نشر مورّد برمجيات سحابي أصيل بنية شاملة للسجلات والمراقبة عند الإطلاق الأولي: جميع خدمات التطبيقات مهيأة لإرسال السجلات إلى منصة السجلات المركزية لديه، وجميع الموارد السحابية مهيأة لإرسال أحداث CloudTrail إلى SIEM لديه، وبيانات القياس عن بُعد من جميع أجهزة المؤسسة تُرسل إلى منصة EDR لديه. كانت البنية شاملة عند النشر، وشكّلت أساس برنامج المراقبة الأمنية لديه لمدة ثلاث سنوات. وخلال تلك السنوات الثلاث، نما المورّد بشكل كبير: نشرت فرق هندسية منفردة اثنتي عشرة خدمة مصغرة جديدة لدعم ميزات منتجات جديدة، ورُبطت سبعة تكاملات برمجيات كخدمة من أطراف ثالثة بمنصته الأساسية عبر اتصالات API، ودُمجت شركتان ناشئتان مستحوذ عليهما في البنية التحتية للمورّد، وأُضيف خط بيانات يخدم منصة التحليلات لديه عبر خدمة بيانات مُدارة من طرف ثالث. ومن بين هذه الإضافات، كانت ثلاث خدمات مصغرة فقط مهيأة لإرسال السجلات إلى المنصة المركزية، وتكاملان فقط مفعّل فيهما إرسال سجلات التدقيق، ودُمجت بيئات الشركتين المستحوذ عليهما جزئيًا في بنية المراقبة. ولم يكن خط البيانات مهيأً لإرسال أي سجلات، إذ كان خدمة مُدارة وافترض الفريق الذي نشره أن السجلات مسؤولية المزود. إجمالي سطح الهجوم الجديد المضاف خلال ثلاث سنوات: اثنتا عشرة خدمة مصغرة، وسبعة تكاملات برمجيات كخدمة، وشركتان مستحوذ عليهما، وخط بيانات. ونسبة ذلك السطح الجديد التي تحظى بتغطية مراقبة مؤكدة: نحو أربعين بالمئة. والنقاط العمياء: ستون بالمئة من سطح الهجوم المضاف منذ النشر الأولي. لم تتعطل منصة المراقبة قط، فقد رأت كل ما هُيئت لرؤيته. لكن التهيئة لم تواكب البيئة التي كان يُفترض أن تغطيها.
ما حقيقة النقاط العمياء في الرصد؟
النقاط العمياء في الرصد هي أجزاء البيئة التقنية التي لا تغطيها تهيئة المراقبة الأمنية الحالية: الأنظمة والخدمات والبيئات التي تولّد أحداثًا ذات صلة بالأمن لكنها غير مهيأة لإرسال تلك الأحداث إلى منصة المراقبة التي يستطيع فيها SOC رصدها والاستجابة لها. وتنشأ النقاط العمياء عندما تنمو البيئات أسرع من تحديث تهيئات المراقبة، وعندما تُنشر خدمات جديدة دون أن يكون دمج المراقبة خطوة مطلوبة في عملية النشر، وعندما تجلب الاستحواذات بيئات جديدة لا تُدمج فورًا في بنية المراقبة القائمة.
مشكلة انحراف التهيئة هي الآلية التشغيلية. فتهيئات المراقبة الأمنية دقيقة لحظة ضبطها. ومع نمو البيئات وتغيرها، بنشر خدمات جديدة وربط تكاملات جديدة واعتماد بنية تحتية جديدة، تصبح التهيئة أقل تمثيلًا للبيئة الفعلية تدريجيًا. وتواصل منصة المراقبة العمل بشكل صحيح للأنظمة المهيأة لمراقبتها، أما الأنظمة الجديدة المنشورة خارج التهيئة فتولّد أحداثًا لا تصل أبدًا إلى منصة المراقبة. فلا يملك SOC أي رؤية لها، ولا يواجه المهاجم الذي يستهدف الخدمة الجديدة غير المراقبة أي رصد.
فجوة عملية النشر هي إخفاق الحوكمة. فالخدمات والتكاملات الجديدة التي تُنشر دون خطوة إلزامية لتهيئة المراقبة تُنشئ نقاطًا عمياء افتراضيًا. وقد لا تعطي فرق التطوير المركّزة على تسليم الميزات أولوية لتهيئة المراقبة، وقد تفترض فرق البنية التحتية التي تنشر خدمات مُدارة أن المراقبة مسؤولية المزود. وكل عملية نشر تتم دون تهيئة المراقبة توسّع النقطة العمياء، فتُنشئ تراكميًا نسبة كبيرة من سطح الهجوم دون تغطية رصد.
مشكلة دمج الاستحواذات فئة محددة من النقاط العمياء ذات العواقب الكبيرة. فالشركات المستحوذ عليها تجلب عادةً بيئاتها التقنية الخاصة، وكثيرًا ما تكون ببنى مراقبة مختلفة ومزودي خدمات سحابية مختلفين وإعدادات سجلات مختلفة. ويتطلب دمج البيئات المستحوذ عليها في بنية المراقبة لدى الشركة المستحوذة جهدًا ووقتًا كبيرين. وخلال فترة الدمج، التي قد تمتد لأشهر، قد يقع سطح الهجوم للبيئة المستحوذ عليها جزئيًا أو كليًا خارج تغطية المراقبة لدى الشركة المستحوذة، بينما يُنشئ الدمج سطح هجوم جديدًا عبر الاتصالات بين البيئات.
- انحراف التهيئة: عدم تحديث تهيئة المراقبة مع نمو البيئة
- النشر دون مراقبة: نشر خدمات جديدة دون تهيئة إلزامية للمراقبة
- عدم دمج بيئة الاستحواذ في بنية المراقبة أو دمجها جزئيًا
- افتراض مراقبة الخدمات المُدارة: افتراض أن المزود يتولى السجلات
- غياب المراجعة الدورية: عدم تدقيق تغطية المراقبة مقابل حصر البيئة الحالية
لماذا يهم هذا
تهم النقاط العمياء في الرصد ممارسي TPRM لأن شمولية تغطية المراقبة لدى المورّد لا تتجاوز شمولية آخر تدقيق لتهيئته، وفي البيئات سريعة النمو قد تمثل الفجوة بين التهيئة والبيئة الفعلية نسبة كبيرة من سطح الهجوم. فالمورّد الذي أكد تغطية مراقبة شاملة في آخر تدقيق لديه ربما نشر منذ ذلك الحين سطح هجوم جديدًا كبيرًا دون تغطية مراقبة مقابلة.
تتصل النقطة العمياء الناتجة عن الاستحواذ تحديدًا بمخاطر سلسلة الإمداد. فالموردون الذين استحوذوا مؤخرًا على شركات ربما وسّعوا سطح الهجوم لديهم بشكل كبير بينما لم يكتمل دمج مراقبة الاستحواذ. وبيئة الشركة المستحوذ عليها، التي قد تكون ضوابطها الأمنية ومراقبتها أضعف من المورّد المستحوذ، تمثل سطح هجوم على سلسلة الإمداد قد لا تغطيه مراقبة المورّد المستحوذ بعد.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو قبول تأكيد تغطية المراقبة في نقطة زمنية معينة دون تقييم ما إذا كانت التغطية قد واكبت النمو اللاحق للبيئة. فالتغطية المؤكدة عند النشر أو في آخر تدقيق قد لا تعكس التغطية الحالية.
- قبول التغطية في نقطة زمنية دون تقييم النمو اللاحق
- عدم التحقق من مراقبة الخدمات الجديدة
- عدم تقييم حالة دمج الاستحواذات
- عدم تأكيد افتراض مراقبة الخدمات المُدارة
- غياب تدقيق دوري لتغطية المراقبة مقابل حصر البيئة الحالية
كيف تبدو الممارسة الجيدة
تجعل برامج تغطية الرصد الناضجة تهيئة المراقبة خطوة إلزامية في نشر كل خدمة جديدة، وتجري تدقيقات ربع سنوية لتغطية المراقبة مقابل حصر البيئة الحالية، ولديها جدول زمني محدد لدمج البيئات المستحوذ عليها.
- تهيئة المراقبة إلزامية في عملية النشر: لا تُنشر أي خدمة جديدة دون سجلات
- تدقيق ربع سنوي لتغطية المراقبة مقابل حصر البيئة الحالية
- الجدول الزمني لدمج الاستحواذ: فترة محددة لدمج مراقبة البيئة المستحوذ عليها
- تأكيد مراقبة الخدمات المُدارة: تأكيد صريح لا افتراض
- تتبّع نسبة التغطية: نسبة البيئة التي تحظى بمراقبة مؤكدة
الأدوات
اكتشاف الأصول: Wiz وOrca وTenable لاكتشاف الأصول السحابية وتحديد فجوات المراقبة
توفر منصات الأمن السحابي واكتشاف الأصول رؤية لجميع الموارد السحابية، بما فيها الموارد غير المسجلة في تهيئة المراقبة، مما يتيح تحديد الموارد غير المراقبة. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم اكتشاف الأصول لتحديد فجوات تغطية المراقبة يمثل سؤالًا محددًا عن القدرة على رصد النقاط العمياء.
البنية التحتية كشيفرة: Terraform وPulumi مع فرض تهيئة المراقبة
تفرض البنية التحتية كشيفرة المزودة بوحدات إلزامية لتهيئة المراقبة إعداد السجلات جزءًا من كل عملية نشر، بما يضمن عدم إمكانية نشر خدمات جديدة دون تهيئة المراقبة. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان نشر البنية التحتية يتضمن تهيئة إلزامية للمراقبة في قالب IaC يمثل سؤالًا محددًا عن منع النقاط العمياء وقت النشر.
تحديات الحوكمة
يتمثل تحدي الحوكمة في النقاط العمياء في الرصد في التوتر بين السرعة والتغطية. فالبيئات سريعة النمو تنشر خدمات جديدة بسرعة، ويضيف متطلب تهيئة المراقبة وقتًا إلى النشر تعدّه فرق التطوير احتكاكًا. والحل على مستوى الحوكمة هو قوالب تهيئة المراقبة التي تقلل الاحتكاك: وحدات سجلات مهيأة مسبقًا تُضمَّن في قالب النشر القياسي بحيث تكون تهيئة المراقبة تلقائية لا خطوة إضافية.
- أدرج تهيئة المراقبة في قوالب النشر: تلقائية لا إضافية
- تدقيق ربع سنوي للتغطية مقابل حصر البيئة
- الجدول الزمني لدمج مراقبة الاستحواذات: محدد ومتابَع
- تأكيد مراقبة الخدمات المُدارة: نص صريح في الاتفاقيات
- نسبة التغطية كمقياس متتبَّع: نسبة البيئة التي تحظى بمراقبة مؤكدة
إذا كنت فريقًا صغيرًا
اطلب من مورّدك الأعلى خطورة مقارنة بسيطة: حصر بيئته الحالية، أي قائمة بجميع الأنظمة والخدمات والتكاملات المهمة، مقابل تهيئة المراقبة الحالية لديه، أي أيّ تلك الأنظمة مؤكد أنها ترسل الأحداث إلى SIEM. فالفجوة بين الحصر والتهيئة هي النقطة العمياء. وأي مورّد لا يستطيع تقديم القائمتين لم يُجرِ المقارنة بنفسه، ومن المرجح أن لديه نقاطًا عمياء غير مقيسة. الحصر هو الواقع، والتهيئة هي التغطية، والفجوة هي الخطر.
- اطلب مقارنة بين حصر البيئة الحالية وتهيئة المراقبة
- اسأل عن تهيئة المراقبة في عملية النشر
- اسأل عن حالة دمج مراقبة بيئات الاستحواذ
- اسأل عن تأكيد مراقبة الخدمات المُدارة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل يمكنكم تقديم مقارنة بين حصر بيئتكم الحالية، أي جميع الأنظمة والخدمات والتكاملات المهمة، وتهيئة المراقبة لديكم، لإظهار النسبة من بيئتكم الحالية التي تحظى بتغطية مؤكدة من SIEM؟ وهل تُعدّ تهيئة المراقبة خطوة إلزامية في عملية النشر لديكم للخدمات الجديدة؟»
ما تتوقعه دليلًا
- مقارنة حصر البيئة مقابل تهيئة المراقبة
- نسبة التغطية للبيئة الحالية
- تأكيد عملية نشر تهيئة المراقبة
- حالة دمج بيئة الاستحواذ
المورّد الذي يؤكد وجود مراقبة شاملة ينبغي أن يُطلب منه تقديم مقارنة الحصر مقابل التهيئة. فكلمة «شاملة» تصف قدرة منصة المراقبة، أما المقارنة فتصف مقدار البيئة الحالية الذي تغطيه تلك القدرة. والفجوة بين الاثنين هي النقطة العمياء.
كيف تُثبت ذلك
- مقارنة حصر البيئة وتغطية المراقبة
- سجلات التدقيق ربع السنوي للتغطية
- متطلب تهيئة المراقبة في عملية النشر
- سجلات الجدول الزمني لدمج الاستحواذات
الخلاصة الرئيسية
ترى منصة المراقبة كل ما هُيئت لرؤيته. ضُبطت التهيئة عند النشر. وستون بالمئة من سطح الهجوم الجديد المضاف خلال ثلاث سنوات لا يحظى بتغطية مراقبة مؤكدة. المنصة شاملة، لكن التهيئة لم تواكب البيئة التي يُفترض أن تغطيها. ومقارنة الحصر مقابل التهيئة هي أصدق وصف لخطر النقاط العمياء في الرصد. فالحصر هو البيئة، والتهيئة هي ما يخضع للمراقبة، والفجوة بينهما هي حيث يعمل المهاجم دون أن يولّد تنبيهات. تتبّع نسبة التغطية، وأجرِ التدقيق ربع السنوي، واجعل تهيئة المراقبة إلزامية في عملية النشر. فالنقطة العمياء ليست إخفاقًا في المنصة، بل إخفاق في صيانة التهيئة لا تستطيع المنصة تصحيحه بنفسها.