الدليل هو الأرضية التي يقف عليها كل ما عداه

الدليل لا يتعطّل في العادة، بل ينحرف ببطء. مجموعة تكسب عضواً يوم الاثنين، وتفويض مُنح من أجل عملية ترحيل لا يُسحب أبداً، وحساب خدمة يحتفظ بصلاحيات احتاجها مرة واحدة. كل واحد من هذه التغييرات وافق عليه شخص لديه سبب، ولا يظهر أي منها كخلل في وحدة تحكم الإدارة. والسؤال الذي يحسمه المشتري فعلياً هو أي أداة بُنيت لترى الحالة التي تنتجها هذه التغييرات مجتمعة.

الخطوة التي تحوّل الحادث إلى إعادة بناء

لا يحتاج مشغّلو برامج الفدية إلى الوصول إلى كل خادم، بل إلى الوصول إلى النظام الذي تثق به كل الخوادم أصلاً. الحساب الذي يملك صلاحيات على وحدات التحكم بالنطاق يستطيع المصادقة على أي جهاز منضم إلى النطاق، وإعادة تعيين أي كلمة مرور، وإصدار تذاكر Kerberos خاصة به، وإيقاف التسجيل الذي كان سيوثّق فعله، والوصول إلى بنية النسخ الاحتياطي التي تصادق هي نفسها على الدليل الذي وُجدت لحمايته. عند تلك النقطة يتوقف السؤال عن كون أي الأجهزة قد شُفّرت، ويصبح عن أي بيانات اعتماد ما زال يمكن الوثوق بها. ست جهات حكومية، من بينها Australian Cyber Security Centre التابع لـ Australian Signals Directorate وNational Cyber Security Centre النيوزيلندي، تقول ذلك صراحة في دليلها المشترك حول كشف اختراقات Active Directory والحد منها، إذ يذكر أن الاستجابة لاختراق يشمل Active Directory والتعافي منه قد يستغرق وقتاً ويكلّف مالاً ويعطّل العمل.

الانحراف هو ما يضع حساباً في ذلك الموضع، ووثائق Microsoft نفسها تبيّن كم يحدث ذلك بهدوء. صفحة تقليص سطح الهجوم في Active Directory تسجّل أن عضواً في Enterprise Admins أو Domain Admins أو مجموعة Administrators يستطيع التلاعب بالدليل ليحصل على عضوية المجموعتين الأخريين، ولذلك ينبغي اعتبار الثلاث متكافئة عملياً من حيث الامتياز المحتمل. إخراج مسؤول من واحدة وإبقاؤه في أخرى يغيّر الهيكل التنظيمي ولا يغيّر مدى وصوله.

الصفحة نفسها تصف ما يتركه التنظيف خلفه. عندما يُخرج حساب من مجموعة محمية تبقى سمة adminCount عنده بقيمة 1 ما لم يُعدها أحد يدوياً، ويستمر الحساب في عدم وراثة الأذونات من الوحدة التنظيمية التي يقع فيها. نموذج التفويض لديك يقول إن هذا الحساب تحكمه الوحدة التنظيمية. هو ليس كذلك، ولا شيء في صفحة خصائصه يشير إلى ذلك. ودليل الجهات الست نفسه يذكر محدودية أدوات تشخيص المشكلات الأمنية ضمن أربع خصائص تجعل Active Directory هدفاً مغرياً، إلى جانب الإعدادات الافتراضية المتساهلة والأذونات المتشابكة ودعم البروتوكولات القديمة. وحدة التحكم تعرض كائنات، أما مسار الهجوم فهو علاقة بين كائنات.

الفحص اللحظي والتقييم المستمر أداتان مختلفتان

يعرّف NIST المراقبة المستمرة لأمن المعلومات في SP 800-137 بأنها الحفاظ على وعي مستمر بأمن المعلومات والثغرات والتهديدات لدعم قرارات إدارة المخاطر المؤسسية، ويضيف المستند نفسه أن جمع البيانات، مهما تكرر، يتم على فترات منفصلة. الاستمرارية ليست ادعاء بعدم الانقطاع، بل ادعاء بأن الفاصل الزمني قصير بما يكفي ليظل القرار المبني على البيانات متعلقاً بالبيئة التي تملكها اليوم.

لهذا السبب الفرق هنا فرق منتج لا فرق جدول زمني. الفحص اللحظي يقيس الدليل مقابل خط أساس ويسلّمك قائمة. Purple Knight يعمل بهذه الطريقة، وفي دليل لم يدققه أحد من قبل سيُخرج نتائج تستحق العمل عليها. ما لا يستطيع الفحص تسليمه هو الفارق، لأنه لا يحتفظ بشيء يطرح منه. Semperis وTenable Identity Exposure يقعان في الطرف المؤسسي من الفئة نفسها، وكلاهما مبني حول Active Directory. السؤال الذي يوجَّه إلى أي منتج هنا ليس كم مرة يعمل، بل ماذا يحتفظ به بين تشغيل وآخر، وهل يستطيع أن يخبرك بأن مساراً لم يكن موجوداً الشهر الماضي صار موجوداً الآن، وأن يسمّي التغيير الذي فتحه.

الوصلة بين الدليل والسحابة

إضافة مستأجر Microsoft 365 إلى بيئة لديها دليل بالفعل تنشئ نظام هوية ثانياً وعلاقة ثقة بينهما، وإضافة حساب AWS أو Google Cloud تنشئ ثالثاً. يكتب فريق الاستجابة للحوادث في Microsoft ضمن دروس في منع اختراق الهوية السحابية أنه عمل على تحقيقات عديدة قاد فيها اختراق Active Directory المحلي إلى اختراق مستأجر Microsoft Entra، وأن مزوّدي الهوية الموحّدين يشكّلون نقطة عمياء إدارية داخل المؤسسات، لأن الهوية الهجينة معقّدة معمارياً وتضم أجزاء متحركة كثيرة.

هذه النقطة العمياء تنظيمية قبل أن تكون تقنية. فريق الدليل وفريق السحابة يراجعان في تواريخ مختلفة، ويمكن لكل منهما أن يكون محقاً في النصف الذي يمسكه بينما يمر المسار عبر الوصلة بينهما. والمنتج الذي يقرأ جانباً ولا يقرأ الآخر لا يستطيع رؤيته مهما كان جدوله.

الحسابات التي ليست أشخاصاً

الحسابات التي ليست أشخاصاً ليست جديدة، لكن الفئة غيّرت شكلها. كان حساب الخدمة يُنشأ عن قصد، بيد مسؤول، لنظام له اسم، عبر طلب كان على أحدهم أن يوافق عليه. أما الهويات التي تُصدر اليوم للوكلاء الآليين فينشئها المطورون وتنشئها الأدوات نفسها. إطار وكلاء يسجّل تطبيقاً ويطلب نطاق صلاحية ويستلم رمزاً، بسرعة كتابة البرمجيات لا بسرعة اجتماع لجنة التغيير. والنطاق الذي يحصل عليه هو ما كان مناسباً في تلك اللحظة، لأن الطريق السريع لتجاوز خطأ أذونات هو توسيع النطاق، ولا شيء يعيد أحداً لتضييقه بعد أن يعمل الأمر. ثم ينتهي المشروع ولا تنتهي الهوية، لأن الوكيل لا يستقيل، ولا يجد مسار الالتحاق والانتقال والمغادرة مغادراً يتعامل معه.

هذا هو الانحراف نفسه الموصوف أعلاه، قادماً من جهة أخرى وبوتيرة أسرع. يذكر فريق الاستجابة في Microsoft أن هويات أحمال العمل تُمنح في كثير من الأحيان امتيازات أعلى بكثير مما تحتاجه، وأن النشاط الخبيث الصادر عنها يمر دون ملاحظة لأن منطق الكشف متمركز حول هويات المستخدمين. والأداة التي تفحص الحسابات البشرية وتعامل كل ما عداها كبنية تحتية تقيس جزءاً يتقلّص من سطح الهجوم. لذلك فالسؤال الذي يُطرح على المورّد ليس هل تدعم الهويات غير البشرية. ثلاثة أسئلة أضيق تفصل منتجاً يعالجها عن منتج يدرجها في ورقة مواصفات.

• اسأل أي الهويات غير البشرية تحمل نطاقات لم تستخدمها قط، وكيف توصّل المنتج إلى ذلك.
• اسأل أيها لم يصادق منذ تسعين يوماً وما زال يحمل رمزاً أو مفتاحاً صالحاً.
• اسأل أيها يصل إلى كائن ذي امتياز عبر سلسلة من تفويضين أو ثلاثة بدل تفويض واحد.

IAM وPAM وتقييم وضع الهوية تجيب عن ثلاثة أسئلة مختلفة

IAM يقرر من ينبغي أن يملك الوصول، ويمنح هذا الوصول ويسحبه مع التحاق الناس وانتقالهم ومغادرتهم. PAM يحكم كيفية استخدام الوصول المميز بعد وجوده، فيحفظ بيانات الاعتماد في خزنة ويصرفها لنافذة زمنية ويسجّل الجلسة. أما تقييم وضع الهوية فيقرأ التهيئة التي أنتجها الاثنان، ومعها كل ما لا يلمسه أي منهما، ويبلّغ عما تسمح به تلك التهيئة الآن. وامتلاك اثنين لا ينتج الثالث. تستطيع بيئة أن تشغّل IAM وPAM بشكل سليم وتظل تحوي مساراً من حساب عادي إلى صلاحيات النطاق، لأن ذلك المسار مبني من تداخل المجموعات وقوائم التحكم بالوصول والتفويضات وقوالب الشهادات، ولا يحكم أياً منها تدفق تزويد حسابات.

نحن نحمل الثالث ولا نحمل الاثنين الآخرين. لدى ICM منتج لوضع الهوية وليس لديها IAM ولا PAM، وهذا مكتوب أيضاً في صفحة مجال الهوية. والمشتري الذي يحتاج خزنة بيانات اعتماد يخدمه أن يسمع ذلك مبكراً بدل أن يقرأ صفحة المحفظة حتى آخرها.

أين يقع هذا في محفظتنا

يقرأ Forestall معاً Active Directory وEntra ID وAzure وMicrosoft 365 وAWS IAM وGoogle Cloud IAM وGoogle Workspace، عبر موصّلات للقراءة فقط، دون وكيل على الأجهزة الطرفية ودون طلب Domain Admin أو ما يعادله. يرسم الحسابات والمجموعات والسياسات والعلاقات بينها، ويفحص الهويات التي ليست أشخاصاً إلى جانب التي هي أشخاص، ويعيد مسارات تصعيد الامتياز ومعها خطوة المعالجة.