أمن المعلومات وإدارة مخاطر تقنية المعلومات

النموذج الأساسي لأمن المعلومات 193 وحصل الزومبي (أو الإنس يتحكم فيه طاعة عمياء. وهي عبارة عن مجموعة rootkitsب اــة التحكم الخفي في جهاز الحاســتقني �م مصطل الجذر (والجذر باس ومحتويات المجلدات rootkits( �المس البرمجيات الخبيثة. rootkits( �وتُس الأخرى مثل (عملاء الزومبي) حتى لا يعلم مالك جهاز الحاسب الآلي بأنه تم اختراق جهازه وأنه يُستخدم لإرسال رسائل إلكترونية غير مرغوب فيها أو أنه يُطلق هجمات رفض الخدمة. rootkits( �وم لقدرته على تدمير معايير حماية نظم التشغيل. ولهذا السبب فإنه من شبه المستحيل إزالة المُخترق وأنه من المستحس rootkits( �ال التشغيل بالكامل. اق ثغرة لم تكن � ويتzero-day exploitsوريــتغلال الفــالاس المصطلح إلى أن المطورين لديهم (صفر) من �معروفة في برمجيات الحاس الأيام لمعالجة الثغرة التي تم اس ش بالثغرة التي تم اس . )18وأُتيحت له الفرصة لتحديد وسيلة ما لاستغلال الثغرة بنجاح Greenberg, A. »Shopping for z er o-days: a يُوجد سوق لمثل ذلك الاستغلال كما في المصدر التا )18( price list for hackers› secret software exploits, « http://www.forbes.com/sites/andy greenberg/20 shopping -for- zero-days-an-price-list -for-hackers-secretsoftware-exploits/ ) accessed/23/03/12 )2212013/07

الفصل الرابع أمن المعلومات وإدارة مخاطر تقنية المعلومات 194 2011 / 2 / 28 ) والتي تم إطلاقها Adobe Flash ): هجمة الاستغلال الفوري لبرنامج 6 - 4 شكل )، RSA ) المشهورة ترتبط بشركة z er o-day exploits وأحد هجمات الاستغلال الفوري )، وهي تقنية SecureID tokens وه في بيئة المنظمات. ففي الس ئي الثنا تس أعلنت الشركة أنه تم اختراق نظام تقنية المعلومات المس 2011 مما يعني احتمالية اختراق أمن عملاء الشركة. ويعتقد الخبراء أن الاختراق كان نتيجة لهجمة . ومن المثير للاهتمام أنه بعد ) 19 ( ) Adobe Flash الاستغلال الفوري المرتبط بتقنية برنامج ) yuangel975 @ قام أحد المهاجمين على تويتر باستخدام المعرف ً ما يو 18 � هذه الحادثة ب ) (الش Adobe Flash بالإعلان عن إطلاق هجمة الاس . ) 20 ( )، مما يثير الشكوك أنها الهجمة نفسها التي تم استخدامها في الحادثة 6 - 4 وهو جهاز حاس ي: ــ الزومب المشروط للتوجيهات � اس تى أ م عن بعد. و ِ تحك ُ بتوجي يك ً ). وعموما bots بالإنس ً حيانا س ُ ع الزومبي غافلين عن الاختراق حتى يتم إعلامهم من قبل مسؤولي الأنظمة. وهذا النوع من 2,000,000 إ 100,000 � التهدي ) 19 ( http://blogs.rsa.com/anatomy-of-an-attack/ ) 20 ( http:// j e ff reycarr.blogspot.com/2011/06/18-days-from-0day-to-8k-rsa-attack.html

النموذج الأساسي لأمن المعلومات 195 . وبش)21زومبي لمدة إرسال رسائل إلكترونية غير مرغوب فيها، وإطلاق هجمات رفض –ثلاثة أنواع من الأنشطة غالخدمة، وتنفيذ هجمات القاموس لكسر كلمات المرور. والمقالة المختصرة التالية عن أولي نيكولاينك .)22من الضوء على هذا العا روبوتات الميقا دي Trojمنذ عام الآلاف من أجهزة الحاسب الآلي، ومن ثم تأجير قدرة معالجة تلك الأجهزة على المهاجمين والمتسللين. ويُطلق على مجموعة الأجهزة المخترقة اسم Mega-D botnet( 2008 من رسائل البريد الإلكتروني المزعجة في عام٪ عن إرسال أكثر من نيكولاينكوغتلك الشبكة بواسطة شاب روسي يُدعى أولي 459,000 غالخدمات كان يُدفع لذلك الشاب الروسي مبل Atkinson من قبل العملاء الفيدراليين في فندق بيلاجيو في لاس فيغاسغشهر نوفمبر من عام وذلك لمخالفته قانون مكافحة الرسائل الإلكترونية المزعجة لعام وهو عبارة عPacket sniffingس حزَم البياناتــ تحس البيان الش باس لأجهزة الحاس اللاس المس T.J.M axxة هي حادث�الأخ باستخدام تقنية تحسس رزم البيانات في إحدى نقاط الوصول اللاسلكية غير المشفرة. )21( Ollman,G. “How criminals build botnets for profit, ” Damballa, US Department of Defense Cybercrime Conference 2011, Atlanta, GA. )22( https://en.wikipedia.org/wiki/Oleg_Nikolaenko

الفصل الرابع 196 تهدف إلى الدخول على حساب مستخدم من خلال القيام المتكررتخمين كلمات المرور: بتجري أجهزة الحاس بتجري هو الس تنش يُهم عاماً في أوائل عام . )23اس وسنناقش لاحقاً في هذا الكتاب تهديدات أخرى تتعلق بكلمات المرور. في المثال أعلاه يكون النظام عادة على علم بأنه من غير المألوف للمستخدم أن يقوم بتجريب مثلاً بمعدل كلمة مرور جديدة كل ثانية لمدة كلمات مرور مختلفة اكتشاف ذلك يقوم النظام بحظر ذلك المستخدم. وهذه أحد الضوابط التقنية التي سنناقشها في القسم التالي. وهي فن التلاعب بالناس بهدف تنفيذ social engineeringة الاجتماعيةــالهندس المهام المطلوبة. وتس مناً أصبحت الهندسة الاجتماعية أكثر أهمية الطبيعية في الثقة. وكلما أصبحت التقنية أكثر أ لوصول المهاجمين إلى الأنظمة المرغوب فيها. وتُستخدم الهندسة الاجتماعية عادة لبدء هجمات أخرى. وتتمثل الآلية العامة للهندسة الاجتماعية منذ عام . ويك�الغافل المنظمة. وتحتوي رس ). وعندمzer o-day exploits ( لتدقي )23( http://www.theregister.co.uk/2009/01/07/twitter_hack_explained/

النموذج الأساسي لأمن المعلومات أمن المعلومات وإدارة مخاطر تقنية المعلومات 197 م. وقد اعتمدت الهجمات المرتبطة ِ تحك ُ يمكن للبرنامج أن يس على منهجية الهندسة الاجتماعية. 2011 ) والتي تمت في شهر مارس من عام RSA بشركة ) APT ِ ائم ( ): تكرار استخدام ثغرتين من الثغرات الشائعة الاستخدام في التهديد المتقدم الد 7 - 4 الشكل وه ): Advanced persistent threat م ــ دم الدائ ــ د المتق ــ التهدي متواص ت حتى لو كانت محمية � الآلي. ويه بضوابط أمن معلومات مصممة ومصانة بشكل جيد. ولهذا السبب يتطلب هذا النوع من ً يعني أن مجموعة ممولة تمويلا � التهديد درجة عالية من التخصيص حس من المهاجمين مس ً جيدا من الهجوم نفسه. ً لا ) يشير عادة إلى فريق الهجوم بد APT تحت هذا النوع فإن مصطلح والهدف العام لهذا النوع من التهديد هو استخدام الهجوم للحصول على موطئ قدم داخل المنظمة والمحافظة عليه من أجل الاستخدام والمراقبة المستمرة. ) تكرار اس 7 - 4 ويوضح الش . وكلا الثغرتين موجود في برنامج محرر النصوص 2011 التهديد وذلك في شهر إبريل من عام ) مما يس MS Word ( تم الاستمرار في استخدامها لمدة عام من بدء الإعلان عنها، 2010 فالثغرة المكتش

الفصل الرابع 198 مما يدل على تعلق المهاجمين لاستغلال الثغرات المُجربة، ويدل كذلك على الإهمال الواسع في تطبيق التحديثات. ويوضح الش . )24يشير إلى ضرورة التطبيق السريع للتحديثات الضوابط: تهديدات أمن �ضوابط أم المعلوم من حيث التكلفة هي واحدة من أهم مهام مس ح مختلف الضواب�مخص الضوابط المختلفة. وكما في حالة تصني وأحد طرق التصنيف الشائعة في الصناعة هي تصنيف الضوابط إلى مادية وإجرائية وتقنية. وهي عبارة عن اسالضوابط المادية: دخول المرافق �ح لهم من القدرة ع�وإنها تس التقني سيرة المتقدمين لوظائف المنظمة، والأبواب. وهي عبارة عن خطط محددة للإجراءات التي تتحكم في استخدام موارد الضوابط الإجرائية: أجهزة الحاسب الآلي. وتتبع الضوابط الإجرائية لاثنين من المبادئ الراسخة لأمن المعلومات: 1 .فرض المس بالإمكان إرجاع كل فعل إلى الش اً في كل ما يختص بأفعالهم. حذر 2 .اس الخبرة عادة إلى أن هناك �. وتش)25يحصل الأش تداعي )24 (http://blog.trendmicro.com/trendlabs-security-intelligence/snapshot-of-exploit-documents-for- april-2012/ المثل كاملاً هو )25( https://en.wikipedia.org/wiki/Lying_Jالأبرياء يحصل المحامون على أتعابهم

النموذج الأساسي لأمن المعلومات 199 نقطخلال الاس السجلات على أساس القيد المزدوج والخاص بالإجراء المحاسبي القياسي. الضوابط الإجرائي�وم وإجراءات رفع الميزات، وإجراءات تعدي المستخدمين بتغيير كلمات المرور بشكل دوري. كلما ازداد حجم المنظمات وكلما ازداد أمن تقنية المعلومات الأساسية، فإن التحدي الأساسي لأمن المعلومات يكمن في التأكد من القضاء على أهم نقاط الضعف في المنظمة. وأفضل وسيلة للقيام بذلك تطوير إجراءات فعالة وتطبيق تلك الإجراءات باستمرار. وكقاعدة يومية فإن خبراء أمن المعلومات يركزون بشكل كبير على الضوابط الإجرائية. وهي عبارة عن الإجراءات الأمنية المبنية في نظم المعلومات نفسالضوابط التقنية: ومن الأمثلة الش النظام، وبرمجيات مكافحة الفيروس هذه الضوابط التقنية. ومعظم ضوابط أمن المعلومات تندرج تحت أكثر من تصنيف. على سبيل المثال، يمكن النظر إلى كلمات المرور بأنها إما ضوابط إجرائية (إجراء للوصول إلى الموارد) أو ضوابط تقنية (ضوابط يُطلب من معظم الموظفين مبنية في تقنية المعلومات نفسها). وفي الصناعات الحساسة (كالبنوك) المرور بإجراءات واسعة للتحقق من حسن سيرتهم وانضباط سلوكهم. ويمكن اعتبار هذا التحقق ائياً (إجراءات متبعة إما ضابطاً مادياً (غير تقني ومصمم للتحكم في الوصول المادي) أو ضابطاً إجر للتحكم في الوصول). وهذه واحدة من نقاط ضعف طرق التصنيف في نطاق أمن المعلومات حيث يمكن بسهولة تصنيف العديد من الضوابط تحت تصنيفات متعددة. نموذج حالة - فيروس في الخامس من ش رس

الفصل الرابع 200 الإلكترونية على فيروس. وعندما يقوم المس بإتلاف ملفات الصور على القرص الصلب، كما يقوم بإرس إلكتروني إلى المس م، عُرفت تلك الرس�رس المعلومات بفيروس حاسب آلي في جميع أنحاء العالم. وكانت المتابع إنف�ع أنها مصدر الفيروس. كما ت�تحدي Onel de Guzوه (أونيل دي جوزمان) �وس لا يع�الف أن يُحاكم في الفلبين، كما لا يمكن تسليمه إلى الولايات المتحدة الأمريكية لمحاكمته بموجب القوانين الأمريكية لنشر الفايروس هم (أونيل دي جوزمان) بجريمة الاحتيال وسرقُّكثي تم إس من عام وفي نهاي ضعيف نس . كيأمري المراجع: Arnold, W . “Philippines to drop charges on e-mail virus, ” New York Times,August 22, 2000 Brenner, S.W . “Cybercrime jur isdiction, ” Crime. Law and Social Change, 2006, 46: 189206-

النموذج الأساسي لأمن المعلومات 201 الملخص يصف هذا الفصل البيئة الأساسية لأمن المعلومات، كما يقوم هذا الفصل بشرح مكونات بيئة أمن المعلوم المُحتمل أن تواجهها في الأمني مستقبلك الوظيفي. في هذا الفصل وفي الفصول السابقة تم تعريفك بالقضايا الهامة التي تواجهها المنظمات ومس في إدارة الأنظمة. وتركز الفصول المتبقية من هذا الكتاب على مساعدتك في الاستفادة من تلك المهارات التقنية في تطبيق الضوابط التقنية الشائعة. أسئلة مراجعة للفصل: 1 .اشرح بشكل مختصر النموذج الأساسي لأمن المعلومات الموضح في الشكل 2 .ما الأصول المعلوماتية؟ أعط بعض الأمثلة من حياتك الش تصنيفات الأصول، ومن فضلك لا تنتهك خصوصيتك الشخصية عند الإجابة عن هذا السؤال). 3 . الأصول التقليدية (كالذه�م المعلوماتية؟ وكيف تؤثر تلك الفروق في أمن المعلومات؟ 4 .ما الثغرات الأمنية؟ اذكر بعضاً من الثغرات للأصول التي جرى تحديدها في س رقم 5 .ما قاعدة البيان ولماذا هي مفيدة؟ 6 .ما أحدث ثغرة أمنية تم تسجيلها بواسطة قاعدة البيانات الوطنية للثغرات؟ (وللإجابة عن هذه السؤال قم بزيارة الموقع الإلكتروني لقاعدة بيانات الثغرات الوطنية nvd.nist.gov

الفصل الرابع 202 - وذلك باسengine جميع الحقول 7 .ما التهديدات؟ اذكر بعضاً من التهديدات للأصول التي تم تحديدها في سؤال رقم 8 .ق وفقاً لتاريخ 9 .م السؤال السابق؟ 10 .اشرح باختصار ثغرة (عدم التحقق من صحة المدخلات). ولماذا تُعد هذه الثغرة خطرة؟ 11 .اشرح باختص هذه الثغرة؟ 12 .اشرح باختصار ثغرة (تجاوز سعة المخزن المؤقت 13 .اشرح باختصار ثغرة (الأذونات الناقصة). وما الصناعات التي تكون فيها هذه الثغرة بالتحديد خطرة؟ 14 .ما الثغرات الإجرائية؟ 15 .ما التوصيات لإنشاء كلمات مرور جيدة؟ 16 .ما الفيروسات والدودة الحاسوبية؟ وما الفرق الأساسي بينهما؟ 17 .قدم ملخصاً موجزاً عن فيروس 18 .ما الانتحال 19 .ما البرمجيات الخبيثة 20 .ما تقنية التحكم الخفي في جهاز الحاسب ا خطيرة؟ 21 .ما الزومبي؟ وفيم يتم استخدامها عادة؟

النموذج الأساسي لأمن المعلومات 203 22 .ما الهندسة الاجتماعية؟ ولماذا تُعد تهديداً متزايد الأهمية؟ 23 .ما الضوابط المادية؟ ولماذا تُعد هذه الضوابط مهمة؟ 24 .ما الضوابط الإجرائية؟ ولماذا تُعد هذه الضوابط مهمة؟ 25 .ما الضوابط التقنية؟ ولماذا تُعد هذه الضوابط مهمة؟ أسئلة على نموذج الحالة: 1 .ما دافع (دي جوزمان) وراء إطلاق فيروس 2 .ما عقوبة إنشاء و/أو نشر فيروس في بلدك؟ 3 .ع � أعلاه، ما العقوبة التي ستحددها لالقضية. اعتماداً على إجابتك عن س (دي جوزمان)؟ 4 .لماذا اخترت تلك العقوبة؟ نشاط التدريب العملي - أمن خادم الشبكة: في محاول ء طلاب الجامعة �تطبيق للبحث في دليل الموقع. ويس وكذلك عناوين بريدهم الإلكتروني. وقبل إطلاق موقع �وأعضاء هيئة التدريس والموظف الجامعة، طُلب منك العمل مع فريق لتقييم أمن الموقع. باس من خلال النقر على أيقونة فايرفوكس في شريط العنوان أدخل العنوان التا في حقل (الاسم الأول) اكتب انقر على زر الرجوع

الفصل الرابع أمن المعلومات وإدارة مخاطر تقنية المعلومات 204 اكتب ما يلي في حقل (الاسم الأول william! ’ OR ‘ a ’ = ’ a أسئلة على نشاط التدريب العملي 1 . كم عدد نتائج البحث التي تم العثور عليها في البحث الأول؟ 2 . هل حصلت على المزيد من نتائج البحث بعد تغييرك للمدخلات؟ 3 . للنتيجة التي وصلت إليها والتي س ً اكت عرضها على إدارة جامعة ولاية الشمس المشرقة. تأكد من احتواء الملخص على: • ما الثغرة أو الثغرات التي يعاني منها هذا التطبيق؟ • شعرك بوجود الثغرات؟ ُ سباب التي ت ما الأ • ما الأضرار المحتملة لتلك الثغرات؟ ): استخدام متصفح الإنترنت في الآلة الافتراضية 8 - 4 الشكل

النموذج الأساسي لأمن المعلومات 205 تمرين التفكير النقدي-الإنترنت، و تبعاً للتفكير التقليدي فإن أكبر أس مصممي الإنترنت ببناء الأمن في التقنيات الأساس TCP( بنية معلوماتية تحتية أكثر أمناً IEEE Security and Privacy magazلك Dan Geer( ير�ق وهي شركة غير ربحية تستثمر رأس مالها في التكنولوجيا وتدعم وكالة الاستخبارات المركزية CIA( الأساسية. وهذا هو السبب في كون برتوكول الإنترنت الإنترنت،�البيانات ع جهازك الش وبالنس دان �المعلومات من خلال الإنترنت باس Dan Geer( ير�ق وم تم اعتمادها. Dan Geer( ير�داً على وجهة النظ�واعت التقنيات الأساسية للإنترنت يُعد مصدراً للقوة وليس مصدراً للضعف. فالإنترنت تتطلب من تحمل مسؤولية الأمن الخاص به بدلاً من الاعتماد على الأمن الذي توفره ئيالمستخدم النها بُنية الإنترنت. وفي الوقت الذي لا تتحمل فيه الإنترنت مس أي مس الترابط. وقد تحد الإنترنت الآمنة من تلك الحرية باسم الأمن، وذلك بطلب إذن من مزود خدمة الإنترنت عند الرغبة في الوصول إلى مصادر معينة.

الفصل الرابع 206 المراجع Geer, D.E. Jr. “A time for choosing, ” IEEE Security and Privacy, January/ February 2011, 9695- أسئلة على تمرين التفكير النقدي 1 .كيف يمكن للبنية التحتية للمعلومات أن تكون أكثر أمناً إذا تم إدخال تقنيات الأمان مثل تقنية التشفير؟ 2 .كيف يمكن أن يصاب اس الأساسية للإنترنت؟ 3 .بناءً على إجابتك عن الس ؟ئياعتبار أمن الإنترنت من مسؤوليات المستخدم النها تصميم حالة: طلب قس بزيارة قصيرة للقسم. وفي الواقع هناك قلق في القسم بشأن الأمن الشامل للبيانات ويرغب القس التي تم العثور عليها، و وفيما يلي بعض الأمور التي وجدتها أثناء زيارتك: 1 .« وفيها أيضاً سبعة خوادم مثبتة على الرفوف 2 .تحتوي ثلاثة من تلك الخوادم على بطاقة واحدة فقط للش وسلك الشبكة لبقية الخوادم الأربعة موصول في محول الشبكة نفسه. 3 .)، ويتوقع الفني٪يبدو أن مصدر الطاقة المتواصلة أن وقت عمل مصدر الطاقة يصل إ

النموذج الأساسي لأمن المعلومات 207 4 .يحتفظ العديد من الأساتذة الباحثين بخوادمهم في مكاتبهم 5 . الدعم الفني يستخدمون كلمة المرور الخاصة بمسؤول النظام نفسها للوصولئيأخصا إلى جميع الوحدات الطرفية في القسم. اذكر ما لا يقل عن خمسة من التهديدات التي تجدها في القائمة أعلاه. بعد ذلك اقترح خمسة من الضوابط التي يمكن إضافتها للقضاء على تلك التهديدات. واحرص على أن تكون إجابتك مكتملة قدر الإمكان.

208