تكافؤ النقل الآني: نموذج الوصول إلى الامتيازات الدائمة الصفرية
تُعد بيانات الاعتماد الثابتة - مثل مفاتيح SSH الخاصة غير المُدارة والمنتشرة عبر أجهزة الكمبيوتر المحمولة الخاصة بالمطورين وأدوار المسؤول الدائم - هي الناقل الأساسي للحركة الجانبية بعد اختراق الحساب. يستبدل BlackShield الوصول الدائم بطلبات الوصول في الوقت المناسب (JIT) المقيدة بالتشفير وشهادات OpenSSH المؤقتة.
1. الامتيازات الدائمة الصفرية (ZSP)
يحتفظ المهندسون بحسابات الأعضاء غير المميزة بشكل افتراضي. يتم منح الوصول المرتفع إلى الإنتاج بشكل صارم عند الطلب للنوافذ ذات الصناديق الزمنية.
2. مرجع شهادة OpenSSH سريع الزوال
تخلص من مفاتيح SSH الثابتة والمفاتيح المعتمدة الممتدة عبر خوادم EC2/Linux باستخدام شهادات OpenSSH قصيرة العمر (ssh-ed25519-cert-v01).
3. موافقة JIT للتفويض المزدوج
اطلب الوصول باستخدام مراجع التذاكر الإلزامية (مثل INC-9021) ومبررات العمل. يوافق المسؤولون في الوقت الحقيقي.
4. الإلغاء وانتهاء الصلاحية الآلي
المنح النشطة العد التنازلي بشكل مستمر. بمجرد انتهاء مدة البقاء (من 30 دقيقة إلى 8 ساعات)، تنتهي الامتيازات تلقائيًا دون أي بيانات اعتماد متبقية.
5. تأهيل المضيف الجاهز
يتطلب مضيفو Linux فقط توجيه sshd_config القياسي المكون من سطر واحد والذي يثق في CA الخاص بـ BlackShield. لا حاجة إلى شياطين وكيل الملكية.
6. سلاسل التدقيق الواضحة للتلاعب
تربط سجلات التدقيق المتسلسلة بشكل مشفر كل طلب ومراجعة وحدث إصدار الشهادات مباشرةً بحزم أدلة SOC 2 CC6.1 وISO 27001.
1. تكوين المضيف (OpenSSH sshd_config)
على عكس حلول PAM القديمة التي تتطلب برامج عميلة ثقيلة، يعتمد BlackShield على التحقق من صحة شهادة OpenSSH الأصلية المضمنة في كل توزيعة Linux. أضف المفتاح العام CA للمستأجر الخاص بك إلى /etc/ssh/blackshield_user_ca.pub:
# 1. Fetch tenant CA public key from the dashboard or API: curl -s https://api.blackshield.chaplau.com/api/v1/identity/access/ssh/ca | jq -r .ca_public_key > /etc/ssh/blackshield_user_ca.pub # 2. Tell sshd to trust user certificates signed by this CA: echo "TrustedUserCAKeys /etc/ssh/blackshield_user_ca.pub" >> /etc/ssh/sshd_config # 3. Reload OpenSSH daemon: systemctl reload sshd
2. تكوين عميل المطور (~/.ssh/config)
يمكن للمطورين تكوين عميل OpenSSH الخاص بهم لاستخدام الشهادات الموقعة تلقائيًا لجميع المضيفين الداخليين:
Host *.internal IdentityFile ~/.ssh/id_ed25519 CertificateFile ~/.ssh/id_ed25519-cert.pub IdentitiesOnly yes
3. أدلة الامتثال والرقابة
| معيار | معرف التحكم | المتطلبات | بلاك شيلد التحكم الآلي |
|---|---|---|---|
| SOC 2 النوع الثاني | CC6.1 / CC6.2 | يقتصر الوصول المنطقي على المستخدمين المصرح لهم | الامتيازات الدائمة صفر؛ التفويض المزدوج مطلوب للأدوار المرتفعة |
| SOC 2 النوع الثاني | CC6.3 | إلغاء بيانات اعتماد الوصول المنطقي في الوقت المناسب | شهادات قصيرة العمر محددة بوقت (افتراضي 60 دقيقة) مع انتهاء صلاحية تلقائي |
| ايزو 27001 | A.9.2.6 / A.9.4.2 | المصادقة الآمنة والتحكم في الوصول المميز | توقيع التشفير المدعوم بالأجهزة لشهادات مستخدم OpenSSH Ed25519 |