أو من يمكنه الوصول إليها فعليًّا عبر مسارات الوصول المختلفة. فقد يكون حاوية التخزين متوافقة من منظور التكوين، بينما تظل في الوقت نفسه تعرض سجلات العملاء للخطر من خلال أذونات الوصول المفرطة أو الروابط الخارجية.

هذه الفجوة مهمة لأن مخاطر البيانات في السحابة لا تقتصر على أخطاء التكوين الواضحة. فالعديد من مسارات الهجوم على السحابة تنطوي على بيانات اعتماد تم اختراقها وإساءة استخدام حسابات صالحة، وليس مجرد أخطاء تقنية في التكوين. يوثق نموذج MITRE ATT&CK التقنيات التي يستخدم فيها المهاجمون حسابات سحابية صالحة للوصول إلى الموارد وتسريب البيانات إلى التخزين السحابي. في تلك السيناريوهات، قد تبدو البنية التحتية مُكوَّنة بشكل صحيح بينما تظل البيانات معرضة للخطر. المصدر: https://attack.mitre.org/

يتطلب الوضع الأمني للبيانات السحابية الرؤية الواضحة لمكان تخزين البيانات الحساسة، وكيفية انتقالها، ومن يمكنه الوصول إليها، وكيف يتغير مدى تعرضها للمخاطر بمرور الوقت. وهذا يعني تجاوز مجرد عمليات فحص الوضع الأمني، والتركيز على اكتشاف البيانات وتصنيفها وتحليل مدى تعرضها للمخاطر، والمراقبة المستمرة عبر بيئات السحابة وخدمات البرمجيات كخدمة (SaaS) – وهي قدرات تشكل نهجًا شاملاً لإدارة الوضع الأمني للبيانات (DSPM).

ما الذي تجيده CSPM

يتميز نظام CSPM بقدرته الفائقة على اكتشاف المشكلات في البنية التحتية السحابية التي تشكل مخاطر على مستوى مستوى التحكم. فهو يراقب باستمرار تكوينات السحابة مقارنةً بالمعايير المرجعية وأطر الامتثال. ويمكنه الكشف عن مشكلات مثل:

• مساحة تخزين متاحة للجمهور

• الأدوار ذات الامتيازات المفرطة والأذونات الزائدة

• موارد غير مشفرة / تشفير معطل

• مجموعات الأمان المفتوحة والخدمات/قواعد البيانات المعرضة للخطر

• مخالفات للسياسة الداخلية أو المتطلبات التنظيمية

بالنسبة لفرق العمل في مجال الخدمات السحابية، تُعد هذه الرؤية ذات قيمة كبيرة. فهي تساعد في تحديد الثغرات الأمنية، وفرض السياسات، والحد من المخاطر الشائعة الناجمة عن انحراف التكوين. كما توفر عمليات فحص قابلة للتكرار عبر العديد من مزودي الخدمات السحابية، وهو أمر يصعب تحقيقه يدويًّا على نطاق واسع.

نقاط الضعف في نظام CSPM

القيد يكمن في النطاق. يقوم CSPM بالتحقق من صحة البيئة، لكنه لا يخبرك بما تحتويه هذه البيئة.

قد يجتاز «البوكت» جميع إجراءات مراقبة التكوين، ومع ذلك يحتوي على بيانات خاضعة للتنظيم. وقد تتبع مساحة العمل التعاونية الإعدادات المعتمدة، في حين يتم مشاركة ملف حساس على نطاق واسع للغاية. وقد يتم تأمين قاعدة بيانات سحابية على مستوى طبقة الشبكة، في حين يتسبب مستخدمو التطبيق أو حسابات الخدمة أو الأذونات الموروثة في حدوث تعرض غير متوقع للمخاطر.

ولهذا السبب، لا يمكن لـ CSPM وحدها الإجابة عن الأسئلة التي تهم فرق الأمن أكثر من غيرها:

• أين توجد البيانات الحساسة؟

• ما نوع هذه البيانات؟

• من يمكنه الوصول إليه؟

• كيف يتم مشاركتها؟

• ما هي المخاطر التي تشكل أكبر خطر على الأعمال؟

كما أن حلول CSPM التقليدية تتمتع برؤية محدودة لتدفقات البيانات عبر المنصات المختلفة. فقد لا تتمتع الأداة التي تحمي بيئة AWS الخاصة بك بأي رؤية لكيفية انتقال البيانات بين AWS وMicrosoft 365 أو Salesforce أو أي خدمات سحابية أخرى. كما أنها قد لا تكتشف المستودعات «الظل» التي يتم إنشاؤها عبر التخزين السحابي الشخصي، أو الاستخدام غير المصرح به لخدمات SaaS، أو عمليات التصدير إلى أدوات التعاون الخارجية.

لماذا يؤثر سياق البيانات على ترتيب الأولويات

قد تواجه فرق الأمن كميات هائلة من نتائج تقييم حالة الأمان، ولكن بدون سياق البيانات، قد تجد صعوبة في تحديد أولويات المخاطر ذات التأثير الأكبر. فلا ينبغي أن تُعامل بيئة الاختبار منخفضة المخاطر التي تستخدم بيانات اصطناعية بنفس درجة الاستعجال التي تُعامل بها أنظمة التشغيل الفعلية التي تحتوي على السجلات المالية للعملاء.

وهذا التمييز هو السبب في أهمية الرؤية المستندة إلى البيانات. فهي تساعد على التمييز بين المشكلات التقنية المهمة وتلك التي تُعد حاسمة حقًّا بالنسبة للأعمال. فعلى سبيل المثال، يُعد تنبيه «التخزين العام» أمرًا خطيرًا، ولكن إذا كان الأصل لا يحتوي على أي معلومات حساسة، فقد تختلف الاستجابة عن تلك المتعلقة بمستودع معرض لنفس المخاطر يحتوي على سجلات خاضعة للتنظيم أو ملكية فكرية.

تعد حوكمة الوصول نقطة عمياء أخرى. قد تتحقق إدارة أمن البنية التحتية السحابية (CSPM) من وجود سياسات عامة للبنية التحتية، لكنها لا ترسم صورة كاملة لكيفية تراكم حقوق الوصول عبر المجموعات، وأذونات التطبيقات، والموارد المشتركة، والوصول القائم على الرموز المميزة، أو عمليات التكامل مع الأطراف الثالثة. وبمرور الوقت، يمكن أن تؤدي هذه العلاقات إلى ظهور ثغرات أمنية لا تكشفها عمليات الفحص الأساسية للحالة الأمنية.

ما الذي تضيفه إدارة حالة أمن البيانات (DSPM)

تعمل إدارة حالة أمن البيانات (DSPM) على توسيع نطاق الرؤية من البنية التحتية لتشمل البيانات. وتركز على اكتشاف المعلومات الحساسة وتصنيفها، وفهم كيفية تعرضها للخطر، ومراقبة التغيرات التي تطرأ على هذا التعرض.

تبدأ الإدارة الفعالة لأمن البيانات بالتعرف على الموارد الموجودة في البيئات السحابية وخدمات البرمجيات كخدمة (SaaS). ويجب أن تحدد هذه الإدارة أماكن وجود البيانات، سواء في التخزين السحابي أو أدوات التعاون أو التطبيقات المصرح بها وغير المصرح بها.

ومن هناك، يضيف التصنيف البعد التجاري. فالتدقيق في المحتوى وحده لا يكفي؛ بل يجب فهم البيانات من حيث حساسيتها وتأثيرها. وهذا يعني التمييز بين الملفات العادية والسجلات الخاضعة للتنظيم، مثل المعلومات الشخصية المحددة (PII) وبيانات PCI والوثائق المالية أو الملكية الفكرية.

ثم يقوم تحليل التعرض بتحديد الطرق التي يمكن من خلالها الوصول إلى البيانات. ويشمل ذلك الأذونات، وإعدادات المشاركة، والروابط الخارجية، ووصول المجموعات الموروث، وتعرض واجهة برمجة التطبيقات (API)، وعمليات التكامل، وسلوك المستخدم. كما يأخذ في الاعتبار الكيفية التي يمكن للمهاجم من خلالها الوصول إلى البيانات عن طريق اختراق الحساب أو تصعيد الامتيازات.

وأخيرًا، تضمن المراقبة المستمرة اكتشاف التغييرات التي تطرأ على حركة البيانات ومشاركتها والوصول إليها فور حدوثها. وفي البيئات السحابية، قد تتغير المخاطر بسرعة مع قيام الفرق بالتعاون وأتمتة العمليات وربط خدمات جديدة.

CSPM وDSPM متكاملان

لا يُعد كل من CSPM وDSPM بديلين عن بعضهما البعض. فهما يحلان مشكلات مختلفة ويحققان أفضل النتائج عند استخدامهما معًا.

يؤمن CSPM طبقة البنية التحتية. فهو يوضح لك ما إذا كانت موارد السحابة قد تم تكوينها بشكل صحيح، وما إذا كانت الضوابط الأساسية مطبقة. أما DSPM فيوسع نطاق الرؤية ليشمل طبقة البيانات. فهو يوضح لك ما هي البيانات الحساسة الموجودة، وأين يتم تخزينها، ومن يمكنه الوصول إليها، وكيف يمكن أن تتعرض للخطر.

ويوفر هذا المنظور الشامل لفرق الأمن إجابة أكثر شمولاً على الأسئلة المتعلقة بكل من البنية التحتية والبيانات. كما أنه يدعم تحديد أولويات المخاطر بشكل أفضل، لأن الفريق يمكنه ربط أي خطأ في التكوين بالأصول والبيانات التي يؤثر عليها فعليًّا.

يمكن للمؤسسات التي تستفيد من المنصات الموحدة، مثل الحل الشامل Security Service Edge SSE)» Skyhigh Security أن تدمج الرؤية التي تركز على البنية التحتية والبيانات معًا لمعالجة النطاق الكامل لإدارة البيانات السحابية ومخاطر البيانات.

مثال عملي

لنفترض أن هناك فريق تطوير يقوم بتصدير الكود المصدري إلى مساحة تخزين سحابية بهدف التعاون. قد يُظهر نظام إدارة أمن الخدمات السحابية (CSPM) أن حساب التخزين مشفر وخاص ومتوافق مع السياسات الأساسية. ويبدو ذلك مقبولاً من منظور البنية التحتية.

لكن الرؤية المستندة إلى البيانات قد تكشف عن صورة مختلفة. فقد يحتوي المستودع على خوارزميات مسجلة الملكية، أو صلاحيات وصول قديمة لمقاولين، أو روابط مشتركة لم يتم إلغاؤها قط. وفي هذه الحالة، لا يقتصر الخطر على إعدادات السحابة وحدها، بل يكمن في التفاعل بين الإعدادات والمحتوى ومسار الوصول.

وينطبق الأمر نفسه على أدوات التعاون القائمة على نموذج SaaS. فقد يتم تخزين الملفات في تطبيقات معتمدة، ومع ذلك يتم مشاركتها مع أطراف خارجية، أو الحصول عليها من خلال العضوية في المجموعات، أو الوصول إليها عبر التطبيقات المتصلة وعمليات تكامل واجهات برمجة التطبيقات (API). ولم يتم تصميم نظام إدارة أمن المحتوى (CSPM) لتتبع علاقات مشاركة البيانات هذه بالتفصيل.

لماذا تحتاج البرامج السحابية الحديثة إلى كلا المنظورين

مع توسع نطاق استخدام السحابة، تنتشر البيانات الحساسة عبر المزيد من الخدمات والهويات وقنوات التعاون. ولا تزال ضوابط البنية التحتية ضرورية، لكنها لم تعد كافية بحد ذاتها.

يتطلب الوضع الأمني الناضج في السحابة رؤية موحدة لكل من مستويات التحكم ومستويات البيانات. وهذا يعني دمج إدارة أمن السحابة (CSPM) مع قدرات تركز على البيانات قادرة على اكتشاف المحتوى الحساس، وتحديد نطاق التعرض للمخاطر، ودعم الاستجابة القائمة على المخاطر.

يمكن للمنظمات التي تجمع بين هذه الأساليب أن تجيب بشكل أفضل على أسئلة مثل:

• هل تم تكوين المورد السحابي بشكل آمن؟

• هل يحتوي على بيانات حساسة؟

• هل يمكن للأشخاص المعنيين الوصول إليه؟

• هل يتم الكشف عنها من خلال المشاركة أو عمليات الدمج أو الروابط الخارجية؟

• ما هي المشكلات التي ينبغي معالجتها أولاً؟

تحدد هذه الأسئلة الفرق بين التكوين الآمن والحالة الآمنة للبيانات.