نشرت شركة بالو ألتو نتوركس، تقريرها الجديد عن التهديدات الأمنية السحابية والذي يرمي إلى كشف نقاط الضعف الناشئة في مشهد التهديدات الأمنية في ضوء التحول واسع النطاق نحو اعتماد بيئات الحوسبة السحابية.

ومن أبرز نتائج الدراسة:

1- ضعف الممارسات الأمنية في البيئات السحابية: كشفت الدراسة افتقار 43% من قواعد البيانات السحابية إلى التشفير إضافة إلى تعطل عمل السجلات في 60% من أنظمة التخزين السحابية. ويؤدي انعدام التشفير لقواعد البيانات إلى وقوع اختراقات أمنية، وأبرز مثال عن ذلك واقعة "موفي باس" MoviePass. أما فيما يتعلق بتعطيل السجلات في أنظمة التخزين السحابية فإن هذا الأمر قد يفسح المجال للمهاجمين للولوج إلى أنظمة التخزين السحابية من دون علم القائمين عليها من الشركات.

 

2- تقصير الشركات في اعتماد مفهوم دمج الأمن في عمليات التطوير: حيث تعاني قرابة 200,000 من قوالب إصدارات البنى التحتية من نقاط ضعف تتراوح بين المتوسطة والشديدة. وتُعد قوالب إصدارات البنية التحتية حجر الأساس في بيئة السحابة كونها تمكن الشركات من بناء وتشغيل تطبيقات قابلة للتوسع بطريقة ديناميكية. وتُبنى غالبية قوالب إصدارات البنى التحتية باتباع ثلاث خطوات بسيطة: التصميم والبرمجة والنشر. لكن ما تفتقر إليه فرق عمليات التطوير هي الخطوة الرابعة ألا وهي إجراء مسح عن المشاكل الأمنية. فعندما لا تخضع قوالب إصدارات البنى التحتية إلى المسح لكشف المشاكل الأمنية فإنها قد تعرض بيئة السحابة إلى الهجمات. كما تؤدي نقاط الضعف تلك إلى سوء ضبط الإعدادات والذي يعد أحد أبرز مسببات وقوع اختراقات البيانات.

 

3- استغلال المجرمين للسحابة في التعدين السري للعملات المشفرة: تعمد عصابات الجريمة الإلكترونية، والتي تشمل جماعة "روك" و"8220 ماينينج جروب" و"باشا"، إلى سرقة الموارد السحابية من الشركات بهدف تعدين العملات المشفرة في موقع "مونرو" للتعدين، وغالباً ما يتم هذا النشاط التعديني ضمن مجموعات التعدين العمومية أو الخاصة. وتسهم الغنائم التي تحصل عليها الجماعات المعادية من هذا النشاط في تمويل عملياتها الإجرامية في الفضاء الإلكتروني.

 

وفي ظل النتائج السابقة، اقترحت بالو ألتو نتوركس مجموعة من الممارسات لتأمين المؤسسات وهي:

 

1- امتلاك رؤية واضحة عن السحابة المتعددة والحفاظ عليها: يكتنف تأمين ما هو خفي أو مجهول صعوبات بالغة، لذلك تحتاج فرق الأمن إلى تولي زمام المبادرة والدعوة إلى اعتماد المنصات الأمنية الأصيلة لبيئة السحابة، والتي تتيح رؤية واضحة لسائر أنحاء بيئات السحابة الهجينة والخاصة والعامة، فضلاً عن حاويات آلات الحوسبة الافتراضية، وعمليات النشر من دون خوادم، وخطوط تنظيم التكامل والتوصيل المستمر للإصدارات البرمجية.

 

2- تطبيق المعايير: يستدعي أمن السحابة التطبيق الصارم للمعايير في سائر بيئات السحابة الهجينة والخاصة والعامة. وفي حال افتقار الشركة إلى معيار لإنفاذ الأمن ضمن السحابة، فيجدر الاطلاع على المعايير الأمنية النموذجية (cisecurity.org/cis-benchmarks) التي أنشأها مركز أمن الإنترنت. وتعد ورقة المعايير بداية ممتازة لكنها تتطلب التطبيق بشكل منسجم وحثيث من دون الحاجة إلى إنشاء وصيانة الأدوات التي تقوم بذلك.

3- الفحص الأمني المبكر: يتمحور مفهوم الأمن المبكر حول تدارك المسائل الأمنية وإحالتها إلى البدايات الأولى لعمليات التطوير. لذلك ينبغي التنسيق مع فرق عمليات التطوير لأجل دمج المعايير الأمنية التي اعتمدتها الشركة ضمن قوالب إصدارات البنية التحتية في السحابة، مما يؤدي إلى إنجاح التنسيق الأمني والتكامل ما بين فرق عمليات التطوير وفرق الأمن.