أمن المعلومات وإدارة مخاطر تقنية المعلومات

تأليف مانيش أغروال أليكس كامبو� إيرك بيرس� ترجمة جعفر بن أحمد العلوان. د راجع الترجمة عبدالله بن عبدالعزيز بن عبدالله التميم. د. أ م2018ه1440 بسم الله الرحمن الرحيم

هـ1440معهد الإدارة العامة، فهرسة مكتبة الملك فهد الوطنية أثناء النشر أغروال مانيش أمن المعلومات وإدارة مخاطر تقنية المعلومات مانيــش أغــروال؛ أليكــس كامبو؛ إيــرك بيرس؛ جعفــر بن أحمد العلوان؛ عبدالله التميم. ه1440الرياض، سم.24سم17 ص؛784 9960-14-275-2ردمك - تقنية المعلومات 3- أمن الحواسيب2- أمن المعلومات1 أ. كامبو، أليكس (مؤلف مشارك) ب. بيرس، إيرك (مؤلف مشارك ج- العلوان، جعفر بن أحمد (مترجم) د. التميم، عبدالله (مراجع) ه- العنوان 1439/7611 8 ديوي ح 1439/7611 رقم الإيداع 9960-14-275-2 ردمـــــــك بـطـاقـة الـفـهـرسـة

3 هذه ترجمة لكتاب Information Security and IT Risk Management First Edition Manish Agrawal, Ph.D. Information Systems and Decision Sciences University of South Florida Alex Campoe, CISSP Director, Information Security University of South Florida Eric Pierce Associate Director, Information Security University of South Florida جميع الحقوق محفوظة Copyright © 2014 John Wiley & Sons, Inc. جميع حقوق الطبع محفوظة ً تخدام أي من المواد التي يتضمنها هذا الكتاب، أو استنساخها أو نقلها، كليا ــ لا يجوز اس ، دون الحصول على إذن خطي من الناشر. ً أو جزئيا Permissions Department, John Wiley & Sons, Inc. 111 River Street, Hoboken, NJ 07030 - 5774

4

المحتويات أمن المعلومات وإدارة مخاطر تقنية المعلومات5 المحتويات قائمة الأشكال........................................................................................................... 15 تمهيد23 ...................................................................................................الفصل الأول: المقدمة27 نظرة عامة27 الفوائد المهنية للمعرفة في مجال أمن المعلومات27 لمحة تاريخية 34 تعريف أمن المعلومات 43 الملخص48 نموذج حالة-ويكيليكس، كيبلقيت، والسيطرة الكاملة على مجموعة من الشبكات 49 أسئلة مراجعة للفصل 52 أسئلة على نموذج الحالة 54 نشاط التدريب العملي - مراقب البرمجيات، إخفاء المعلومات54 تمرين التفكير النقدي: تحديد الأبعاد الثلاثة لأمن المعلومات المتأثرة بعينة من حوادث الاختراق الواقعية..................................................................................................... 60 تصميم حالة61 ......................................................................... الفصل الثاني: إدارة النظام (الجزء الأول 67 نظرة عامة67 مقدمة67 ما هي إدارة النظام؟ 69 إدارة النظام وأمن المعلومات 71 المهام الشائعة لمسؤولي النظام 72

المحتويات أمن المعلومات وإدارة مخاطر تقنية المعلومات6 أدوات إدارة النظام 79 الملخص86 ..............................................................)T.J. MAXXنموذج حالة- تي جي ماكس87 أسئلة مراجعة للفصل 92 أسئلة على نموذج الحالة 94 نشاط التدريب العملي - تثبيت نظام لينكس 94 بسببالتفكير النقدي - الحكم بالســجن على مديرين تنفيذين في شركة جوجل تمرين فيديو.....................................................................................................................105 تصميم حالة107 ...................................................................... الفصل الثالث: إدارة النظام (الجزء الثا111 نظرة عامة111 هيكلة نظام التشغيل111 ......................................................)command-line interfaceواجهة سطر الأوامر 114 الملفات والأدلة 115 ....................................................................)cdالتنقل في نظام الملفات - الأوامر 117 سَرد الملفات والأدلة 118 امتدادات القشرة 120 إدارة الملفات 121 ...........................................................................................................عرض الملفات 125 البحث عن الملفات127 التحكم في الوصول وإدارة المستخدم 128 قوائم التحكم في الوصول 134

المحتويات أمن المعلومات وإدارة مخاطر تقنية المعلومات7 ملكية الملف 136 تحرير الملفات 138 تثبيت البرمجيات والتحديثات 139 إدارة الحساب 150 ...................)Command-line user administrationإدارة مُستخدم سطر الأوامر153 ............)Northwest Florida State Collegeنموذج حالة - كلية شمال غرب ولاية فلوريدا 158 الملخص159 أسئلة مراجعة للفصل 159 أسئلة على نموذج الحالة 161 نشاط التدريب العملي - الإدارة الأساسية لنظام لينكس 162 .........................)OCEOتمرين التفكير النقدي - عمليات التأثير الإلكتروني الهجومية164 تصميم حالة166 ........................................................... الفصل الرابع: النموذج الأساسي لأمن المعلومات171 نظرة عامة171 مقدمة171 مكونات النموذج الأساسي لأمن المعلومات 172 الثغرات، والتهديدات، والضوابط الشائعة 183 .........................................................................)ILOVEYOUنموذج حالة - فيروس 199 الملخص201 أسئلة مراجعة للفصل 201 أسئلة على نموذج الحالة 203 نشاط التدريب العملي - أمن خادم الشبكة 203

المحتويات أمن المعلومات وإدارة مخاطر تقنية المعلومات8 تمرين التفكير النقدي - الإنترنت، و 205 تصميم حالة206 ................................................. الفصل الخامس: تحديد الأصول والتعرف على خصائصها209 نظرة عامة209 مقدمة حول الأصول 209 تحديد الأصول الهامة للمنظمة 212 أنواع الأصول 217 التعرف على خصائص الأصول 226 دورة حياة أصول تقنية المعلومات وتحديد الأصول 235 ...............................................)System Profilingالتحديد النمطي لمواصفات النظام 243 ملكية الأصول والمسؤوليات التشغيلية249 .............................................................................)Stuxnetنموذج حالة - ستكسنت 254 الملخص256 أسئلة مراجعة للفصل 256 أسئلة على نموذج الحالة 258 نشاط التدريب العملي - تحديد أصول المقررات الدراسية 258 تمرين التفكير النقدي - استخدامات جهاز حاسب آلي مُخترق261 تصميم حالة261 ................................................................. الفصل السادس: التهديدات والثغرات الأمنية265 ..........................................................................................نظرة عامة265 مقدمة265 نماذج التهديدات 266

المحتويات أمن المعلومات وإدارة مخاطر تقنية المعلومات9 وسيط التهديد 268 نشاط التهديد 290 الثغرات311 .............................................................................................)Goziنموذج حالة319 الملخص321 أسئلة مراجعة للفصل 321 أسئلة على نموذج الحالة 323 نشاط التدريب العملي - البحث عن الثغرات323 ...........................2003تمرين التفكير النقدي - خطط الحرب الإلكترونية في العراق في عام 334 تصميم حالة335 .....................................................................................الفصل السابع: ضوابط التشف337 نظرة عامة337 مقدمة337 أساسيات التشف 338 .......................................................................................نظرة عامة على أنواع التشف 345 تفاصيل أنواع التشف 355 التشفير قيد الاستخدام 366 ............................................................)Nation Technologiesنموذج حالة - شركة 370 الملخص371 أسئلة مراجعة للفصل 372 .............................................................................................أسئلة على نموذج الحالة 374 نشاط التدريب العملي - التشف 374

المحتويات أمن المعلومات وإدارة مخاطر تقنية المعلومات10 تمرين التفكير النقدي - مفاتيح التشفير المتضمنة لنماذج العمل 393 تصميم حالة395 ............................................................................. الفصل الثامن: إدارة الهوية والوصول397 نظرة عامة397 إدارة الهوية 397 إدارة الوصول 404 ...................................................................................)Authenticationالمصادقة407 ................................................................)Single sign-onتسجيل الدخول الأحادي 418 ...............................................................................)Federationالرابطة الاتحادية 431 ..........................................................)Markus Hessنموذج حالة - ماركوس هِس 446 الملخص448 أسئلة مراجعة للفصل 449 أسئلة على نموذج الحالة 451 نشاط التدريب العملي - تطابق الهوية والدمج 452 تمرين التفكير النقدي - إقطاعية الحلول الأمنية للإنترنت؟ 461 تصميم حالة464 ...........................الفصل التاسع: الضوابط الأمنية باستخدام المكونات المادية والبرمجيات467 نظرة عامة467 إدارة كلمات المرور 468 .......................................................................)Access Controlالتحكم في الوصول 474 الجُدُر النارية 477 أنظمة كشف/منع التسلل 484

المحتويات أمن المعلومات وإدارة مخاطر تقنية المعلومات11 إدارة تصحيحات أنظمة التشغيل والتطبيقات 492 حماية نقطة النهاية 497 .......................................................................)AirTightنموذج حالة - شبكات شركة 501 أسئلة مراجعة للفصل 508 أسئلة على نموذج الحالة 510 ..................)OSSECنشاط التدريب العملي - نظام كشف التسلل المعتمد على المضيف 510 تمرين التفكير النقدي-ضوابط أمنية تتعدى الإطار البشري 519 تصميم حالة521 ......................................................الفصل العاشر: البرمجة النصية لقشرة نظام التشغيل 523 نظرة عامة523 مقدمة523 إعادة توجيه المخرجات 527 ...................................................................معالجة النص529 المتغيرات534 الجمل الشرطية 544 مدخلات المستخدم 550 الحلقات553 نظرة عامة لما سبق566 .......................................................................)Max Butlerنموذج حالة - ماكس بتلر 569 الملخص571 أسئلة مراجعة للفصل 571 أسئلة على نموذج الحالة 573

المحتويات أمن المعلومات وإدارة مخاطر تقنية المعلومات12 نشاط التدريب العملي - أساسيات البرمجة النصية 573 تمرين التفكير النقدي-أمن النص البرمجي 575 تصميم حالة576 ..........................................................الفصل الحادي عشر: التعامل مع الحوادث الأمنية579 نظرة عامة579 مقدمة عن الحوادث الأمنية 579 التعامل مع الحوادث الأمنية 580 الكارثة614 نموذج حالة - قرصنة في الحرم الجامعي 617 الملخص619 أسئلة مراجعة للفصل 620 أسئلة على نموذج الحالة 621 ..............)OSSECنشاط التدريب العملي - الجدول الزمني للحوادث الأمنية باستخدام 622 في إدارة التنمية الاقتصادية تمرين التفكير النقدي-الهدم 623 تصميم حالة624 ....................................................................لفصل الثاني عشر: تحليل الحوادث الأمنيةا625 .............................................................................................................نظرة عامة625 تحليل السجل 626 أهمية الحدث 631 التهيئة العامة للسجل والمحافظة عليه645 الاستجابة المباشرة للحوادث الأمنية 649 الجداول الزمنية 654

المحتويات أمن المعلومات وإدارة مخاطر تقنية المعلومات13 موضوعات ذات علاقة بأدلة التحليل الجنا 655 .........................................................................نموذج حالة - اختراق الخادم الاحتياطي 657 أسئلة مراجعة للفصل 660 أسئلة على نموذج الحالة 661 نشاط التدريب العملي - تحليل سجل الخادم 662 تمرين التفكير النقدي - الهدم في إدارة التنمية الاقتصادية 666 تصميم حالة667 ............................................الفصل الثالث عشر: السياسات والمعايير والمبادئ التوجيهية671 نظرة عامة671 الأسس التوجيهية 672 .......................................................................................................كتابة السياسات 683 تقييم الأثر والتدقيق691 مراجعة السياسة 694 الامتثال696 موضوعات رئيسية ذات علاقة بالسياسات 701 ..............................................................................)HB Garyنموذج حالة - شركة 703 الملخص705 أسئلة مراجعة للفصل 705 أسئلة على نموذج الحالة 707 .............................)AUPنشاط التدريب العملي - صياغة سياسة الاستخدام المقبول707 ......................................)Aaron Swartzتمرين التفكير النقدي - المُبرمج آرون سوارتز 708 تصميم حالة710

المحتويات أمن المعلومات وإدارة مخاطر تقنية المعلومات14 .................................الفصل الرابع عشر: تحليل مخاطر تقنية المعلومات وإدارة المخاطر713 نظرة عامة713 مقدمة714 إدارة المخاطر بوصفها عنصر من عناصر الإدارة التنظيمية 714 نماذج إدارة المخاطر 717 ..............)NIST 800- 39 (نموذج إدارة المخاطر التابع للمعهد الوطني للتقنية والمعاي718 تقييم المخاطر 721 نماذج إدارة المخاطر الأخرى 724 الضوابط العامة لتقنية المعلومات 736 الامتثال في مقابل إدارة المخاطر 738 الترويج للأمن 739 نموذج حالة - الشراء من أسواق الإنترنت 740 الملخص741 أسئلة مراجعة للفصل 741 أسئلة على نموذج الحالة 744 ...................................)lsofنشاط التدريب العملي - تقييم المخاطر باستخدام الأمر744 تمرين التفكير النقدي - تقديرات المخاطر المتحيزة 747 تصميم حالة748 ملحق أ: قائمة بكلمات المرور لآلة لينكس الافتراضية749 المصطلحات750 كشّاف موضوعات الكتاب 769

قائمة الأشكال أمن المعلومات وإدارة مخاطر تقنية المعلومات15 ): تصنيف وظائف محللي أمن المعلومات 1-1شكل29 .......... أمن المعلومات ): المراكز الأربعة الأولى للأنشطة التي تستغرق وقتاً طويلاً لموظفي 2-1 شكل32 ): الاحتياجات التدريبية لموظفي أمن المعلومات 3-1شكل33 ............................................................................ILOVEYOU): فيروس 4-1شكل38 .......................................................)T.J.Maxx): أحد محلات تي جي ماكس 5-1شكل40 ........... الخدمة): الموقع الإلكتروني لوزارة الخارجية الجورجية بعد هجمات حجب6-1 ( شكل41 ): مكاتب شركة جوجل في الص 7-1شكل42 ): مراقب البرمجيات الفوري 8-1شكل55 ): تقرير تدقيق جهاز الحاسب ا 9-1شكل56 ): محتويات مجلد التنزيلات لتمرين إخفاء المعلومات 10-1شكل57 ): أوامر إخفاء ملف نصي في نهاية ملفات الصور11-1شكل58 ): الصور المعالجة مع الصور الأصلية 12-1شكل59 ......................................Notepad): فتح ملفات الصور في برنامج المفكرة 13-1شكل59 ): الرسالة السرية المخفية في نهاية ملف الصورة14-1شكل60 ): مصادر الدخل في جامعة ولاية الشمس المشرقة 15-1شكل63 ): ملخص للهيكل التنظيمي لجامعة ولاية الشمس المشرقة 16-1شكل65 ): باول سيجليا 1-2شكل77 ...........2013):استخدام أجهزة الحاسب الآلي المكتبية لأنظمة ويندوز-أبريل2-2شكل79 ): مدير عمليات مركز النظام 3-2شكل82 قائمة الأشكال

قائمة الأشكال أمن المعلومات وإدارة مخاطر تقنية المعلومات16 ): شجرة عائلة ينكس4-2شكل84 ....................2009): ألبرت غونزاليس، في وقت توجيه الاتهام إليه في أغسطس 5-2شكل87 .........................................................)2010-2005): مبيعات تي جي ماكس 6-2شكل91 ): هيكلة الآلة الافتراضية 7-2شكل95 ..............................................................)VirtualBox): صفحة تحميل الـ 8-2شكل96 .................................................)VirtualBox): الصفحة الترحيبية لمُثبت الـ 9-2شكل97 ): موقع التثبيت الافترا 10-2شكل97 ...............................................................)VirtualBox): تأكيد تثبيت الـ 11-2شكل98 ................................)Virtual Box manager): مدير الصندوق الظاهري 12-2شكل99 ): الإعدادات الافتراضية لاستيراد نظام التشغيل 13-2شكل100 ): الآلة الافتراضية في مدير الصندوق الافترا 14-2شكل101 ): خطأ في وحدة المعالجة المركزية 15-2شكل102 ......................................)enable PAE checkbox): تمكين محول الشبكة 16-2شكل102 .........)NATعناوين الشبكة) إلى ترجمة 1 Network Adapter( 1): إرفاق محول الشبكة17-2شكل103 ): شاشة الدخول للآلة الافتراضية سينتوس 18-2شكل103 ): سطح المكتب لسنتوس لينكس 19-2شكل104 ): البنية التحتية للبريد الإلكتروني في جامعة ولاية الشمس المشرقة 20-2شكل110 ): هيكلة نظام التشغيل 1-3شكل112 ): الوصول إلى نافذة موجه الأوامر 2-3شكل115 ): التسلسل الهرمي للملفات في نظام ينكس3-3شكل116