في هذه التدوينة الأولى ضمن سلسلة تغطي الحركة الجانبية في السحابة، سنقدم الحركة الجانبية من حيث صلتها بطبقة شبكة السحابة، السحابة الخاصة الافتراضية (VPC). سنناقش تكتيكات المهاجمين وتقنياتهم وإجراءاتهم (TTPs)، وسنحدد أفضل الممارسات لممارسي الأمن ومنشئي السحابة للمساعدة في تأمين البيئة السحابية الخاصة بهم وتقليل مخاطر الحركة الجانبية في VPC وبين VPCs. يعد هذا أمرًا مهمًا بشكل خاص نظرًا لأن 58% من البيئات السحابية تحتوي على عبء عمل واحد مكشوف على الأقل مع مفتاح سحابي طويل المدى بنص واضح مخزّن فيه.
الحركة الجانبية هي تكتيك يستخدمه الخصوم لتوسيع نطاق الوصول إلى شبكتهم من أجل التحرك عبر البيئة وتحقيق أهدافهم (على سبيل المثال، استخراج البيانات الحساسة والسيطرة على أعباء العمل).
لسنوات، تم استخدام الحركة الجانبية لاستهداف الشبكات المحلية استنادًا إلى بروتوكولات وخدمات الشبكة مثل Active Directory وSMB وNTLM. من دودة Stuxnet التي انتشرت عبر مشاركات الشبكة، إلى مجموعات التهديد المتقدمة مثل APT1 وAPT29 التي تقوم بتمرير التجزئة وتمرير التذكرة، شاركت الحركة الجانبية في العديد من الهجمات الكبرى.
في بيئة سحابية، عندما يحصل المهاجمون على وصول مبدئي ويعرضون عبء عمل للخطر، يمكنهم إساءة استخدام أذونات IAM أو “الانتقال” من حمل عمل إلى آخر داخل السحابة الخاصة الافتراضية (VPC) باستخدام تطبيقات محلية معروفة تقنيات الحركة الجانبية. هدفهم هو الوصول إلى أصول ذات قيمة عالية يمكنها توفير حركة جانبية إضافية والوصول إلى الموارد والهويات السحابية الأخرى (على سبيل المثال، موارد جوهرة التاج ذات البيانات الحساسة أو هويات المسؤول)، إما داخل VPC نفسها أو خارجها.
قبل الغوص في تقنيات الحركة الجانبية المختلفة في طبقة الشبكة السحابية، دعنا نتعرف أولاً على بعض الاختلافات المهمة بين البيئات المحلية والبيئات السحابية:
إدارة الهوية والوصول (IAM)
على الرغم من أن العديد من تقنيات الحركة الجانبية قابلة للتطبيق على كل من الشبكات المحلية والسحابية، إلا أن IAM يعد بمثابة تمييز مهم في السحابة: حيث تحكم IAM عناصر التحكم في الوصول وتسمح للهويات بتنفيذ إجراءات معينة على موارد محددة. قد يتمكن المهاجم الذي قام باختراق إحدى هذه الهويات من انتحال شخصيتها وتنفيذ الإجراءات – اعتمادًا على أذوناته الفعالة – والانتقال أفقيًا إلى موارد سحابية مختلفة في الحساب عبر أوامر API لموفر السحابة.
عمليات النشر والتكوينات
على عكس ما هو محلي، والذي يتطلب معرفة واسعة بالشبكات ويستلزم قيودًا على الأجهزة وعمليات شراء بطيئة، فإن نشر وتكوين VPCs وموارد الشبكة (مثل بوابات الإنترنت وموازنات التحميل وقوائم ACL) في السحابة يعد أمرًا بسيطًا ومباشرًا. ومع ذلك، فإن سرعة التنفيذ هذه تزيد من خطر تكوينات الشبكة الخاطئة القابلة للاستغلال وتسوية الموارد.
الرؤية وإدارة المخاطر
تجعل البنية المعقدة للسحابة من الصعب تتبع آلاف الموارد وتأمينها، ناهيك عن تعيين الاتصالات بينها، وقياس الأذونات الفعالة، وتحليل التهديدات الهامة للمؤسسات وتحديد أولوياتها. ومن أجل معالجة هذه المشكلة، يدعم جميع مقدمي خدمات الاتصالات الرئيسيين واجهات برمجة التطبيقات المخصصة التي توفر رؤية للموارد المنشورة في البيئات السحابية. على الرغم من أنها مفيدة لمسؤولي السحابة، إلا أنه يمكن إساءة استخدام هذه الإمكانات من قبل جهات فاعلة ضارة لتحديد أنواع الموارد التي تعمل في حساب مخترق والتي تنطوي على إمكانات جوهرية.
يستفيد الخصوم في السحابة من العديد من التقنيات والوظائف لتنفيذ هجمات الحركة الجانبية. وتشمل هذه الخدمات عن بعد، والفيروسات المتنقلة، والحسابات الصالحة، ونظيرات VPC، وقواعد بيانات IaaS/PaaS، ونقاط الضعف، والتكوينات الخاطئة.
الوصول إلى المضيفين عبر الخدمات عن بعد – يمكن للجهات الفاعلة الضارة في VPC استخدام المفاتيح الخاصة أو بيانات الاعتماد الخاصة بالنص الواضح المخزنة في الأجهزة الافتراضية المخترقة للانتقال أفقيًا إلى الأجهزة التي تقبل اتصالات عن بعد مثل SSH وRDP. يمكنهم أيضًا البحث عن نقاط الضعف القابلة للاستغلال الخدمات عن بعد مرة واحدة داخل VPC.
الديدان النباتية – غالبًا ما يستخدم الخصوم الفيروسات المتنقلة لإصابة أعباء العمل ثم البحث عن أعباء العمل الأخرى في VPC التي تحتوي على ثغرات أمنية قابلة للاستغلال وتكوينات أمنية خاطئة. على سبيل المثال، يعد جهاز Linux الذي يتمتع بقواعد مجموعة أمان غير مقيدة وطرق مصادقة ضعيفة هدفًا سهلاً حيث يمكن للفيروس المتنقل فحصه وكسر كلمة مرور المستخدم المحلي من خلال القوة الغاشمة. التوضيح الجيد هو دريم باص الروبوتات.
انتحال حسابات صالحة – يمكن للخصوم إساءة استخدام المفاتيح السحابية ذات النص الواضح الحسابات الموجودةوباستخدام الأذونات الصحيحة، يمكنك انتحال هوية IAM لتسوية الموارد السحابية الأخرى من خلال طبقة IAM. يمكن أن يحدث هذا خارج VPC الأصلي (مثل مجموعات S3) عبر أوامر API لموفر السحابة. يمكن أن تؤدي هوية المسؤول المخترقة – أو تلك التي يمكن أن تتصاعد إلى مثل هذه الامتيازات – إلى الاستيلاء الكامل على الحساب.
التنقل عبر نظير VPC – مثل VPN من موقع إلى موقع، تتيح تقنية VPC Peering الاتصال بين بيئتين معزولتين. وهو مدعوم من قبل جميع مقدمي خدمات الاتصالات الرئيسيين (أوس, أزور, Google Cloud Platform). إذا دخل أحد المهاجمين إلى VPC متقارب مع آخر يمنحه وصولاً غير مقيد إلى الشبكة، فيمكن للمهاجم “الهروب” من الشبكة الأولى، والانتقال أفقيًا إلى أعباء العمل الأخرى في الثانية، ومن المحتمل أن يعرض الموارد للخطر عبر الاشتراكات أو حتى المستأجرين.
اكتشف قواعد بيانات IaaS/PaaS – يمكن للمفاتيح الخاصة وبيانات الاعتماد الخاصة بنص واضح أن تمنح الخصوم إمكانية الوصول إلى قواعد بيانات IaaS أو PaaS (مثل مثيلات RDS) الموجودة في VPC مخترقة، بغض النظر عن تعرضهم للعامة. قد تكون هذه الأنواع من قواعد البيانات بمثابة جواهر التاج وتحتوي على بيانات حساسة للغاية مثل بيانات الاعتماد أو معلومات تحديد الهوية الشخصية للعميل.
استغلال نقاط الضعف والتكوينات الخاطئة – عند البحث عن الأصول القيمة الحاسمة للحركة الجانبية، يبحث الخصوم عادةً عن “الفاكهة القريبة” الموجودة في VPCs المعرضة للخطر. الأهداف المثالية هي أعباء العمل القابلة للاستغلال والتي تحتوي على ثغرات أمنية وتكوينات أمنية خاطئة، مثل الأجهزة الافتراضية الداخلية التي يمكن الوصول إليها عبر الشبكة والتي تحتوي على ثغرات أمنية حرجة في RCE ولا توجد قواعد صارمة لمجموعة الأمان.
بحثت Wiz Research في عدد البيئات السحابية التي تمتلك مسار حركة جانبيًا واحدًا على الأقل يتضمن عبء عمل مكشوفًا بشكل عام داخل VPC يحتوي إما على مفتاح SSH خاص بنص واضح أو مفتاح سحابي طويل المدى بنص واضح (على سبيل المثال، مفتاح وصول AWS).
تظهر النتائج التي توصلنا إليها أن ما يقرب من 58% من البيئات السحابية لديها عبء عمل واحد مكشوف على الأقل مع مفتاح سحابي طويل الأجل بنص واضح مخزّن فيه، في حين أن حوالي 35% من البيئات السحابية تتميز بعبء عمل واحد مكشوف على الأقل مع مفتاح SSH خاص بنص واضح.
في كلتا الحالتين، يتيح هذا التسوية للأعداء تصعيد امتيازاتهم داخل البيئة المعنية أو الاتصال بأعباء العمل الأخرى في VPC.
وكما هو واضح، تعكس هذه الأرقام عدم وجود دفاعات كافية ضد هجمات الحركة الجانبية في البيئات السحابية للعديد من المؤسسات.
فيما يلي 5 أفضل ممارسات الشبكة الرئيسية التي يجب على أي مؤسسة تنفيذها في بيئتها السحابية للتخفيف من مخاطر هجوم الحركة الجانبية:
1. تنفيذ جدران الحماية الصارمة (مجموعات الأمان وقوائم التحكم في الوصول)
بينما تعمل مجموعات الأمان كجدران حماية لحركة المرور الواردة/الصادرة من/إلى مثيلات VM داخل VPC، تعمل قوائم ACL كجدران حماية على مستوى الشبكة الفرعية. أفضل سياسة لجميع مجموعات الأمان وقوائم ACL هي تطبيق مبدأ “الامتياز الأقل” على جميع القواعد: يؤدي تقييد الوصول إلى عناوين IP محددة إلى تقليل سطح الهجوم في حالة تعرض عبء العمل للخطر. على سبيل المثال، يمكن لمجموعة أمان تم تكوينها بشكل صارم أن تمنع مهاجمًا من الانتقال أفقيًا إلى جهاز افتراضي غير مكشوف به ثغرة أمنية RCE على منفذ معين عن طريق حظر الاتصال بالشبكة.
2. إزالة سحابة النص الواضح والمفاتيح الخاصة
لا ينبغي تخزين مفاتيح السحابة Cleartext طويلة المدى داخل أحمال العمل السحابية لديك. تمكن المفاتيح المخترقة الخصوم من “الهروب” من طبقة الشبكة والتحرك أفقيًا بين الخدمات السحابية والموارد، وبالتالي الحفاظ على الثبات. بدلاً من ذلك، تأكد من إرفاق الأدوار ذات الأذونات الأقل امتيازًا فقط بمثيلات EC2 (أدوار RBAC الصارمة في Azure). تقوم هذه الأدوار بإنشاء بيانات اعتماد مؤقتة تلقائيًا، مما يزيل مخاطر التعرض للمفاتيح على المدى الطويل واحتمال استمرارها في بيئتك.
أما بالنسبة لمفاتيح SSH الخاصة، فيمكن للمؤسسات اعتماد أساليب أكثر أمانًا للمصادقة عن بعد على الأجهزة الداخلية. على سبيل المثال، يمكنهم استخدام مضيفي Bastion لمنع التعرض للمنافذ، أو الاستفادة من خدمات موفر السحابة المخصصة بناءً على أذونات IAM مثل أذونات AWS واجهة برمجة تطبيقات SSM أو برنامج Google Cloud Platform وكيل مدرك للهوية (IAP). في حالة أجهزة Linux، ستكون هذه الخدمات المخصصة خيارات أكثر أمانًا من مصادقة كلمة المرور.
3. معالجة نقاط الضعف الحرجة
بمجرد نجاح الخصوم في اختراق عبء العمل في VPC، سيبدأون في البحث عن أعباء العمل الأخرى الموجودة فيه والتي تحتوي على ثغرات أمنية خطيرة وقابلة للاستغلال. ولذلك، يجب معالجة أي ثغرات أمنية حرجة في أي عبء عمل في VPCs الخاصة بك، سواء المكشوفة على الإنترنت أو غير المكشوفة، على الفور.
4. عزل بيئتك
يؤدي تقسيم بيئتك إلى VPCs مختلفة بناءً على وظائفها (مثل الإنتاج) أو المجموعة (مثل المالية) إلى تقوية وضع الأمان لديك. إنه يقلل من سطح الهجوم الخاص بك ويخفف من مخاطر الحركة الجانبية من خلال تعزيز الرؤية لمواردك وتقليل نصف قطر الانفجار في حالة حدوث خرق أمني.
5. اعتماد رابط خاص
على عكس نظير VPC، الذي يوفر وصولاً واسع النطاق ثنائي الاتجاه عبر اثنين من VPCs مختلفين، فإن الارتباط الخاص هو آلية أكثر تقييدًا وأحادية الاتجاه. يسمح الرابط الخاص للمورد بكشف خدمة نقطة النهاية لأي اشتراك مختار من أجل توصيل VPCs مباشرة. يتم تقديمه من قبل جميع مقدمي خدمات الاتصالات الرئيسيين (AWS رابط خاص، جي سي بي اتصال الخدمة الخاصة، أزور رابط خاص).
يعد تطوير فهم راسخ لهجمات TTP المختلفة أمرًا بالغ الأهمية لأي شخص يعمل في مجال الأمن السيبراني. في هذا المنشور الأول للمدونة، قدمنا مفهوم الحركة الجانبية في البيئات السحابية، مع التركيز بشكل أساسي على طبقة شبكة VPC. لقد عرضنا الاختلافات الرئيسية بين البيئات المحلية والبيئات السحابية، وحددنا تقنيات الحركة الجانبية النموذجية في VPC، وأبرزنا 5 من أفضل ممارسات الشبكة لتقليل سطح الهجوم الخاص بها. علاوة على ذلك، شاركنا نتائج أبحاث فريقنا.
في المقالة التالية من هذه السلسلة، سنفحص الحركة الجانبية من مجموعات Kubernetes إلى السحابة. سنشرح بعض تقنيات TTP للمهاجمين الشائعة، وندرج أفضل الممارسات الرئيسية لتعزيز بيئات المؤسسات وتقليل نطاق الانفجار للانتهاكات المحتملة.
تمت كتابة منشور المدونة هذا بواسطة Wiz Research، كجزء من مهمتنا المستمرة لتحليل التهديدات التي تواجه السحابة، وبناء آليات تمنعها وتكتشفها، وتقوية استراتيجيات أمان السحابة.
