قدّم أحد موردي الخدمات السحابية خدمات مُدارة إلى مؤسسة مالية، وتطلّب ذلك أن يحصل مهندسو الدعم لديه على صلاحيات إدارية في البيئة السحابية للمؤسسة من أجل الاستجابة للحوادث والصيانة. وقد جرى توفير هذا الوصول بصفته وصولًا دائمًا، إذ امتلك مهندسو الدعم بيانات اعتماد إدارية مستمرة صالحة على الدوام، مما مكّنهم من الاستجابة للمشكلات في أي وقت دون تأخير في التوفير. وكان فريق الأمن في المؤسسة المالية قد راجع هذا الترتيب وأشار إلى أن مهندسي الدعم يحتاجون إلى إتاحة على مدار 24/7. وعندما راجع مفتش رقابي في قطاع الخدمات المالية هذا الترتيب أثناء فحص للامتثال، طرح سؤالًا بسيطًا: كم ساعة شهريًا يستخدم مهندسو الدعم صلاحياتهم الإدارية فعليًا؟ فسألت المؤسسة المورّد. وكانت الإجابة نحو أربع ساعات شهريًا، هي مجموع نوافذ الصيانة الشهرية والاستجابة العرضية للحوادث. وأشار المفتش إلى أن بيانات الاعتماد الإدارية الدائمة كانت موجودة وصالحة لنحو سبعمئة وست عشرة ساعة شهريًا لم تكن تُستخدم خلالها. وكانت قابلة للاستغلال طوال تلك الساعات السبعمئة والست عشرة. وكان المبرر التجاري للوصول الإداري على مدار 24/7 هو الإتاحة للاستجابة للحوادث. أما التعرض الفعلي لبيانات الاعتماد فكان سبعمئة وست عشرة ساعة شهريًا من وصول غير مستخدم ومستمر وعالي الامتيازات.
ما هي مشكلة الوصول JIT مقابل الوصول الدائم حقًا؟
الوصول في الوقت المناسب هو نموذج للوصول المميز تُزوَّد فيه بيانات الاعتماد المرتفعة الصلاحيات عند الحاجة إليها لمهمة محددة وتُلغى تلقائيًا عند اكتمال المهمة أو انقضاء فترة زمنية محددة. أما الوصول الدائم فهو نموذج تبقى فيه بيانات الاعتماد المميزة قائمة إلى أجل غير مسمى، أي تظل صالحة باستمرار بصرف النظر عمّا إذا كانت الصلاحية مستخدمة حاليًا. ويوفر النموذجان القدرة الوظيفية ذاتها عندما تكون الصلاحية قيد الاستخدام، لكنهما يختلفان كليًا في ملف المخاطر خلال الفترات التي لا تكون فيها الصلاحية قيد الاستخدام.
يُنشئ الوصول المميز الدائم ما يسميه ممارسو الأمن «سطح الهجوم في حالة السكون»، أي بيانات اعتماد صالحة عالية الصلاحيات موجودة وقابلة للاستغلال في كل ساعة لا تُستخدم فيها، وهي في معظم الحالات الغالبية العظمى من الوقت. فمهندس الدعم الذي يستخدم وصوله الإداري أربع ساعات شهريًا يملك بيانات اعتماد إدارية دائمة قابلة للاستغلال سبعمئة وست عشرة ساعة شهريًا. ويمكن اختراق بيانات الاعتماد هذه عبر التصيد الاحتيالي أو حشو بيانات الاعتماد أو هجوم على سلسلة التوريد خلال أيٍّ من تلك الساعات السبعمئة والست عشرة، مما يمنح المهاجم وصولًا إداريًا يستطيع ممارسته فورًا دون أي إجراء إضافي.
يُلغي الوصول في الوقت المناسب سطح الهجوم في حالة السكون بحكم التصميم المعماري: فلا توجد بيانات اعتماد دائمة يمكن اختراقها لأن بيانات الاعتماد لا توجد حتى يُطلب الوصول. والمهاجم الذي يخترق نظام وصول JIT يحصل على وصول إلى آلية التزويد، لا إلى بيانات اعتماد إدارية صالحة. وتعقيد الهجوم على أنظمة الوصول JIT أعلى بكثير من اختراق بيانات الاعتماد الدائمة، إذ يجب على المهاجم اختراق مسار عمل التزويد، لا مخزن بيانات الاعتماد فحسب. ونافذة التعرض في الوصول JIT هي مدة الجلسة النشطة، أما نافذة التعرض في الوصول الدائم فغير محددة.
- بيانات اعتماد دائمة قابلة للاختراق خارج فترات الاستخدام: بيانات اعتماد إدارية صالحة قابلة للاستغلال طوال الساعات التي لا تُستخدم فيها
- قيمة سرقة بيانات الاعتماد: لبيانات الاعتماد الإدارية الدائمة قيمة استغلال فورية؛ أما بيانات اعتماد JIT فتتطلب اختراق سير عمل التوفير
- الحركة الجانبية انطلاقًا من بيانات الاعتماد الدائمة: يمكن استخدام صلاحيات المسؤول الدائمة في نظام واحد لترسيخ الوجود والانتقال إلى أنظمة أخرى
- بيانات الاعتماد الدائمة اليتيمة: صلاحيات مسؤول دائمة تستمر بعد انتهاء الحاجة التشغيلية، كما هو موثق في مقالة تضخم صلاحيات المسؤول
- تطور التوقعات التنظيمية: تتزايد توقعات الجهات التنظيمية بشأن الوصول المميز JIT أو المحدود زمنيًا بدلًا من الوصول الإداري الدائم
لماذا يهم هذا
تكتسب المقارنة بين JIT والوصول الدائم أهميتها في TPRM لأن ترتيبات دعم الموردين والخدمات المُدارة كثيرًا ما تنطوي على وصول دائم ذي امتيازات إلى بيئات العملاء، وهو وصول جرى توفيره لضمان الإتاحة ويمثل تعرضًا مستمرًا لبيانات الاعتماد طوال مدة العلاقة مع المورّد. إن ملاءمة الوصول الدائم للمورّد حقيقية: إذ يستطيع مهندسوه الاستجابة فورًا دون خطوات توفير. وتكلفة المخاطر حقيقية بالقدر نفسه: بيانات اعتماد إدارية صالحة لبيئة العميل موجودة في نظام إدارة بيانات الاعتماد لدى المورّد، باستمرار، طوال مدة العلاقة.
إن تضخيم هجمات سلسلة التوريد هو بُعد المخاطر المحدد الذي يجعل مسألة JIT مقابل الوصول الدائم مسألة TPRM لا مجرد مسألة أمنية داخلية. فعندما يُخترق مورّد، سواء عبر خرق لأنظمته أو هجوم تصيّد على موظفيه أو اختراق لأدواته عبر سلسلة التوريد، فإن وصول المهاجم إلى بيئات العملاء يتحدد ببيانات الاعتماد التي يحتفظ بها المورّد. والمورّد الذي يملك صلاحيات مسؤول دائمة في عشرات من بيئات العملاء هدف أعلى قيمة بكثير لهجمات سلسلة التوريد من مورّد يستخدم وصول JIT، لأن اختراقه يمنح وصولًا فوريًا إلى جميع البيئات التي يحتفظ ببيانات اعتماد دائمة لها.
بالنسبة إلى ممارسي TPRM، أصبحت مسألة JIT مقابل الوصول الدائم توقعًا رقابيًا متزايدًا، ولا سيما في قطاع الخدمات المالية. إذ يسأل المفتشون في المؤسسات الخاضعة لإشراف FFIEC عمّا إذا كان الوصول ذو الامتيازات الخاص بالموردين مطبقًا عبر آليات JIT، ويُنظر بشكل متزايد إلى ترتيبات الوصول الدائم على أنها ثغرات في الحوكمة تتطلب مبررًا محددًا بدلًا من أن تكون النهج الافتراضي.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو قبول متطلبات الإتاحة مبررًا للوصول الدائم دون تقييم ما إذا كان وصول JIT قادرًا على تلبية متطلبات الإتاحة نفسها. ففي معظم سيناريوهات الخدمات المُدارة ودعم الموردين، تستطيع أنظمة وصول JIT توفير صلاحيات المسؤول خلال دقيقتين إلى خمس دقائق، وهو ما يقع ضمن متطلبات زمن الاستجابة في جميع سيناريوهات الحوادث باستثناء أشدها حدة. ويستحق المبرر التجاري للوصول الدائم التدقيق نفسه الذي يخضع له المبرر التجاري لأي استثناء أمني آخر.
- قبول الإتاحة مبررًا تلقائيًا للوصول الدائم
- عدم تقييم بدائل JIT: وقت التوفير بنهج JIT مقابل متطلبات الاستجابة للحوادث
- عدم قياس التعرض الناتج عن الوصول الدائم: ساعات تعرض بيانات الاعتماد شهريًا بوصفها مقياسًا للمخاطر
- لا حد زمنيًا للوصول الدائم: بيانات اعتماد دائمة موفَّرة دون مدة أو تاريخ انتهاء محدد
- التعامل مع الوصول الدائم في الخدمات المُدارة على أنه أمر معتاد: عُرف سائد في القطاع لا مسألة حوكمة
كيف تبدو الممارسة الجيدة
توفر برامج وصول JIT الناضجة الوصول ذا الامتيازات عبر سير عمل آلي للتوفير يتطلب حدًا أدنى من التدخل البشري، بما يتيح توفير الوصول خلال دقائق للاحتياجات المشروعة مع إزالة التعرض الناتج عن بيانات الاعتماد الدائمة. ويمكن لمنصات PAM ذات قدرات JIT توفير الوصول الطارئ في أقل من ستين ثانية عبر سير عمل كسر الزجاج.
- وصول JIT هو الافتراضي لكل وصول ذي امتيازات للموردين، والوصول الدائم يتطلب مبررًا موثقًا للاستثناء
- سير عمل آلي للتوفير: طلبات وصول تُعتمد وتُوفَّر في أقل من خمس دقائق للاحتياجات التشغيلية المعتادة
- إجراءات كسر الزجاج للوصول الطارئ: وصول فوري متاح عبر سير عمل مُعجَّل لحالات الطوارئ الحقيقية
- حدود زمنية للجلسات: جلسات JIT موفَّرة بمدة قصوى، وتُلغى تلقائيًا عند انقضائها
- مراقبة استخدام الوصول: تسجيل جلسات وصول JIT مع مدتها والإجراءات المنفذة
الأدوات
PAM مع JIT: CyberArk وBeyondTrust وDelinea
يوفر Dynamic Privileged Access من CyberArk وصولًا إداريًا بنهج JIT عبر سير عمل آلي للموافقة: يُطلب الوصول ويُعتمد وفق السياسة ويُوفَّر ثم يُلغى تلقائيًا عند انتهاء الجلسة أو انقضاء المدة. ويوفر Privileged Remote Access من BeyondTrust وصولًا آمنًا عن بُعد للموردين مع توفير الجلسات بنهج JIT وتسجيل الجلسات والتدوير التلقائي لبيانات الاعتماد. ويتيح سؤال ممارسي TPRM عمّا إذا كان وصول المورّد إلى بيئة العميل يستخدم منصة PAM مع توفير JIT السؤالَ الأكثر مباشرة عن نموذج الوصول.
الوصول عن بُعد وفق انعدام الثقة: Cloudflare Access وZscaler Private Access
توفر منصات الوصول القائمة على انعدام الثقة للموردين وصولًا عن بُعد عبر أنفاق خاصة بكل تطبيق ومُتحقَّق فيها من الهوية، بدلًا من الوصول الواسع إلى الشبكة، وهي تشبه وظيفيًا وصول JIT من حيث إن الوصول يُمنح لكل جلسة عبر محرك سياسات بدلًا من بيانات اعتماد VPN مستمرة. ويتيح سؤال ممارسي TPRM عمّا إذا كان وصول المورّد عن بُعد يستخدم ضوابط وصول قائمة على انعدام الثقة أو بيانات اعتماد VPN مستمرة سؤالًا محددًا للتمييز بين نماذج الوصول.
تحديات الحوكمة
يتمثل تحدي الحوكمة في مسألة JIT مقابل الوصول الدائم في الانتقال التشغيلي من نموذج وصول دائم يعمل بموثوقية إلى نموذج JIT يتطلب استثمارًا في البنية التحتية وتغييرات في العمليات التشغيلية. فالمؤسسات التي اعتمدت الوصول الدائم في علاقاتها مع الموردين قد تكون لديها عمليات هندسية وأدوات مراقبة وسير عمل للاستجابة تفترض إتاحة بيانات الاعتماد الدائمة. ويتطلب الانتقال إلى JIT تحديث سير العمل هذا، وربما الاستثمار في بنية تحتية لـPAM لم تكن موجودة من قبل.
- قِس التعرض الناتج عن الوصول الدائم: ساعات صلاحية بيانات الاعتماد مقابل ساعات الاستخدام الفعلي
- قيّم بدائل JIT لكل وصول دائم للموردين: وقت التوفير مقابل متطلب الإتاحة
- اشترط JIT لوصول الموردين الأعلى خطورة: صلاحيات المسؤول في بيئة الإنتاج، والوصول إلى البيانات المالية، وإدارة البنية التحتية
- وثّق استثناءات الوصول الدائم: مبرر الوصول الدائم حيث لا يكون JIT ممكنًا
- أدرج قدرات JIT في التقييمات الأمنية للموردين، ولا سيما موردي الخدمات المُدارة والبنية التحتية
إذا كنت فريقًا صغيرًا
احسب نسبة تعرض بيانات الاعتماد الدائمة لعلاقات وصول الموردين الأعلى خطورة لديك: إجمالي الساعات الشهرية التي تكون فيها بيانات الاعتماد صالحة مقسومًا على الساعات الشهرية التي تُستخدم فيها فعليًا. فبالنسبة إلى بيانات اعتماد تُستخدم أربع ساعات شهريًا وصلاحيتها دائمة، تبلغ نسبة التعرض 180:1، أي أن بيانات الاعتماد قابلة للاستغلال لمدة أطول بـ180 مرة من مدة استخدامها. وتوفر هذه النسبة، عند حسابها لكل علاقة وصول دائم مع مورّد، مقياسًا بديهيًا للمخاطر يجعل المفاضلة بين JIT والوصول الدائم ملموسة. ثم اسأل عمّا إذا كانت بدائل JIT قادرة على تلبية متطلب الإتاحة لكل علاقة ذات نسبة تعرض غير مقبولة.
- احسب نسبة تعرض بيانات الاعتماد الدائمة لكل علاقة وصول مع مورّد
- حدد العلاقات التي يمكن فيها لـJIT تلبية متطلبات الإتاحة
- اشترط JIT لصلاحيات المسؤول في بيئة الإنتاج معيارًا أمنيًا للموردين
- وثّق مبررات استثناءات الوصول الدائم للعلاقات التي يتعذر فيها JIT فعلًا
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل تستخدمون توفير الوصول في الوقت المناسب لصلاحياتكم الإدارية في بيئتنا، أم تحتفظون ببيانات اعتماد إدارية دائمة صالحة باستمرار بصرف النظر عن استخدامكم الفعلي لها؟»
«بالنسبة إلى صلاحيات المسؤول الدائمة التي تملكونها في بيئتنا، كم ساعة شهريًا تُستخدم بيانات الاعتماد هذه فعليًا؟ وهل قيّمتم وصول JIT بديلًا من شأنه إزالة التعرض الناتج عن بيانات الاعتماد الدائمة؟»
ما تتوقعه دليلًا
- تأكيد وصول JIT أو توثيق مبرر الوصول الدائم
- مقاييس استخدام الوصول: الساعات المستخدمة مقابل ساعات صلاحية بيانات الاعتماد
- تأكيد منصة PAM لتوفير JIT
- توثيق إجراءات كسر الزجاج للوصول الطارئ
المورّد الذي يجيب عن سؤال الوصول الدائم بعبارة «نحتاج إلى إتاحة على مدار 24/7 للاستجابة للحوادث» قد قدّم متطلب الإتاحة. فاسأله تحديدًا عن عدد الساعات الشهرية التي يُستخدم فيها هذا الوصول فعليًا، وعمّا إذا كانت عملية توفير بنهج JIT بزمن موافقة قدره خمس دقائق ستلبي متطلب الاستجابة للحوادث. متطلب الإتاحة هو حالة الاستخدام، وJIT هو سؤال المعمارية، ويمكن الفصل بينهما.
كيف تُثبت ذلك
- سجلات تقييم JIT مقابل الوصول الدائم لعلاقات الوصول ذي الامتيازات مع الموردين
- توثيق مبررات استثناءات الوصول الدائم
- تأكيد منصة PAM أو آلية JIT للوصول ذي الامتيازات الخاص بالموردين
- مقاييس استخدام الوصول مقابل صلاحية بيانات الاعتماد
الخلاصة الرئيسية
الوصول الدائم ذو الامتيازات خطر قائم باستمرار. أما الوصول في الوقت المناسب فخطر لا يوجد إلا عند استخدام الامتياز. والفرق بين أربع ساعات شهرية من الوصول الإداري وسبعمئة وست عشرة ساعة من صلاحية بيانات الاعتماد الإدارية الدائمة هو سبعمئة واثنتا عشرة ساعة من سطح الهجوم الخامل، أي تعرض لبيانات الاعتماد دون أي قيمة تشغيلية مقابلة. لا يقلل JIT من إتاحة الوصول، بل يقلل من إتاحة بيانات الاعتماد حين لا يكون الوصول مستخدمًا. وفي معظم سيناريوهات دعم الموردين والخدمات المُدارة، لا أهمية تشغيلية لوقت توفير وصول JIT، بينما يكون خفض المخاطر كبيرًا. ومتطلب الإتاحة مشروع، لكنه لا يتطلب بيانات اعتماد مستمرة، بل يتطلب الوصول عند الحاجة. وJIT يوفر الوصول عند الحاجة، أما الوصول الدائم فيوفر بيانات اعتماد طوال الوقت. اسأل المورّد أيهما يستخدم.