چطور SaaSهای ناشناس وارد سازمان می‌شوند و کسی متوجه نمی‌شود؟

در بسیاری از سازمان‌ها، اضافه شدن یک نرم‌افزار دیگر الزاماً به معنی نصب یک برنامه روی کامپیوتر یا راه‌اندازی یک سرور جدید نیست. یک کارمند می‌تواند در چند دقیقه وارد یک وب‌سایت شود، با ایمیل کاری یا شخصی خود حساب بسازد، از یک سرویس آنلاین استفاده کند و حتی آن را به ابزارهای دیگری مثل ایمیل، فایل‌ها یا سرویس‌های کاری سازمان متصل کند. اینجاست که یک سؤال مهم مطرح می‌شود: Saas چیست و چطور وارد سازمان می‌شوند و چرا ممکن است تیم IT حتی متوجه وجود آن‌ها نشود؟

فرض کنید تیم IT سازمان می‌داند کارکنان از Microsoft 365، سامانه CRM و یک ابزار رسمی مدیریت پروژه استفاده می‌کنند. اما در کنار این سرویس‌ها، چند نفر از کارکنان برای اشتراک فایل، مدیریت وظایف، تبدیل فایل، طراحی، تحلیل داده یا استفاده از ابزارهای هوش مصنوعی، حساب‌هایی در سرویس‌های دیگری ساخته‌اند که تیم امنیت از وجود این سرویس‌ها خبر ندارد.

 

SaaS چیست و چرا استفاده از آن در سازمان‌ها زیاد شده است؟

SaaS مخفف Software as a Service یا «نرم‌افزار به‌عنوان سرویس» است.

در مدل SaaS، کاربر معمولاً نرم‌افزار را روی سرور خودش نصب و نگهداری نمی‌کند؛ بلکه از طریق اینترنت به سرویس ارائه‌دهنده متصل می‌شود.

برای مثال، سازمان‌ها ممکن است برای فعالیت‌های مختلف از سرویس‌های SaaS در حوزه‌هایی مانند:

• مدیریت پروژه
• CRM
• ذخیره‌سازی و اشتراک فایل
• ویدئوکنفرانس
• حسابداری
• طراحی
• تحلیل داده
• ارتباطات تیمی
• هوش مصنوعی

استفاده کنند.

مزیت مهم SaaS، راه‌اندازی سریع و نیاز کمتر به زیرساخت داخلی است. کاربر در بسیاری از موارد فقط با ایجاد یک حساب می‌تواند کار با سرویس را شروع کند.

همین ویژگی، یک چالش امنیتی نیز ایجاد می‌کند:

برای استفاده از یک SaaS جدید، کاربر همیشه مجبور نیست با تیم IT هماهنگ کند.

در نتیجه ممکن است یک سرویس قبل از اینکه بررسی امنیتی، ارزیابی ریسک یا فرآیند تأیید سازمان روی آن انجام شود، وارد جریان کاری شود.

 

SaaS ناشناس چگونه وارد سازمان می‌شود؟

سناریو: «فقط می‌خواستم کارم را سریع‌تر انجام بدهم»

فرض کنید واحد فروش یک فایل حجیم دارد که باید برای مشتری ارسال شود.

روش رسمی سازمان برای انتقال فایل کمی پیچیده است. یکی از کارکنان یک سرویس اشتراک‌گذاری فایل پیدا می‌کند که این کار را در چند دقیقه انجام می‌دهد.

با ایمیل کاری خود ثبت‌نام می‌کند، فایل را آپلود می‌کند و لینک را برای مشتری می‌فرستد.

از دید کارمند، مسئله حل شده است.

اما تیم IT چه می‌داند؟

ممکن است هیچ چیز.

IT شاید نداند:

• چه سرویسی مورد استفاده قرار گرفته است.
• چه کسی حساب را ساخته است.
• چه اطلاعاتی در سرویس قرار گرفته است.
• چه افرادی به اطلاعات دسترسی دارند.
• آیا MFA فعال است یا خیر.
• حساب با ایمیل سازمانی ساخته شده یا شخصی.
• آیا سرویس از نظر امنیتی مورد تأیید سازمان است.
• بعد از خروج کارمند، چه اتفاقی برای حساب و اطلاعات خواهد افتاد.

این نمونه‌ای از شکل‌گیری Shadow SaaS است؛ یعنی استفاده از سرویس‌های SaaS خارج از فرآیند رسمی تأیید و کنترل سازمان.

اما این تنها مسیر ورود SaaS ناشناس نیست.

 

۵ مسیر رایج ورود SaaS ناشناس به سازمان

۱. استفاده از حساب شخصی برای فعالیت کاری

گاهی کارمند به جای ایمیل سازمانی، از حساب شخصی خود برای استفاده از یک سرویس کاری استفاده می‌کند.

مثلاً یک کارمند با Gmail شخصی در یک سرویس مدیریت پروژه ثبت‌نام می‌کند و اطلاعات پروژه شرکت را در آن قرار می‌دهد.

در این حالت، حساب موردنظر ممکن است اصلاً در سیستم هویت سازمان وجود نداشته باشد.

مشکل زمانی جدی‌تر می‌شود که کارمند از سازمان خارج شود؛ زیرا فرآیند معمول Offboarding ممکن است نتواند حسابی را که خارج از زیرساخت هویتی سازمان ایجاد شده است، غیرفعال کند یا دسترسی آن را پس بگیرد.

 

۲. اتصال برنامه‌های ثالث از طریق OAuth

گاهی کاربر حتی یک حساب مستقل هم ایجاد نمی‌کند.

او وارد یک سرویس جدید می‌شود و گزینه‌ای مانند:

Sign in with Google

یا

Sign in with Microsoft

را انتخاب می‌کند.

سپس سرویس از کاربر می‌خواهد اجازه دسترسی به حساب خود را صادر کند.

اگر کاربر بدون بررسی Permissionها روی Allow کلیک کند، یک برنامه ثالث می‌تواند مجوز دسترسی به بخشی از منابع حساب کاربر دریافت کند.

برای مثال، یک برنامه ممکن است درخواست دسترسی به ایمیل، فایل‌ها، پروفایل یا سایر منابع متصل به حساب سازمانی داشته باشد.

بنابراین یک اقدام ساده مانند:

«کارمند یک ابزار جدید را به حسابش وصل کرد»

ممکن است از نظر امنیتی به این معنا باشد:

«یک برنامه ثالث مجوز دسترسی به بخشی از منابع سازمان دریافت کرد.»

 

۳. استفاده از ابزارهای هوش مصنوعی

ابزارهای AI یکی از نمونه‌های جدید این مسئله هستند.

فرض کنید یک کارمند یک گزارش ۳۰ صفحه‌ای دارد و می‌خواهد آن را سریع خلاصه کند.

او فایل را در یک ابزار هوش مصنوعی عمومی آپلود می‌کند.

از دید کارمند:

«من فقط دارم از هوش مصنوعی برای افزایش بهره‌وری استفاده می‌کنم.»

اما از دید امنیت:

اطلاعات سازمان به یک سرویس خارجی منتقل شده است.

اگر این سرویس تحت سیاست امنیتی سازمان نباشد، تیم امنیت ممکن است نداند چه داده‌ای، توسط چه کسی و در چه سرویسی پردازش شده است.

 

۴. استفاده یک تیم از یک ابزار جدید

گاهی SaaS ناشناس توسط یک فرد شروع نمی‌شود.

یک تیم کوچک از یک سرویس استفاده می‌کند و به مرور اعضای بیشتری به آن اضافه می‌شوند.

مثلاً:

۵ کاربر → ۲۰ کاربر → ۵۰ کاربر

بعد از مدتی سرویس موردنظر به بخشی از فرآیند کاری سازمان تبدیل شده است؛ در حالی که هیچ‌وقت به‌صورت رسمی بررسی و تأیید نشده است.

 

۵. استفاده از سرویس برای یک نیاز موقت

بعضی از SaaSها فقط برای حل یک مشکل کوتاه‌مدت وارد سازمان می‌شوند.

مثلاً کارمند برای تبدیل یک فایل، فشرده‌سازی PDF، ساخت یک نمودار یا تحلیل یک مجموعه داده، یک سرویس آنلاین پیدا می‌کند.

ممکن است استفاده از سرویس فقط چند دقیقه طول بکشد، اما اگر اطلاعات حساس در آن وارد شده باشد، مدت زمان استفاده تعیین‌کننده میزان ریسک نیست.

 

SaaS ناشناس همیشه به معنی SaaS مخرب نیست

وقتی از SaaS ناشناس یا Shadow SaaS صحبت می‌کنیم، لزوماً منظورمان یک سرویس آلوده یا متعلق به مهاجم نیست.

ممکن است سرویس کاملاً معتبر و از نظر فنی امن باشد.

مشکل این است که سازمان:

آن را بررسی نکرده، مالک آن را نمی‌شناسد یا کنترل مناسبی روی نحوه استفاده از آن ندارد.

برای مثال، یک سرویس ذخیره‌سازی ابری معتبر ممکن است از نظر امنیتی استانداردهای مناسبی داشته باشد؛ اما اگر یک کارمند با حساب شخصی خود فایل‌های محرمانه شرکت را در آن قرار دهد، سازمان همچنان با یک مشکل امنیتی مواجه است.

بنابراین:

سرویس ناامن ≠  SaaS ناشناس

SaaS ناشناس سرویسی است که استفاده از آن خارج از دید یا کنترل فرآیندهای سازمان قرار گرفته است.

 

چرا تیم IT ممکن است متوجه SaaS ناشناس نشود؟

ممکن است تصور کنیم:

«ما فایروال، آنتی‌ویروس و سیستم مانیتورینگ داریم؛ پس هر نرم‌افزاری که استفاده شود باید قابل شناسایی باشد.»

اما SaaS با نرم‌افزارهای سنتی تفاوت دارد.

• SaaS روی سرور داخلی نصب نشده است

چیزی روی سرور سازمان نصب نشده که تیم IT بتواند آن را در Inventory نرم‌افزارها پیدا کند.

کاربر ممکن است فقط یک مرورگر باز کند و وارد سرویس شود.

 

• سرویس ممکن است خارج از SSO سازمان باشد

اگر کاربر مستقیماً در وب‌سایت یک سرویس ثبت‌نام کند، ممکن است آن سرویس اصلاً در سیستم هویت مرکزی سازمان ثبت نشده باشد.

در نتیجه تیم IT ممکن است در فهرست برنامه‌های سازمانی، اثری از آن مشاهده نکند.

 

• ممکن است حساب با هویت شخصی ساخته شده باشد

اگر کارمند با حساب شخصی خود وارد سرویس شود، ارتباط بین آن حساب و فعالیت سازمانی ممکن است به‌سادگی قابل تشخیص نباشد.

در چنین شرایطی، حتی حذف کاربر از سیستم‌های داخلی سازمان نیز لزوماً دسترسی او به آن SaaS را حذف نمی‌کند.

 

• استفاده از SaaS معمولاً از طریق مرورگر انجام می‌شود

کاربر نرم‌افزار جدیدی نصب نمی‌کند.

یک Tab مرورگر باز می‌کند و کارش را انجام می‌دهد.

به همین دلیل، کشف SaaSهای ناشناس معمولاً به یک روش واحد محدود نمی‌شود و نیاز به ترکیب اطلاعات هویتی، شبکه، Endpoint و سرویس‌های ابری دارد.

 

SaaS ناشناس چه خطراتی برای سازمان ایجاد می‌کند؟

• نشت اطلاعات

مهم‌ترین نگرانی زمانی ایجاد می‌شود که اطلاعات سازمان وارد سرویسی شود که تیم امنیت روی آن کنترل کافی ندارد.

مثلاً:

فایل مشتری SaaS → ناشناس → خارج از کنترل سازمان

اگر اطلاعات حساس بدون ارزیابی امنیتی در سرویس خارجی قرار بگیرد، سازمان ممکن است کنترل خود بر مسیر و نحوه پردازش داده را از دست بدهد.

 

• دسترسی بیش از حد

یک برنامه ثالث ممکن است Permissionهایی بیشتر از نیاز واقعی خود دریافت کند.

برای مثال، یک ابزار ساده مدیریت تقویم نباید لزوماً به تمام فایل‌ها یا ایمیل‌های سازمان دسترسی داشته باشد.

هرچه Scope دسترسی بیشتر باشد، در صورت compromise شدن برنامه یا حساب، دامنه آسیب نیز می‌تواند بزرگ‌تر شود.

 

• باقی ماندن دسترسی بعد از خروج کارمند

اگر حساب خارج از سیستم هویت مرکزی سازمان ساخته شده باشد، حذف کاربر از Active Directory یا Entra ID لزوماً تمام دسترسی‌های او به SaaSهای ناشناس را حذف نمی‌کند.

در نتیجه ممکن است حسابی باقی بماند که دیگر مالک فعال سازمانی ندارد، اما همچنان به اطلاعات شرکت دسترسی داشته باشد.

 

• ایجاد سطح حمله جدید

هر SaaS جدید می‌تواند یک سرویس خارجی، یک حساب کاربری، Credential، Integration یا مجوز دسترسی جدید ایجاد کند.

اگر تعداد این سرویس‌ها بدون مدیریت افزایش پیدا کند، سطح حمله سازمان نیز بزرگ‌تر می‌شود.

 

• دشوار شدن بررسی Incident

فرض کنید یک فایل محرمانه افشا شده است.

اگر سازمان نداند کارکنان از چه سرویس‌هایی استفاده کرده‌اند، پیدا کردن مسیر خروج اطلاعات بسیار دشوارتر خواهد بود.

در چنین شرایطی ممکن است بخشی از زنجیره رخداد اصلاً در ابزارهای مانیتورینگ داخلی دیده نشود.

 

چگونه SaaSهای ناشناس را شناسایی کنیم؟

برای مقابله با این مشکل، اولین قدم مسدود کردن همه سرویس‌ها نیست؛ بلکه ایجاد Visibility است.

۱. بررسی برنامه‌های متصل به حساب‌های سازمانی

اگر سازمان از Microsoft 365 یا Google Workspace استفاده می‌کند، برنامه‌ها و Integrationهایی که کاربران به حساب‌های خود متصل کرده‌اند باید بررسی شوند.

به‌خصوص OAuth Applicationها باید از نظر مواردی مانند:

• نام برنامه
• مالک
• کاربر متصل‌کننده
• Permissionها
• میزان استفاده
• ضرورت کسب‌وکار

بررسی شوند.

 

۲. بررسی ترافیک اینترنت

منابعی مانند:

• DNS
• Proxy
• Secure Web Gateway
• Firewall Logs

می‌توانند اطلاعات ارزشمندی درباره سرویس‌هایی که کاربران به آن‌ها متصل می‌شوند در اختیار تیم امنیت قرار دهند.

البته این روش به‌تنهایی کافی نیست؛ زیرا ممکن است بخشی از سرویس‌های SaaS از مسیرهایی استفاده کنند که در Inventory سنتی سازمان ثبت نشده‌اند.

 

۳. بررسی Endpoint و مرورگر

در بعضی موارد، اطلاعات Endpoint و مرورگر می‌تواند نشان دهد کاربران از چه سرویس‌هایی استفاده می‌کنند.

این روش به‌خصوص برای SaaSهایی که مستقیماً از طریق مرورگر استفاده می‌شوند اهمیت دارد.

 

۴. ایجاد فهرست SaaSهای سازمان

در نهایت باید مشخص شود:

چه SaaSهایی مجاز هستند، چه سرویس‌هایی غیرمجازند و کدام سرویس‌ها هنوز نیاز به بررسی دارند.

این فهرست نباید یک لیست ثابت باشد؛ زیرا SaaSهای مورد استفاده سازمان در طول زمان تغییر می‌کنند.

 

بعد از کشف یک SaaS ناشناس چه کار کنیم؟

پیدا کردن سرویس تازه شروع کار است.

فرض کنید تیم امنیت متوجه شده ۳۰ کاربر سازمان از یک SaaS استفاده می‌کنند که در فهرست سرویس‌های مجاز وجود ندارد.

آیا باید فوراً آن را مسدود کرد؟

نه لزوماً.

ابتدا باید ریسک سرویس ارزیابی شود.

مرحله اول: مشخص کردن دلیل استفاده

چرا کارکنان از این سرویس استفاده می‌کنند؟

آیا یک نیاز واقعی کسب‌وکار وجود دارد که ابزارهای رسمی سازمان پاسخ مناسبی به آن نداده‌اند؟

اگر تعداد زیادی از کارکنان از یک سرویس استفاده می‌کنند، ممکن است مسئله اصلی ضعف ابزار رسمی سازمان باشد، نه رفتار کاربران.

مرحله دوم: بررسی داده‌ها

چه اطلاعاتی وارد سرویس می‌شود؟

این موضوع از تعداد کاربران مهم‌تر است.

یک SaaS با پنج کاربر که اطلاعات مالی و محرمانه سازمان را در اختیار دارد، ممکن است از سرویسی با ۱۰۰ کاربر و داده‌های غیرحساس پرریسک‌تر باشد.

مرحله سوم: بررسی دسترسی‌ها

به‌خصوص در سرویس‌هایی که از OAuth استفاده می‌کنند، باید Permissionهای اعطا شده بررسی شوند.

سؤال اصلی این است:

این برنامه دقیقاً به چه چیزی دسترسی دارد و آیا واقعاً به این سطح از دسترسی نیاز دارد؟

مرحله چهارم: بررسی مالکیت و هویت

حساب متعلق به سازمان است یا یک کارمند؟

آیا SSO و MFA قابل استفاده است؟

سازمان می‌تواند در صورت خروج کارمند، دسترسی او را حذف کند؟

مرحله پنجم: تصمیم‌گیری

پس از ارزیابی، سرویس می‌تواند یکی از این وضعیت‌ها را داشته باشد:

تأیید → محدودسازی → جایگزینی → مسدودسازی

اگر سرویس برای کسب‌وکار ضروری و از نظر امنیتی قابل قبول باشد، می‌توان آن را وارد فهرست سرویس‌های مجاز کرد و تحت کنترل سازمان قرار داد.

اگر ریسک آن بالا باشد، باید استفاده از آن محدود یا متوقف شود.

 

آیا مسدود کردن همه SaaSهای ناشناس راهکار مناسبی است؟

معمولاً نه.

اگر سازمان بدون بررسی، همه سرویس‌های ناشناس را مسدود کند، ممکن است کارکنان برای انجام کار خود به روش‌های دیگری روی بیاورند.

مثلاً:

SaaS سازمانی مسدود شد → کارمند از حساب شخصی استفاده کرد → کنترل سازمان کمتر شد

به همین دلیل، مدیریت SaaS باید بر پایه Visibility، ارزیابی ریسک، کنترل هویت و دسترسی و ارائه جایگزین امن انجام شود.

هدف این نیست که کارکنان را از فناوری‌های جدید محروم کنیم؛ هدف این است که استفاده از فناوری جدید بدون ایجاد یک نقطه کور امنیتی انجام نشود.

یک مدل ساده برای مدیریت SaaSهای ناشناس

می‌توان فرآیند مدیریت را در پنج مرحله خلاصه کرد:

کشف → شناسایی → ارزیابی → تصمیم‌گیری → نظارت

کشف: چه SaaSهایی در سازمان استفاده می‌شوند؟

شناسایی: چه کسانی و برای چه کاری از آن‌ها استفاده می‌کنند؟

ارزیابی: چه داده‌ای وارد سرویس می‌شود و چه Permissionهایی وجود دارد؟

تصمیم‌گیری: سرویس تأیید، محدود، جایگزین یا مسدود شود؟

نظارت: آیا کاربران، دسترسی‌ها و نحوه استفاده از سرویس در طول زمان تغییر کرده‌اند؟

این فرآیند باعث می‌شود مدیریت SaaS از یک بررسی مقطعی به یک فرآیند مستمر امنیتی تبدیل شود.

 

چک‌لیست امنیت SaaS چیست

برای شروع، تیم IT و امنیت می‌تواند این موارد را بررسی کند:

• آیا سازمان فهرست SaaSهای مورد استفاده را دارد؟
• آیا سرویس‌های خارج از SSO شناسایی می‌شوند؟
• آیا OAuth Applicationها به‌صورت دوره‌ای بررسی می‌شوند؟
• آیا استفاده از حساب شخصی برای فعالیت کاری مجاز است؟
• آیا MFA برای SaaSهای حساس فعال است؟
• آیا Permissionهای برنامه‌های ثالث بررسی می‌شوند؟
• آیا SaaSهای مورد استفاده کارکنان مالک مشخص دارند؟
• آیا اطلاعات محرمانه می‌تواند در SaaSهای تأییدنشده قرار بگیرد؟
• آیا ابزارهای AI تحت سیاست امنیتی سازمان قرار دارند؟
• آیا دسترسی SaaSها هنگام خروج کارمند بررسی و حذف می‌شود؟
• آیا برای سرویس‌های غیرمجاز، جایگزین رسمی و امن وجود دارد؟
• آیا تیم امنیت می‌تواند SaaSهای ناشناخته را از منابع مختلف شناسایی کند؟

 

جمع‌بندی

SaaS استفاده از نرم‌افزار را برای سازمان‌ها سریع‌تر و ساده‌تر کرده است؛ اما همین سادگی می‌تواند باعث شود سرویس‌هایی بدون اطلاع تیم IT وارد محیط سازمان شوند.

یک کارمند ممکن است برای حل یک مشکل روزمره، یک سرویس آنلاین پیدا کند، با ایمیل شخصی یا سازمانی در آن ثبت‌نام کند، یک فایل را در آن قرار دهد یا حتی یک برنامه ثالث را از طریق OAuth به حساب سازمانی خود متصل کند.

هیچ‌کدام از این اقدامات لزوماً با نیت مخرب انجام نمی‌شوند؛ اما اگر سازمان نداند چه SaaSهایی استفاده می‌شوند، چه کسانی به آن‌ها دسترسی دارند، چه داده‌ای در آن‌ها قرار می‌گیرد و چه برنامه‌هایی به سرویس‌های اصلی سازمان متصل شده‌اند، یک نقطه کور امنیتی ایجاد می‌شود.

بنابراین مقابله با SaaSهای ناشناس فقط با مسدود کردن سرویس‌ها انجام نمی‌شود. سازمان باید ابتدا دید کافی ایجاد کند، سرویس‌ها و دسترسی‌های آن‌ها را شناسایی کند، ریسک داده و هویت را ارزیابی کند و سپس متناسب با شرایط درباره تأیید، محدودسازی یا مسدودسازی تصمیم بگیرد.

در محیطی که استفاده از سرویس‌های ابری و ابزارهای SaaS روزبه‌روز بیشتر می‌شود، ندیدن یک سرویس می‌تواند به اندازه ناامن بودن آن مهم باشد.