أنشأت شركة تقنية رعاية صحية تكامل أدلة عبر Azure AD مع شريكها الرئيسي في تنفيذ EHR، وهو مزامنة ثنائية الاتجاه تتيح ظهور موظفي الشريك في دليل العميل لأغراض التعاون والوصول، وظهور موظفي العميل في دليل الشريك لتنسيق الدعم. وكان التكامل مريحًا: إتاحة مشتركة للتقويم، ودفتر عناوين موحد، وتعاون سلس عبر Teams، وتزويد أبسط بصلاحيات الوصول للتعاقد المستمر. وبعد ثمانية عشر شهرًا من التكامل، تعرض الشريك لاختراق في Azure AD، إذ تمكن مهاجم من الوصول إلى حساب المسؤول العام لدى الشريك عبر هجوم تصيد موجّه. وقبل كشف الاختراق وإلغاء الحساب، كان المهاجم قد أنشأ حسابين جديدين في مستأجر Azure AD الخاص بالشريك. وانتقل هذان الحسابان، عبر علاقة مزامنة الدليل، إلى مستأجر Azure AD الخاص بالعميل خلال فترة المزامنة البالغة خمس عشرة دقيقة. فأصبح دليل العميل يحتوي على حسابين يتحكم فيهما المهاجم أُنشئا في دليل الشريك. ثم استخدم المهاجم هذين الحسابين للمصادقة على بيئة العميل عبر الثقة بين الدليلين.
ما حقيقة مخاطر تكامل الأدلة مع المورّدين؟
يربط تكامل الأدلة بين نظامين للهوية من خلال علاقة مزامنة، إذ تنتقل كائنات أحد الدليلين وسماته وأحداث دورة حياته إلى الآخر، وفي عمليات التكامل ثنائية الاتجاه تسري التغييرات في الاتجاهين. وتنفذ أداة Azure AD Connect للبيئات الهجينة، والتعاون عبر Azure AD B2B، وأدوات مزامنة الأدلة من الأطراف الثالثة، عمليات التكامل هذه لأغراض تشغيلية مشروعة: تمكين المستخدمين في مؤسسة ما من الوصول إلى الموارد في مؤسسة أخرى، ومشاركة بيانات الهوية لأغراض التعاون، وتقليل العوائق في إدارة الوصول ضمن علاقات الشراكة طويلة الأمد.
يُعد خطر امتداد الثقة التحدي الجوهري للحوكمة. فتكامل الأدلة يوسّع حدود الثقة لنظام هوية ما لتشمل الوضع الأمني لنظام آخر. وعندما يقبل Azure AD لدى العميل كائنات الهوية الواردة من Azure AD لدى الشريك، فإن سلامة تلك الكائنات تعتمد على أمن دليل الشريك، أي أمن حسابات المسؤولين لديه، وحوكمة الوصول ذي الامتيازات، وممارسات حوكمة الهوية. واختراق دليل الشريك الذي ينشئ حسابات أو يعدّل سمات أو يغيّر عضويات المجموعات ينقل تلك التغييرات إلى دليل العميل خلال فترة المزامنة. ولا تُطبق ضوابط دليل العميل على التغييرات المنقولة، فتلك الضوابط تحكم ما يحدث في دليل العميل، لا ما يرسله دليل الشريك إليه.
يُعد سطح هجوم التلاعب بالسمات مسار استغلال محددًا تنشئه عمليات تكامل الأدلة إلى جانب انتقال الحسابات. فسمات المستخدمين في Active Directory وAzure AD تستخدمها أنظمة التحكم في الوصول وسياسات الوصول المشروط ومنطق التفويض في التطبيقات، إذ قد يؤثر كل من القسم والمسمى الوظيفي وعضوية المجموعات وسمات الامتداد المخصصة فيما يمكن للمستخدم الوصول إليه. وتكامل الأدلة الذي ينقل سمات المستخدمين من دليل الشريك يسمح لاختراق دليل الشريك بتعديل سمات تؤثر في ضوابط الوصول في بيئة العميل. والمهاجم القادر على تعديل سمات الدليل في مستأجر الشريك قد يتمكن من تعديل ضوابط الوصول لدى العميل بشكل غير مباشر عبر انتقال السمات.
- انتقال الحسابات من دليل شريك مخترق: حسابات ينشئها المهاجم في دليل الشريك تنتقل إلى دليل العميل عبر المزامنة
- التلاعب بالسمات بما يؤثر في ضوابط الوصول: تغييرات في سمات دليل الشريك تنتقل إلى السمات المستخدمة في قرارات الوصول لدى العميل
- انتقال عضوية المجموعات: تغييرات مجموعات دليل الشريك تؤثر في الوصول إلى موارد العميل
- نافذة الهجوم خلال فترة المزامنة: تغييرات تنتقل في غضون دقائق من اختراق دليل الشريك
- غياب ضوابط الانتقال المرحلي: مزامنة الدليل تقبل جميع التغييرات الواردة من الشريك دون تحقق من جانب العميل
لماذا يهم هذا
يكتسب تكامل الأدلة أهمية في TPRM لأنه من أعلى علاقات الهوية ثقةً التي يمكن أن تقيمها مؤسسة مع مورّد، إذ تنتقل تغييرات دليل الشريك مباشرة إلى البنية التحتية للهوية لدى العميل. وهذا خطر مختلف جذريًا عن أنماط وصول المورّدين الأخرى: فبدلًا من أن يصل المورّد إلى بيئة العميل عبر جلسات مُصادق عليها، يسمح تكامل الأدلة لنظام الهوية لدى المورّد بالكتابة مباشرة في دليل العميل.
سيناريو الهجوم هذا ليس نظريًا. فقد توصل التحقيق في اختراق Microsoft المرتبط بحادثة SolarWinds عام 2021 إلى أن نشاط المهاجمين شمل إنشاء حسابات في البيئات المستهدفة عبر علاقات ثقة من مستأجرين شركاء مخترقين. كما استغل اختراق Microsoft عام 2023 على يد Storm-0558 آليات الثقة عبر المستأجرين. فعلاقات الثقة في تكامل الأدلة مسار هجوم موثق، والمورّدون الذين لديهم تكامل أدلة ثنائي الاتجاه مع مستأجري العملاء قد أنشأوا مسارًا سيُستغل في حال اختراق الدليل من جانب المورّد.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو تقييم تكامل الأدلة بوصفه إعدادًا تشغيليًا دون تقييمه بوصفه علاقة ثقة أمنية. فالتكامل يتيح التعاون ومُعد بشكل صحيح من منظور تشغيلي. أما ما إذا كان الوضع الأمني لدليل الشريك كافيًا ليُوثق به مصدرًا للهوية فهو سؤال يتعلق بحوكمة الأمن لا يتناوله التقييم التشغيلي.
- تقييم تكامل الأدلة بوصفه إعدادًا تشغيليًا بدلًا من كونه علاقة ثقة أمنية
- عدم تقييم الوضع الأمني لدليل الشريك قبل إنشاء التكامل
- غياب تصفية المزامنة الواردة: انتقال جميع كائنات دليل الشريك دون تحقق من جانب العميل
- غياب مراقبة أحداث المزامنة الواردة: الحسابات الجديدة وتغييرات السمات الواردة من الشريك غير مراقبة بشكل محدد
- عدم تقليص نطاق المزامنة ثنائية الاتجاه: مزامنة سمات وأنواع كائنات تتجاوز ما تتطلبه الحاجة التشغيلية
كيف تبدو الممارسة الجيدة
تقيّم برامج حوكمة تكامل الأدلة الناضجة الوضع الأمني لدليل الشريك قبل إنشاء علاقات المزامنة، وتقصر نطاق المزامنة على الحد الأدنى اللازم للاحتياجات التشغيلية، وتطبق تحققًا من جانب العميل على أحداث المزامنة الواردة، وتراقب التغييرات الواردة غير الاعتيادية التي قد تشير إلى اختراق دليل الشريك.
- تقييم أمن دليل الشريك: تقييم أمن حسابات المسؤولين وحوكمة الوصول ذي الامتيازات والوضع الأمني للهوية قبل التكامل
- مزامنة بالحد الأدنى من النطاق: مزامنة أنواع الكائنات والسمات اللازمة للتعاون فقط، لا كائنات الدليل بالكامل
- مراقبة المزامنة الواردة: مراقبة محددة للحسابات الجديدة وتغييرات السمات الواردة من دليل الشريك مع تنبيهات عند ظهور أنماط غير اعتيادية
- التحقق من المزامنة الواردة: ضوابط من جانب العميل تحدد تغييرات دليل الشريك المقبولة
- تفضيل المزامنة أحادية الاتجاه: مزامنة في اتجاه واحد حيثما أمكن للحد من صلاحية دليل الشريك في الكتابة في دليل العميل
الأدوات
حوكمة Azure AD B2B: Microsoft Entra External Identities وإعدادات الوصول عبر المستأجرين
تتيح إعدادات الوصول عبر المستأجرين من Microsoft تحكمًا دقيقًا فيما تجري مزامنته بين المستأجرين، إذ تقصر المزامنة الواردة على أنواع محددة من الكائنات والسمات، وتتحكم في مستخدمي الشريك الذين يمكنهم الوصول إلى موارد العميل وفي تلك الموارد، وتهيئ إعدادات الثقة لمطالبات MFA وامتثال الأجهزة الواردة من مستأجري الشريك. وبالنسبة إلى ممارسي TPRM، فإن السؤال عما إذا كانت إعدادات الوصول عبر المستأجرين مهيأة لتقييد نطاق المزامنة الواردة من أدلة الشركاء يمثل سؤالًا محددًا عن تقليص نطاق التكامل إلى الحد الأدنى.
مراقبة مزامنة الأدلة: Microsoft Entra Audit Logs وAzure Monitor
تسجل سجلات التدقيق الخاصة بأحداث مزامنة الأدلة إنشاء الحسابات وتعديلات السمات وتغييرات عضوية المجموعات التي تنشأ من الأدلة المتصلة. ومراقبة أحداث المزامنة الواردة تحديدًا، مع التمييز بين الحسابات المنشأة محليًا والحسابات المنقولة من الشريك، تتيح كشف التغييرات غير الاعتيادية في دليل الشريك. وبالنسبة إلى ممارسي TPRM، فإن السؤال عما إذا كانت أحداث مزامنة الدليل الواردة تخضع لمراقبة محددة مع تنبيهات عند إنشاء حسابات جديدة يمثل سؤالًا محددًا عن كشف الاختراق.
تحديات الحوكمة
يتمثل تحدي الحوكمة في تكامل الأدلة في التوتر بين الراحة والأمن. فتكامل الأدلة ثنائي الاتجاه يتيح تعاونًا سلسًا يقلل العوائق في علاقات الشراكة طويلة الأمد. وكل نوع إضافي من الكائنات وكل سمة إضافية تجري مزامنتها يزيدان الراحة التشغيلية ويوسّعان سطح الهجوم الذي يمكن أن يستغله اختراق دليل الشريك. ومبدأ المزامنة بالحد الأدنى من النطاق، أي مزامنة ما هو ضروري تشغيليًا فقط، يطبق على تكامل الأدلة المنطق نفسه الذي يطبقه مبدأ الحد الأدنى من الامتيازات على تزويد صلاحيات الوصول.
- قيّم الوضع الأمني لدليل الشريك قبل إنشاء أي تكامل للأدلة
- اقصر نطاق المزامنة على الحد الأدنى من الحاجة التشغيلية: أنواع محددة من الكائنات والسمات فقط
- راقب أحداث المزامنة الواردة بحثًا عن إنشاء حسابات وتغييرات في السمات بشكل غير اعتيادي
- فضّل المزامنة أحادية الاتجاه حيث لا تكون المزامنة ثنائية الاتجاه لازمة تشغيليًا
- أدرج تكامل الأدلة ضمن تقييم الهوية لدى المورّدين
إذا كنت فريقًا صغيرًا
لكل تكامل أدلة ثنائي الاتجاه تقيمه مؤسستك مع أحد المورّدين، اطرح سؤالين. الأول: إذا اختُرق حساب المسؤول العام لدى الشريك، فهل يستطيع المهاجم إنشاء حسابات في دليلك عبر علاقة المزامنة، وما مدى سرعة ظهور تلك الحسابات؟ والثاني: هل تخضع أحداث المزامنة الواردة، وتحديدًا إنشاء حسابات جديدة من دليل الشريك، لمراقبة مع تنبيهات من شأنها كشف الانتقال غير الاعتيادي؟ يكشف هذان السؤالان سيناريو الهجوم وقدرة الكشف عنه.
- اسأل عما إذا كان اختراق دليل الشريك يمكن أن ينقل حسابات المهاجم إلى دليلك
- اسأل عما إذا كانت أحداث المزامنة الواردة تخضع للمراقبة مع تنبيهات عند الحالات غير الاعتيادية
- راجع إعدادات الوصول عبر المستأجرين لتقليص نطاق المزامنة إلى الحد الأدنى
- قيّم أمن حسابات المسؤولين في دليل الشريك قبل الإبقاء على تكامل الأدلة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة إلى تكامل الدليل بيننا، إذا اختُرقت بيئة Azure AD لديكم وأنشأ مهاجم حسابات جديدة في مستأجركم، فما مدى سرعة انتقال تلك الحسابات إلى دليلنا؟ وهل لديكم مراقبة من شأنها كشف هذا السيناريو قبل حدوث المزامنة؟»
«ما نطاق تكامل دليلكم مع مستأجرنا؟ وتحديدًا، ما أنواع الكائنات والسمات المشمولة في المزامنة، وهل يقتصر النطاق على ما هو لازم تشغيليًا للتعاون؟»
ما تتوقعه دليلًا
- توثيق نطاق مزامنة الدليل: أنواع الكائنات والسمات المشمولة
- تأكيد مراقبة المزامنة الواردة مع التنبيه عند الحالات غير الاعتيادية
- الوضع الأمني لحسابات المسؤولين لدى الشريك التي تملك صلاحية الوصول إلى مزامنة الدليل
- توثيق إعدادات الوصول عبر المستأجرين
ينبغي سؤال المورّد الذي يؤكد أن تكامل الأدلة مُعد جيدًا عما يحدث تحديدًا لذلك التكامل إذا اختُرق حساب المسؤول العام لديه. فالإعداد صحيح، أما أمن الهوية التي تتحكم في الإعداد فهو سؤال الحوكمة.
كيف تُثبت ذلك
- سجلات تقييم أمن دليل الشريك
- توثيق نطاق مزامنة الدليل
- سجلات مراقبة المزامنة الواردة
- تهيئة إعدادات الوصول عبر المستأجرين
الخلاصة الرئيسية
تكامل الأدلة علاقة ثقة بين نظامين للهوية، ولا يكون آمنًا إلا بقدر أمن النظام الأضعف في المزامنة. فضوابط دليل العميل تحكم ما يحدث في دليل العميل، لكنها لا تحكم ما يرسله دليل الشريك إليه عبر المزامنة. واختراق دليل الشريك الذي ينشئ حسابات ينقل تلك الحسابات إلى دليل العميل خلال فترة المزامنة. كان التكامل مُعدًا جيدًا، لكن الثقة التي منحها كانت مسار الهجوم. قيّم الوضع الأمني لدليل الشريك قبل إنشاء التكامل. وراقب أحداث المزامنة الواردة. واقصر نطاق المزامنة على الحد الأدنى اللازم. فعلاقة الثقة لا تقل أثرًا عن أي منح آخر للوصول، فتعامل معها بحوكمة مماثلة.