أمن السحاب: الضوابط العملية وتقاسم المسؤولية

ويمكننا ملاحظة أن الحاجة إلى حلول أمنية ذكية قد ارتفعت بشكل كبير خلال السنوات الأخيرة. ويرجع ذلك إلى أن المنظمات تشعر بقلق أكبر إزاء أمنها السحابي، وحماية البيانات، وخصوصيتها، وترغب في التأكد من عدم تسرب بياناتها الحساسة أو اعتراضها أو سرقتها من قبل القراصنة أو غيرهم من المجرمين السيبرانيين.

الحوسبة السحابية كانت حجراً متقدماً للشركات لكي تنتقل إلى السحابة ولكن مع زيادة استخدام الخدمات القائمة على الغيوم، هناك حاجة إلى سياسات وأطر أمنية سحابية. وقد تحولت الاتجاهات الأمنية السحابية من استراتيجية دفاعية إلى استراتيجية استباقية تسمى " سرقة اليسار " . وتحوّل هذه الاستراتيجية مزيداً من المسؤولية إلى المطورين والمختبرين عن طريق جعلهم أكثر مساءلة عن المدونة التي يكتبونها أو يختبرونها على التوالي. وتساعد الشرطة الأفرقة على إدماج الأمن في عملية تطوير برامجياتها.

ما هو الأمن السحابي؟

While DevOps focuses more on the speed of deployment and fast iteration, there seems to be a security gap that needs to be addressed to tackle the mismanagement of cloud environments and different stages of SDLC from the attackers that can harm the systems.

أمن السحاب هو موضوع حرج لمناقشة ما إذا كنت تريد أن تكون جزءا من الثورة السحابية. ومع مرور المزيد من المؤسسات على التحول الرقمي، فإنها تنقل أساليبها التقليدية لإنشاء برامجيات، وتخزين البيانات، والهياكل الأساسية إلى السحابة.

ونموذج التحول هو استراتيجية تستخدم في الأجهزة لمعالجة المسائل الأمنية في وقت سابق من دورة تطوير البرامجيات، وقد ثبت أن هذا النهج فعال حقا في منع إدخال مواطن الضعف الأمنية في برامجياتكم.

The state of cloud security 2021 report collected responses from 300 cloud engineer professionals, designed by Fugue and Sonatype, found that 36% of companies in the past 12 months have experienced a severe cloud security data leak or a breach.

وذكر تقرير آخر عن أمن البيانات السحابية من جانب نيتوريكس أن 54 في المائة من المنظمات التي تخزن بيانات العملاء في السحابة وقعت حوادث أمنية في الاثني عشر شهرا الماضية.

The state of cloud security posture management report of 2021 by OpsCompass reported 55% of companies experiencing a breach.

In 2021 cloud security report by Cybersecurity insiders found that despite the rapid adoption of cloud computing, security still persists as a primary issue for most cloud clientss.

وقد تبين من تقرير الأمن السحابي الذي قدمه أكووا أن المضايقات السحابية أصبحت أكبر صداع في الأيام الأخيرة مما يشكل مخاطر أمنية هائلة. ويشير التقرير إلى أن نسبة 90 في المائة من الشركات معرضة للانتهاكات الأمنية نظراً لضغوط السحاب.

هناك الكثير لنتحدث عنه عندما يتعلق الأمر بالأمن، لكننا نعتقد أن هذه هي الاتجاهات الأقل التي تقود الطريق إلى الأمن السحابي.

نهج الأمن أولا ونهج التحول:

وقد أدى التفكير في الأمن باعتباره الأولوية القصوى إلى إدخال تحسينات كثيرة على الحد من المخاطر الأمنية. واليوم، يُشجَّع المطورون على إنشاء برامجيات وشفرة بطريقة آمنة وإدارة ملامحهم بطريقة مأمونة للغاية. وعلاوة على ذلك، ثبت أن التحول إلى اليسار عندما يتعلق الأمر بالأمن يمثل مزايا إضافية تتمثل في التخفيف من الوقت الذي يستغرقه الإفراج عن برامجيات جيدة من خلال إيجاد حشرات في وقت مبكر جدا في دورة حياة التنمية. وبهذه الطريقة، لا يعتبر الأمن بعد التفكير، بل هو قطعة أساسية من الرمز إلى الإنتاج.

إن توفير الأمن لكل فرد عن طريق التقصير هو المضيق الجديد.

Automating security in SDLC:

بإغراق (ديفوبس)، تعني تحقيق التشغيل الآلي الصفري في جميع أنحاء العالم. ويتبع نفس الشيء في آلية الأمن عن طريق استخدام المسكن السحابي الحديث CI/CD :: الأدوات وتدفقات العمل التي يمكن أن تفحص وتختبر مواطن الضعف في المراحل المبكرة من اتفاقية استكهولم المستدامة.

التلقائية تتأكد من أن الأمن يصبح جزءاً من جيش تحرير السودان وبالإضافة إلى ذلك، يساعد في حقن عملية للامتثال الأمني والإدارة، التي ستفرض على المطورين تنفيذ الأمن كجزء غير مقصود من تطوير البرامجيات. ويهدف البرنامج إلى الحد من أوجه الضعف في البرامجيات والإنتاج المنشورين. وجود نقاط تفتيش أمنية جيدة في كل مرحلة من مراحل لجنة مكافحة التصحر يجعل من غير المحتمل إلى حد كبير وجود أي حشرة في الإنتاج.

(أ) استخدام الـ (آي) و(ميل) في الأمن السحابي:

الكثير من التدابير المتعلقة باستخدام نظام المعلومات المسبقة عن علم و ML في تطبيق هذه التدابير. One of the most encouraging and advanced uses of AI in cybersecurity is to employ AI systems to crawl and trawl throughout historical data to recognize the attack patterns. With the advancements in data science, the ML models are trained to let the security teams know where the security gaps are and opportunities for breaches, so the team can know the irregularities earlier and fix them.

نظم المعلومات المسبقة عن علم جيدة جداً في التتبع ومعرفة ما إذا كانت أي هوية أجنبية قد دخلت النظام. وهذا يتيح للمديرين والشبكات والأفرقة الأمنية منع أي كيان من هذا القبيل. وهذا النوع من الوظائف أصبح الآن يعتمده العديد من مقدمي السحب هذه الأيام، بل إنهم يشحنونه بنظم التخزين السحابية الأساسية.

RBAC and identity security:

وتستخدم المؤسسات نظما لإدارة أمن المعلومات والهوية في هذه الأيام كجزء من سياستها المتعلقة بالأمن السيبراني.

وتشكل نظم مراقبة الدخول القائمة على أساس الأدوار وأمن الهوية عنصرين لا يتجزأ من انعدام الثقة. وهي تكفل فقط حصول المستخدمين المأذونين والمحددة على عبء العمل والنظم. ويقيد المكتب كيانا غير مأذون به من الوصول إلى النظام.

Since clearly established roles, pre-defiled, pre-approved access policies, and permissions are prescribed in RBAC ' identity security, companies use this methodology to mitigate the security threats from outside.

تأمين مع بيوك:

ومع انتقال التطبيقات الحيوية للأعمال التجارية إلى السحابة، يصبح بيوك (مفتاحك الخاص) أمراً أساسياً للغاية لأمن البيانات وخصوصيتها. ثلاثة من مقدمي الخدمات السحابية الكبيرة Amazon Web Services )أ(AWS) Google Cloud المنبر (GCP)، Microsoft Azure (ج) السماح للمستخدمين بالشبكة كجزء من أمن البيانات.

وإلى جانب التبني السحابي، يزداد أيضا سوق التشفير.

ولضمان الامتثال القوي والحوكمة والأمن الداخلي، يتعين على المؤسسات أن تتحكم في مفاتيحها البكتريولوجية. ويعتبر استخدام الشبكة أمراً حيوياً للتخفيف من المخاطر الأمنية لأنها تمكّن الشركات من الحفاظ على قيادة مفاتيحها الحيوية مع الاستفادة الكاملة من القدرات السحابية. منفعة أخرى لـ (بيوك) أن الزبون يدخل في حالة قفل للبائعين السحابيين إن نقل البيانات من مزود سحابة إلى آخر سيكون مهمة شاقة ومكلفة بدون بيوك.

كيف نخفف من الخروقات الأمنية السحابية؟

تقليدياً عندما تنشر تطبيقاً لديك مركز البيانات بأكمله الخواديم وما إلى ذلك وأنت مسؤول عن كل ذلك ولكن عندما تنتقلون إلى السحابة، تكون المسؤولية المشتركة بينكم وبين مقدم السحابة. ومن ثم، يصبح من الأهمية بمكان إعادة التفكير في الأمن على مسؤولياتكم وما يتحمله مقدمو السحابة من مسؤولية.

عندما تأخذين مثالاً بسيطاً على (باس) تقومين ببناء التطبيقات وتهاجرين البيانات إلى السحابة وبناء تطبيقات تعمل على السحابة وهكذا، فإنكم هنا مسؤولون عن تأمين التطبيقات، وعبء العمل، والبيانات، في حين أن مقدم السحابة مسؤول عن إدارة أمن المنبر بحيث يكون ممتثلا وآمنا.

ومع هجوم الرياح الشمسية الكبير مؤخرا، أصبحت الشركات تشارك مشاركة كبيرة في تحسين لعبتها الأمنية. كما رأينا أن النظام التنفيذي لبيدن بشأن أمن الفضاء الإلكتروني قد اكتسب زخما كبيرا فيما بين شركات البرمجيات للامتثال للمعايير الأمنية المذكورة في الترتيب.

الإشارة أدناه إلى بعض النقاط التي تضع في اعتبارها التخفيف من الانتهاكات الأمنية السحابية

الحد من الوصول إلى أكثر البيانات قيمة عن طريق التحكم في الدخول وإدارة الهوية.

جعل بائعي الأطراف الثالثة يمتثلون لقواعد وسياسات إدارة الأمن في شركتكم.

استخدام استراتيجية متعددة الأماكن، لذلك تحصل على الفوائد المضافة من مختلف مقدمي السحابة دون خطر قفل البائعين.

جعل نقاط التفتيش الأمنية إلزامية في كل مرحلة من مراحل SDLC للتخفيف من خطر الحشرات التي يتم القبض عليها في الإنتاج.

استخدام العصر الحديث CI/CD أداة لتأهيل البناء وإجراء اختبارات متعددة

Use a solid security scanning and vulnerability tool to find fines and any license violations very early in the SDLC.

Use AI and ML to find, report automatically, and stop any unauthorized entities from entering the system.

في كثير من الأحيان تدريب أمني لموظفيك وجعله إلزامياً للحضور

وجود فريق سريع للاستجابة الأمنية للتصدي لأي هجوم إذا حدث ذلك.

رصد تطبيقاتكم، وعبء العمل، والبيئات في الوقت الحقيقي للكشف عن الشذوذ والتهديدات المحتملة.

وجود نظام/مجمع لإدارة السجلات للتحقق بسهولة من السجلات لمعرفة ما سبب الأخطاء في النظام.

وقد أخذت أمن السحابة مرحلة مركزية اليوم؛ ومع التركيز المتزايد باستمرار على شركة DevSecOps، تقوم الشركات بتجميع أدوات وتقنيات مختلفة للتخفيف من المخاطر والهجمات الأمنية. ومع كل اتجاه سحابي شعبي، يتطلع المهاجمون دائما إلى الفرص، وبالتالي يصبح الأمن بالغ الأهمية. فعلى سبيل المثال، في حين أصبحت النُهج الهجينة والمتعددة الأبعاد تحظى بشعبية لأنها توفر العديد من الفوائد القيمة، فإنها تشكل تهديدات أمنية متعددة، وتوصى بشدة باستراتيجيات الأمن السحابية.