منحت شركة خدمات مهنية شريك تنفيذ Microsoft 365 لديها صلاحيات مسؤول مفوّض على بيئة المستأجر Microsoft 365 الخاصة بها أثناء مشروع التنفيذ، وهو ترتيب معتاد أتاح للشريك تهيئة إعدادات Exchange وSharePoint وTeams وAzure AD نيابةً عن الشركة. واكتمل التنفيذ بنجاح بعد أربعة أشهر، ولم تُراجَع علاقة الإدارة المفوّضة أو تُعدَّل رسميًا عند اكتمال المشروع. وبعد ثمانية أشهر، لاحظ محلل أمني أثناء مراجعة Microsoft Secure Score أن علاقة الإدارة المفوّضة لا تزال نشطة. كان الشريك MSP عالميًا لديه أكثر من ثلاثمئة موظف شريك لـMicrosoft حول العالم. ومنحت علاقة الإدارة المفوّضة وصولًا إداريًا إلى بيئة المستأجر الخاصة بالشركة لأي موظف في المؤسسة الشريكة يعيّنه MSP، وهي فئة من عدة عشرات من الأفراد يستطيعون إدارة بيئة Microsoft 365 الخاصة بالشركة بصلاحيات المسؤول العام. ولم تنطبق سياسات الوصول المشروط الخاصة بالشركة على جلسات الإدارة المفوّضة. ولم تتمكن الشركة من الاطلاع على قائمة موظفي الشريك، ولا على سياسات MFA لديهم، ولا على وصولهم إلى قدرة الإدارة المفوّضة. كانت الشركة ترى في مركز الإدارة لديها أن علاقة الإدارة المفوّضة نشطة، لكنها لم تكن ترى من يستخدمها من المؤسسة الشريكة ولا مدى أمان مصادقة هؤلاء الأفراد.
ما حقيقة مخاطر الإدارة المفوّضة؟
الإدارة المفوّضة ميزة في المنصات السحابية تتيح لمؤسسة ما (شريك أو مزود خدمات مُدارة) إدارة البيئة السحابية لمؤسسة أخرى نيابةً عنها: إذ يستطيع موظفو الشريك الوصول إلى بيئة مستأجر العميل بصلاحيات إدارية باستخدام بيانات اعتماد مؤسستهم، دون إنشاء حسابات لهم داخل دليل العميل نفسه. وتطبّق نماذج Cloud Solution Provider وDelegated Administration Privilege من Microsoft، ووصول الموزعين في Google Workspace، والبنى المماثلة في المنصات السحابية الكبرى هذه الآلية للخدمات التي يديرها الشركاء.
عدم تماثل الحوكمة هو الخطر الأساسي. فعندما يمنح العميل شريكًا وصولًا إداريًا مفوّضًا، يُصادَق على موظفي الشريك الذين يمارسون ذلك الوصول وفق السياسات الأمنية للشريك: متطلبات MFA لدى الشريك، وسياسات الوصول المشروط لديه، وإدارة دورة حياة بيانات الاعتماد لديه. ولا تنطبق السياسات الأمنية للعميل على جلسات الإدارة المفوّضة. فإذا كان العميل يشترط MFA المقاوِمة للتصيد لكل وصول إداري، بينما يستخدم الشريك MFA عبر الإشعارات الفورية، فإن الوصول الإداري المفوّض يستوفي معيار الشريك لا معيار العميل. لقد منح العميل وصولًا إداريًا لفئة لا يستطيع حوكمتها مباشرة.
تضيف مشكلة غموض نطاق الوصول والفئة المخوّلة به بُعدًا ثانيًا. ففي معظم تطبيقات الإدارة المفوّضة، لا يستطيع العميل معرفة الأفراد المحددين من المؤسسة الشريكة الذين عُيّنوا للوصول الإداري المفوّض، ولا مراجعة الوضع الأمني لهؤلاء الأفراد، ولا فرض ضوابط وصول على مستوى الأفراد في علاقة الإدارة المفوّضة. فالعميل يرى المؤسسة الشريكة بوصفها الجهة صاحبة الوصول، لا الأفراد المحددين الذين يمارسونه. ويحدد الشريك داخليًا الموظفين الذين يمكنهم ممارسة الإدارة المفوّضة، ويديرهم وفق سياساته الأمنية، ولا يملك العميل أي رؤية مباشرة لتلك الفئة أو سيطرة عليها.
- استمرار الإدارة المفوّضة بعد انتهاء الحاجة التشغيلية: بقاء العلاقات الممنوحة للمشاريع نشطة بعد اكتمالها
- سياسة الشريك الأمنية هي التي تحكم جلسات الإدارة المفوّضة: لا يُطبَّق MFA والوصول المشروط الخاصان بالعميل على الجلسات التي يديرها الشريك
- غموض فئة موظفي الشريك: لا يستطيع العميل تحديد الأفراد الذين يملكون وصولًا إداريًا مفوّضًا
- عدم إنفاذ العميل MFA على الإدارة المفوّضة: معايير المصادقة يحكمها الشريك لا العميل
- إدارة مفوّضة واسعة النطاق: منح صلاحيات المسؤول العام أو صلاحيات واسعة مماثلة حين يكفي نطاق أضيق
لماذا يهم هذا
تهم مخاطر الإدارة المفوّضة ممارسي TPRM لأن علاقات الإدارة المفوّضة تمثل أحد أعلى أنواع منح الوصول امتيازًا التي يمكن لمؤسسة أن تقدمها لمورّد: وصول إداري إلى بيئة مستأجر سحابية كاملة تحكمه السياسات الأمنية للمورّد لا سياسات العميل. ويجعل اجتماع الامتيازات المرتفعة وتجاوز الحوكمة وغموض الفئة المخوّلة علاقات الإدارة المفوّضة نوعًا من وصول الموردين عالي الخطورة بشكل فريد، يتطلب تقييمًا محددًا يتجاوز مراجعة IAM المعتادة للموردين.
سيناريو استغلال مزود الخدمات السحابية ملموس وموثق جيدًا. فقد تضمّن اختراق Microsoft المنسوب إلى Storm-0558 في عام 2023 إساءة استخدام علاقات الإدارة المفوّضة: إذ استخدم مهاجمون كانوا قد اخترقوا بيئات MSP الوصول الإداري المفوّض للوصول إلى بيئات مستأجري عملاء MSP. وقد أظهر الهجوم بدقة الخطر الذي تعالجه حوكمة الإدارة المفوّضة: فوصول المهاجم إلى بيئة MSP تُرجم مباشرةً إلى وصول إلى بيئات مستأجري العملاء عبر علاقة الثقة في الإدارة المفوّضة.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو منح صلاحيات الإدارة المفوّضة لمشاريع محددة ثم عدم مراجعة ما إذا كان ينبغي استمرارها بعد انتهاء المشروع. فمنح الإدارة المفوّضة أمر يسير أثناء التهيئة الأولية، ونسيانها سهل: فالوصول موجود في مركز إدارة المنصة السحابية، لا في دليل الهويات الخاص بالعميل، ولا يظهر في مسارات مراجعة الوصول المعتادة التي تركز على حسابات العميل نفسه.
- عدم مراجعة الإدارة المفوّضة عند اكتمال المشروع
- عدم إدراج الإدارة المفوّضة في نطاق مراجعة الوصول المعتادة
- عدم تقييم الوضع الأمني للشريك فيما يخص الإدارة المفوّضة
- عدم تقليص النطاق بعد المنح الواسع الأولي
- عدم اشتراط العميل MFA لجلسات الإدارة المفوّضة
كيف تبدو الممارسة الجيدة
تراجع برامج حوكمة الإدارة المفوّضة الناضجة علاقات الإدارة المفوّضة على فترات محددة، وتشترط تبريرًا لاستمرار الوصول بعد اكتمال المشاريع، وتقيّم السياسات الأمنية للشريك المتعلقة بالوصول الإداري المفوّض، وتقصر منح الإدارة المفوّضة على أدنى مستوى صلاحيات تتطلبه الحاجة التشغيلية.
- إدارة مفوّضة محدودة المدة للمشاريع: علاقات تُمنح لمدة محددة وتُراجَع عند اكتمال المشروع
- إدارة مفوّضة محدودة النطاق: منح دور بأدنى الصلاحيات بدلًا من المسؤول العام
- تقييم الوضع الأمني للشريك: تقييم MFA وضوابط الوصول المطبقة على جلسات الإدارة المفوّضة
- تدقيق منتظم لعلاقات الإدارة المفوّضة: مراجعة جميع علاقات الإدارة المفوّضة النشطة مقابل الحاجة التشغيلية الحالية
- Granular Delegated Admin Privileges: استخدام GDAP في نموذج Microsoft بدلًا من DAP لوصول أضيق ومحدود المدة
الأدوات
Microsoft GDAP: Granular Delegated Admin Privileges
يستبدل نموذج Granular Delegated Admin Privileges من Microsoft نموذج Delegated Admin Privileges (DAP) القديم بوصول محدد الأدوار ومحدود المدة، إذ يتيح للشركاء طلب أدوار إدارية محددة في Microsoft 365 لفترات محددة بدلًا من الحصول على صلاحيات المسؤول العام إلى أجل غير مسمى. ويتطلب GDAP موافقة صريحة من العميل على كل دور مطلوب وكل فترة تجديد. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان وصول شركاء Microsoft يستخدم GDAP بدلًا من DAP القديم يمثل سؤالًا محددًا عن حوكمة الإدارة المفوّضة.
مراجعة الوصول إلى المستأجر السحابي: Microsoft 365 Admin Center، وGoogle Workspace Admin
توفر مراكز الإدارة في المنصات السحابية رؤية لعلاقات الإدارة المفوّضة النشطة، إذ تعرض المؤسسات الشريكة التي تملك وصولًا مفوّضًا والصلاحيات التي تحملها. وتكشف المراجعة المنتظمة لقسم وصول الشركاء في مركز الإدارة علاقات الإدارة المفوّضة المستمرة من مشاريع منتهية. وبالنسبة لممارسي TPRM، فإن السؤال عن آخر مرة راجعت فيها مؤسسة العميل علاقات الإدارة المفوّضة النشطة في مراكز الإدارة السحابية لديها يمثل سؤالًا عن مدى حداثة الحوكمة.
تحديات الحوكمة
يتمثل تحدي الحوكمة في الإدارة المفوّضة في فجوة الرؤية والجمود التشغيلي. فجوة الرؤية: لا تظهر علاقات الإدارة المفوّضة في مسارات حوكمة الهوية المعتادة لأنها ليست حسابات في دليل العميل. والجمود التشغيلي: إزالة الوصول الإداري المفوّض من شريك لا يزال يقدم دعمًا مستمرًا، حتى لو انتهى المبرر الأصلي الخاص بالمشروع، تُحدث احتكاكًا يدفع نحو إبقاء الوصول قائمًا.
- أدرج الإدارة المفوّضة في نطاق مراجعة الوصول المعتادة: تضمين مراجعة مركز الإدارة السحابية في حوكمة الوصول الدورية
- اشترط GDAP بدلًا من DAP في جميع علاقات شركاء Microsoft الجديدة
- راجع الإدارة المفوّضة عند اكتمال المشروع: خطوة مراجعة صريحة ضمن إغلاق المشروع
- قيّم MFA وسياسات الوصول لدى الشريك في جلسات الإدارة المفوّضة
- قيّد الإدارة المفوّضة بأدنى الصلاحيات المطلوبة
إذا كنت فريقًا صغيرًا
افتح مركز إدارة Microsoft 365 وانتقل إلى قسم علاقات الشركاء. راجع كل علاقة إدارة مفوّضة نشطة واسأل عن كل منها: هل هذه العلاقة لحاجة تشغيلية قائمة حاليًا، وإن كانت كذلك فما تلك الحاجة، أم أنها علاقة مُنحت لمشروع انتهى منذ ذلك الحين؟ وبالنسبة لأي علاقة لا يمكن ربطها بحاجة تشغيلية قائمة، ابدأ إجراءات إزالتها. ستكشف هذه المراجعة التي تستغرق خمس عشرة دقيقة علاقات الإدارة المفوّضة التي استمرت بعد انتهاء مبررها التشغيلي.
- راجع علاقات الإدارة المفوّضة النشطة في مراكز الإدارة السحابية فورًا
- اشترط تبريرًا لأي علاقة غير مرتبطة بحاجة تشغيلية قائمة
- انقل علاقات شركاء Microsoft من DAP إلى GDAP
- أدرج مراجعة الإدارة المفوّضة في دورة حوكمة الوصول الدورية
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة لأي وصول إداري مفوّض تملكونه إلى بيئتنا السحابية، هل يمكنكم وصف الحاجة التشغيلية المحددة التي يخدمها؟ وإذا كان الوصول قد مُنح لمشروع تهيئة أولية أو تنفيذ انتهى، فلماذا لا تزال العلاقة نشطة؟»
«ما الضوابط الأمنية التي تنطبق على موظفيكم عند وصولهم إلى بيئتنا عبر الإدارة المفوّضة؟ وتحديدًا، ما معيار MFA وسياسات الوصول المشروط التي تحكم تلك الجلسات من جانبكم؟»
ما تتوقعه دليلًا
- المبرر التشغيلي الحالي لكل علاقة إدارة مفوّضة
- سياسة MFA لموظفي الشريك في جلسات الإدارة المفوّضة
- تحديد أدوار GDAP في حال وجود علاقة شراكة مع Microsoft
- وتيرة مراجعة الإدارة المفوّضة
المورّد الذي يؤكد وجود وصول إداري مفوّض للخدمات المُدارة ينبغي أن يُطلب منه وصف الأدوار المحددة لذلك الوصول ونطاقه، وما إذا كان يمكن قصره على الحد الأدنى المطلوب للحاجة التشغيلية بدلًا من إبقائه على مستوى المسؤول العام. فعلاقة الإدارة المفوّضة تمنح المؤسسة الشريكة وصولًا إداريًا إلى بيئة المستأجر السحابية للعميل. ومعرفة من يمارس ذلك الوصول داخل المؤسسة الشريكة ووفق أي معايير مصادقة هي مسألة الحوكمة التي لا يجيب عنها منح الوصول ذاته.
كيف تُثبت ذلك
- حصر علاقات الإدارة المفوّضة مع مبرراتها التشغيلية
- سجلات تقييم MFA وسياسات الوصول لدى الشريك
- حالة الانتقال إلى GDAP في علاقات شركاء Microsoft
- سجلات المراجعة الدورية للإدارة المفوّضة
الخلاصة الرئيسية
تمنح الإدارة المفوّضة مؤسسة شريكة وصولًا إداريًا إلى بيئة المستأجر السحابية لديك وفق سياساتها الأمنية لا سياساتك. فـMFA الخاص بها، والوصول المشروط لديها، ودورة حياة بيانات الاعتماد لديها هي الضوابط التي تحكم الجلسات الإدارية في بيئتك حين يكون الشريك أمام لوحة المفاتيح. لقد منحت وصولًا إداريًا لمؤسسة لا تديرها، تحكمها سياسات لا تضعها. انتهى مشروع التهيئة قبل ثمانية أشهر، ولا تزال العلاقة نشطة. سبعة وثلاثون موظفًا في مكتب مساعدة الشريك يستطيعون إدارة بيئة المستأجر لديك، ولا تستطيع معرفة من هم هؤلاء السبعة والثلاثون، ولا الاطلاع على سياسة MFA لديهم، ولا على مدى سلامة ممارساتهم في بيانات الاعتماد. راجع علاقات الإدارة المفوّضة في مركز الإدارة لديك. أزل العلاقات التي ليس لها مبرر تشغيلي حالي. وقيّد ما يتبقى منها بأدنى الصلاحيات المطلوبة. GDAP بدلًا من DAP، والمحدود المدة بدلًا من غير المحدود. فالوصول الذي منحته لمؤسسة غيرك يستحق حوكمة تتناسب مع الخطر.