داخل دليل ProdSec: تفعيل Wiz لأمن السحابة الشامل
تواجه فرق أمان المنتجات الحديثة تحديًا فريدًا: كيف يمكنك تأمين البيئات السحابية سريعة التطور دون إبطاء الهندسة؟ بالنسبة للفرق عالية الأداء، تكمن الإجابة في تجاوز إدارة الموقف التفاعلي والدمج العميق لأدوات الأمان في كل من سير عمل المطور ونسيج البنية التحتية.
فيما يلي نظرة داخلية على كيفية قيام فريق ProdSec التابع لشركة Wiz بدفع حدود Wiz، وتحويلها إلى مجموعة أدوات شاملة للكشف عن التهديدات المخصصة، وحواجز حماية CI/CD، ونمذجة التهديدات الاستباقية.
تأمين خط الأنابيب: Shift-Left باستخدام مسح CLI
لا يمكنك تأمين ما لا يمكنك رؤيته، ولا يمكنك إصلاح ما تم نشره بالفعل دون التسبب في احتكاك. لاكتشاف الثغرات الأمنية والتكوينات الخاطئة في المصدر، يقوم ProdSec بتضمين Wiz CLI مباشرة في سير عمل المطورين.
من خلال دمج مسح Wiz CLI في خطوط أنابيب CI/CD، يمكن للفرق الهندسية أتمتة عمليات التحقق من الأمان عند كل طلب سحب. علاوة على ذلك، يتكامل نظام التحكم في الإصدار (VCS) مع Github لفحص طلبات السحب والأسرار والبنية التحتية كرمز (IaC) وعمليات الدمج.
قواعد تكوين السحابة (CCRs) هي طريقة Wiz لإجراء فحوصات الوضع في السحابة. تقوم كل قاعدة بتقييم المورد مقابل خط أساس آمن وتثير النتيجة عندما ينحرف. تقدم Wiz كتالوجًا شاملاً لسجلات CCR المضمنة التي تغطي أنواع الموارد المعروفة عبر موفري الخدمات السحابية الرئيسيين. قد يكون لدى المؤسسات أيضًا موارد فريدة أو احتياجات امتثال فريدة، لذلك في حالة وجود فجوة، يمكن كتابة قواعد سياسة Rego المخصصة كرمز في Wiz لمعالجة هذه المتطلبات.
بالإضافة إلى التحقق من الموارد السحابية المنشورة بحثًا عن تكوين خاطئ، يمكن لـ CCRs أيضًا فحص IaC وإنشاء عناصر (بيانات Kubernetes، Terraform/CloudFormation، Dockerfiles، وما إلى ذلك) كعمليات فحص في مسارات CI وسحب الطلبات عن طريق تحديد التكوينات الخطرة وإيقافها قبل إنشاء موارد سحابية تم تكوينها بشكل خاطئ. يمكن أيضًا استخدام CCRs جنبًا إلى جنب مع وحدات تحكم القبول في Kubernetes لفرض أطر عمل مثل معايير أمان Pod، وتقييد أو حظر طلبات نشر التكوينات غير المتوافقة في المجموعات.
الكشف الآلي عن التهديدات والاستجابة لها
تستمر التهديدات السحابية في الزيادة من حيث الحجم والتعقيد. لمواكبة ذلك، يعتمد فريق أمان المنتج على كتالوج ديناميكي لقواعد الكشف المستنيرة بالحوادث الواقعية، وذكاء التهديدات النشطة، والبحث المستمر.
ونظرًا لحجم ونطاق هذا القياس عن بعد، تعد الأتمتة بمثابة حجر الزاوية الأساسي للعمليات الأمنية. يعتمد فريق ProdSec على Wiz Blue Agent للتحقيق في الاكتشافات الجديدة وإجراء الفرز والتقييم الأولي: بالنسبة لكل تهديد، يحاكي التحقيق البشري عبر القياس عن بعد والنتائج وسياق المخاطر الخاص بـ Wiz، ثم يُرجع الحكم ومستوى الثقة وأسبابه. يؤدي هذا التمرير الأول المتسق إلى إبقاء البشر يركزون على التنبيهات ذات الأولوية القصوى والاكتشافات التي من المرجح أن تمثل إيجابيات حقيقية.
تتزايد دقة الاكتشاف بمرور الوقت أيضًا، حيث يقوم محرك الكشف الخاص بـ Wiz ببناء خطوط أساسية سلوكية لجميع الأنشطة. تغطي إمكانيات Wiz المضمنة غالبية حالات الاستخدام. أما بالنسبة للباقي، فيتم كتابتها وتنظيمها من قبل فرق من الخبراء في مجالات أبحاث التهديدات واكتشافها والاستجابة لها.
بالإضافة إلى الإمكانات المضمنة في Wiz Defend، يحتاج فريق ProdSec إلى اكتشافات مخصصة خاصة ببيئة Wiz والتي، على غرار CCR، يمكن تعريفها كرمز واستخدامها لتحديد الحالات الشاذة الخاصة بالبيئة. على سبيل المثال، قد يكون لديهم موارد لا يمكن الوصول إليها أو إنشاؤها في الظروف العادية إلا من خلال الأتمتة أو الهويات الآلية ذات المعرفات الفريدة التي لا يعرفها سوى موظفو Wiz. عندما تنحرف أنماط الوصول عن الخطوط الأساسية الحالية المعروفة، فإنها تعتمد على التنبيه المخصص لالتقاط حالات الحافة هذه التي تتكامل بسلاسة مع بقية النظام الأساسي، وتدعم الارتباط المخصص، وتستفيد من نفس قواعد التحليل والإشعارات المستندة إلى الذكاء الاصطناعي.
تنبيهات سياقية للبنية التحتية المتخصصة
يُعد التنبيه القياسي أمرًا رائعًا بالنسبة للبيئات القياسية، ولكن غالبًا ما تشتمل التأثيرات السحابية الحديثة على بنية تحتية عالية التخصص ومصممة حسب الطلب. تأخذ ProdSec زمام المبادرة في إنشاء أطر تنبيه مخصصة لهذه البيئات الفريدة. من خلال ضبط Wiz لفهم المخاطر المحددة والسلوكيات الأساسية للبنية التحتية المتخصصة، تضمن ProdSec عدم مرور أي زوايا مظلمة في البنية التحتية السحابية المتعددة لـ Wiz دون مراقبة.
من خلال الجمع بين سجلات CCR وTDRs، يقوم ProdSec بمراقبة المشكلات التي يتم إنشاؤها في Wiz. تمثل هذه المشكلات مجموعات سامة قد تتضمن نقاط الضعف،
التكوينات الخاطئة، وعوامل الخطر الأخرى التي يجب معالجتها بناءً على خطورتها. من خلال سير عمل Wiz، تقوم كل مشكلة بتشغيل التشغيل الآلي لوضع العمل في Jira من أجل الفرز والتقييم وتتبع اتفاقية مستوى الخدمة.
نمذجة التهديدات والتصميم الآمن
قبل الالتزام بميزات المنتج الجديدة أو تغييرات البنية التحتية للتعليمات البرمجية، تنفذ ProdSec عمليات سير عمل صارمة لمراجعة الأمان. وهنا يأتي دور نمذجة التهديدات الاستباقية. من خلال تحديد حدود الثقة، وتقييم المخاطر، وفهم نطاق الانفجار المحتمل أثناء مرحلة التصميم، تحدد ProdSec بالضبط عناصر تحكم Wiz (مثل CCRs أو TDRs الجديدة) التي يجب تنفيذها قبل تشغيل الميزة.
لتوسيع نطاق هذه العملية دون زيادة حجم الفريق بشكل متناسب، قامت ProdSec ببناء وكيل مراجعة أمان يعتمد على الذكاء الاصطناعي لمساعدة المهندسين خلال مرحلة التصميم. يعتمد الوكيل على سياق Wiz المباشر، مثل CCRs وTDRs الحالية، والرسم البياني للأمان، والنتائج الحالية، وعلاقات الموارد، لإعطاء المراجعين صورة دقيقة عن عناصر التحكم الموجودة بالفعل، وما هي الفجوات التي قد يحدثها التغيير المقترح، وكيف يبدو نصف قطر الانفجار قبل كتابة سطر واحد من التعليمات البرمجية.
اختبار ضغط الأدوات: حلقة ضمان الجودة في ProdSec
وأخيرًا، لا يستخدم فريق ProdSec الناضج أدوات الأمان فحسب؛ يقوم فريق ProdSec باختبار الضغط عليهم بشكل نشط، وغالبًا ما يعمل كوظيفة داخلية لضمان الجودة لمجموعة الأمان الخاصة بـ Wiz. ومن خلال اختبار حواجز الحماية الأمنية بشكل صارم ومحاكاة الهجمات، يقومون بالبحث عن الحالات المتطورة التي قد تنكسر فيها عناصر التحكم أو يفشل تشغيلها.
ومن الأمثلة الملموسة على هذه الشراكة Red Agent، وهي ميزة محاكاة الهجوم المدعومة بالذكاء الاصطناعي من Wiz، حيث تعمل ProdSec مباشرة مع فريق المنتج لاختبار قدرات الكشف الخاصة بها والتحقق من صحتها وتحسينها مقابل البنية التحتية الخاصة بـ Wiz قبل الإصدار على نطاق أوسع. تساعد حلقة الملاحظات المستمرة هذه في تحديد النقاط العمياء في تغطية الاكتشاف، مما يسمح للفريق بتكرار عمليات نشر Wiz الخاصة بهم، وتحسين قواعدهم، والتأكد من أن الوضع الأمني السحابي للمؤسسة قوي بالفعل كما يبدو على الورق.
إن تأمين السحابة ليس عملية إعداد تتم لمرة واحدة؛ إنها ممارسة هندسية مستمرة. من خلال الاستفادة من Wiz في كل شيء بدءًا من فحص التعليمات البرمجية في المرحلة المبكرة وحتى اكتشاف التهديدات المخصصة في وقت التشغيل، قام فريق ProdSec التابع لـ Wiz ببناء برنامج أمان آلي قابل للتطوير ويتحرك بسرعة السحابة.
هل تريد معرفة المزيد حول إنشاء قواعد مخصصة وتأمين بيئاتك السحابية الأصلية؟
احصل على عرض Wiz
