تعمل تقنية إدارة وضع الأمان السحابي (CSPM) على تقييم تكوين مستوى التحكم السحابي (cloud control-plane) ومقارنته بمتطلبات الأمان المحددة. ففي منصات مثل AWS وAzure وGoogle Cloud، تساعدنا CSPM في تحديد ما إذا كانت الموارد والهويات وإعدادات مستوى الحساب تتوافق حالياً مع وضع أمان محدد مسبقاً. ولا تقوم هذه التقنية بفحص محتوى حزم بيانات التطبيقات (payloads) أو استبدال آليات الكشف الفوري (أثناء التشغيل) عن الهجمات النشطة.
عادةً ما تعمل أدوات CSPM دون الحاجة إلى تثبيت برمجيات وسيطة (وكلاء) على الموارد؛ إذ تستخدم بيانات اعتماد بصلاحية “القراءة فقط” لاستدعاء واجهات برمجة التطبيقات (APIs) الخاصة بكل مزود خدمة، وبناء سجل شامل للموارد، وتقييم القواعد الأمنية بناءً عليها. وتشمل الأمثلة على ذلك أدوات مثل AWS Config وSecurity Hub، وMicrosoft Defender for Cloud، وGoogle Security Command Center، بالإضافة إلى أدوات الفحص مفتوحة المصدر مثل Prowler وSteampipe. وعندما يخالف أحد الموارد قاعدة من هذه القواعد، تُصدر الأداة تقريراً بالنتيجة تحت مسمى “اكتشاف” (finding).
يُعرف “الاكتشاف” بأنه بيان يصف حالة تكوين يمكن رصدها، مثل إعدادات الوصول لمورد تخزين أو الصلاحيات الممنوحة لهوية معينة. وتعتمد قيمة هذا الاكتشاف على الأدلة التي يمكن لعملية CSPM قراءتها، وعلى القاعدة المستخدمة لتفسير تلك الأدلة.
يمكننا الآن تتبع حدود مزود الخدمة ومصادر الأدلة التي يعتمد عليها تقييم CSPM.
تصف أدلة التكوين ما تبلغ عنه “لوحة تحكم المزود” (provider control plane) وقت جمع البيانات. وتوفر سجلات النشاط سجلاً تاريخياً لإجراءات الإدارة، مثل قيام كيان (principal) بتغيير سياسة أو إنشاء مورد. في AWS، تشمل هذه الأدوات AWS Config وCloudTrail؛ وفي Azure، تشمل Azure Resource Graph وActivity Log؛ وفي Google Cloud، تشمل Cloud Asset Inventory وCloud Audit Logs. يمكن لهذه المصادر مجتمعة إظهار وجود إعداد معين وتحديد من قام بتغييره، لكنها لا تثبت نجاح طلب تطبيق ما، أو الوصول إلى بيانات، أو سلامة حزمة شبكة معينة.
انحراف التكوين (Configuration drift) هو الفرق بين التكوين المعتمد أو المتوقع والتكوين الحالي المرصود. قد ينجم الانحراف عن تغيير يدوي، أو خطأ في الأتمتة، أو تراجع في النشر (rollback) أعاد قيمة قديمة، أو إنشاء مورد خارج عملية التسليم المقصودة. تكتشف أدوات إدارة وضع أمان السحابة (CSPM) هذا الفرق فقط عندما يكون المورد مدرجاً في مخزونها وتتوفر الأدلة الخاصة به.
حدود الأدلة تحدد نتيجة فحص CSPM حالة تكوين معينة ضمن نطاق المزود، لكنها لا تثبت بحد ذاتها قابلية الاستغلال، أو التأثير على الأعمال، أو نجاح عملية الوصول.
قد تكون النتيجة إيجابية كاذبة (false positive) عندما تبلغ القاعدة الخاضعة للتقييم عن مشكلة رغم أن المتطلب المعمول به يسمح بالحالة المرصودة. على سبيل المثال، قد تحدد قاعدة مصاغة بشكل عام نقطة نهاية (endpoint) مواجهة للإنترنت على أنها مشكلة، بينما تكون هذه النقطة عامة (public) عن عمد ومحمية بضوابط لا تقيمها القاعدة نفسها. يتمثل الإجراء السليم في التحقق من المتطلب، والغرض من المورد، ومسار التعرض للمخاطر، والضوابط التعويضية قبل تغيير تكوين بيئة الإنتاج.
تؤدي أذونات القراءة المفقودة إلى مشكلة معاكسة؛ فإذا تعذر على هوية CSPM سرد مورد، أو استرجاع سياسة، أو فحص إعداد ذي صلة، فقد يكون التقييم غير مكتمل التغطية بدلاً من أن يعطي نتيجة قاطعة. ويكون للمورد غير المُدار التأثير العملي نفسه عندما يقع خارج نطاق الحسابات أو الاشتراكات أو المشاريع أو المخزون الخاضع للتقييم.
كما تفرض المسؤولية المشتركة قيوداً؛ إذ يتولى مزود السحابة تشغيل الخدمة الأساسية، بينما يظل العميل مسؤولاً عن خيارات مثل تعيين الهوية، والتعرض للشبكة، وسياسة المورد، وتكوين الوصول إلى البيانات. ولا يعني اجتياز فحص حالة الأمان انتقال تلك المسؤولية أو إثبات فعالية كل ضابط أمني يديره العميل.
قاعدة اتخاذ القرار لا تُعتبر حالة “عدم وجود نتائج” مفيدة إلا بعد التحقق من النطاق، وأذونات الجمع، وقابلية تطبيق القاعدة، والإطار الزمني للأدلة.
سنستخدم عبء عمل واحدًا صغير الحجم عمدًا يُسمى orders-api. يمثل هذا العبء خدمة تطبيقية تستمع عبر المنفذ 8080 وتخزن بيانات الطلبات في مورد تخزين كائنات (object storage) أصلي تابع لمزود الخدمة. تظل كل نسخة ضمن حدود المزود الخاص بها؛ لذا لا يُفترض انتقال أي هوية أو إذن تخزين أو نتيجة (finding) من سحابة إلى أخرى.
في AWS، يستخدم orders-api الدور orders-api-role والحاوية (bucket) orders-data-s3. وفي Azure، يستخدم الهوية المُدارة orders-api-mi وحساب التخزين ordersdatast. أما في Google Cloud، فيستخدم حساب الخدمة orders-api-sa والحاوية orders-data-gcs. هذه المعرّفات وهمية، ولكن الحدود التي توضحها قابلة لإعادة الاستخدام.
يمكننا فحص كيفية بقاء نطاق هوية كل عبء عمل مقتصرًا على موارد المزود الخاص به.