root@ceh:~/module-19$

EC-Council · CEHv13 · Module 19

Cloud Computing Hacking

من مفاهيم Cloud Computing وأنواع خدماته (IaaS وPaaS وSaaS وFaaS) ونماذج نشره (Public وPrivate وHybrid وMulti وDistributed)، مرورًا ببنية Docker وKubernetes وServerless، وهجمات Cloud (MITC وWrapping وCloud Hopper وCryptojacking وIMDS)، وصولاً لاختراق AWS وAzure وGCP والـ Containers (S3 Buckets وIAM Privilege Escalation وKubernetes etcd وLXD)، والإجراءات المضادة وZero Trust.

cloud-hackingaws-s3-iam azure-adgcp-iam docker-kubernetesimds-attack container-escapezero-trust

01مفاهيم Cloud Computing — الخدمات ونماذج النشر

خصائص Cloud Computing

الخاصية	الشرح
On-demand Self-service	توفير موارد السحابة (Computing وStorage وNetwork) تلقائيًا دون تدخّل بشري مع مزوّد الخدمة
Distributed Storage	تخزين موزَّع يوفّر Scalability وAvailability وReliability أعلى — قد يُثير مخاوف أمنية وامتثالية
Rapid Elasticity	توفير فوري للقدرات للتوسّع أو الانكماش حسب الطلب
Automated Management	أتمتة تُقلِّل تدخّل المستخدم وتُسرِّع العمليات وتُقلِّل الأخطاء البشرية
Broad Network Access	موارد السحابة متاحة عبر الشبكة عبر مجموعة واسعة من المنصّات (Laptops وMobiles وPDAs)
Resource Pooling	مجمع موارد متعدّد المستأجرين (Multi-tenant) يُوزَّع ديناميكيًا على الطلب
Measured Service	نموذج Pay-per-use — المشترك يدفع شهريًا أو حسب الاستخدام (Storage وCPU وBandwidth)
Virtualization Technology	تُتيح التوسّع السريع للموارد بطريقة مستحيلة في البيئات غير الافتراضية

أنواع خدمات Cloud Computing

الخدمة	الشرح	أمثلة
IaaS	موارد IT أساسية On-demand: Computing وVirtualization وStorage وNetwork — CSP يُدير البنية التحتية الأساسية	Amazon EC2، Microsoft OneDrive، Rackspace
PaaS	منصّة لتطوير التطبيقات بدون إدارة البنية التحتية — يُتيح Dynamic Scalability وAutomated Backups	Google App Engine، Salesforce، Microsoft Azure
IDaaS	خدمات إدارة الهوية والوصول: SSO وMFA وIGA وAccess Management — مُدارة من طرف ثالث	OneLogin، Centrify، Azure AD، Okta
SECaaS	خدمات أمنية متكاملة (اختبار اختراق ومصادقة وكشف تسلّل ومكافحة Malware) — بدون عتاد فيزيائي	eSentire MDR، OneNeck IT
CaaS	Containers وClusters كخدمة — Virtualization لمحرّكات Containers وإدارتها	Amazon EC2، Google Kubernetes Engine
FaaS (Serverless)	منصّة تطوير وتشغيل التطبيقات بدون تعقيد البنية التحتية — لا رسوم عند عدم الاستخدام	AWS Lambda، Google Cloud Functions، Azure Functions
XaaS	أي شيء كخدمة عبر الإنترنت — أدوات وتطبيقات وتقنيات وأغذية ونقل وخدمات طبية	متنوّع
FWaaS	جدران حماية كخدمة — Packet Filtering وNetwork Analysis وIPsec وكشف Malware	Zscaler، Fortinet، Cisco، Sophos
DaaS	سطح مكتب افتراضي On-demand — CSP يُدير البنية التحتية والتخزين والـ Patching	Amazon WorkSpaces، Citrix، Azure Windows VD
MBaaS	Backend للتطبيقات عبر API وSDK — إدارة المستخدمين وPush Notifications وCloud Storage	Firebase، AWS Amplify، Apple CloudKit

نماذج نشر Cloud Computing

النموذج	الشرح	أمثلة
Public Cloud	CSP يُتيح الخدمات للعموم عبر الإنترنت (مجانًا أو Pay-per-use)	Amazon EC2، Google App Engine، Windows Azure
Private Cloud	بنية تحتية لمؤسسة واحدة داخل Firewall الشركة — تحكّم كامل في بيانات الشركة	BMC Software، VMware vRealize، SAP Cloud Platform
Community Cloud	بنية تحتية مشتركة بين مؤسسات من مجتمع محدّد (متطلّبات أمنية أو تنظيمية مشتركة)	Cisco Cloud Solutions، Salesforce Health Cloud
Hybrid Cloud	بيئة تجمع سحابتَين أو أكثر (خاصة وعامة ومجتمعية) تبقى كيانات مستقلّة لكن مترابطة	Microsoft Azure، Logicalis
Multi Cloud	بيئة ديناميكية غير متجانسة تجمع أعباء عمل من موردّين متعدّدين عبر واجهة واحدة — توزّع Assets والتطبيقات	Azure Arc، Google Cloud Anthos
Distributed Cloud	سحابة مركزية من سحابات عامة/خاصة موزَّعة جغرافيًا عبر مستوى تحكّم واحد — Edge Computing محلي	—
Poly Cloud	عدّة أنواع من خدمات Cloud على منصّة واحدة — تتميّز بخدمات AI وML متخصَّصة	Google Cloud Platform، AWS

NIST Cloud Reference Architecture — الأدوار

الدور	الشرح
Cloud Consumer	شخص أو مؤسسة تُبقي علاقة عمل مع CSP وتستخدم خدماته — يتصفّح الكتالوج ويُنشئ عقودًا
Cloud Provider	يحصل على البنية التحتية ويُديرها لتقديم الخدمات عبر الشبكة
Cloud Carrier	وسيط يُوفِّر اتصالية ونقل البيانات بين CSPs والمستهلكين
Cloud Auditor	يُجري فحصًا مستقلًّا لضوابط خدمات Cloud — يُقيِّم الأمان والخصوصية والأداء
Cloud Broker	يُدير استخدام وأداء وتسليم خدمات Cloud — وسيط بين CSPs والمستهلكين. فئات: Service Intermediation وService Aggregation وService Arbitrage

Fog Computing مقابل Edge Computing

	Cloud Computing	Fog Computing	Edge Computing
النموذج	مركزي	لامركزي - Distributed	لامركزي - Distributed
الموقع	مراكز بيانات بعيدة	بين مصادر البيانات والسحابة	قريب من أجهزة IoT
الحجم	آلاف من السيرفرات	ملايين Fog Nodes	مليارات نقاط نهاية
الاستخدام	تحليل بيانات واسع النطاق	مدن ذكية وشبكات كهرباء ذكية وسيارات متصلة	معالجة عمليات صغيرة وعاجلة (ملي-ثانية)

02Container Technology — Docker وKubernetes

ما هو Container؟

حزمة تطبيق/برنامج مع كل تبعياته (Libraries وملفات إعداد وثنائيات) تعمل باستقلالية عن العمليات الأخرى. CaaS يتضمّن Virtualization وإدارة Containers عبر Orchestrators.

بنية Container Technology — الطبقات

الطبقة	الوصف
Tier-1: Developer Machines	إنشاء واختبار واعتماد الصور (Images)
Tier-2: Testing & Accreditation	التحقّق والتصديق وتوقيع الصور وإرسالها للـ Registries
Tier-3: Registries	تخزين الصور وتوزيعها على الـ Orchestrators (Docker Hub وAmazon ECR وDTR)
Tier-4: Orchestrators	تحويل الصور لـ Containers ونشر الـ Containers على Hosts
Tier-5: Hosts	تشغيل وإدارة الـ Containers وفق تعليمات الـ Orchestrator

Docker Architecture

المكوّن	الشرح
Docker Daemon (dockerd)	يعالج طلبات API ويُدير كائنات Docker: Containers وVolumes وImages وNetworks
Docker Client	الواجهة الرئيسية للتفاعل مع Docker — يُرسِل أوامر لـ dockerd عبر Docker API
Docker Registries	مواقع تخزين الصور (عامة أو خاصة) — Docker Hub المكان الافتراضي
Images	قوالب ثنائية Read-only لإنشاء Containers
Containers	مثيل قابل للتشغيل من Image — يُنشَأ ويُشغَّل ويُوقَف ويُحذَف بـ CLI أو API
Volumes	تخزين للبيانات الدائمة التي تُولِّدها Docker وتستخدمها الـ Containers
Services	تُوسِّع عدد الـ Containers عبر Daemons في Swarm بعدّة Managers وWorkers
Docker Swarm	وضع إدارة عدّة Docker Engines — تعيين مهام ولموازنة الحِمل وفحص الصحة وتحديثات متزامنة

Docker Networking — CNM

النوع	الشرح
Host Driver	الـ Container يستخدم مكدّس الشبكة الخاص بالـ Host
Bridge Driver	جسر Linux على الـ Host يُدار بـ Docker (الافتراضي)
Overlay Driver	اتصال Containers عبر البنية التحتية الفيزيائية
MACVLAN	اتصال بين واجهات Container والواجهات الأصلية للـ Host
None	مكدّس شبكة خاص معزول كليًا
Contiv (Cisco)	سياسات أمان وبنية تحتية لـ Multi-tenant Microservices
Weave	شبكة افتراضية لربط Containers عبر سحابات متعدّدة
Kuryr	تطبيق Docker libnetwork Remote Driver باستخدام OpenStack Neutron

Kubernetes (K8s)

منصّة Orchestration مفتوحة المصدر من Google لإدارة التطبيقات المُعبَّأة في Containers والـ Microservices. تُوفِّر: Service Discovery وLoad Balancing وStorage Orchestration وAutomated Rollouts/Rollbacks وAutomatic Bin Packing وSelf-Healing.

مكوّنات Master Node

المكوّن	الشرح
Kube-apiserver	مكوّن لوحة التحكّم الرئيسي — يستجيب لكل طلبات API ويتفاعل مع etcd وحده
etcd Cluster	تخزين Key-Value موزَّع ومتسق — بيانات Cluster وتفاصيل Service Discovery وAPI Objects
Kube-scheduler	يفحص الـ Pods الجديدة ويُعيِّن نودًا لها بناءً على متطلّبات الموارد والموقع والقيود
Kube-controller-manager	يُشغِّل Controllers (Node وEndpoint وReplication وService Account) في عملية واحدة
Cloud-controller-manager	يُشغِّل Controllers تتواصل مع مزوّدي Cloud — يُتيح تطوير كود Kubernetes وCloud بشكل مستقل

مكوّنات Worker Node

المكوّن	الشرح
Kubelet	عميل خدمة يعمل على كل نود — يضمن تشغيل الـ Containers في الـ Pod وصحّتها
Kube-proxy	Proxy شبكي يُدير قواعد الشبكة لتمكين اتصالات الـ Pods
Container Runtime	برنامج يُشغِّل الـ Containers — Docker وrktlet وcontainerd وcri-o

Serverless Computing

FaaS — بنية تطبيق Cloud تُوفِّر البنية التحتية حسب الطلب بدون إدارة السيرفر. تُستخدَم أساسًا في Microservices. لا رسوم عند عدم الاستخدام. أمثلة: AWS Lambda وGoogle Cloud Functions وAzure Functions.

03تهديدات وهجمات Cloud Computing

الهجوم	الشرح
Service Hijacking — Social Engineering	خداع المستخدمين للكشف عن بيانات اعتماد Cloud عبر Phishing وهندسة اجتماعية
Service Hijacking — Network Sniffing	اعتراض بيانات الاعتماد أثناء نقلها عبر الشبكة
Side-Channel / Cross-guest VM Breach	المهاجم يضع VM خبيثًا على نفس الخادم الفيزيائي للـ VM الهدف ← استغلال الموارد المشتركة (Processor Cache)
Wrapping Attack	تكرار (Duplicate) جسم رسالة SOAP أثناء الترجمة في طبقة TLS وإرساله للسيرفر كمستخدم شرعي
MITC (Man-in-the-Cloud)	نسخة متطوّرة من MITM — استغلال خدمات مزامنة Cloud (Google Drive أو Dropbox). المهاجم يزرع كودًا خبيثًا ← يسرق Synchronization Token الضحية ← يصل للملفات ← يُعيد Token الأصلي ليبقى غير مكتشَف
Cloud Hopper Attack	هجمات Spear-phishing على موظّفي Managed Service Providers (MSPs) لسرقة بيانات سرية بـ Custom Malware
Cloud Cryptojacking	استخدام غير مصرَّح لأجهزة الضحية لتعدين العملات الرقمية — يستغل Cloud Misconfigurations وSSRF وثغرات Client/Server
Cloudborne Attack	ثغرة في Bare-metal Cloud Server تُتيح زرع Backdoor خبيث في Firmware الجهاز — تجاوز الأمان ومراقبة النشاط وسرقة البيانات
IMDS Attack	Instance Metadata Service: استغلال ثغرة Zero-day أو Reverse Proxy مُسرَّب للاتصال بـ Cloud Instance واستخراج User Data والـ Roles والـ Cloud Keys
CPDoS / CDN Cache Poisoning	طلبات HTTP مشوَّهة أو ضخمة الحجم لخداع الـ Origin Server بإرجاع محتوى خبيث يُخزَّن في CDN — DoS للمستخدمين الشرعيين
Cloud Snooper Attack	استغلال ضعف في AWS Security Groups للتنصّت الخفيّ واستخراج بيانات — Rootkits تُموِّه C2 كحركة شرعية على Port 80/443
Golden SAML Attack	الحصول على وصول Admin لـ Identity Provider (ADFS) ← استغلال Token Signing Certificates لتوليد SAML Tokens مزوَّرة
Living Off the Cloud (LotC)	استغلال أدوات وخدمات Cloud الشرعية الخاصة بالضحية لتنفيذ أنشطة خبيثة بدون أثر أو Artifacts

MITC — آلية التنفيذ

1. المهاجم يخدع الضحية لتثبيت كود خبيث يزرع Token المزامنة الخاص بالمهاجم في Drive الضحية. 2. المهاجم يسرق Token المزامنة الخاص بالضحية. 3. يستخدم Token مسروق للوصول لملفات الضحية. 4. يُعيد لاحقًا Token الخبيث مستبدلًا بـ Token الأصلي للضحية → يبقى غير مكتشَف.

Cloud Malware

Malware	الشرح
Cuttlefish	Packet-sniffing Malware يتنكّر في هيئة برامج شرعية للتسلّل لراوترات SOHO والمؤسسات — يسرق بيانات مصادقة Cloud ويُرسِلها لسيرفر C2
Denonia، LemonDuck	Cloud Malware متخصَّص
RansomCloud	Ransomware يستهدف بيانات Cloud
DBatLoader/ModiLoader، Goldbackdoor	Loaders وBackdoors للسحابة

04منهجية اختراق Cloud وAWS Hacking

Cloud Hacking Methodology

Information Gathering

جمع أكبر قدر من المعلومات عن البنية التحتية Cloud المستهدَفة — Shodan وCensys للكشف عن خدمات Cloud المكشوفة وMasscan لاكتشاف البورتات.

Vulnerability Assessment

تقييم نقاط الضعف الأمنية: Misconfigurations وبرمجيات غير مُصحَّحة وثغرات في الشبكة والتطبيقات والخدمات — أدوات: Prowler وCloudSploit.

Exploitation

الاستغلال الفعلي للثغرات للحصول على وصول غير مصرَّح أو التحكّم في البنية التحتية — قد يؤدّي لتسرّب بيانات أو تعطّل خدمات أو خسائر مالية.

Post-Exploitation

الحفاظ على الوصول وتغطية الآثار والتعمّق في الشبكة — سرقة بيانات والاستعداد لهجمات أعمق. تشمل: Log Manipulation وحذف Credentials المؤقتة وإنشاء Backdoors مخفية.

AWS Hacking — تعداد S3 Buckets

S3 (Simple Storage Service) خدمة تخزين سحابية قابلة للتوسّع. المهاجمون يستغلّون Misconfigurations للوصول للملفات والمجلدات والكائنات المخزَّنة. ترك S3 Bucket مفتوحًا يُتيح تعديل ملفات JavaScript وحقن Malware.

تقنية التعداد	الشرح
Inspecting HTML	تحليل Source Code صفحات HTML للعثور على URLs لـ S3 Buckets مضمَّنة في الخلفية
Brute-forcing URL	تجربة جميع احتمالات bucket_name في `http://s3.amazonaws.com/[bucket_name]` بـ Burp Suite Intruder
Advanced Google Hacking	استخدام Google Dorks مثل `inurl:s3.amazonaws.com` و`inurl:s3.amazonaws.com/backup/`
S3Scanner	تحديد S3 Buckets المفتوحة واسترداد محتواها
BucketLoot	فحص صلاحيات S3 Buckets تلقائيًا — يكتشف Misconfigurations واستخراج URLs وNested Domains
CloudBrute	إيجاد البنية التحتية والملفات والتطبيقات لشركة مستهدَفة عبر أكبر موردّي Cloud (Amazon وGoogle وMicrosoft وDigitalOcean وAlicloud)

google dorks — S3 bucket discovery

inurl:s3.amazonaws.com
inurl:s3.amazonaws.com/audio/
inurl:s3.amazonaws.com/video/
inurl:s3.amazonaws.com/backup/
inurl:s3.amazonaws.com/image/

# Shodan queries for SCADA / Cloud
product:Siemens  country:US
org:"Amazon"     port:22
org:"Microsoft"  port:3389

AWS IMDS Attack وAWS IAM Hacking

bash — AWS IMDS attack & IAM enumeration

# 1. استخراج IAM Roles المتاحة على الـ Instance
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/

# 2. استخراج Cloud Keys للـ Role
curl http://169.254.169.254/latest/meta-data/iam/security-credentials/

# 3. Pacu — IAM Privilege Escalation
pacu
# create new policy version (admin access)
aws iam create-policy-version --policy-arn  --policy-document file://admin.json --set-as-default

# 4. Endgame — Backdoor IAM
endgame list-resources -s iam
endgame list-resources --service s3
endgame expose --service iam --name test-resource-exposure

طرق اختراق AWS IAM Credentials

الطريقة	الشرح
Repository Misconfigurations	مطوّرون يشاركون AWS Keys في Git Repositories — Insiders غاضبون قد يُسيئون استخدامها
Social Engineering	Phishing وMails وSMS مزوَّرة لسرقة API Keys
Password Reuse	كلمة مرور موقع واحد مُخترَق → وصول لخدمات Cloud أخرى بنفس البيانات
SSRF	استغلال SSRF في تطبيق ويب للوصول لـ EC2 Metadata API الداخلية
Reading Local Files	AWS Keys مخزَّنة في `~/.aws/credentials` أو متغيّرات البيئة
Third-party Software	اختراق برامج إدارة كلمات مرور أو برامج أمان يُتيح وصولًا عالي المستوى
Insider Threat	موظّفون/شركاء تجاريون لديهم وصول مُسبَق — لا يحتاجون لاختراق Credentials

AWS IAM Privilege Escalation Techniques

التقنية	الإذن المطلوب	الأثر
Create a new policy version	iam:CreatePolicyVersion	إنشاء نسخة جديدة بصلاحيات مخصَّصة + --set-as-default → وصول Admin
Set default policy version	iam:SetDefaultPolicyVersion	تفعيل نسخة سياسة غير مستخدَمة قد تحمل صلاحيات أعلى
Create EC2 with instance profile	iam:PassRole + ec2:RunInstances	إنشاء EC2 مع Instance Profile للوصول لنظام التشغيل
Create new user access key	iam:CreateAccessKey	إنشاء Access Key لمستخدم آخر ← نفس مستوى صلاحياته
Create/update login profile	iam:CreateLoginProfile أو UpdateLoginProfile	إنشاء أو تعديل Login Profile لمستخدم آخر → تصعيد الصلاحيات
Create/update inline policy	iam:PutUserPolicy أو PutGroupPolicy أو PutRolePolicy	إنشاء أو تحديث Inline Policy لمستخدم/مجموعة/دور → Admin كامل
Add user to group	iam:AddUserToGroup	إضافة النفس لمجموعة موجودة ذات صلاحيات عالية

Docker Containers على AWS (CCAT)

إساءة استخدام AWS Credentials

استعراض ECR Repositories المتاحة بـ CCAT "Enumerate ECR" module.

سحب Docker Image

تحديد وسحب Docker Image للمؤسسة المستهدَفة بـ CCAT "Pull Repos from ECR".

إنشاء Backdoor Image

إنشاء Reverse Shell Backdoor في الـ Docker Image بـ CCAT "Docker Backdoor" module.

رفع الـ Backdoor Image

رفع الـ Image المُعدَّل للـ ECR Repository بـ CCAT "Push Repos to ECR" module.

05Azure وGCP وContainer Hacking

Azure Hacking

الأداة / التقنية	الشرح
AADInternals	PowerShell Module لإدارة Azure AD وOffice 365 — Reconnaissance وExploitation وPost-exploitation
AzureGraph	تعداد Azure AD Accounts وAdmin Groups
Stormspotter (Stormcollector)	تعداد Resources وConfigurations وثغرات محتملة في Azure Subscription
AzureHound	جمع بيانات من AzureAD وAzureRM
Goblob	الوصول لـ Blob Storage المكشوفة
Open NSGs	استغلال Network Security Groups المفتوحة على SSH (22) وHTTP (80) وMySQL (3306) — Brute-force وتنفيذ أوامر وسرقة بيانات
Managed Identities	استغلال Managed Identity للمصادقة على أي خدمة تدعم Azure AD بدون إدارة بيانات دخول
Service Principals (Backdoor)	إنشاء Backdoors بأدوار Azure AD للحفاظ على وصول دائم بدون أثر — Azure CLI وPowerShell وBloodHound
VNet Peering Exploitation	استغلال اتصالات VNet Peering للحركة الجانبية وسرقة البيانات
Shadow Admins (SkyArk)	AWStealth وAzureStealth لاكتشاف حسابات ذات صلاحيات حسّاسة وخطيرة

GCP Hacking

الأداة / التقنية	الشرح
Google Cloud CLI	تعداد شامل لـ Resources والخدمات والإعدادات والصلاحيات في بيئة GCP
GCP Scanner	تحديد مستوى وصول بيانات اعتماد في GCP — يدعم GCE وGCS وGKE وApp Engine وCloud SQL وBigQuery وغيرها
cloud_enum	أداة OSINT متعدّدة السحابات — تعداد GCP Buckets وFirebase وApp Engine Sites وCloud Functions
GCP Privilege Escalation Scanner	Python Script يُحدِّد ثغرات Privilege Escalation في GCP بتقييم IAM Policies
GCPBucketBrute	تعداد Google Storage Buckets والتحقّق من مستويات الوصول وفحص إمكانية تصعيد الصلاحيات عبر TestIamPermissions API
GCPGoat	بنية GCP ضعيفة بالتصميم لتدريب المهاجمين — OWASP Top 10 وXSS وSSRF وIAM Privilege Escalation

Container Hacking

bash — kubectl & container hacking

# kubectl: جمع معلومات Kubernetes
kubectl get pods --all-namespaces
kubectl get secrets --all-namespaces
kubectl get serviceaccounts --all-namespaces

# etcd: استخراج Secrets (Port 2379)
etcdctl --endpoints=http://127.0.0.1:2379 get / --prefix --keys-only

# Docker Remote API
docker -H tcp://:2375 ps
docker -H tcp://:2375 run -v /:/host -it alpine chroot /host

# LXD Privilege Escalation
lxc image import alpine.tar.gz --alias alpine
lxc init alpine privesc -c security.privileged=true
lxc config device add privesc mydevice disk source=/ path=/mnt/root recursive=true
lxc start privesc && lxc exec privesc /bin/sh

أدوات Vulnerability Scanning للـ Containers

الأداة	الشرح
Trivy Vulnerability Scanner	فحص شامل لثغرات الـ Containers
Anchore، Clair	ماسحات Containers شائعة
Kubescape، kube-hunter، kubeaudit	أدوات Kubernetes Security Assessment
KubiScan، Krane	تحليل صلاحيات Kubernetes

هجمات Kubernetes etcd

الـ etcd تخزين Key-Value موزَّع لبيانات Cluster وتفاصيل Service Discovery وAPI Objects — الوصول له يُعادل Root على النظام. يُحدِّد المهاجمون Port 2379 لاكتشاف نقاط الاتصال بالـ Kubernetes.

LXD/LXC Privilege Escalation

لو المستخدم في مجموعة 'lxd' يمكنه إنشاء Container مميَّز وربط نظام ملفات الـ Host به ← Privilege Escalation للـ Root. الأمر المستخدَم: lxc config device add privesc mydevice disk source=/ path=/mnt/root.

06Cloud Security — الإجراءات المضادة وأفضل الممارسات

طبقات ضوابط أمان Cloud

الطبقة	ضوابط الأمان
Application Layer	SDLC وBinary Analysis وScanners وWeb App Firewalls وTransactional Security — معايير OWASP
Information Layer	DLP وContent Monitoring وDatabase Activity Monitoring وEncryption
Management Layer	GRC وIAM وVA/VM وPatch Management وConfiguration Management والمراقبة
Network Layer	Network IPS/IDS وFirewalls وDeep Packet Inspection وAnti-DDoS وQoS وDNSSEC وOAuth
Trusted Computing	Hardware وSoftware Root of Trust (RoT) وAPIs
Computation & Storage	Host-based Firewalls وHIDS/HIPS وIntegrity & File/Log Management وEncryption والـ Masking
Physical Layer	Physical Plant Security وFences وGuards وCCTV وPhysical Authentication وSecurity Patrols

أفضل الممارسات لأمان Cloud

تطبيق آليات حماية البيانات والنسخ الاحتياطي والاحتفاظ
تطبيق SLAs للـ Patching ومعالجة الثغرات
إجراء AICPA SSAE 18 Type II Audits دوريًا
التحقّق من Cloud في قوائم Blacklists العامة
تطبيق عقود قانونية في سياسة سلوك الموظّفين
حظر مشاركة بيانات الاعتماد بين المستخدمين والتطبيقات والخدمات
تطبيق ضوابط مصادقة وتفويض وتدقيق قوية
التحقّق من حماية البيانات في مرحلتَي التصميم والتشغيل
مراقبة حركة العميل للأنشطة الخبيثة

أفضل ممارسات أمان الـ Containers

مراقبة CVEs لـ Container Runtime ومعالجتها فور اكتشافها
تفعيل Logging وAuditing الشامل
تشغيل التطبيقات كمستخدمين عاديين لمنع Privilege Escalation
ضبط Root File System للـ Host في وضع Read-only
تجنّب برامج الطرف الثالث واستخدام أدوات Application Security Scanning
فحص الصور في Repository دوريًا
نشر Application Firewalls لتحسين أمان الـ Container

أفضل ممارسات أمان Docker

تجنّب كشف Docker Daemon Socket (نقطة الدخول الأساسية للـ Docker API)
استخدام Docker Images الموثوقة فقط
تصحيح Host OS وDocker بانتظام
تقييد القدرات: --cap-drop all ثم إضافة ما هو ضروري فقط
دائمًا تشغيل Docker Images بـ --security-opt=no-new-privileges

أفضل ممارسات أمان Kubernetes

التحقّق الصحيح من محتوى الملفات ومساراتها في كل مرحلة معالجة
استخدام Configuration Methods للمسارات الحسّاسة بدلًا من Hard-coded Paths
رفع أخطاء صريحة بعد كل خطوة من العمليات المركّبة
استخدام well-tested JSON Libraries وأنواع بنيات صحيحة للتعامل مع Kubernetes APIs
عدم استخدام Shell Commands المركّبة بدون تحقّق لأنها تؤثّر على حالة النظام

Zero Trust Networks

نموذج أمان يفترض أن كل مستخدم يحاول الوصول للشبكة غير موثوق بشكل افتراضي ← يتحقّق من كل اتصال قبل السماح بالوصول. يتّبع مبدأ: "Trust no one and validate before providing a cloud service". يُطبِّق تحكّمًا صارمًا في الوصول ويراقب تدفّق حركة الشبكة.

Cheat Sheet مرجعي

أنواع Cloud Services — مرجع سريع

الخدمة	من يُدير التطبيق؟	من يُدير البنية التحتية؟	مثال
IaaS	المستهلك	CSP	Amazon EC2
PaaS	المستهلك (التطبيق فقط)	CSP	Google App Engine
SaaS	CSP (كل شيء)	CSP	Gmail، Office 365
FaaS/Serverless	المستهلك (الكود فقط)	CSP	AWS Lambda
CaaS	المستهلك (Containers)	CSP	Google Kubernetes Engine

هجمات Cloud — مرجع سريع

الهجوم	الهدف	الأداة
MITC	سرقة Sync Token من Cloud Storage	Malicious Code + Drive
IMDS Attack	استخراج IAM Roles وCloud Keys	curl 169.254.169.254
S3 Bucket Enum	اكتشاف Buckets مكشوفة	S3Scanner، CloudBrute، BucketLoot
IAM Privilege Escalation	الحصول على Admin Access في AWS	Pacu، Endgame
Azure AD Backdoor	استمرارية الوصول عبر Service Principals	Azure CLI، BloodHound
GCP Bucket Escalation	الحصول على Admin-level Access	GCPBucketBrute
Docker API Exploit	تشغيل Container كـ Root على الـ Host	docker -H tcp://:2375
LXD Escalation	Root Privilege Escalation عبر lxd Group	lxc init + security.privileged=true
etcd Access	Root-level Access للـ Kubernetes Cluster	etcdctl --endpoints port 2379
Wrapping Attack	استنساخ SOAP Messages في TLS	MITM + SOAP Manipulation
Cloud Snooper	Rootkit مُموَّه خلف Port 80/443 في AWS SGs	Rootkit + C2 Masquerading
Golden SAML	SAML Tokens مزوَّرة من ADFS	Admin Access to IdP

Kubernetes Components — مرجع سريع

المكوّن	نوعه	الوظيفة
kube-apiserver	Master	واجهة API الوحيدة للـ Cluster — يتواصل مع etcd
etcd	Master	تخزين بيانات الـ Cluster — الوصول إليه = Root
kube-scheduler	Master	جدولة Pods على Nodes
kube-controller-manager	Master	إدارة Controllers (Node وEndpoint وReplication)
kubelet	Worker	يضمن تشغيل Containers في كل Pod
kube-proxy	Worker	إدارة قواعد الشبكة للـ Pods
Container Runtime	Worker	Docker أو containerd أو cri-o

الخلاصة العامة للموديول

الموديول ناقش مفاهيم Cloud Computing (8 خصائص و10+ أنواع خدمات و7 نماذج نشر والـ NIST Reference Architecture وFog/Edge Computing)، وبنية Containers وDocker وKubernetes وServerless، وأكثر من 12 نوع هجوم Cloud (MITC وWrapping وCloud Hopper وCryptojacking وIMDS وCPDoS وCloud Snooper وGolden SAML وLotC)، ومنهجية الاختراق الكاملة مع AWS (S3 Enumeration وIAM Privilege Escalation وIMDS وECR/Docker) وAzure وGCP وContainer Hacking (Docker API وLXD وKubernetes etcd)، وختم بطبقات أمان Cloud وأفضل الممارسات وZero Trust.

$ cat ./module19_summary.txt

الفرق الجوهري بين IaaS وPaaS وSaaS هو من يُدير ماذا — IaaS تُدير الـ OS فصاعدًا، SaaS CSP يُدير كل شيء
MITC يختلف عن MITM في أنه يستغل خدمات Cloud الشرعية للمزامنة — لا اعتراض للحزم
IMDS على 169.254.169.254 هو خطر SSRF رئيسي في AWS — يُتيح استخراج IAM Roles وCloud Keys مباشرةً
S3 Misconfigurations هي الثغرة الأكثر شيوعًا في AWS — Bucket مفتوح = ملفات وبيانات اعتماد متاحة للجميع
etcd في Kubernetes يُخزِّن كل بيانات الـ Cluster — الوصول لـ Port 2379 = Root Level Access
LXD Group Membership يُتيح Privilege Escalation للـ Root عبر Container Privileged مع ربط نظام ملفات الـ Host
Zero Trust يفترض إن كل شيء مخترق مسبقًا — "Trust no one and validate before providing a cloud service"

السحابة لا تعني أن البيانات آمنة — تعني أن المسؤولية مُشتركة. S3 Bucket مفتوح بغلطة إعداد واحدة، IAM Role بإذن زائد، IMDS مكشوف لـ SSRF — كل هذا بأمثلة حقيقية أدّت لتسرّبات بيانات ضخمة. الدفاع يبدأ بالـ Least Privilege وينتهي بـ Zero Trust.

Exam Tip

أسئلة هذا الموديول تُركِّز على: الفرق بين IaaS وPaaS وSaaS وFaaS، نماذج نشر Cloud السبعة، NIST Cloud Actors الخمسة، الفرق بين Fog وEdge Computing، الفرق بين MITM وMITC، آلية IMDS Attack وعنوانه (169.254.169.254)، AWS IAM Privilege Escalation Techniques، مكوّنات Kubernetes Master/Worker، وآلية LXD Privilege Escalation.

نهاية نوتس الموديول التاسع عشر — Cloud Computing