أدوات تقييم أمان السحابة

التقييم الفعال لأمان السحابة يتطلب أدوات متخصصة لتدقيق التكوين وفحص الثغرات والاختبار الهجومي. فهم متى تستخدم كل أداة يزيد من تغطية وكفاءة التقييم.

أدوات تقييم التكوين

Prowler - تقييم أمان AWS

Prowler هي الأداة مفتوحة المصدر القياسية في الصناعة لتدقيق أمان AWS:

# تثبيت Prowler
pip install prowler

# تشغيل تقييم كامل
prowler aws

# تشغيل فحوصات محددة
prowler aws --checks iam_user_mfa_enabled_console_access s3_bucket_public_access

# تشغيل بإطار امتثال
prowler aws --compliance cis_3.0_aws

# تنسيقات الإخراج
prowler aws -M json-ocsf -F prowler-results
prowler aws -M html -F prowler-report

# فحص خدمات محددة
prowler aws --services iam s3 ec2

فئات الفحص الرئيسية:

• IAM: سياسات المستخدم/الدور، MFA، مفاتيح الوصول
• S3: الوصول العام، التشفير، التسجيل
• EC2: مجموعات الأمان، IMDSv2، تشفير EBS
• CloudTrail: تفعيل التسجيل، التحقق من السلامة
• VPC: سجلات التدفق، مجموعات الأمان الافتراضية

ScoutSuite - تقييم متعدد السحابات

# تثبيت ScoutSuite
pip install scoutsuite

# تقييم AWS
scout aws

# تقييم Azure
scout azure --cli

# تقييم GCP
scout gcp --user-account

# توليد تقرير HTML
scout aws --report-dir ./scout-report

نتائج ScoutSuite:

• خطر (أحمر): مشاكل أمنية حرجة
• تحذير (برتقالي): انتهاكات أفضل الممارسات
• جيد (أخضر): مكون بشكل صحيح

CloudSploit - المراقبة المستمرة

# استنساخ المستودع
git clone https://github.com/aquasecurity/cloudsploit.git
cd cloudsploit

# تثبيت التبعيات
npm install

# تشغيل فحص AWS
./index.js --cloud aws --config ./config.js

# تشغيل مع تعيين الامتثال
./index.js --cloud aws --compliance cis

أدوات الأمان الهجومي

Pacu - إطار استغلال AWS

# تثبيت Pacu
pip install pacu

# بدء Pacu
pacu

# إنشاء جلسة جديدة
Pacu > new_session pentester

# تكوين مفاتيح AWS
Pacu > set_keys

# تشغيل التعداد
Pacu > run iam__enum_users_roles_policies_groups
Pacu > run iam__enum_permissions
Pacu > run lambda__enum

# فحص تصعيد الصلاحيات
Pacu > run iam__privesc_scan

# تسريب البيانات
Pacu > run s3__download_bucket

وحدات Pacu الرئيسية:

الوحدة	الغرض
iam__enum_permissions	رسم الصلاحيات الحالية
iam__privesc_scan	البحث عن مسارات التصعيد
ec2__enum	تعداد EC2 instances
lambda__enum	قائمة دوال Lambda
s3__bucket_finder	اكتشاف S3 buckets

CloudGoat - بيئة مختبر ضعيفة

# تثبيت CloudGoat
pip install cloudgoat

# تكوين بيانات اعتماد AWS
cloudgoat config profile

# نشر سيناريو ضعيف
cloudgoat create iam_privesc_by_rollback
cloudgoat create ec2_ssrf

# ممارسة سيناريوهات الاستغلال
# كل سيناريو يعلم مسارات هجوم سحابية محددة

# التنظيف
cloudgoat destroy iam_privesc_by_rollback

سيناريوهات CloudGoat:

• iam_privesc_by_rollback: استرجاع إصدار السياسة
• ec2_ssrf: SSRF لخدمة metadata
• lambda_privesc: إساءة دور Lambda
• codebuild_secrets: تسريب الأسرار
• rce_web_app: من تطبيق الويب للسحابة

ROADtools - تقييم Azure AD

# تثبيت ROADtools
pip install roadrecon

# المصادقة وجمع البيانات
roadrecon auth --device-code
roadrecon gather

# توليد التقرير
roadrecon gui

# الوصول على http://localhost:5000

أدوات فحص الامتثال

Checkov - البنية التحتية ككود

# تثبيت Checkov
pip install checkov

# فحص Terraform
checkov -d /path/to/terraform

# فحص CloudFormation
checkov -f template.yaml

# فحص manifests لـ Kubernetes
checkov -d /path/to/k8s/

# فحص بإطار محدد
checkov -d . --framework terraform --check CKV_AWS_1,CKV_AWS_2

# تنسيقات الإخراج
checkov -d . -o json > results.json
checkov -d . -o sarif > results.sarif

Trivy - فحص الحاويات والسحابة

# فحص صورة حاوية
trivy image myapp:latest

# فحص نظام الملفات
trivy fs --scanners vuln,misconfig .

# فحص حساب AWS
trivy aws --region us-east-1

# فحص مجموعة Kubernetes
trivy k8s --report summary cluster

سير عمل التقييم

قائمة تحقق ما قبل التقييم

المهمة	الغرض
تعريف النطاق	تحديد الحسابات، المناطق، الخدمات
جمع بيانات الاعتماد	جمع بيانات اعتماد للقراءة فقط/الاختبار
إعداد الأدوات	تثبيت وتكوين الأدوات
توثيق خط الأساس	توثيق التكوينات الموجودة
جهات اتصال الطوارئ	إنشاء سلسلة استجابة للحوادث

سير عمل التقييم

┌─────────────────────────────────────────────────────────────┐
│                  تقييم أمان السحابة                         │
├─────────────────────────────────────────────────────────────┤
│  المرحلة 1: الاكتشاف (Prowler/ScoutSuite)                   │
│  └─ تدقيق التكوين، فحص الامتثال                            │
├─────────────────────────────────────────────────────────────┤
│  المرحلة 2: التعداد (يدوي + Pacu)                           │
│  └─ رسم IAM، اكتشاف الموارد، علاقات الثقة                  │
├─────────────────────────────────────────────────────────────┤
│  المرحلة 3: الاستغلال (Pacu + يدوي)                         │
│  └─ تصعيد الصلاحيات، الحركة الجانبية، الوصول للبيانات      │
├─────────────────────────────────────────────────────────────┤
│  المرحلة 4: التقرير                                         │
│  └─ النتائج، تصنيفات المخاطر، إرشادات المعالجة             │
└─────────────────────────────────────────────────────────────┘

التقييم المستمر

# فحص Prowler آلي يومي
0 2 * * * /usr/local/bin/prowler aws -M json -F /reports/daily-$(date +\%Y\%m\%d)

# فحص ScoutSuite شامل أسبوعي
0 3 * * 0 /usr/local/bin/scout aws --report-dir /reports/weekly-$(date +\%Y\%m\%d)

# التكامل مع CI/CD
# .github/workflows/security.yml
name: Cloud Security Scan
on:
  schedule:
    - cron: '0 0 * * *'
jobs:
  prowler:
    runs-on: ubuntu-latest
    steps:
      - uses: prowler-cloud/prowler-action@v1
        with:
          prowler_version: 4.0
          cloud_provider: aws

دليل اختيار الأداة

حالة الاستخدام	الأداة الأساسية	الثانوية
تدقيق تكوين AWS	Prowler	ScoutSuite
تدقيق متعدد السحابات	ScoutSuite	أدوات خاصة بالسحابة
استغلال AWS	Pacu	CLI يدوي
فحص IaC	Checkov	Trivy
أمان الحاويات	Trivy	Grype
Azure AD	ROADtools	AzureHound
التعلم/المختبرات	CloudGoat	Pwned Labs

الخطوات التالية

لقد أكملت دورة أساسيات أمان السحابة. لمواصلة رحلتك في أمان السحابة:

1. تمرّن: انشر سيناريوهات CloudGoat وتمرّن على الاستغلال
2. احصل على شهادة: فكر في AWS Security Specialty أو Azure Security Engineer أو GCP Professional Cloud Security Engineer
3. ساهم: ساهم في الأدوات مفتوحة المصدر مثل Prowler أو ScoutSuite
4. ابقَ محدثاً: تابع مدونات أمان مزودي السحابة وملاحظات الإصدار

استمر في التعلم مع دورة صيد مكافآت الثغرات لتطبيق معرفة أمان السحابة على اكتشاف الثغرات في العالم الحقيقي. :::