التغلب على مخاطر الأمان للمطورين

يشكل المطورون تهديدًا فريدًا للأمن السيبراني في المؤسسات. إن حاجتهم إلى تثبيت البرامج واختبارها والوصول الكامل إلى الإنترنت يعرض المؤسسات لمجموعة من نواقل الهجوم. على الرغم من أن المنظمات تستخدم مجموعة متنوعة من التقنيات للتخفيف من هذه المخاطر ، إلا أن معظمها غير كافٍ. يتبنى العديد من قادة تكنولوجيا المعلومات الآن تقنيات العزل لتوفير الأمان المتزايد الذي يحتاجه مطورو البرامج ، دون المساس بإنتاجيتهم.

لماذا المطورين في غاية الخطورة

عادةً ما يتم منح المطورين حقوق المسؤول المحلي حتى يتمكنوا من تثبيت التطبيقات والحزم والوظائف الإضافية وبرامج التشغيل وما إلى ذلك المتعلقة بالمطورين. عادةً ما تعمل البرامج الضارة التي تتسلل إلى أجهزتهم مع امتيازات المسؤول المحلي ويمكنها تغيير الإعدادات وحصد بيانات اعتماد إضافية للمستخدم والحصول على وصول كامل إلى الشبكة.

بالإضافة إلى ذلك ، يحتاج المطورون إلى الوصول الكامل إلى الإنترنت لتنزيل نماذج التعليمات البرمجية ، وحزم الكود المصدري للجهات الخارجية والأدلة ، والأدوات الجديدة ، والمزيد. نظرًا لأن أدوات التطوير تتراكم بسرعة ، لا يمكن إضافة موارد الويب هذه إلى قائمة الأذونات وغالبًا لا تعمل بشكل جيد مع وكلاء الويب. يزيد الوصول الكامل إلى الإنترنت من فرص تنزيل البرامج الضارة ، والتي من المحتمل أن تتمكن من الوصول إلى خادم الأوامر والتحكم. يمكن للمطورين أيضًا تحميل بيانات حساسة عن طريق الخطأ أو عن قصد إلى أي خادم ويب.

يمكن أن تحتوي البرامج التي يقوم المطورون ببنائها وتشغيلها على أجهزتهم على أخطاء يمكن أن يكون لها تداعيات خطيرة على موارد الشركة التي يمكن الوصول إليها من الجهاز الرئيسي (على سبيل المثال ، حذف جميع الملفات في مشاركة الشبكة ، أو إجراء تغييرات غير صحيحة على قاعدة البيانات بشكل جماعي).

بنفس القدر من الأهمية ، يتمتع المطورون بإمكانية الوصول إلى جواهر التاج الخاصة بالمؤسسة ، بما في ذلك كود المصدر الخاص ، ومعلومات العملاء الحساسة المقدمة لأغراض الاختبار ، وبيئات العملاء الحساسة لدعم / استكشاف أخطاء البرامج على موقع العميل ، وخوادم التصنيع ذات المهام الحرجة. في العميل الخاص ، مصادر المعلومات والمجال ، على سبيل المثال كلمات المرور الأساسية للخوادم الحساسة ، وموارد مركز البيانات ، إلخ.

عادة ما يكون التخفيض الأمني ​​المعتاد قصير الأجل

للتخفيف من هذه المخاطر ، تحاول الشركات عددًا من الأساليب التقليدية. قد تقوم بتقييد حقوق المسؤول المحلي أو التحكم فيها ، على الرغم من أن هذا قد يتسبب في حدوث مشكلات في توافق التطبيقات. يوفر البعض لكل مطور جهازًا ثانيًا أو جهاز ضيف افتراضي (VM) على جهاز الكمبيوتر الحالي لأغراض تجريبية. في حين أن النهج السابق يوفر الأمان في فجوة الهواء الفعلية ، إلا أنه مكلف بالنسبة للشركة ، وغير مريح ومحبط للمطورين الذين يضطرون إلى حمل جهازين ويؤثر سلبا على الإنتاجية. يفتقر النهج الأخير إلى الخبرة السلسة ، ويقدم تعقيدًا إداريًا ويعرض الشبكة للمخاطر إذا لم يتم التعامل معها بشكل صحيح.

تكتسب مناهج العزلة زخمًا

تلجأ العديد من الشركات إلى تقنيات العزل لضمان بيئات المطورين. يوجد هنا أيضًا عدد من الخيارات. يمكنك توفير الوصول إلى الإنترنت من خلال حل عزل المتصفح. إنه يؤمن نشاط المتصفح ، ولكن ليس نظام التشغيل أو تطبيقات الجهاز ، وغالبًا ما يؤدي إلى تدهور أداء المتصفح. يمكنك أيضًا استخدام تقنيات وضع الحماية لتطبيقات محددة – فقط لاحظ أن التطبيقات الأخرى على الجهاز بالإضافة إلى نظام التشغيل والمتصفح وما إلى ذلك ، لا تزال عرضة للخطر.

تتطلب بعض المؤسسات من المطورين الوصول إلى الموارد المتميزة من خلال البنية التحتية لسطح المكتب الظاهري (VDI) أو إدارة الوصول المميز (PAM) أو الصناديق الانتقالية. يتمثل التحدي في هذه الأساليب في أنها يمكن أن تكون مكلفة وتضعف الأداء ، وربما الأهم من ذلك أنها لا تحل المشكلة تمامًا. لا يزال بإمكان البرامج الضارة الموجودة على الجهاز الرئيسي انتحال شخصية المستخدم بعد المصادقة.

التغلب على مخاطر الأمان للمطورين

يشكل المطورون تهديدًا فريدًا للأمن السيبراني في المؤسسات. إن حاجتهم إلى تثبيت البرامج واختبارها والوصول الكامل إلى الإنترنت يعرض المؤسسات لمجموعة من نواقل الهجوم. على الرغم من أن المنظمات تستخدم مجموعة متنوعة من التقنيات للتخفيف من هذه المخاطر ، إلا أن معظمها غير كافٍ. يتبنى العديد من قادة تكنولوجيا المعلومات الآن تقنيات العزل لتوفير الأمان المتزايد الذي يحتاجه مطورو البرامج ، دون المساس بإنتاجيتهم.

لماذا المطورين في غاية الخطورة

عادةً ما يتم منح المطورين حقوق المسؤول المحلي حتى يتمكنوا من تثبيت التطبيقات والحزم والوظائف الإضافية وبرامج التشغيل وما إلى ذلك المتعلقة بالمطورين. عادةً ما تعمل البرامج الضارة التي تتسلل إلى أجهزتهم مع امتيازات المسؤول المحلي ويمكنها تغيير الإعدادات وحصد بيانات اعتماد إضافية للمستخدم والحصول على وصول كامل إلى الشبكة.

بالإضافة إلى ذلك ، يحتاج المطورون إلى الوصول الكامل إلى الإنترنت لتنزيل نماذج التعليمات البرمجية ، وحزم الكود المصدري للجهات الخارجية والأدلة ، والأدوات الجديدة ، والمزيد. نظرًا لأن أدوات التطوير تتراكم بسرعة ، لا يمكن إضافة موارد الويب هذه إلى قائمة الأذونات وغالبًا لا تعمل بشكل جيد مع وكلاء الويب. يزيد الوصول الكامل إلى الإنترنت من فرص تنزيل البرامج الضارة ، والتي من المحتمل أن تتمكن من الوصول إلى خادم الأوامر والتحكم. يمكن للمطورين أيضًا تحميل بيانات حساسة عن طريق الخطأ أو عن قصد إلى أي خادم ويب.

يمكن أن تحتوي البرامج التي يقوم المطورون ببنائها وتشغيلها على أجهزتهم على أخطاء يمكن أن يكون لها تداعيات خطيرة على موارد الشركة التي يمكن الوصول إليها من الجهاز الرئيسي (على سبيل المثال ، حذف جميع الملفات في مشاركة الشبكة ، أو إجراء تغييرات غير صحيحة على قاعدة البيانات بشكل جماعي).

بنفس القدر من الأهمية ، يتمتع المطورون بإمكانية الوصول إلى جواهر التاج الخاصة بالمؤسسة ، بما في ذلك كود المصدر الخاص ، ومعلومات العملاء الحساسة المقدمة لأغراض الاختبار ، وبيئات العملاء الحساسة لدعم / استكشاف أخطاء البرامج على موقع العميل ، وخوادم التصنيع ذات المهام الحرجة. في العميل الخاص ، مصادر المعلومات والمجال ، على سبيل المثال كلمات المرور الأساسية للخوادم الحساسة ، وموارد مركز البيانات ، إلخ.

عادة ما يكون التخفيض الأمني ​​المعتاد قصير الأجل

للتخفيف من هذه المخاطر ، تحاول الشركات عددًا من الأساليب التقليدية. قد تقوم بتقييد حقوق المسؤول المحلي أو التحكم فيها ، على الرغم من أن هذا قد يتسبب في حدوث مشكلات في توافق التطبيقات. يوفر البعض لكل مطور جهازًا ثانيًا أو جهاز ضيف افتراضي (VM) على جهاز الكمبيوتر الحالي لأغراض تجريبية. في حين أن النهج السابق يوفر الأمان في فجوة الهواء الفعلية ، إلا أنه مكلف بالنسبة للشركة ، وغير مريح ومحبط للمطورين الذين يضطرون إلى حمل جهازين ويؤثر سلبا على الإنتاجية. يفتقر النهج الأخير إلى الخبرة السلسة ، ويقدم تعقيدًا إداريًا ويعرض الشبكة للمخاطر إذا لم يتم التعامل معها بشكل صحيح.

تكتسب مناهج العزلة زخمًا

تلجأ العديد من الشركات إلى تقنيات العزل لضمان بيئات المطورين. يوجد هنا أيضًا عدد من الخيارات. يمكنك توفير الوصول إلى الإنترنت من خلال حل عزل المتصفح. إنه يؤمن نشاط المتصفح ، ولكن ليس نظام التشغيل أو تطبيقات الجهاز ، وغالبًا ما يؤدي إلى تدهور أداء المتصفح. يمكنك أيضًا استخدام تقنيات وضع الحماية لتطبيقات محددة – فقط لاحظ أن التطبيقات الأخرى على الجهاز بالإضافة إلى نظام التشغيل والمتصفح وما إلى ذلك ، لا تزال عرضة للخطر.

تتطلب بعض المؤسسات من المطورين الوصول إلى الموارد المتميزة من خلال البنية التحتية لسطح المكتب الظاهري (VDI) أو إدارة الوصول المميز (PAM) أو الصناديق الانتقالية. يتمثل التحدي في هذه الأساليب في أنها يمكن أن تكون مكلفة وتضعف الأداء ، وربما الأهم من ذلك أنها لا تحل المشكلة تمامًا. لا يزال بإمكان البرامج الضارة الموجودة على الجهاز الرئيسي انتحال شخصية المستخدم بعد المصادقة.

أحد الأساليب الواعدة هو عزل نقطة النهاية ، حيث يصبح الجهاز المادي الفردي عددًا من البيئات / الأجهزة الافتراضية ونقطة نهاية افتراضية منفصلة تمامًا. يتم إنشاء نقاط النهاية هذه على منصة Hypervisor المعدنية المكشوفة أسفل نظام تشغيل الجهاز. لا يوجد في أي بيئة أي سيطرة أو وصول غير مقيد للآخرين.

إذا كنت تستخدم مفتاحًا نموذجيًا ، فقد يكون هناك جهازان ظاهريان في كمبيوتر المستخدم النهائي

المفتاح – آلة افتراضية مقفلة مع وصول واسع للإنترنت وحقوق المسؤول المحلي. في هذا الجهاز الظاهري ، سيقوم المطور بمعظم عمليات التطوير والاختبار والتثبيت للتطبيقات. نظرًا لطبيعته ، فإن هذا الجهاز مكشوف للغاية
المنظم – جهاز افتراضي مغلق مع إمكانية الوصول إلى تطبيقات المؤسسة النموذجية (مثل البريد الإلكتروني والمكتب) وبيانات العملاء وبيئات العملاء
مع عزل نقطة النهاية ، يحصل المطورون على الحرية التي يحتاجون إليها ليكونوا منتجين ، بينما يحصل مديرو تكنولوجيا المعلومات وكبار المسؤولين التنفيذيين على الأمان الذي يحتاجونه.

يستفيد المطورون من حل أحادي الجهاز يوفر وصولاً كاملاً إلى الإنترنت وملعبًا آمنًا للتجربة مع حقوق المسؤول المحلي الكاملة. يضمن هذا النهج أيضًا وصول المطورين إلى بيانات الإنتاج / العميل من بيئة موثوقة فقط.

يلغي قادة تكنولوجيا المعلومات ومديرو أمن المعلومات الحاجة إلى حقوق المسؤول المحلي في المؤسسة / البيئات الحساسة ولا يحتاجون إلى فتح شبكة المؤسسة بالكامل على الإنترنت. كما أنه يحد من نطاق الأخطاء / التجارب في البرنامج ويقيد الوصول إلى الأنظمة / البيانات الحساسة ، وبالتالي تحسين الحماية ضد التهديدات الداخلية.

من الواضح أن الحلول الأمنية الحالية ليست مناسبة لحماية المؤسسات من المخاطر الإلكترونية الملازمة للمطورين. مناهج عزل واعدة – فقط تأكد من تقييمها بشكل شامل ، مما يؤثر على إنتاجية المستخدم ومواءمة أفضل مع عملك.