تجيب هذه الدورة التدريبية على سؤال أمني عملي: أي كيان (Principal) يمكنه تنفيذ أي إجراء على أي مورد من موارد AWS، وما هو الحد الفاصل الذي يحدد ذلك؟ سنقوم ببناء أساس (Baseline) قابل للتكرار لمنع سوء الاستخدام، واكتشاف الأدلة، والاستجابة للحوادث، وذلك دون الخلط بين مسؤوليات AWS ومسؤوليات العميل.
يفصل نموذج المسؤولية المشتركة بين أمن السحابة (Security of the Cloud) وأمن ما بداخل السحابة (Security in the Cloud). تتولى AWS حماية المرافق والأجهزة والشبكات والبنية التحتية للمحاكاة الافتراضية التي تشغّل خدمات AWS. وفي المقابل، يتولى العملاء حماية أعباء العمل والبيانات والهويات والإعدادات والوفاء بالتزامات الامتثال المعمول بها.
تختلف مسؤوليات العميل باختلاف الخدمة المختارة. فمع خدمة Amazon Elastic Compute Cloud (EC2)، يتولى العملاء إدارة تحديثات نظام التشغيل الضيف (Guest OS)، وبرمجيات التطبيقات، وإعدادات مجموعات الأمان (Security Groups). أما مع خدمة Amazon Simple Storage Service (S3)، فتتولى AWS تشغيل البنية التحتية والمنصة، بينما يظل العملاء مسؤولين عن تصنيف البيانات، واختيار خيارات التشفير، وتطبيق أذونات الوصول.
قاعدة قابلة لإعادة الاستخدام خصص كل عنصر تحكم للطبقة القادرة فعلياً على تغيير مستوى المخاطر؛ فالبنية التحتية المُدارة لا تعفي العميل من مسؤولية الإعداد والتهيئة.
يُعد حساب AWS بمثابة حد عزل للموارد، وعمليات الفوترة، والعديد من الأذونات. بينما تمثل المنطقة (Region) حداً جغرافياً للنشر. وتقوم خدمة إدارة الهوية والوصول (IAM) بتقييم الكيان (Principal)، والإجراء المطلوب، والمورد المستهدف، والشروط ذات الصلة قبل أن تصرح AWS بتنفيذ الطلب.
يبدأ وضع الأساس الأمني بتحديد الحسابات التي تمتلك بيانات الإنتاج، والمناطق التي تحتوي عليها، والهويات التي يمكنها الوصول إليها. وتعمل بيانات الاعتماد المؤقتة ومبدأ “الحد الأدنى من الامتيازات” (Least Privilege) على تقليل تأثير انكشاف بيانات الاعتماد. كما يساهم التموضع الشبكي (Network Placement) والتشفير في تقييد المسارات وعمليات البيانات التي يمكن للهويات استخدامها.
لنستعرض كيف تعمل حدود الحساب والمنطقة والهوية والمورد على حصر الطلب وتحديد نطاقه.
يُعد الأساس الأمني (Security Baseline) الحد الأدنى من الضوابط التي تضمن وجود وصول خاضع للمساءلة، وحماية للبيانات، وتسجيل للأنشطة، واستعداد للاستجابة. تعمل الضوابط الوقائية على تقييد الطلبات غير الآمنة قبل تنفيذها بنجاح، بينما توفر الضوابط الكاشفة أدلة على السلوك المشبوه أو الانحراف في الإعدادات (configuration drift). أما ضوابط الاستجابة، فتتولى احتواء الحوادث المؤكدة والتعافي منها.
توفر أذونات إدارة الهوية والوصول (IAM) أساساً لإدارة الهوية، وتحدد ضوابط الشبكة المسارات المسموح بها، بينما تحمي آليات التشفير وضوابط الوصول البيانات سواء كانت مخزنة (at rest) أو قيد النقل (in transit). كما تضمن عمليات التسجيل والكشف إمكانية التتبع. ونظراً لأن أي طبقة بمفردها لا تكفي لإثبات أمان عبء العمل (workload)، يجب أن تعالج كل طبقة نمطاً محدداً من أنماط الفشل.
لنستعرض طبقات التحكم التي تربط بين الوقاية والكشف والاستجابة.