IAM وPAM
إدارة الهويات والصلاحيات (IAM) وإدارة الوصول المميّز (PAM) هما طبقة الهوية التي تقوم عليها بقية الضوابط: دورة حياة الوصول، والمصادقة متعددة العوامل، والجلسات المميّزة، ومراجعات الوصول. والتفاصيل في صفحة تطبيق IAM وPAM.
الهندسة الأمنية
ضوابط أمنية مطبّقة في كل أنظمة جهتك
نصمّم وننشر وندمج ضوابط الهوية والتطوير والبيانات والمراقبة التي تحتاجها فرقك لتعمل بأمان.
مجالات التنفيذ
- IAM وPAM
- دورة حياة الهوية، والصلاحيات المميزة، والاعتماد، والمراجعة، والإلغاء.
- DevSecOps
- بوابات الأمن، والأسرار، والتبعيات، والفحص، والأدلة داخل مسارات التطوير.
- دمج منتجات الأمن
- ربط المنصات المؤسسية بالهوية والبيانات ومسارات العمل ومصادر المراقبة.
- التشفير وإدارة المفاتيح
- حماية البيانات في الأنظمة وأثناء تبادلها، بإدارة مفاتيح عملية.
- منع التسرب وأدوات التصنيف
- ربط قواعد التعامل بالضوابط التقنية.
- السجلات والمراقبة والتنبيه
- سجلات مهيأة، وتنبيهات، وإجراءات مراجعة واحتفاظ، وأدلة للاستجابة.
- النسخ والاستعادة والاحتفاظ والحذف
- ضوابط التوافر ودورة الحياة بما يتوافق مع السياسة.
- الأطراف الخارجية وتبادل البيانات
- صلاحيات وصول ومشاركة واضحة وقابلة للمراجعة.
مسؤوليات واضحة من التصميم إلى التشغيل
يحدد كل مشروع ما تصمّمه ليمـاز وتنشره وتدمجه وتتحقق منه، وما يبقى من مسؤولية العميل أو شريك التقنية المعتمد.
من المتطلب التنظيمي إلى ضابط يعمل
تحدد الأنظمة ما يجب تحقيقه، وتترك الهندسة لجهتك. فالضابط 2-12-3 من الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني يشترط تفعيل سجلات الأحداث للحسابات المميّزة والوصول عن بُعد، والاحتفاظ بها 12 شهراً على الأقل. ويقف الضابط عند ذلك. أما مصادر السجلات، وطريقة تحليلها، وقواعد التنبيه، ومَن يتابع التنبيه في الثانية فجراً، فكلها قرارات تعود إليك، وعندها تتعثر أغلب البرامج.
نمر بكل ضابط عبر أربعة أسئلة: ما الذي يطلبه المتطلب بصيغة شرط قابل للاختبار؟ وما الأنظمة التي يجب أن تحققه؟ وما الإعداد أو التكامل الذي يجعله واقعاً؟ وما الدليل على أنه يعمل يوماً بعد يوم؟
ولكل ضابط مخرجات محددة: قرار تصميم، وإعداد، واختبار، ومالك معروف بالاسم. ويكتمل الضابط حين ينجح الاختبار في بيئة الإنتاج ويتولى فريقك تشغيله باستقلالية.
تتناول هذه الصفحة منظومة الأمن المؤسسي. أما إدارة الهويات والوصول المميّز، والأمن داخل مسار تسليم البرمجيات، فلكل منهما صفحة مستقلة، ونلخّص أدناه موقعهما من بقية المنظومة.
منتجات الأمن التي ندمجها
- منصة إدارة المعلومات والأحداث الأمنية (SIEM)
- ربط مصادر السجلات، وتحليلها، ومزامنة الوقت، وحالات الكشف، ومسار فرز التنبيهات، والاحتفاظ. وتخدم المكوّن 2-12 من الضوابط الأساسية والقسم 3.3.14 الخاص بإدارة الأحداث الأمنية في الإطار التنظيمي للأمن السيبراني من البنك المركزي السعودي (SAMA CSF).
- الكشف والاستجابة على الأجهزة الطرفية (EDR)
- نشر على كل جهاز عمل وخادم، ومستويات سياسات، وحماية من التعطيل، وقواعد عزل، وتكامل مع منصة SIEM. ويلبّي الضابط 2-3-3 الخاص بالحماية من البرمجيات الضارة والأنشطة المشبوهة بتقنيات حماية حديثة.
- أمن البريد الإلكتروني
- تصفية رسائل التصيّد والرسائل المزعجة، والحماية من التهديدات المتقدمة المستمرة، والمصادقة متعددة العوامل (MFA) للبريد عبر الويب، وتفعيل SPF وDKIM وDMARC لكل نطاق مُرسِل، كما يشترط الضابط 2-4-3.
- منع تسرب البيانات (DLP)
- سياسات مبنية على تصنيف البيانات في جهتك، تغطي البريد والويب والأجهزة الطرفية والتطبيقات السحابية. تبدأ القواعد في وضع المراقبة، وتنتقل إلى المنع بعد ضبط النتائج الخاطئة. وتخدم المكوّن 2-7 الخاص بحماية البيانات والمعلومات.
- جدار حماية تطبيقات الويب (WAF)
- يوضع أمام كل تطبيق متاح عبر الإنترنت، بقواعد مضبوطة وسجلات تصل إلى منصة SIEM. ويشترط الضابط 2-15-3 جدار حماية لتطبيقات الويب الخارجية، ويشترط المتطلب 6.4.2 في PCI DSS حلاً آلياً لمنع الهجمات أمام تطبيقات الويب المتاحة للعموم.
- إدارة الثغرات
- فحص مصادَق ببيانات الدخول لجميع الأصول بوتيرة مبنية على المخاطر، وتصنيف للخطورة، ومسار لتثبيت التحديثات، ومهل للمعالجة، بما يتوافق مع المكوّن 2-10 من الضوابط الأساسية والقسم 3.3.17 من إطار ساما.
- التشفير وإدارة المفاتيح
- أنظمة إدارة المفاتيح ووحدات أمن العتاد (HSM) مدمجة مع قواعد البيانات والتطبيقات والنسخ الاحتياطية، مع تحديد ملكية المفاتيح ودورة تغييرها. وتخدم المكوّن 2-8 الخاص بالتشفير.
معايير الإعداد الآمن والتحصين
المنتج الأمني بإعداداته الافتراضية يترك ثغرات يعرفها المهاجمون جيداً. والتحصين يغلقها، ومعايير الإعداد تبقيها مغلقة.
نبني معياراً للإعداد الآمن لكل منصة: خوادم Windows وLinux، وقواعد البيانات، وأجهزة الشبكات، والحسابات السحابية، والحاويات، وأدوات الأمن نفسها. وننطلق في كل معيار من معايير CIS المرجعية الصادرة عن مركز أمن الإنترنت أو من دليل التحصين الصادر عن المورّد، ثم نكيّفه مع معمارية جهتك، ونوثّق كل استثناء بسببه ومعتمِده.
ويشترط الضابط 1-6-2 من الضوابط الأساسية مراجعة الإعدادات والتحصين قبل إطلاق المشاريع والتغييرات، ويشترط الضابط 2-3-3 إدارة حزم التحديثات ومزامنة التوقيت مركزياً مع مصدر دقيق وموثوق. ويتناول إطار ساما البنية التحتية ذاتها في القسم 3.3.8 الخاص بأمن البنية التحتية.
ويبقى المعيار فعّالاً ما دام الانحراف عنه مرصوداً. لذلك نؤتمت فحص الإعدادات مقابل كل معيار، ونرسل كل انحراف إلى مالك الأصل، وندمج المعيار في الصور المرجعية وفي قوالب البنية التحتية كرمز، فتبدأ الأنظمة الجديدة محصّنة من يومها الأول.
سجلات ومراقبة تخدم التحقيق
- متطلبات الهيئة الوطنية للأمن السيبراني
- تفعيل سجلات الأحداث للأصول المعلوماتية الحساسة، وللحسابات الحساسة والمميّزة، وللوصول عن بُعد، وتحديد تقنيات SIEM، والمراقبة المستمرة، والاحتفاظ بالسجلات 12 شهراً على الأقل (الضابط 2-12-3).
- المصادر الأهم
- مزوّد الهوية وخدمة الدليل، وجلسات PAM، والشبكة الافتراضية الخاصة والوصول عن بُعد، والجدران النارية والخوادم الوسيطة، وEDR، وأمن البريد، وطبقات التحكم السحابية، وقواعد البيانات التي تحفظ بيانات العملاء، وتطبيقات الأعمال الأساسية.
- التوقيت والهوية
- مزامنة جميع المصادر مع مصدر توقيت موثوق واحد، كما يشترط الضابط 2-3-3، وربط كل حدث بمستخدم أو حساب خدمة محدد. فالتسلسل الزمني لأي تحقيق يقوم على الاثنين معاً.
- حالات كشف لا أحجام بيانات
- قواعد كشف مبنية على التهديدات التي تواجه جهتك: إساءة استخدام الحسابات المميّزة، وإنشاء حسابات إدارية جديدة، وتصدير البيانات بكميات كبيرة، وتعطيل أدوات الأمن، وحذف السجلات، والدخول من مواقع غير متوقعة. ولكل قاعدة مالك وخطة استجابة.
- الجاهزية للتحقيق
- تخزين سريع البحث للأشهر الأخيرة، وأرشيف قابل للاسترجاع لبقية مدة الاحتفاظ، مع حماية سلامة السجلات لتصلح دليلاً عند الحاجة.
- دليل على المراقبة
- سجلات معالجة التنبيهات، وأزمنة الفرز، وملاحظات الإغلاق. فالفاحص يسأل كيف عولجت التنبيهات، ولا يكتفي بوجود منصة SIEM.
موقع IAM وPAM وDevSecOps من المنظومة
لمجالين من الهندسة الأمنية صفحات تفصيلية مستقلة. وهذا ارتباطهما ببقية المنظومة:
DevSecOps
فحوص الأمن وأدلته داخل مسار تسليم البرمجيات، من نمذجة التهديدات إلى فحص الحاويات. والتفاصيل في صفحة تطبيق DevSecOps.
نقاط الترابط
أحداث الهوية وجلسات PAM تغذي منصة SIEM، ونتائج فحوص المسار تغذي إدارة الثغرات، وأدوات EDR وDLP تطبّق السياسات التي تحددها إدارة الهويات وتصنيف البيانات.
التسليم والتشغيل
يكتمل الضابط حين يشغّله فريقك. لذلك ينتهي كل مشروع بتسليم منظّم.
التحقق في بيئة الإنتاج
نختبر كل ضابط مقابل متطلبه بأحداث حقيقية: نطلق التنبيه، ونجرّب الإجراء الممنوع، ونتأكد من وصول السجل إلى منصة SIEM بالمستخدم والتوقيت الصحيحين.
توثيق ما نُفّذ
الإعدادات كما طُبّقت فعلاً، والاستثناءات من معايير الإعداد، ومخططات التكامل، وصلاحيات الإدارة لكل أداة، محفوظة حيث يديرها فريقك.
إعداد أدلة التشغيل
إجراءات مفصّلة للفحوص اليومية، وفرز التنبيهات، وتعديل القواعد، ومعالجة تعطل الوكلاء، وتجديد الشهادات والمفاتيح، والترقيات.
تحديد المسؤوليات
مالك محدد لكل منتج ولكل ضابط، مع مصفوفة RACI توضّح مَن ينفّذ ومَن يُساءل ومَن يُستشار ومَن يُبلَّغ، تشمل فريقك وليمـاز وأي شريك تقني.
التدريب والمرافقة
جلسات تطبيقية للمشغّلين، ثم فترة يشغّل فيها فريقك الأدوات وتراجع ليمـاز العمل.
القياس وحفظ الأدلة
نتفق على مؤشرات التشغيل، مثل تغطية EDR، وسلامة مصادر السجلات، وتطبيق سياسة DMARC، وزمن الفرز، ونجهّز ملفات الأدلة لتقييمات الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي.
فجوات شائعة نكتشفها
- منصة SIEM تستقبل كميات ضخمة من السجلات، بينما تغيب عنها سجلات الجلسات المميّزة والسحابة والتطبيقات الأساسية.
- EDR على أجهزة الموظفين، بينما تعمل الخوادم والأجهزة الافتراضية بمضاد فيروسات قديم أو بلا حماية.
- سياسة DMARC على وضع p=none لسنوات، فتصل الرسائل المنتحلة باسم جهتك إلى العملاء والموظفين.
- أداة DLP في وضع المراقبة إلى أجل غير مسمى، لأن قواعدها لم تُضبط.
- جدار حماية تطبيقات الويب في وضع الكشف فقط، ولا أحد يراجع تنبيهاته.
- معايير تحصين كُتبت مرة واحدة، ولم تُفحص الأنظمة مقابلها بعد ذلك.
- توقيت غير متزامن بين الأنظمة، فيتعذر بناء التسلسل الزمني للتحقيق.
- أدوات يملكها عقد مورّد بدلاً من مالك داخلي معروف بالاسم.
أسئلة شائعة
تنفيذ الضوابط الأمنية هو تحويل المتطلبات التنظيمية وخطط معالجة المخاطر إلى ضوابط تقنية مُعدّة ومختبرة وفعّالة. ويشمل دمج منتجات الأمن مثل SIEM وEDR وDLP وجدار حماية تطبيقات الويب وأمن البريد، وتحصين المنصات وفق معايير إعداد آمن، وربط السجلات بالمراقبة، وتسليم كل ضابط لمالك محدد مع أدلة تشغيل وأدلة امتثال. والنتيجة ضابط يجتاز تقييم الهيئة أو ساما لأنه يعمل فعلاً في بيئة الإنتاج.
تصف عدة ضوابط في ECC-2:2024 قدرات توفرها منتجات الأمن. فالضابط 2-3-3 يشترط حماية حديثة من البرمجيات الضارة على أجهزة العمل والخوادم، وإدارة حزم التحديثات. والضابط 2-4-3 يشترط تصفية البريد، والحماية من التهديدات المتقدمة المستمرة، والمصادقة متعددة العوامل للبريد عبر الويب، وSPF وDKIM وDMARC. والضابط 2-12-3 يشترط جمع السجلات عبر SIEM والمراقبة المستمرة والاحتفاظ 12 شهراً. والضابط 2-15-3 يشترط جدار حماية لتطبيقات الويب الخارجية.
يحدد الضابط 2-12-3 من الضوابط الأساسية للأمن السيبراني (ECC-2:2024) مدة لا تقل عن 12 شهراً للاحتفاظ بسجلات أحداث الأمن السيبراني. ويشترط الضابط نفسه تفعيل السجلات للأصول المعلوماتية الحساسة والحسابات المميّزة والوصول عن بُعد، وتحديد تقنيات SIEM، والمراقبة المستمرة. احفظ السجلات قابلة للبحث ومحمية السلامة لتخدم التحقيقات، ومدّد مدة الاحتفاظ متى فرض تنظيم قطاعي أو عقد مدة أطول.
يمنع مضاد الفيروسات التقليدي الملفات الضارة المعروفة عبر بصماتها. أما الكشف والاستجابة على الأجهزة الطرفية (EDR) فيسجّل نشاط العمليات والملفات والشبكة والمستخدمين على كل جهاز، ويكشف السلوك المشبوه، ويتيح لفريق الاستجابة التحقيق وعزل الجهاز عن بُعد. ويشترط الضابط 2-3-3 من الضوابط الأساسية الحماية من البرمجيات الضارة والبرامج والأنشطة المشبوهة بتقنيات حديثة ومتقدمة، وهي القدرة التي يقدّمها EDR.
سياسة DMARC تخبر خوادم البريد المستقبِلة بما تفعله بالرسائل التي تفشل في فحص SPF وDKIM لنطاقك، وترسل إليك تقارير عن كل جهة ترسل بريداً باسمك. ويشترط الضابط 2-4-3 من الضوابط الأساسية للأمن السيبراني التحقق من نطاقات البريد الإلكتروني للجهة عبر SPF وDKIM وDMARC. انقل السياسة من وضع المراقبة (p=none) إلى الحجر أو الرفض لإيقاف الرسائل المنتحلة.
نعم. تبدأ ليمـاز بتقييم تغطية الأدوات الموجودة لديك وإعداداتها، ثم تستكمل نشرها، وتضبط قواعدها، وتدمج كل منتج مع الهوية والسجلات ومسارات العمل، وتسلّمه مع أدلة التشغيل وأدلة الامتثال. وحين تحتاج جهتك إلى منتج جديد، نحدد المتطلبات ومعايير التقييم أولاً، ليأتي الاختيار منسجماً مع ضوابطك ومعماريتك.
هل لديك متطلب تريد تنفيذه؟
شاركنا النظام أو الضابط أو المتطلب التنظيمي، وسنعود إليك بخطوة تالية واضحة.