خلال اختبار اختراق لبيئة مورّد في مجال التقنية المالية، بدأ فريق الاختبار ببيانات اعتماد مطوّر واحدة مخترقة حُصل عليها عبر هجوم تصيد محاكى. ولم يتطلب مسار الحركة الجانبية اللاحق استغلال أي ثغرة، بل مجرد العبور عبر الهويات والصلاحيات. كان حساب المطوّر المخترق ضمن مجموعة Azure AD المسماة «engineering». وكانت مجموعة الهندسة قد مُنحت صلاحية قراءة مدير الأسرار HashiCorp Vault لدى المؤسسة لتمكين المطورين من استرجاع سلاسل الاتصال بقواعد البيانات لأغراض الاختبار. وكان Vault يحتوي على بيانات اعتماد قاعدة بيانات بيئة التجهيز. وكانت لقاعدة بيانات التجهيز إعدادات نسخ متماثل ثنائي الاتجاه مع قاعدة بيانات الإنتاج، ضُبطت لأغراض التعافي من الكوارث. ووفرت بيانات اعتماد قاعدة بيانات التجهيز صلاحية قراءة قاعدة بيانات الإنتاج عبر رابط النسخ المتماثل، وهو وصول لن يحتاجه المطوّر أبدًا ولم يُقيَّم بوصفه مسار هجوم عند ضبط النسخ المتماثل. انتقل فريق اختبار الاختراق من بيانات اعتماد Azure AD لمطوّر إلى الوصول إلى قاعدة بيانات الإنتاج في أربع قفزات صلاحيات، وأمضى أقل من ساعتين في البيئة دون أن يُطلق أي تنبيه. كانت كل صلاحية فردية مشروعة. ولم تُقيّم أي مراجعة أمنية سابقة مسار الصلاحيات الذي جمعها بوصفه ناقل هجوم.
ما هي الحركة الجانبية القائمة على الهوية فعلًا؟
الحركة الجانبية القائمة على الهوية هي أسلوب التنقل داخل بيئة ما بربط خطوات هوية وصلاحيات مشروعة: استخدام مجموعة من بيانات الاعتماد الصالحة للحصول على أخرى، واستخدام الوصول إلى مورد لاكتشاف بيانات اعتماد مورد آخر أو الوصول إليها، والتقدم تدريجيًا نحو هدف عالي القيمة عبر سلسلة من الخطوات المصرّح بها كلٌّ على حدة. وخلافًا للحركة الجانبية القائمة على الثغرات، التي تستغل نقاط ضعف تقنية لتصعيد الصلاحيات، تستغل الحركة الجانبية القائمة على الهوية رسم الصلاحيات، أي شبكة علاقات الهوية ومخازن بيانات الاعتماد ومنح الوصول التي تربط الأنظمة بطرق ربما لم يقيّمها مصمموها بوصفها مسارات هجوم.
مشكلة رسم الصلاحيات هي التحدي الجوهري. فبيئات المؤسسات الحديثة مترابطة عبر مئات العلاقات بين الهويات: عضويات في مجموعات تمنح وصولًا إلى موارد مشتركة، وحسابات خدمة تربط بين طبقات التطبيقات، ومخازن بيانات اعتماد تحفظ أسرارًا لأنظمة أخرى، وعلاقات اتحادية تمدّ الثقة عبر البيئات، وأدوات أتمتة تعبر الحدود ببيانات اعتماد مفوَّضة. أُنشئت كل علاقة لغرض تشغيلي مشروع. أما مسار الهجوم الذي يربط عدة علاقات بالتتابع للوصول إلى وجهة غير مقصودة فقد نشأ أثرًا جانبيًا لوجود كل علاقة على حدة؛ فهو لم يُصمَّم قط، ولم يُعتمد قط، وكثيرًا ما لم يُقيَّم قط.
فخ كفاية الصلاحيات الفردية هو ما يجعل كشف الحركة الجانبية صعبًا من منظور الحوكمة. فمراجعات الوصول التي تقيّم كل صلاحية على حدة مقابل الدور الذي يحملها ستؤكد أن كل صلاحية مناسبة. فامتلاك المطوّر صلاحية قراءة مدير الأسرار لعمله التطويري المشروع أمر مناسب. أما ما لم تقيّمه المراجعة فهو ما إذا كانت تلك الصلاحية، مقترنةً بمحتويات مدير الأسرار والأنظمة اللاحقة التي تتيح تلك المحتويات الوصول إليها، تُنشئ مسارًا غير مقصود إلى موارد عالية القيمة. إن المراجعة صلاحيةً بصلاحية ضرورية لكنها غير كافية. وتحليل رسم الصلاحيات، أي تقييم المسارات التي تُنشئها تركيبات الصلاحيات، هو المكمّل الحوكمي الذي لم تطبّقه معظم المؤسسات.
- الوصول إلى مخازن بيانات الاعتماد بوصفه نقطة ارتكاز للحركة الجانبية: صلاحيات الوصول إلى مديري الأسرار أو مديري كلمات المرور أو خزائن المفاتيح التي توفر بيانات اعتماد لأنظمة إضافية
- تسلسل العضوية في المجموعات: عضوية في مجموعة تمنح وصولًا إلى موارد تمنح بدورها وصولًا إلى موارد إضافية
- روابط النسخ المتماثل والمزامنة: نسخ متماثل لقواعد البيانات أو الأدلة أو التخزين يُنشئ مسارات وصول بين أنظمة ذات تصنيفات أمنية مختلفة
- العبور عبر حسابات الخدمة: حسابات خدمة تربط بين نطاقات أمنية، فتوفر مسارًا للحركة الجانبية بين البيئات
- سلاسل الثقة الاتحادية: علاقات هوية اتحادية تمدّ وصول المهاجم إلى ما وراء بيئة الاختراق الأولي
لماذا يهم هذا
تكتسب الحركة الجانبية القائمة على الهوية أهمية في TPRM لأن بيئات المورّدين التي تملك وصولًا إلى أنظمة العملاء هي تحديدًا البيئات التي قد يتسلسل فيها اختراق بيانات الاعتماد عبر سلاسل الصلاحيات للوصول إلى بيانات العملاء أو بنيتهم التحتية. والمورّد الذي صُممت ضوابط الوصول الفردية لديه جيدًا دون أن يُحلَّل رسم الصلاحيات لديه قد تكون لديه مسارات حركة جانبية غير مقصودة تربط بيانات اعتماد مطوّر مخترقة ببيئة إنتاج لدى عميل عبر صلاحيات وسيطة مشروعة كلٌّ على حدة.
يُعد تضخيم هجمات سلسلة التوريد البُعد الأخطر أثرًا. فالمهاجم الذي يخترق بيانات اعتماد مطوّر لدى مورّد ويستطيع التحرك جانبيًا عبر رسم الصلاحيات لدى المورّد للوصول إلى آليات وصول المورّد إلى بيئات العملاء، قد حوّل بيانات اعتماد مطوّر واحد إلى وصول إلى عملاء متعددين. ومسار الحركة الجانبية من المطوّر إلى خط CI/CD إلى بيانات اعتماد النشر إلى بيئة العميل نمط هجوم موثق جيدًا يستغل سلاسل الصلاحيات لا الثغرات.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو تقييم الصلاحيات بمعزل عن بعضها بدلًا من تقييمها رسمًا بيانيًا. فمراجعات الصلاحيات الفردية تؤكد أن كل صلاحية مناسبة للدور الذي يحملها. لكنها لا تحلل ما تُنشئه تركيبة الصلاحيات من مسار هجوم. والتحليل القائم على الرسم البياني، أي السؤال عمّا يمكن لهوية مخترقة الوصول إليه عبر ربط صلاحيات مشروعة، هو التقييم الذي يكشف مسارات الحركة الجانبية التي تفوتها مراجعة الصلاحيات الفردية.
- تقييم الصلاحيات بمعزل عن بعضها بدلًا من تقييمها رسمًا بيانيًا
- غياب تحليل رسم الصلاحيات: مسارات الحركة الجانبية غير مقيّمة
- عدم تقييم الوصول إلى مخازن بيانات الاعتماد بوصفه نقطة ارتكاز للحركة الجانبية
- روابط النسخ المتماثل والمزامنة غير محلَّلة بوصفها مسارات عابرة للحدود
- اختبار الاختراق لا يتضمن الحركة الجانبية القائمة على الهوية هدفًا من أهداف الاختبار
كيف تبدو الممارسة الجيدة
تتضمن برامج أمن الهوية الناضجة تحليل رسم الصلاحيات، أي التحليل المنتظم للوجهات عالية القيمة التي يمكن الوصول إليها من أي بيانات اعتماد بداية عبر تركيبات من الصلاحيات المشروعة، وتحديد المسارات التي لم يكن مقصودًا وجودها ومعالجتها.
- أدوات تحليل رسم الصلاحيات: تصوير ما يمكن الوصول إليه من كل هوية عبر سلاسل الصلاحيات المشروعة
- تحليل نطاق الأثر: نمذجة ما يمكن الوصول إليه في كل سيناريو لاختراق هوية
- قيود الوصول إلى مخازن بيانات الاعتماد: حصر من يستطيع قراءة مخازن بيانات الاعتماد في الحد الأدنى المطلوب
- تقييم الوصول عبر روابط النسخ المتماثل والمزامنة: تحليل المسارات العابرة للحدود التي تُنشئها المزامنة
- اختبار الاختراق بأهداف للحركة الجانبية: اختبار العبور عبر سلاسل الصلاحيات تحديدًا
الأدوات
تحليل مسارات الهجوم على الهوية: BloodHound، BloodHound Enterprise، Semperis
طُوّر BloodHound في الأصل لتحليل رسوم صلاحيات Active Directory بحثًا عن مسارات الهجوم، عبر تصوير العلاقات بين الحسابات والمجموعات والموارد التي تُنشئ مسارات حركة جانبية غير مقصودة. ويوسّع BloodHound Enterprise ذلك ليشمل Azure AD والبيئات الهجينة. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم أدوات تحليل مسارات الهجوم لتحديد مسارات الحركة الجانبية في رسم الصلاحيات لديه يوفر سؤالًا محددًا لتقييم أمن رسم الهوية.
تحليل الصلاحيات السحابية: Wiz، Orca، Veza
توفر منصات الأمن السحابي تحليل رسم الصلاحيات للبيئات السحابية، فتحلل سلاسل أدوار IAM وسياسات الوصول إلى الموارد وصلاحيات حسابات الخدمة لتحديد المسارات من الهويات منخفضة الصلاحيات إلى الموارد عالية القيمة. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كانت أدوات الأمن السحابي لدى المورّد تتضمن تحليل رسم الصلاحيات لكشف مسارات الحركة الجانبية يوفر سؤالًا محددًا عن مخاطر الهوية السحابية.
تحديات الحوكمة
يتمثل تحدي الحوكمة في الحركة الجانبية القائمة على الهوية في تعقيد التحليل. فرسوم الصلاحيات في بيئات المؤسسات كبيرة ومعقدة وتتغير باستمرار مع إضافة الصلاحيات وتعديلها. ويجد التحليل في نقطة زمنية المسارات الموجودة في تلك النقطة. أما التحليل المستمر فيتطلب أدوات مؤتمتة تحافظ على رسم محدّث وتنبّه إلى المسارات الجديدة فور ظهورها. ولا يمكن لمراجعة الصلاحيات اليدوية أن تتوسع إلى مستوى تحليل الرسم البياني؛ فذلك يتطلب أدوات مصممة خصيصًا لهذه المشكلة.
- اسأل عمّا إذا كان تحليل مسارات الهجوم يُجرى: BloodHound أو أداة مكافئة لتحليل رسم الصلاحيات
- اسأل عن تقييم نطاق الأثر: ما الذي يمكن الوصول إليه من بيانات اعتماد مطوّر مخترقة
- اسأل عن ضوابط الوصول إلى مخازن بيانات الاعتماد: من يستطيع قراءة مدير الأسرار وماذا يحتوي
- اسأل عن أهداف الحركة الجانبية في اختبار الاختراق: هل العبور عبر سلاسل الهوية جزء محدد من نطاق الاختبار
- أدرج تحليل الحركة الجانبية في التقييم الأمني للمورّد
إذا كنت فريقًا صغيرًا
اطرح على أعلى مورّديك مخاطرة سؤالًا واحدًا يفرض التفكير في الحركة الجانبية: انطلاقًا من بيانات اعتماد مطوّر مخترقة، ما أطول سلسلة صلاحيات تؤدي إلى أعلى بيانات العملاء حساسية لديكم، وكم قفزة صلاحيات مشروعة تتطلب؟ يُلزم هذا السؤال المورّد بالتفكير في رسم الصلاحيات لديه بدلًا من ضوابط الصلاحيات الفردية، وتكشف الإجابة الصادقة ما إذا كانت مسارات الحركة الجانبية قد حُللت أم أن المراجعة اقتصرت على الصلاحيات الفردية.
- اطرح سؤال سيناريو الحركة الجانبية: كم قفزة تفصل بيانات اعتماد المطوّر عن أكثر البيانات حساسية
- اسأل عمّا إذا كان قد أُجري تحليل لمسارات الهجوم باستخدام BloodHound أو أداة مكافئة
- اسأل عمّا إذا كان اختبار الاختراق يتضمن الحركة الجانبية القائمة على الهوية هدفًا من أهداف الاختبار
- اسأل عن ضوابط الوصول إلى مخزن بيانات الاعتماد وعن بيانات الاعتماد التي يحتويها
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل أجريتم تحليلًا لرسم الصلاحيات، باستخدام BloodHound أو أدوات مكافئة، لتحديد مسارات الحركة الجانبية التي قد تتيح لبيانات اعتماد مخترقة منخفضة الصلاحيات الوصول إلى موارد عالية القيمة عبر سلاسل من الصلاحيات المشروعة؟»
«انطلاقًا من بيانات اعتماد مطوّر مخترقة، كم قفزة صلاحيات مشروعة يتطلب الوصول إلى أكثر بيانات العملاء حساسية لديكم، وهل قُيّمت تلك المسارات وعولجت؟»
ما تتوقعه دليلًا
- أداة تحليل مسارات الهجوم وتاريخ آخر تحليل
- سجلات معالجة مسارات الحركة الجانبية
- توثيق قيود الوصول إلى مخازن بيانات الاعتماد
- تأكيد نطاق اختبار الاختراق بما يشمل أهداف الحركة الجانبية
ينبغي أن يُسأل المورّد الذي يؤكد قوة ضوابط الوصول الفردية عمّا إذا كانت تلك الضوابط قد حُلّلت بوصفها رسمًا بيانيًا، وتحديدًا عمّا إذا كانت المسارات التي تجمع عدة صلاحيات مشروعة للوصول إلى وجهات غير مقصودة قد حُددت وعولجت. الصلاحيات الفردية هي العقد. ومسارات الهجوم هي الحواف. وتقييم العقد وحدها يترك الحواف دون فحص.
كيف تُثبت ذلك
- سجلات تحليل مسارات الهجوم
- توثيق معالجة مسارات الحركة الجانبية
- نطاق الحركة الجانبية في اختبار الاختراق
- ضوابط الوصول إلى مخازن بيانات الاعتماد
الخلاصة الرئيسية
الصلاحيات الفردية هي العقد. ومسارات الهجوم هي الحواف. تقيّم مراجعة الوصول الفردية كل عقدة وتؤكد أن كلًّا منها مناسبة. لكنها لا تحلل المسارات التي تُنشئها سلاسل العقد المناسبة. فوصول المطوّر إلى مدير الأسرار مناسب. وبيانات اعتماد بيئة التجهيز في مدير الأسرار مناسبة. والنسخ المتماثل من التجهيز إلى الإنتاج مناسب لأغراض DR. لكن اجتماعها يُنشئ مسارًا من أربع قفزات من بيانات اعتماد المطوّر إلى قاعدة بيانات الإنتاج، لم يُقيَّم قط، ولم يُعتمد قط، ولم يُطلق أي تنبيه عند عبوره. يجد تحليل رسم الصلاحيات المسارات القائمة بين صلاحيات مناسبة كلٌّ على حدة. وهو المكمّل الحوكمي الذي لا تستطيع مراجعة الوصول الفردية توفيره. اسأل عمّا إذا كان الرسم البياني قد حُلّل. فالهجوم يكمن في الحواف.