ما المقصود بإدارة دورة حياة الأمن؟

يستضيف متوسط الشبكات المؤسسية آلاف الهويات -إن لم يكن عشرات الآلاف- ابتداءً من المستخدمين البشر (المطورون وغيرهم من الأطراف المعنية) ووصولًا إلى الهويات غير البشرية (مثل وكلاء الذكاء الاصطناعي، والأجهزة، وأعباء العمل، والخدمات). هذه الفئة من الهويات ديناميكية. ينضم المستخدمون البشر ويغادرون ويتغير دورهم بشكل متكرر. تظهر هويات غير بشرية جديدة باستمرار مع تزويد البنية التحتية، وتوسيع نطاقها، وإيقاف تشغيلها - خاصةً في البيئات السحابية الأصلية وعمليات التطوير، حيث تعمل مسارات CI/CD ومهام سير العمل المؤتمتة على إنشاء خدمات وأعباء عمل قصيرة العمر بشكل روتيني.

تُعَد كل هوية ثغرة أمنية محتملة. يمكن للمستخدمين أن يسيئوا استخدام صلاحياتهم عن قصد أو عن إهمال، ليصبحوا تهديدات داخلية. يمكن لعناصر التهديد السيطرة على الهويات البشرية وغير البشرية باستخدام بيانات اعتماد مسروقة وهجمات القوة الغاشمة للوصول غير المصرح به إلى البيانات والأنظمة الحساسة.

في الواقع، الهجمات القائمة على الهوية -حيث يستغل القراصنة بيانات اعتماد حسابات صالحة لاختراق الشبكة- تُعَد من أكثر أساليب الهجمات الإلكترونية شيوعًا. تمثِّل هذه الهجمات 30% من اختراقات أمن البيانات المسجلة في IBM X-Force Threat Intelligence Index..

تهدف إدارة دورة حياة الأمن إلى تقليل سطح الهجوم المتعلق بالهوية وسد الثغرات الأمنية من خلال توحيد إدارة هذه الهويات وأذوناتها وبيانات اعتمادها ضمن منصة واحدة أو مجموعة أدوات متكاملة بشكل وثيق. تعمل إدارة دورة حياة الأمن على أتمتة الوظائف الأساسية في الأمن الإلكتروني -مثل إنشاء وتدوير بيانات الاعتماد، وتوفير الحسابات وإلغاء تفعيلها، وتطبيق سياسات الأمان- لتعزيز ضوابط الوصول وإدارة المعلومات السرية دون التأثير في مهام سير العمل الحيوية للأعمال.

تستفيد إدارة دورة حياة الأمن من منصة أو مجموعة أدوات متكاملة لمراقبة وأتمتة الوظائف الأساسية في الأمن الإلكتروني بشكل مركزي، خاصةً الوظائف المتعلقة بأمان الحسابات، وإدارة بيانات الاعتماد، وأذونات وصول المستخدمين.

تشمل بعض الوظائف الأساسية لإدارة دورة حياة الأمن إدارة الهوية، وإدارة المعلومات السرية، والشبكات الآمنة.

يمكن لإدارة دورة حياة الأمن أتمتة سير عمل إدارة الهوية والوصول (IAM) لكلٍّ من الهويات البشرية وغير البشرية، مثل:

• تأهيل المستخدمين والكيانات الجديدة، بما في ذلك إنشاء الحسابات وتعيين الأذونات.
  
  
• تعديل امتيازات المستخدمين والكيانات مع تغيُّر أدوارهم بمرور الوقت.
  
  
• فرض سياسات الأمن عبر إجراءات مثل التحكم بالوصول القائم على الأدوار (RBAC)، والتوثيق المستمر والتفويض، ومنح الصلاحيات عند الحاجة.
  
• مراقبة نشاط المستخدم باستمرار من خلال تسجيل الجلسة.
  
  
• إلغاء توفير الهويات عند مغادرة المستخدمين أو إيقاف الخدمات.

إلى جانب حماية الهويات، تساعد إدارة دورة حياة الأمن أيضًا على حماية بيانات الاعتماد المرتبطة بتلك الهويات. ويمكنها أتمتة الوظائف المهمة لإدارة بيانات الاعتماد وإدارة الأسرار، مثل:

• إنشاء بيانات اعتماد قوية للهويات البشرية وغير البشرية الجديدة، بما في ذلك الشهادات، ومفاتيح واجهات برمجة التطبيقات، وكلمات المرور، والرموز المميزة.
  
  
• تدوير بيانات الاعتماد بانتظام.
  
  
• تخزين بيانات الاعتماد عالية القيمة -مثل بيانات اعتماد الحسابات الإدارية والخدمية التي تمنح وصولًا متميزًا إلى المعلومات والأنظمة الحساسة- في خزائن بيانات الاعتماد. وتتم حماية هذه الخزائن بدورها عبر التشفير وإجراءات التوثيق القوية -مثل المصادقة متعددة العوامل (MFA)- لضمان قدرة المستخدمين المصرح لهم فقط على الوصول إلى هذه البيانات عند الحاجة.
  
  
• استبدال بيانات الاعتماد الدائمة ببيانات اعتماد مؤقتة أو تُمنح عند الحاجة فقط.
  
  
• فحص ومعالجة الأسرار المكشوفة المخزَّنة تلقائيًا في الكود، أو المستودعات، أو منصات التعاون، أو أدوات المطورين، أو أي مواقع أخرى.

تدعم بعض أدوات إدارة دورة حياة الأمن أيضًا حقن بيانات الاعتماد، وهي عملية توثيق لا يحتاج فيها المستخدمون إلى التعامل مع بيانات الاعتماد بشكل مباشر. بدلًا من ذلك، تتم تغذية بيانات الاعتماد من الخزائن الآمنة إلى الخدمات المناسبة نيابةً عن المستخدم، ما يؤدي إلى تقليل مخاطر التعرض أو السرقة.

استكمالًا لحماية الهويات وبيانات الاعتماد، تساعد إدارة دورة حياة الأمن أيضًا على تسهيل الاتصال والتواصل الآمن بين الهويات - وخاصةً بين الخدمات.

غالبًا ما توفر أدوات إدارة دورة حياة الأمن ما يلي:

• مصدرًا موحَّدًا وموثوقًا به لهويات الخدمات، يُتيح اكتشاف الخدمات وتتبُّعها، بالإضافة إلى معلومات في الوقت الفعلي حول حالة الخدمة وخصائصها الأخرى.
  
  
• اتصالات قائمة على الهوية، تشمل التشفير بين الخدمات، والتوثيق المستمر، والتفويض بناءً على السمات. يتم التحقق من كل طلب وصول، ويتم منح الوصول للخدمات بناءً على سماتها بدلًا من موقعها على الشبكة.
  
  
• توفير تلقائي للبنية التحتية الشبكية الآمنة، مثل شبكات الخدمات، وموازِنات الأحمال، وجدران الحماية، والبوابات. يتم إنشاء الاتصالات الآمنة وتحديثها وإيقاف تشغيلها تلقائيًا عند إنشاء الخدمات أو توسيع نطاقها أو إيقافها.

بينما تركز إدارة دورة حياة الأمن عادةً على الهويات وبيانات الاعتماد والخدمات والبنية التحتية البرمجية، فقد تشمل أحيانًا وظائف إدارة الأجهزة. تشمل الأمثلة التحديث التلقائي لأجهزة العمل والأجهزة المحمولة، وإدارة شهادات الأجهزة، والمراقبة المستمرة ومعالجة المشكلات لأنظمة الأمن المحلية، مثل الكاميرات وأنظمة التحكم في الوصول المادي.

من خلال توحيد وأتمتة الوظائف الأساسية لإدارة الهوية والوصول وإدارة الأسرار، تساعد إدارة دورة حياة الأمن فِرق الأمان على الحصول على رؤية أفضل والتحكم بشكل أكبر في المستخدمين البشر والهويات غير البشرية. يمكن أن تساعد المركزية والأتمتة على تبسيط مراقبة الأنشطة، وضوابط الوصول، وتنفيذ السياسات، ما يؤدي إلى تقليل مخاطر الهجمات القائمة على الهوية وغيرها من الحوادث الأمنية والتهديدات الإلكترونية.

في أنظمة تكنولوجيا المعلومات المعقدة، يمكن أن توجد الهويات البشرية وغير البشرية على البنية التحتية المحلية والبعيدة والبنية التحتية السحابية، ويمكن أن تتحرك بينها. الطبيعة الموزعة لهذه الشبكات تجعل من الصعب على فِرق الأمان تتبُّع ما تفعله كل هوية. علاوةً على ذلك، غالبًا ما تكون الموارد ديناميكية وزائلة في مسارات عمليات التطوير. يمكن أن يتم إدخال هويات غير بشرية جديدة إلى النظام، والوصول إلى المعلومات المؤمَّنة، والاختفاء قبل أن يدرك فريق الأمان وجودها. ونتيجةً لذلك، يصبح تنفيذ السياسات صعبًا وتزداد المخاطر الأمنية.

في غياب الإدارة الآمنة والإشراف المركزي، قد لا يتَّبع المستخدمون الأفراد أفضل الممارسات للحفاظ على الأمان. قد يقومون بتعيين كلمات مرور ضعيفة وإعادة استخدامها. قد يهملون تفعيل المصادقة متعددة العوامل (MFA). تشتهر مسارات عمليات التطوير بانتشار الأسرار بشكل عشوائي، حيث تتكاثر الأسرار غير المُدارة عبر المستودعات، والأكواد، وقواعد البيانات، وأماكن أخرى، ما يتركها عرضةً للتهديدات المحتملة.

يتسبب انتشار التطبيقات -أي إدخال التطبيقات إلى النظام دون إدارة مركزية، خاصةً التطبيقات التي لا تتكامل وظائف التوثيق والتفويض الخاصة بها مع الأنظمة الحالية لإدارة الهوية والوصول- أيضًا في حدوث مشكلات. عندما تمتلك التطبيقات المنفصلة دلائل هوية منفصلة وإعدادات أذونات وبيانات اعتماد مستقلة، يصبح من السهل جدًا أن تمر أنشطة الأمان المهمة -مثل تدقيق الامتيازات وإلغاء التخصيص- دون مراقبة.

يمكن لإدارة دورة حياة الأمن المساعدة على تقليل التهديدات الأمنية الناتجة عن ضعف ضوابط الهوية والوصول وبيانات الاعتماد من خلال توحيد الإدارة وأتمتة العمليات الأساسية.

تساعد إدارة جميع الهويات -البشرية وغير البشرية- في نظام واحد فِرق الأمان على وضع سياسات وصول أكثر اتساقًا. يساعد توفير وإلغاء توفير الموارد تلقائيًا على ضمان تطبيق هذه السياسات بطريقة معيارية وفي الوقت المناسب.

تساعد أتمتة إدارة بيانات الاعتماد على ضمان استخدام بيانات اعتماد قوية وتأمينها وتدويرها بشكل صحيح، بينما تساعد أدوات اكتشاف بيانات الاعتماد في العثور على الأسرار غير المُدارة وغير المؤمَّنة لمعالجتها.

من خلال تسجيل الجلسات، يمكن لفِرق الأمان تتبُّع كل ما يفعله المستخدمون، ما يجعل من السهل تطبيق السياسات والاستجابة للحوادث. إذا حدث اختراق أمني، يمكن للمحققين استخدام التسجيل لمعرفة ما فعله القراصنة باستخدام الحساب المخترق.

أخيرًا، يساعد تأمين الاتصالات بين الخدمات على معالجة واحدة من أهم الثغرات الأمنية في سلسلة توريد البرمجيات: وهي الاتصالات بين العناصر في النظام.

كما قال Jeff Crume، المهندس المتميز والمخترع الرئيسي في IBM، في بودكاست Security Intelligence:

"تحدث بعض أكبر الثغرات الأمنية عند نقاط الربط بين شيئين مختلفين حيث توجد الواجهات. قد يكون العنصر الخاص بي مثاليًا، وقد يكون العنصر الخاص بك مثاليًا، لكن واجهتنا ليست كذلك. وبالطبع، سيبحث المهاجمون دائمًا عن الثغرات الأمنية".

باختصار، يمكن أن يمنح النهج الشامل لإدارة دورة حياة الأمن المؤسسة نظامًا واحدًا لتسجيل الهويات البشرية وغير البشرية، وبيانات الاعتماد، والصلاحيات عبر المنظومة بأكملها، داعمةً الثقة الصفرية ومبدأ أقل الامتيازات.

من المهم أيضًا الإشارة إلى أن أدوات وممارسات إدارة دورة حياة الأمن مصممة لدعم النشاط السريع والمبتكر في مسارات عمليات التطوير. في الواقع، يمكن أن تساعد هذه الأدوات على تحسين هذه العمليات عن طريق إخراج إدارة بيانات الاعتماد بالكامل من أيدي المطورين. من خلال إنشاء الأسرار وتخزينها وتدويرها وحمايتها تلقائيًا، يمكن لإدارة دورة حياة الأمن تأمين منظومة تكنولوجيا المعلومات دون أن تعيق العمليات.