قد لا يحتاج المهاجم إلى اختراق الخادم.. يكفي أن يسرق هوية المستخدم!

أصبحت مراقبة البيئات السحابية والهويات الرقمية من المهارات الضرورية لمحلل SOC، خصوصًا مع اعتماد المؤسسات على خدمات الحوسبة السحابية وإدارة الحسابات والوصول إلى التطبيقات من مواقع وأجهزة مختلفة. من أهم الجوانب التي يجب تعلمها مراقبة الأنشطة داخل خدمات AWS وMicrosoft Azure، وفهم كيفية تسجيل عمليات الدخول والتغييرات الإدارية واستخدام الصلاحيات. في بيئة AWS، تُعتبر CloudTrail من الخدمات المهمة لتسجيل الأنشطة التي تحدث داخل الحساب، مثل استدعاءات واجهات البرمجة والعمليات الإدارية ومحاولات تسجيل الدخول. أما في بيئة Microsoft، فيجب التعرف على سجلات Microsoft Entra ID وسجلات Azure Monitor، التي تساعد على تحليل عمليات تسجيل الدخول والتغييرات التي تحدث داخل بيئة المؤسسة. ومن المهارات الأساسية أيضًا فهم Active Directory، وكيفية إدارة المستخدمين والمجموعات والصلاحيات، والتعرف على الهجمات التي تستهدف الحسابات مثل سرقة بيانات الدخول وإساءة استخدام الصلاحيات. كما يجب فهم المفاهيم التالية: - IAM: إدارة الهويات والصلاحيات وتحديد من يستطيع الوصول إلى الموارد. - MFA: المصادقة متعددة العوامل التي تضيف طبقة حماية إضافية للحسابات. - Impossible Travel: تنبيه يشير إلى تسجيل دخول من موقعين جغرافيين متباعدين خلال فترة زمنية يصعب معها الانتقال بينهما، ويحتاج إلى التحقق من السياق. مثال عملي: إذا سجل مستخدم الدخول من دولة، ثم ظهرت محاولة دخول أخرى من منطقة بعيدة بعد دقائق، يجب مراجعة عناوين IP والأجهزة وسجلات المصادقة، والتحقق من استخدام VPN أو أي ظروف قد تفسر النشاط قبل اعتباره اختراقًا. نصيحة: تدرب على قراءة سجلات الدخول السحابية، وراجع تغييرات الصلاحيات والأنشطة الإدارية غير المعتادة، لأن اختراق الهوية قد يمنح المهاجم وصولًا واسعًا دون الحاجة إلى استغلال ثغرة تقليدية. المصادر: AWS CloudTrail: docs.aws.amazon.com Microsoft Entra Monitoring: learn.microsoft.com Microsoft Azure Monitor: learn.microsoft.com