ثقتنا بالأطراف الخارجية: درسان من Polymarket وثغرة LXD

بين أخبار اليوم لفت نظري خبران أمنيان يبدوان بعيدين عن بعضهما، لكنهما يحملان الدرس نفسه: أكبر مخاطرنا كثيرًا ما تأتي من مكوّنات نثق بها دون أن نراقبها.

ماذا حدث؟

الخبر الأول نشره موقع The Hacker News. في 29 أكتوبر ظهرت شيفرة خبيثة في موقع منصة التنبؤات Polymarket، فباعت مراكز بعض المتداولين المسجّلين دخولهم ونقلت أموالهم إلى المهاجمين. الشيفرة حلّت محل سكربت لقياس سرعة الصفحة يحمّله الموقع من شركة خارجية، وعنوان الخبر يشير إلى DebugBear. تقول Polymarket إنها ستعوّض نحو 2.7 مليون دولار على 726 محفظة متضررة.

الخبر الثاني من الموقع نفسه، The Hacker News أيضًا، ويتحدث عن ثغرة حرجة بدرجة CVSS 10.0 في LXD وMicroCloud من Canonical. تسمح الثغرة لمهاجم بالدخول كأنه عميل موثوق دون امتلاك مفتاحه الخاص. يشترط ذلك أن يصل المهاجم عبر الشبكة إلى واجهة HTTPS البرمجية، وأن يملك الشهادة العامة لذلك العميل. وبعد الدخول يتصرف بصفة العميل نفسه، مع وصول إلى العنقود والأجهزة الافتراضية فيه.

لماذا يهمّنا في الخليج؟

شركاتنا وحكوماتنا تتحول رقميًا بسرعة، وهذا يعني مزيدًا من المنصات المالية والتجارية، ومزيدًا من خدمات الأطراف الثالثة في كل صفحة: أدوات تحليلات وقياس أداء ودردشة ودفع. كل سكربت خارجي تضيفه إلى موقعك يعمل بصلاحياتك أمام عميلك. وإذا اختُرق مزوّده فكأنه اختُرق موقعك أنت، والعميل لن يفرّق بين الاثنين، وسمعتك هي التي ستتأثر.

أما ثغرة LXD فتخص كل من يشغّل بنية افتراضية خاصة أو هجينة، وهو أمر شائع في الشركات التي تفضّل إبقاء بياناتها داخل المنطقة. هذه البنى تُترك أحيانًا وواجهات إدارتها مكشوفة أكثر مما ينبغي، لأن «الشبكة الداخلية آمنة».

ماذا أفعل أنا؟

هذه النقاط أطبّقها مع عملائي في Evorq Technology، وأنصح بها كل صاحب موقع أو مدير بنية تحتية:

• احصر السكربتات الخارجية في موقعك. اكتب قائمة بكل ما يُحمَّل من خارج نطاقك، واسأل عن كل بند: هل نحتاجه فعلًا؟ ما نحذفه لا يمكن اختراقه.
• قيّد ما يُسمح بتحميله. سياسة أمان المحتوى (CSP) وخاصية سلامة الموارد الفرعية (SRI) تجعلان تبديل سكربت خارجي بآخر خبيث أصعب بكثير.
• اعزل صفحات الدفع والتداول. لا تحمّل أدوات قياس أو تتبع في الصفحات التي تُنقل منها الأموال أو تُعتمد فيها العمليات الحساسة.
• لا تكشف واجهات الإدارة للشبكة. إن كنت تستخدم LXD أو MicroCloud، فراجع من يستطيع الوصول إلى واجهة HTTPS، وقيّده بجدار ناري وشبكة إدارة منفصلة، وتابع إرشادات Canonical للتصحيح.
• اعتبر الشهادات العامة معلومة حساسة نسبيًا. الثغرة تشترط معرفتها، فلا تنشرها ولا تتركها في أماكن مفتوحة.
• جهّز خطة استجابة. إذا اكتشفت شيفرة غريبة في موقعك، فمن يملك قرار إيقاف الصفحة؟ ومن يتواصل مع العملاء؟ الأفضل أن تُحسم الإجابة قبل الحادثة.

رأيي بصراحة

أعجبني أن Polymarket أعلنت التعويض، فهذا السلوك الصحيح تجاه العملاء. لكن التعويض لا يغني عن الوقاية، ولا يعيد الثقة بسرعة. والدرس الأهم أن المهاجمين لا يحتاجون دائمًا إلى كسر بابك الرئيسي، فيكفيهم أن يجدوا مكوّنًا صغيرًا تثق به ولا تنظر إليه.

وفي ثغرة LXD، الدرجة 10 مخيفة، لكن شروط الاستغلال المذكورة، من وصول للشبكة وحيازة الشهادة، تذكّرنا بأن الدفاع بطبقات يخفف الضرر كثيرًا. فالشبكة المقسّمة وإدارة الوصول الجيدة قد تجعل الثغرة الحرجة أقل خطرًا بكثير في بيئتك.

نصيحتي لك اليوم: خصّص ساعة هذا الأسبوع، وافتح موقعك أو لوحة إدارة بنيتك، واسأل نفسك: أي جهة خارجية أثق بها دون أن أراقبها؟ ابدأ من هناك.