عزل المستأجرين في SaaS: ما تختبره قبل استقبال العملاء

عزل المستأجرين في SaaS يعني أن العميل لا يستطيع الوصول إلا إلى السجلات والعمليات التي يحق لمؤسسته استخدامها. أداة اختيار المستأجر في الواجهة لا تكفي. يجب أن تصمد الحدود عندما تصل الطلبات والمهام الخلفية والذاكرات المؤقتة وتنزيلات الملفات إلى الأنظمة الأساسية.

اختبر عزل المستأجرين باستخدام مؤسسات منفصلة وأدوار مستخدم عادية ومحاولات مقصودة لعبور حدودها. تحقق من القراءة والكتابة والملفات والاستجابات المخزنة مؤقتا والعمل الخلفي وفق قواعد الوصول نفسها. اطلب أدلة من حدود الخلفية المفروضة قبل استقبال عملاء لديهم سجلات حساسة أو مهمة تجاريا.

تخيّل بوابة عملاء ترى فيها كل مؤسسة طلبات الشراء الخاصة بها. تبدو شاشة القائمة صحيحة، لكن تصديرا منزلا يحتوي صفوف مؤسسة أخرى. هذا إخفاق عزل حتى إذا عمل تسجيل الدخول ومسار الصفحة المعتاد كما هو مقصود.

يساعد هذا الدليل المسؤول على تحديد نطاق التحقق والمعالجة. لا يدعي أن بنية قاعدة بيانات واحدة تضمن الأمن أو أن قائمة تحقق تحل محل تقييم كامل للتطبيق.

حدد عزل المستأجرين في SaaS قبل اختيار التخزين

حدد معنى المستأجر في المنتج. قد يكون مؤسسة عميل أو كيانا قانونيا أو مساحة عمل. سجّل كيفية انضمام المستخدمين ومغادرتهم وتبديلهم بين المستأجرين، وأدوار الدعم التي تستطيع العمل عبرها. غموض هذه القواعد يصبح غموضا في الاختبارات.

يصف دليل OWASP لأمن تعدد المستأجرين العزل عبر حدود قاعدة البيانات والذاكرة المؤقتة والتخزين والحوسبة. ويميّز أيضا بين محدد مستأجر يوفره العميل وصلاحية يتحقق منها الخادم. استخدم هذا التمييز عند تقييم مسار الطلب الفعلي في المنتج.

حدد ملكية البيانات صراحة. قد يكون دليل منتجات مشترك ظاهرا لعدة عملاء عمدا، بينما تعود ملاحظات الطلبات إلى المستأجر. تحتاج الاختبارات معرفة الفرق لتحدد التسريبات دون اعتبار المعلومات المشتركة عمدا عيبا.

ارسم الاستثناء الإداري. إذا استطاع موظفو الدعم فحص سجلات عميل، فاشرح من يمنح الوصول وكيف يُحدد نطاقه وكيف يُسجل استخدامه. يجب اختبار مسار دعم قوي بوصفه قدرة مقصودة بدلا من إخفائه خارج نموذج المستأجر المعتاد.

تتبع سياق المستأجر عبر الطلب

ابدأ بمستخدم تمت مصادقته وتحقق من عضويته الحالية أو صلاحية الخدمة. تتبع المستأجر المختار إلى منطق العمل والوصول إلى البيانات. افحص أن تغيير ترويسة أو قيمة مسار أو جسم طلب لا يستطيع استبدال صلاحية مؤسسة أخرى.

المعرّفات التي تبدو عشوائية قد تصعب التخمين، لكنها لا تثبت الإذن. يوصي دليل OWASP للتفويض بفحص الوصول في كل طلب. اختبر معرّفا حصلت عليه بصورة مشروعة من مستأجر آخر، بدلا من الاعتماد على قدرة المختبر على تخمينه.

كرر هذا المنطق للبحث والتصدير وواجهات API البديلة. أول شاشة تفاصيل صحيحة لا تثبت أن تقريرا جماعيا أو نقطة نهاية للجوال أو مسار توافق قديم يفرض الحدود نفسها.

قارن مناهج قاعدة البيانات وفق ضوابطها الفعلية

تنشئ قواعد البيانات المنفصلة والمخططات والجداول المشتركة مفاضلات تشغيلية مختلفة. لا يلغي أي منها الحاجة إلى التحقق من بيانات الاعتماد والأدوار والاستعلامات والمسارات الإدارية. يجب أن يحدد العرض أين تُفرض الحدود وما سيحدث إذا أغفل كود التطبيق مرشحا.

تجنب اعتبار النقل إلى قواعد منفصلة إصلاحا افتراضيا لكل عيب. قد يكون لخطأ تفويض محدود إصلاح مستهدف. وبالمثل، لا تكفي إضافة مرشح في متحكم واحد عندما يظل التصدير والمهام وأدوات الدعم تستخدم وصولا غير مقيد.

اختبر الدور الذي تستخدمه طلبات الإنتاج فعليا

تشرح وثائق PostgreSQL لأمن الصفوف استثناءات مهمة، منها الأدوار ذات الامتياز وملكية الجداول. عندما يعتمد المنتج على سياسات الصفوف، تحقق منها باستخدام دور الطلب المقيد الفعلي. اختبار يُنفذ كمسؤول قاعدة بيانات لا يمثل حدود التطبيق العادي.

أدرج حسابات النشر والترحيل في الحصر. قد تحتاج بصورة مشروعة وصولا أوسع، لكن يجب ألا تصبح الهوية المعتادة لطلبات العملاء. وثّق كيفية حصول بيئة التشغيل على صلاحيتها المقصودة وكيفية فحص هذا الترتيب بعد النشر.

افحص الذاكرة المؤقتة والملفات والمخرجات المشتقة

افحص مفاتيح الذاكرة المؤقتة ونطاق النتائج المخزنة. يجب ألا تصبح مدخلة أنشئت لمؤسسة إجابة لأخرى لأن الطلبين يشتركان في مسار أو مرشح مريح. اختبر المستأجر الثاني بعد أن يملأ الأول الذاكرة المؤقتة.

تحتاج الملفات أدلة قبول خاصة بها. تحقق من ملكية الرفع ووصول المعاينة والتنزيل والتقارير المُنشأة. قد ترفض صفحة الوصول بصورة صحيحة بينما يبقى رابط مرفق متاحا عبر مسار غير مرتبط. أدرج الروابط القديمة والصادرة سابقا في نطاق الاختبار المتفق عليه.

افحص البيانات المشتقة مثل فهارس البحث والتوصيات وتصدير التحليلات. حدد ما إذا كان النظام يفرض قيود المستأجر عند استرجاع تلك البيانات، لا عند إدراجها فقط. قد تعبر المعلومات الحدود عبر ملخص حتى عندما تكون نقطة نهاية سجل المصدر محمية.

استخدم بيانات اختبار مضبوطة تعود إلى مؤسسات مختلفة. امنح كل مؤسسة محتوى مميزا كافيا لتحديد اختلاط البيانات دون نسخ وثائق عملاء حقيقية إلى التقييم. يجعل هذا تشخيص نتيجة مؤقتة غير متوقعة أو تصدير مختلط أسهل.

اختبر المهام الخلفية وتغييرات العضوية

يجب أن يحمل العمل الخلفي سياق مستأجر مُتحققا منه عبر قائمة الانتظار إلى العملية. افحص ما يحدث إذا تأخرت مهمة أو أُعيدت محاولتها أو التقطتها عملية عاملة مختلفة. نطاق مستأجر صحيح في طلب الويب ليس دليلا على احتفاظ المهمة اللاحقة به.

اختبر تغييرات العضوية. يجب ألا يحتفظ مستخدم أُزيل من مؤسسة بوصول عادي عبر جلسة مخزنة أو تصدير محفوظ أو عملية معلقة خلافا للسياسة المتفق عليها. حدد السلوك المقصود للعمل المقبول بالفعل قبل الإلغاء.

يستحق انتحال الهوية لأغراض الدعم وحذف المستأجر تغطية مقصودة أيضا. اشرح كيفية خروج المشغّلين من جلسة مرتفعة الامتياز وكيفية التعامل مع الملفات والمهام والمراجع المتبقية. تعتمد سياسة الحذف الصحيحة على التزامات الاحتفاظ في المنتج؛ يجب أن يتحقق التقييم من السياسة المختارة لا أن يخترع واحدة.

يكون دليلنا لاستلام مشاريع البرمجيات ذا صلة عندما لا يستطيع الفريق الحالي شرح هذه المسارات. قد تكون استعادة مسؤولية النشر والوصول إلى البيانات والوثائق التشغيلية جزءا من جعل الحدود قابلة للصيانة.

حدد تقرير تحقق مفيدا

اطلب نتائج تظهر الفاعل والمستأجر والعملية والأثر المرصود. أدرج الطلب المعني وأدلة الوجهة مع ضبط القيم الحساسة بصورة مناسبة. نتيجة بعنوان التحكم في الوصول دون مسار قابل لإعادة الإنتاج صعبة الإصلاح وصعبة إعادة الاختبار.

يمكن أن يدعم OWASP ASVS متطلبات أمن التطبيق الأوسع. احتفظ بمصفوفة القبول الخاصة بالمستأجرين إلى جانب هذا العمل كي يرى المراجع المؤسسات والأدوار وأنواع الموارد التي خضعت للاختبار.

افصل العيوب المؤكدة عن المسارات غير المختبرة. إذا لم يستطع المقيم فحص خدمة تخزين خاصة أو تصدير إداري، فاذكر ذلك. قيد صادق للنطاق أنفع من استنتاج غير مسنود بأن كل بيانات المستأجرين معزولة.

بعد المعالجة، كرر الحالة الفاشلة الأصلية والحالات المشروعة القريبة. إصلاح يمنع كل التنزيلات قد يوقف التسريب لكنه يعطل المنتج. يحتاج القبول رفض الوصول غير المصرح به واستمرار عمل العميل المسموح به معا.

ضع ميزانية للحدود الفعلية للمنتج

حدد نطاق التقييم باستخدام أنواع الموارد والأدوار ومسارات التشغيل بدلا من عدد الصفحات وحده. أدرج الملفات الخارجية والذاكرات المؤقتة والمهام الخلفية ووصول الدعم عندما تستطيع كشف معلومات يملكها المستأجر. قد تكون لبوابة صغيرة حدود أوسع مما توحي به واجهتها.

اطلب عروضا بعملة GBP تميز التقييم عن المعالجة. تجنب قبول ضمان شامل قائم فقط على اختبار تسجيل دخول أو فحص آلي. المخرج القيّم هو أدلة حول حدود الوصول التي سيعتمد عليها عملاؤك.

توفر خدمتنا لأمن التطبيقات نقطة بداية لهذا النطاق. أرسل لنا نموذج المستأجر في المنتج وقرار استقبال العملاء لمناقشة التحقق والإصلاحات المستهدفة والأدلة اللازمة قبل فتح حساب العميل التالي.

الأسئلة الشائعة

ما عزل المستأجرين في SaaS؟ هو الفصل المفروض لبيانات مؤسسات العملاء والعمليات المسموح بها. يجب أن تصمد الحدود عبر طلبات التطبيق والتخزين والذاكرات المؤقتة والملفات والعمل الخلفي، بما في ذلك الاستثناءات الإدارية التي يحددها المنتج.

هل تضمن قواعد البيانات المنفصلة العزل؟ لا. قد تظل بيانات الاعتماد والتوجيه وأدوات الدعم والتصدير والنسخ الاحتياطية تعبر الحدود. يمكن أن تكون قواعد البيانات المنفصلة جزءا من التصميم، لكن مسارات الوصول الفعلية تحتاج اختبارا.

هل تكفي معرّفات السجلات العشوائية؟ لا. قد تقلل التعداد السهل لكنها ليست فحوص إذن. اختبر الوصول باستخدام معرّف حقيقي من مستأجر مضبوط مختلف، وتأكد من أن الخادم يرفضه.

هل يجب اختبار الوصول المسموح به إلى جانب الرفض؟ نعم. قد تخفي معالجة ترفض كل طلب منتجا معطلا. تحقق من أن المستخدمين العاديين يحتفظون بعملياتهم المقصودة بينما تُرفض محاولات العبور بين المستأجرين.

لماذا تحتاج الذاكرات المؤقتة اختبارات منفصلة؟ قد تعيد بيانات دون تكرار مسار الوصول الأصلي إلى البيانات. املأ ذاكرة مؤقتة تحت مستأجر وافحص النتيجة تحت آخر. أكد أن نطاق الذاكرة المؤقتة يحافظ على الصلاحية المقصودة بدلا من مجرد مشاركة مفتاح مريح.

كيف ينبغي أن يعمل وصول الدعم؟ حدد من يمكنه الحصول عليه والنطاق الذي يمنحه ومدة بقائه وكيف تُسجل الإجراءات. اختبر الدخول إلى السياق مرتفع الامتياز واستخدامه والخروج منه. يجب أن يجعل التصميم الاستثناء صريحا وقابلا للمراجعة.

ماذا لو استخدمنا أمن مستوى الصف؟ اختبره بدور الطلب الفعلي للتطبيق وأدرج عمليات تتجاوز المتحكمات المعتادة. قد يكون للأدوار ذات الامتياز في قاعدة البيانات ومسارات الوصول الأخرى سلوك مختلف. سياسات الصفوف ضابط يجب التحقق منه، وليست سببا لإغفال التقييم.

ماذا ينبغي أن يتلقى المورد قبل تقديم العرض؟ وصف المستأجرين والأدوار وأنواع الموارد والتخزين الخارجي والعمليات الخلفية. حدد البيئات والحسابات المضبوطة المتاحة للاختبار، إلى جانب القرار الذي يجب أن يدعمه التقييم.