Least Privilege و Defense in Depth

أهلاً بيك. النهاردة هنتكلم عن مبدأين بسيطين جداً في الفكرة… بس لو اتطبّقوا صح، بيوقّفوا هجمات كتير قوي.

المبدأ الأول: Least Privilege. يعني كل user، وكل برنامج، ياخد أقل صلاحيات هو محتاجها علشان يعمل شغله… ومفيش زيادة. الكاشير محتاج يفتح الدُّرج بتاعه، مش الخزنة كلها. تخيّل موَزَّف خدمة عملا عنده صلاحيات admin كاملة. يوم ما الـ password بتاعه يتسرق، المهاجم مش بس هيقرا شكاوي العملا… ده هيقدر يمسح قاعدة البيانات كلها. لو كان معاه صلاحيات قليلة، كان الضرر هيبقى أصغر بكتير.

وفي الاختبار، إنت بتدوّر على عكس المبدأ ده. service شغالة بـ root من غير داعي. user عادي جُوّه group الـ Administrators. ملف حساس أي حد يقدر يعدّل فيه. وكل واحدة فيهم ممكن تبقى سلّم توصلك لصلاحيات أعلى.

المبدأ التاني: Defense in Depth، يعني الدفاع على طبقات. زي القلعة القديمة: سور، وبعده خندق، وبعده حراس، وبعدهم باب حديد. لو طبقة وقعت، اللي بعدها تمسك. نجرب بـ Python. مهاجم عدّى أول طبقتين… بس الـ MFA وقّفه. نشغّل…

layers = [
    ("Firewall", False),
    ("Strong Password", False),
    ("MFA", True),
]

for name, blocked in layers:
    if blocked:
        print("stopped by", name)
        break
    print("passed", name)

passed Firewall
passed Strong Password
stopped by MFA

دورك: خلّي الـ MFA مش شغال، يعني False، وضيف طبقة رابعة اسمها Monitoring بتوقّف المهاجم.

الحل: الـ MFA وقع، بس الطبقة الرابعة لحقته. نشغّل… وده بالظبط معنى Defense in Depth.

layers = [
    ("Firewall", False),
    ("Strong Password", False),
    ("MFA", False),
    ("Monitoring", True),
]

for name, blocked in layers:
    if blocked:
        print("stopped by", name)
        break
    print("passed", name)

passed Firewall
passed Strong Password
passed MFA
stopped by Monitoring

وفيه فكرة أحدس اسمها Zero Trust. يعني ما تِسِقش في أي حد علشان هو جُوّه الشبكة. اتأكد من كل request، من كل user، كل مرة. الدرس الجاي: إزاي نحفَظ الباسوردات صح… الـ Hashing. يلا بينا.