لقد سهلت أدوات CSPM (إدارة الوضع الأمني السحابي) على الشركات تقليل المخاطر في السحابة. أحد العناصر الرئيسية لذلك هو وضع السياسات الصحيحة لحماية المؤسسات فيما يتعلق بالبنية التحتية والتطبيقات السحابية الخاصة بها. غالبًا ما يتم التغاضي عن كيفية إنشاء هذه السياسات وما الذي يدخل في تخصيصها. نحن نستخدم Rego، اللغة التي يستخدمها OPA (Open Policy Agent)، لكتابة هذه السياسات لأن Rego سهلة الاستخدام وقابلة للتطوير بشكل كبير. لفهم Rego بشكل كامل، دعونا نتعرف على بعض الأساسيات.
ما هو OPA ولماذا يجب عليك استخدام Rego
Rego هي لغة سياسة تدعم Open Policy Agent (OPA) وتُستخدم لكتابة السياسات عبر مجموعة السحابة. في جوهرها، تقوم Rego بفحص البيانات وتحويلها، مما يسمح لـ OPA باتخاذ قرارات السياسة. تم تصميم Rego، الذي أنشأته Styra، للحصول على الترخيص، وتم تصميمه لمساعدة المستخدمين على التعبير عن السياسة كرمز.
في Styra، نعمل على تمكين المؤسسات من بناء سياسة ترخيص سهلة القراءة والكتابة بسهولة أكبر. يعد استخدام Wiz لـ Rego لتكوين فحوصات CSPM على الموارد السحابية مثالًا بارزًا على كيفية تمكين فرق DevOps والأمان والامتثال لإضفاء الطابع الديمقراطي على السياسة وحماية بيئاتهم السحابية.
أندرس إيكنرت، محامي المطورين، Styra
في Wiz، نزود العملاء بآلاف السياسات المضمنة لحمايتهم من المخاطر الأمنية السحابية المحتملة. يمكن للعملاء الذين يفضلون كتابة سياساتهم الخاصة الاستفادة من Rego لضبط Wiz بما يتناسب مع احتياجاتهم.
كيفية كتابة سياسة OPA الأولى الخاصة بك
على سبيل المثال، تتحقق السياسة الموضحة أدناه للتأكد من أن نطاقات IP لمجموعة أمان AWS تقيد حركة المرور الصادرة إلى الإنترنت العام. لفهم سياسة OPA بشكل كامل، دعونا نتناول كل سطر خطوة بخطوة.
-
السطر 1: تحتوي كل سياسة من سياسات Rego على اسم حزمة يحدد نطاق تلك السياسة.
-
السطر 3: قم باستيراد حزمة Future.keyworks إلى نطاق هذه السياسة حتى يمكن الرجوع إليها.
-
السطر 5: تحديد النتيجة الافتراضية كمرور.
-
السطر 7: عناوين IP هي متغير يمثل كافة نطاقات IP على الإنترنت.
-
السطر 9: ستفشل النتيجة إذا كان الشرط الموجود داخل القوس صحيحًا.
-
الأسطر 10-11: Input.IpPermissionsEgress[permission] يقوم بتشغيل حلقة لكل قاعدة خروج. وبعد ذلك نقوم باستدعاء الدالة unrestrictedDestinationIPs لكل قاعدة من قواعد الخروج تلك.
-
الأسطر 14-18: تقوم الدالة unrestrictedDestinationIPs بإرجاع قيمة منطقية “صحيحة” إذا كانت قاعدة الخروج تسمح بجميع نطاقات IP للإنترنت.
لمساعدتك على البدء، قمنا بتطوير دليل Rego لمساعدتك في كتابة السياسات التي تلبي احتياجات عملك. يمكنك أيضًا زيارة أكاديمية Styra والحصول على دورة تدريبية تغطي الموضوع أو زيارة Rego Playground لتجربة Rego في بيئة معملية عملية.
