ملاحظة المحرر: في موقعنا السابق مشاركة مدونة، أعلنا أن Wiz تعمل على توسيع قدراتها في تقييم المخاطر لتتجاوز البنية التحتية السحابية لتشمل الآن تحليل تكوين المضيف والتطبيق، دون الحاجة إلى وكيل. تتعمق هذه المدونة في تخصيص قواعد تكوين المضيف.
تعادل البنى التحتية الحديثة للتطبيقات واسعة النطاق احتمالات أكبر للتكوينات الخاطئة. تمتلك العديد من المؤسسات أيضًا مجموعات واسعة من التطبيقات وأنظمة التشغيل، ومتطلبات امتثال مختلفة عبر مؤسسات متعددة، وتتطلب فرق تشغيل متخصصة لإدارة كل ذلك. وبالتالي، يصبح من الصعب الإجابة على أسئلة بسيطة حول البنية التحتية الخاصة بك:
-
كيف يمكنني الاستعلام بسهولة عن جميع أصولي فيما يتعلق بالملفات والإعدادات؟
-
ما هي التطبيقات التي تم تكوينها على المضيفين، وهل هي متوافقة مع معايير المنظمة؟
-
هل عمليات النشر الخاصة بي متسقة أم أنها تطورت بمرور الوقت من خلال التدخل اليدوي؟
من الممكن التحقيق في هذه الأسئلة والإجابة عليها يدويًا، ولكنها تستغرق وقتًا طويلاً للغاية وتستهلك الكثير من الموارد لتحقيق نتائج جيدة على نطاق واسع. في بيئات التطوير أو النطاق الأصغر، قد يكون هذا كافيًا. ومع ذلك، في بيئات الإنتاج الأكبر حجمًا، لن يقوم أي فريق عمليات أمنية بتشغيل أوامر shell يدويًا على مئات من أعباء عمل الإنتاج.
هناك أيضًا الكثير من أدوات إدارة التكوين التقليدية المتاحة لمساعدتك في الإجابة على هذه الأسئلة بشكل جيد، ولكن غالبًا مع بعض التحذيرات:
-
يجب نشر الوكيل، وهو ما يمكن أن يتطلب موارد كثيفة ويتطلب تحديثات وإدارة
-
إذا لم يكن الوكيل مطلوبًا، فغالبًا ما تتطلب البدائل اتصالاً بالشبكة من خلال ssh و/أو winrm
-
وهي تتطلب استخدام حسابات المستخدمين/الخدمة المميزة، مما يزيد من خطر الاستيلاء على الحساب في حالة تعرض الوكلاء للخطر
-
يقتصر الأمر على تدقيق الخوادم التي يتم نشر الوكلاء عليها فقط، مما يترك فجوات في الرؤية
كما ترون، السوق يحتاج إلى حل أفضل.
كشف التكوينات الخاطئة وكشف الانجرافات
يقوم Wiz بشحن الآلاف من القواعد المحددة مسبقًا لتغطية الرؤية الواسعة لمشكلات التكوين القابلة للتدقيق والوفاء بمتطلبات الامتثال الخارجية. تتبع قواعد تكوين المضيف المخصص لـ Wiz نهجًا مختلفًا: السماح لمستخدمي Wiz بإنشاء منطق القاعدة المخصص الخاص بهم لتنفيذه أثناء عمليات فحص عبء العمل بدون وكيل.
من خلال السماح بإنشاء قواعد مخصصة، لا يحتاج المستخدمون إلى تشغيل أوامر يدوية على الأجهزة الافتراضية أو ملفات تكوين التطبيق لتحديد حالة التكوين. يتيح ذلك التغطية الكاملة عبر البنية السحابية دون الحاجة إلى نشر وكيل أو عربة جانبية لأعباء عمل الإنتاج الجارية. في أي حمل عمل جديد، يقوم Wiz بتقييم قواعدك المخصصة ويحدد تلقائيًا ما إذا كان التطبيق أو نظام التشغيل قد تم تكوينه بشكل خاطئ. بمرور الوقت، إذا تغيرت حالة التكوين بسبب تدخل المستخدم و/أو النية الخبيثة، فسيكون Wiz موجودًا لمراجعة التغييرات وتنبيهك عند حدوث انحراف في التكوين. ولزيادة الأمر، سيتمكن Wiz بعد ذلك من إنشاء نتائج مفيدة لفرق البنية التحتية والتطبيقات لمعالجة التكوين الخاطئ. يبدو الأمر رائعا، ولكن كيف يعمل؟
في Wiz، غالبًا ما نصف قواعد تكوين المضيف المخصصة على أنها تستخدم عدسة مكبرة مجازية للتحقق من محتوى عبء العمل لديك. الأجهزة الافتراضية عبارة عن صناديق سوداء قد تحتوي على تطبيقات ذات تكوينات خاطئة. تكشف القواعد المخصصة عن هذه التكوينات الخاطئة وتسمح لك بتكبير التكوين دون الحاجة إلى تحديد نطاق مورد محدد.
يوفر Wiz إمكانيات تشغيل حالات اختبار متعددة على مضيفيك، مثل تحليل محتوى الملف، وفحص معلومات DPKG، واختبار تكوين نظام التشغيل. إذا لزم الأمر، يمكن للمستخدمين أيضًا تشغيل اختبارات متعددة ضمن قاعدة واحدة. يسمح Wiz بتطبيق هذه المعايير عبر العديد من التطبيقات وأنظمة التشغيل المستضافة في وقت واحد، لذلك لا يضطر المستخدمون إلى نسخ كل قاعدة ولصقها لتناسب نظام تشغيل أو تطبيق واحد.
سنراجع مثالاً لتوضيح مدى سهولة إنشاء قاعدة تكوين مضيف مخصصة.
في مثالنا، دعونا نتحقق من عمليات تثبيت Nginx التي تم تعطيل التوجيه `merge_slashes` فيها. يمكن أن يؤدي ترك هذا الإعداد على “إيقاف” إلى ثغرة أمنية في اجتياز الدليل. هناك 3 خطوات رئيسية لإنشاء القاعدة:
1. اختيار النظام الأساسي المستهدف: يوفر Wiz خيار تحديد تطبيقات و/أو أنظمة تشغيل متعددة، تسمى الأنظمة الأساسية المستهدفة. الأنظمة التي تستخدم تلك التقنية المحددة ستكون لها القاعدة التي ستطبق ضدها وضدها فقط. في هذه الحالة، سنختار Nginx فقط، لكن يمكنه تطبيق ذلك على أنظمة التشغيل بأكملها أيضًا. سيضيف Wiz قريبًا أيضًا القدرة على استهداف جميع التقنيات المستضافة المكتشفة على الأجهزة الافتراضية أيضًا.
2. إنشاء تعريف القاعدة الخاصة بك: لكي يتم تقييم القاعدة، نحتاج إلى كتابة المنطق المخصص الخاص بنا. يستخدم Wiz مخطط OVAL مبسط يسمى لغة Direct OVAL لتعريف القاعدة. يتم تمثيل كل قاعدة باختبار مخطط OVAL رسمي وشروط بينهما لتحديد نتائج التقييم المتوقعة. في مثالنا، قمنا بتضمين معيار واحد وقمنا بتعيين الاختبار على `textfilecontent54_test`، وقمنا بتكوين `check=”all”` للتحقق من دليل الجهاز الظاهري بأكمله لملفنا. نحتاج بعد ذلك إلى تحديد الملف الذي نريد استجوابه، في هذه الحالة `/etc/nginx/nginx.conf`. وأخيرًا، نضيف النمط إلى الكائن الذي نقوم بتحليله. وهذا يعادل تنفيذ أمر shell `grep` على الملف، ولكن بدلاً من `grep`، نستخدم regex. هنا، نستخدم النمط `.*merge_slashes.*on;.*`
<definition xmlns="https://wiz.io/XMLSchema/direct-schema">
<criteria operator="and">
<criterion>
<textfilecontent54_test check_existence="at_least_one_exists" check="all" comment="Ensure at least one file named /etc/nginx/nginx.conf exists and matches pattern .*merge_slashes.*on;.*">
<textfilecontent54_object comment="Ensure at least one file named /etc/nginx/nginx.conf exists and matches pattern .*merge_slashes.*on;.*">
<filepath>/etc/nginx/nginx.conf</filepath>
<pattern operation="pattern match">.*merge_slashes.*on;.*</pattern>
<instance datatype="int">1</instance>
</textfilecontent54_object>
</textfilecontent54_test>
</criterion>
</criteria>
</definition> 3. تكوين البيانات التعريفية للقاعدة: لجعل القاعدة فريدة وقابلة للتعريف، نضيف اسم القاعدة مع وصف القاعدة الاختياري. كما نسمح أيضًا بتعيين درجة الخطورة بناءً على سياسات مؤسستك، والتي تتراوح من منخفضة إلى حرجة. وأخيرًا، نسمح للمستخدمين بربط القاعدة إما بأطر عمل الامتثال المضمنة أو أطر العمل المخصصة.
بعد التقييم، يمكننا أن نرى أنه يتم إنشاء النتائج لكل جهاز فشل في تطبيق القاعدة. يمكن رؤية كل تكوين مضيف في علامة التبويب “التكوين” لكل جهاز، حتى تتمكن من التعرف بسرعة على جميع مشكلات تكوين المضيف لأجهزتك أيضًا.
يساعد استخدام قواعد تكوين المضيف المخصص لـ Wiz في توفير الاكتشاف والرؤية المفقودة لمشكلات تكوين المضيف الهامة هذه. طالما أنك تعرف المعلمات المطلوبة، فإن كتابة القواعد المخصصة أمر سهل كما يبدو. إذا كنت جديدًا في كتابة القواعد البيضاوية، فلا تقلق؛ لدى Wiz العديد من الأدلة حول كيفية كتابة قواعد تكوين المضيف المخصصة. يمكنك معرفة المزيد في مستندات Wiz (يلزم تسجيل الدخول). اتصل بـ Wiz لمعرفة المزيد والحصول على عرض توضيحي حول كيفية توصيل بيئتك في غضون دقائق.
