تنمو معظم حسابات AWS بالطريقة نفسها: يُنشئ أحدهم خادم EC2 لأن الموعد النهائي يقترب، ويضيف متعاقد حاوية S3، وتُربط دالة Lambda بقائمة انتظار أثناء حادثة طارئة، وبعد عامين لا يستطيع أحد أن يجزم بما يعمل في الحساب، أو بتكلفته، أو بقدرته على اجتياز تدقيق.
وُجد InfraMind لهذا النوع من الحسابات بالذات. إليك ما يحدث فعليًا عندما تربطه بحسابك، خطوة بخطوة ودون أي سحر.
الخطوة 1: الربط دون تسليم أي بيانات اعتماد
يتصل InfraMind بـ AWS بإحدى طريقتين:
- دور IAM عبر الحسابات (cross-account): تنشئ في حسابك دورًا للقراءة فقط، ويفترضه InfraMind عند الحاجة إلى الفحص. يمكنك أن ترى بالضبط ما يسمح به هذا الدور، وأن تلغيه في أي وقت.
- AWS IAM Identity Center (SSO): إذا كانت مؤسستك تستخدم Identity Center بالفعل، فإن InfraMind يرتبط بالصلاحيات التي صمّمتها أصلًا.
في الحالتين تُحلّ بيانات الاعتماد وقت التشغيل ولا تُخزَّن أبدًا. لا توجد خزنة كلمات مرور لدينا يمكن أن تتسرّب، لأنه لا يوجد فيها شيء.
إذا سألك فريق الأمن "ما الذي يحتاجه؟" فالجواب الصادق: وصول للقراءة فقط عبر واجهات AWS، محصور في وصف الموارد. لا ينشئ شيئًا في حسابك ولا يعدّله ولا يحذفه.
الخطوة 2: الفحص — 55 خدمة، و5 مستويات، ولقطة واحدة
يجوب الفحص حسابك كما يفعل موظف جديد دقيق لو توفر له أسبوع كامل وصبر بلا حدود. وعمليًا يستغرق دقائق فقط. يرسم InfraMind خريطة لما يصل إلى 55 خدمة من AWS مجمّعة في 5 مستويات:
| المستوى | ما يتضمنه | أمثلة |
|---|---|---|
| الحوسبة والشبكات الأساسية | 19 خدمة | VPC، EC2، RDS، Lambda، EKS |
| الأمان والحوكمة | 12 خدمة | IAM، KMS، GuardDuty، WAFv2، CloudTrail |
| البيانات والتحليلات | 10 خدمات | Redshift، Glue، OpenSearch، DynamoDB |
| التطبيقات والحافة | 8 خدمات | CloudFront، Route 53، API Gateway |
| العمليات والتعلم الآلي | 6 خدمات | SageMaker، Bedrock، CloudFormation |
والنتيجة لقطة كاملة: كل مورد وإعداداته، والأهم من ذلك العلاقات بين الموارد. أي مجموعات أمان تحمي أي خوادم، وأي أدوار تستطيع الوصول إلى أي حاويات، وأي دوال تتحدث مع أي قوائم انتظار.
وتتحول هذه اللقطة إلى مخططات طوبولوجيا تفاعلية (تخطيط VPC، واعتماديات الخدمات، وتدفق مجموعات الأمان، وعلاقات IAM، وتدفق البيانات) تبقى متزامنة مع آخر فحص، لا ملف Visio من عام 2023.
الخطوة 3: التحليل — Claude يقرأ بنيتك التحتية
القائمة الخام مفيدة، لكن الحكم الجيد أفضل. يمرّر InfraMind لقطتك عبر Claude (يعمل على AWS Bedrock أو عبر واجهة Anthropic، والاختيار لك) لتحليلها من أربع زوايا:
- الأمان: حاويات عامة، وأدوار IAM مفرطة الصلاحيات، ومجموعات أمان مفتوحة، ووحدات تخزين غير مشفّرة
- التكلفة: موارد خاملة، وخوادم أكبر من اللازم، وتخزين غير مرتبط بأي مورد
- المعمارية: نقاط فشل منفردة، ونقص في التكرار الاحتياطي، وأنماط تخالف إرشادات AWS
- عام: مراجعة "اشرح لي ما لديّ" للحسابات التي ورثتها
يسمّي كل استنتاج المورد المحدد وسوء الإعداد المحدد وحلًا عمليًا، لا رقم مرجع وأمنية. ويمكن تصفية الاستنتاجات حسب الخدمة أو الحساب أو درجة الخطورة، فيتحول "3,000 مشكلة" إلى "الـ 12 التي تهمّ في هذا السبرنت".
الخطوة 4: التقييم — امتثال يمكنك عرضه على المدقق
يُجمَّع كل استنتاج في درجة امتثال عبر 8 أطر: CIS وPCI-DSS وHIPAA وSOC 2 وISO 27001 وGDPR وNIST SP 800-53 وFedRAMP. وتحصل لكل إطار على الضوابط الناجحة والفاشلة وغير المنطبقة، مع إرشادات المعالجة للضوابط الفاشلة.
تُصدَّر التقارير بصيغة PDF أو تُشارَك كرابط مباشر، وهذا يعني أن سؤال "هل نحن جاهزون لـ SOC 2؟" لم يعد مشروع تنقيب يستغرق أسبوعين، بل أصبح رابطًا ترسله.
ما يهمّ المطورين: تصدير Terraform
هذه هي القدرة الهادئة الأقوى. يحوّل InfraMind بنيتك الحيّة إلى كود Terraform HCL جاهز للاستخدام، ويأتي كل مورد مع كتلة import مقابلة:
import {
to = aws_s3_bucket.prod_assets
id = "prod-assets"
}
resource "aws_s3_bucket" "prod_assets" {
bucket = "prod-assets"
# ... captured configuration
}
وهذا يعني أنك تستطيع اعتماد Infrastructure-as-Code على حساب لم يُبنَ يومًا بهذه الطريقة، دون إعادة إنشاء أي شيء، ودون الأسابيع التي تُكتب فيها عبارات الاستيراد يدويًا والتي تقتل عادةً مثل هذه الهجرات.
ثم يواصل المراقبة
تُقارَن كل عملية فحص جديدة باللقطة السابقة. وتظهر الموارد المضافة والمعدّلة والمحذوفة كأحداث تغيير يمكن تصفيتها حسب الخدمة أو الحساب أو الخطورة. وحين يظهر في بيئة الإنتاج شيء لا يتذكر أحد أنه أنشأه، ستعرف ذلك.
كم يكلّف أن تكتشف؟
تربط الخطة المجانية أول حساب AWS لك دون بطاقة ائتمان. وإذا لم يعلّمك الفحص الأول شيئًا عن حسابك لم تكن تعرفه، فلن يكلّفك سوى الدقيقتين اللتين استغرقهما إعداد دور IAM.