التشفير والأسرار والحماية من الهجمات

في الجزء السادس والعشرين ضبطنا مين يدخل. هذا الجزء يفترض الأسوأ: قرص ينسرق، أو كلمة مرور تتسرب، أو أحد يهاجم موقعك. وش يحميك وقتها؟

AWS KMS: خزنة المفاتيح #

شفنا أنواع التشفير في S3. وخلف أغلبها KMS (Key Management Service): المفاتيح تنشأ وتنستخدم داخله وما تطلع منه بدون تشفير، والوصول تحكمه السياسات، وكل استخدام ينسجل في CloudTrail.

التشفير بالمظروف (Envelope Encryption) #

KMS ما يشفر ملفاتك الكبيرة بنفسه. يسوي مفتاح بيانات يشفر الملف، ويشفر مفتاح البيانات هذا بمفتاحك الرئيسي:

فحتى اللي يسرق القرص ياخذ بيانات مشفرة وجنبها مفتاح مشفر. وعشان تفك التشفير، تحتاج صلاحية تطلب من KMS يفتح مفتاح البيانات، وهنا مكان تحكمك.

أنواع المفاتيح #

وأغلب المفاتيح متماثلة (Symmetric)، مفتاح واحد للتشفير وفكه وما يطلع من KMS. وفيه أزواج غير متماثلة (Asymmetric)، يطلع منها المفتاح العام، للتوقيع أو لتشفير من أطراف خارج AWS.

وحذف المفتاح ما له رجعة، لأنه يدمر كل شي مشفر به. فـ KMS يفرض فترة انتظار من 7 إلى 30 يوم، تقدر تلغي خلالها. وعشان توقف استخدام المفتاح بالأثناء، عطّله.

سياسات المفاتيح #

كل مفتاح KMS له Key Policy، وعلى عكس الموارد الثانية، IAM لحاله ما يكفي بدونها. والسياسة الافتراضية تخلي سياسات IAM في الحساب تعطي الوصول للمفتاح.

وهذا مهم لما تنسخ بيانات مشفرة:

• لمنطقة ثانية: المفاتيح خاصة بالمنطقة، فنسخ اللقطة يعيد تشفيرها بمفتاح في منطقة الوجهة.
• لحساب ثاني: شارك اللقطة، واسمح لذاك الحساب في سياسة مفتاح Customer Managed. مفاتيح AWS Managed، مثل aws/ebs، ما تنشارك، فاللقطة المشفرة بها لازم تنسخها أول بمفتاحك.

المفاتيح متعددة المناطق #

Multi-Region Keys تتشارك نفس مادة المفتاح ومعرفه بين المناطق، فاللي انشفر في منطقة ينفك في ثانية بدون إعادة تشفير. وهي مو لكل شي، لأن AWS توصي بمفاتيح المنطقة الواحدة افتراضياً. وتناسب حالات مثل تشفير حقل من جهة العميل في Global Tables أو Aurora Global.

CloudHSM: عتادك الخاص #

في KMS، AWS تدير العتاد اللي يحفظ مفاتيحك. ولو فيه تنظيم يفرض وحدة أمان عتادية مخصصة لك، AWS CloudHSM يعطيك مجموعة HSM لك وحدك ومعتمدة بمعيار FIPS. وAWS تتكفل بالتجهيز والنسخ الاحتياطي، وأنت تتحكم في المفاتيح والمستخدمين بنفسك. فاختره بس لما تحتاجه، لأن مسؤوليتك أكبر من KMS.

وين تحفظ كلمات المرور؟ #

مو في الكود، ولا في Git. عندك خدمتين:

Parameter Store #

أسماؤه تكوّن شجرة، مثل /shop/prod/db-url، فالتطبيق يقدر يجيب مسار كامل، وIAM يقدر يسمح بـ /shop/prod/* فقط.

Secrets Manager #

الفكرة هنا التدوير: كلمة المرور تتغير بجدول تحدده، والدالة تحدثها في قاعدة البيانات كمان. وتطبيقك يطلب القيمة الحالية كل مرة، فما يحس. وشفنا في الجزء الثامن إن RDS يقدر يدير كلمة مروره هنا لك.

ACM: شهادات بدون وجع راس #

AWS Certificate Manager يصدر شهادات TLS عامة مجاناً لما تنستخدم مع خدمات مثل موزعات الحمل وCloudFront وAPI Gateway، ويجددها لحاله.

• التحقق: أثبت ملكية النطاق عبر DNS، والأفضل مع Route 53، أو عبر الإيميل.
• الصلاحية: الشهادات العامة تدوم الحين 198 يوم، حسب قواعد الصناعة الجديدة، والتجديد يصير تلقائياً قبل الانتهاء بحوالي 45 يوم. والفترة بتقصر أكثر في السنين الجاية، وهذا سبب زيادة تخليها للأتمتة.
• الشهادات المستوردة: تقدر تستورد شهاداتك، بس ACM ما يجددها، فحط تنبيه على انتهائها.
• سيرفراتك: شهادة ACM العادية ما تنثبت على سيرفرك. ولو تحتاج هذا، فيه شهادات قابلة للتصدير برسوم.

صد الهجمات #

هذا كيف تقعد طبقات الحماية مع بعض في تصميم معتاد:

وWAF ينربط بـ CloudFront وALB وAPI Gateway وAppSync، بس مو بموزع NLB. ولو تحتاج IP ثابت مع WAF، حط Global Accelerator قدام موزع الحمل. والقواعد حسب المعدل بسيطة وفعالة: احجب أي عنوان يرسل أكثر من عدد محدد من الطلبات.

تحمل DDoS #

الأجزاء السابقة أعطتك أغلب المطلوب:

• CloudFront وRoute 53 يمتصون الهجمات عند الحافة، بعيد عن سيرفراتك.
• Auto Scaling يكبر لو عدى شي، بس انتبه للتكلفة.
• Security Group يسمح لموزع الحمل من CloudFront فقط، فما أحد يتخطاه.
• WAF بحدود المعدل وBot Control للهجمات اللي تشبه الطلبات العادية.

حجب عنوان واحد: وين؟ #

وللحماية عند حدود الـ VPC، فيه Network Firewall اللي غطيناه في الجزء الرابع عشر.

كشف التهديدات #

المنع مو كل شي. تحتاج كمان شي يقول لك لما يكون فيه مشكلة:

GuardDuty يكشف أشياء مثل تعدين العملات، أو بيانات دخول مستخدمة من مكان غريب. وأرسل نتائجه عبر EventBridge إلى SNS أو Lambda عشان تتصرف. وتشغيله بضغطة وحدة، فشغله من البداية في أي حساب جاد، وله فترة تجربة مجانية.

مستندات الامتثال: AWS Artifact #

مدقق يطلب إثبات إن AWS نفسها ملتزمة بمعايير ISO أو PCI؟ AWS Artifact يعطيك هذي التقارير وقت ما تبي ومجاناً، ومنه كمان تراجع اتفاقياتك مع AWS وتقبلها. وهو يغطي جانب AWS من المسؤولية المشتركة، أما جانبك فإثباته عليك.

عملي: مفتاح وقيمة وسر #

من CloudShell، أنشئ مفتاح باسم سهل، وشفر نص:

KEY_ID=$(aws kms create-key --description "Series demo key" \
  --query KeyMetadata.KeyId --output text)
aws kms create-alias --alias-name alias/series-demo --target-key-id $KEY_ID

CIPHER=$(aws kms encrypt --key-id alias/series-demo \
  --plaintext "my secret note" --cli-binary-format raw-in-base64-out \
  --query CiphertextBlob --output text)

echo $CIPHER

بتشوف نص ما ينقرأ. فك تشفيره. وللمفتاح المتماثل، ما يلزم تحدد أي مفتاح:

aws kms decrypt --ciphertext-blob "$CIPHER" \
  --query Plaintext --output text | base64 -d; echo

الحين شوف وين التحكم الحقيقي. عطّل المفتاح، وجرب مرة ثانية:

aws kms disable-key --key-id $KEY_ID

aws kms decrypt --ciphertext-blob "$CIPHER" \
  --query Plaintext --output text

aws kms enable-key --key-id $KEY_ID

بيجيك DisabledException. البيانات ما تغيرت، بس ما لها فايدة بدون المفتاح. الحين احفظ كلمة مرور في Parameter Store، مشفرة بنفس المفتاح، واقرأها مع فك التشفير وبدونه:

aws ssm put-parameter --name /series/prod/db-password \
  --type SecureString --key-id alias/series-demo --value "S3cret-pass"

aws ssm get-parameter --name /series/prod/db-password \
  --query Parameter.Value --output text

aws ssm get-parameter --name /series/prod/db-password --with-decryption \
  --query Parameter.Value --output text

aws ssm get-parameters-by-path --path /series/prod \
  --query "Parameters[].Name"

وسر في Secrets Manager، بالطريقة اللي يقرأه فيها تطبيقك:

aws secretsmanager create-secret --name series/api-key \
  --secret-string '{"key":"abc123"}' --query Name --output text

aws secretsmanager get-secret-value --secret-id series/api-key \
  --query SecretString --output text

وأخيراً، وش خلّى كل هذا وراه؟ CloudTrail سجل مين استخدم المفتاح، بس ممكن ياخذ كم دقيقة:

aws cloudtrail lookup-events \
  --lookup-attributes AttributeKey=EventName,AttributeValue=Decrypt \
  --max-results 3 --query "Events[].[EventName,Username,EventTime]" --output table

aws secretsmanager delete-secret --secret-id series/api-key \
  --force-delete-without-recovery
aws ssm delete-parameter --name /series/prod/db-password
aws kms delete-alias --alias-name alias/series-demo
aws kms schedule-key-deletion --key-id $KEY_ID --pending-window-in-days 7

الخلاصة #

• KMS يحفظ مفاتيحك، ويستخدم التشفير بالمظروف، ويسجل كل استخدام.
• المفاتيح خاصة بالمنطقة، ومفاتيح AWS Managed ما تنشارك بين الحسابات.
• Parameter Store للإعدادات، وSecrets Manager للي لازم يتغير.
• شهادات ACM مجانية وتتجدد لحالها، وCloudFront يحتاجها في us-east-1.
• WAF وShield يصدون الهجمات، وGuardDuty وInspector وMacie يكشفون اللي يعدي.

اختبر نفسك #

قبل ما تكمل، جرّب هذي الأسئلة عشان تتأكد إنك فهمت الجزء. كل سؤال موقف عملي، وبعد ما تجاوب يطلع لك الشرح.

حميت نفسك من الناس. طيب لو طاحت منطقة كاملة، أو لازم تنقل مركز بيانات إلى AWS؟ في الجزء الثامن والعشرين نغطي التعافي من الكوارث والترحيل.