أمن المعلومات وإدارة مخاطر تقنية المعلومات

تحديد الأصول والتعرف على خصائصها 257 ٨ .ما الأصل الوظيفي؟ أعط بعض الأمثلة. 9 .ما أصل مكونات الحاسب الآلي المادية؟ أعط بعض الأمثلة 10 .ما الأصل البرمجي؟ أعط بعض الأمثلة 11 .ما الأصل القانوني؟ أعط بعض الأمثلة 12 .اذك المادية والتي يجب تتبعها. وما الهدف من ذلك التتبع؟ 13 .ما عملية التعرف على خصائص الأصول؟ ولماذا تُعد مفيدة؟ 14 .ما حساس خصائص الأصول؟ 15 .م خصائص الأصول؟ 16 .ما دورة حياة أصول تقنية المعلومات؟ وما مراحل دورة الحياة تلك؟ 17 .م المعلومات؟ 1٨. ما اهتمامات أمن المعلومات خلال مرحلة الاس المعلومات؟ 19 . من دورة حي�ل مرحلة الن�م المعلومات؟ 20 .م المعلومات؟ 21 .م المعلومات؟

الفصل الخامس أمن المعلومات وإدارة مخاطر تقنية المعلومات25٨ 22 .م المعلومات؟ 23 .من مالك الأصل؟ 24 .ما المسؤولية التشغيلية على الأصل؟ 25 .اعط مثالاً على حالة لا يكون فيها مالك الأصل صاحب مسؤولية تشغيلية؟ أسئلة على نموذج الحالة: 1 .ما الأصول المستهدفة من كل من الدودة الحاسوبية ستكسنت الذي يقف خلفها؟ 2 .صنّف كلاً من تلك الأصول باستخدام نظام التصنيف المتبع في هذا الفصل 3 .بناءً على المعلومات الواردة في المقالات المش جهداً كبيراً في تحديد وحماية أصولها في مدينة (نطنز). ما الاحتياطات الإضافية التي يمكن لإيران اتخاذها؟ نشاط التدريب العملي - تحديد أصول المقررات الدراسية: في هذا القسم سنستعين بوجودك بصفة طالب في هذا المقرر الدراسي. أجب عن البنود المرقمة أدناه وأرسل إجابتك إلى أستاذ المادة. تحديد الهدف: 1 .ما هدفك لهذا المقرر الدراسي؟ يمكن أن يكون هدفك بس « � دقة ك�درج الدراسي بدرجة ممتاز

تحديد الأصول والتعرف على خصائصها 259 القوى الخارجية في تشكيل الهدف هل هناك قوى خارجية تعمل على تشكيل هدفك لهذا المقرر الدراسي؟ على سبيل 2 المثال •هل لديك منحة دراسية تتطلب منك المحافظة على معدل دراسي معين؟ وهذه والتنظيمات التي يجب أن تلتزم به�مش للقيام بالأعمال التجارية. •هل يساعدك والداك في دفع الرسوم الدراسية، وأنهما طلبا منك عدم حذف أي مقرر دراسي؟ والداك مثل مس مقابل مستوى هدف معين. •ه من أجل التخرج ضمن إطار زمني معين؟ مناقشة واكتشاف الأصول مع زملائك في الصف: بشكل مشابه لمناقشة عملك مع الآخرين في بيئة العمل فإن التحدث مع زملائك الطلاب قد يؤدي إلى اكتشاف أصول لم تفكر فيها من قبل. 3 • جهاز الحاسب الآلي المحمول •أن يقوم أحد ما بإيصالك بالسيارة إلى الكلية يومياً. •هذا الكتاب الدراسي. •أستاذك. حاول التفكير خارج الصندوق للحصول على أشياء غير معروفة لديك حالياً.

الفصل الخامس 260 تصنيف الأصول 4 مكونات الحاسب المادية، أو أصول برمجية أو أصول قانونية تسجيل حساسية وأهمية كل أصل: 5 الأخذ بعين الاعتبار بالنقاط التالية •هل هناك مخاطر إذا نظر إليها أحد ما؟ •هل يتم تقييم درجة أدائك في هذا التدريب العملي؟ •ما الذي سيحدث إذا قام شخص ما بنسخ إجاباتك وتسليمها للأستاذ؟ •ما مقدار التأثير في درجاتك في حال فقدان إجابتك وعدم قدرتك على تس في الوقت المحدد؟ ما الذي سيحدث إذا لم تتمكن من القدوم إلى الصف في يوم الاختبار؟ حاول التنبؤ بأسوأ سيناريو عند نظرك في هذه النقاط. تحديد ملكية وأمين الأصل: 6 تستعير جهاز الحاسب الآلي المحمول من شخص آخر؟ هل حقيقة أنك لست مالكاً تؤثر في هدفك بأي شكل من الأشكال؟« �ل اختر ثلاثة من الأصول واشرح دورة الحياة: 7 يت جهازرالفرصة لشراء نسهل كانت لديك حاس من هذا المقرر الدراسي؟ . في سياق هذا المقرر الدراسي، ما دورة حياة أستاذك؟٨

تحديد الأصول والتعرف على خصائصها أمن المعلومات وإدارة مخاطر تقنية المعلومات 261 خترق ُ تمرين التفكير النقدي - استخدامات جهاز حاسب آلي م عن طرق للحصول على الس ً لق )، Brian K r ebs نت. وقد حدد بريان كريبس ر على جهاز حاس )، الاستخدامات الممكنة krebsonsecurity ونية مشهورة بعنوان ر وهو صاحب مدونة إلك ). 5 - 5 (الشكل ) 19 ( ق ر لجهاز حاسب آلي مخ ): استخدامات جهاز حاسب آلي مخترق 55 الشكل أسئلة على تمرين التفكير النقدي: استخدام الجهاز لكيفية ً مختصرا ً م شرحا ّ اقه، قد ر أن جهازك الشخصي تم اخ . على فرض 9 .) 5 - 5 تلك الموضحة في الشكل من قبل المهاجم وذلك لإنجاز ثلاثة أنشطة من تصميم حالة: لتصمي ستخدمة في الفصل الأول والفصل الثاني. إذا كنت تذكر من الفصل الثاني أن عميد شؤون ُ الم و ) 19 ( http://krebsonsecurity.com/wp-content/uploads/2012/07/valueo fh ackedpc.png

الفصل الخامس 262 وني للطلابرب طلب أن نضع مقارنة أولي�الط داخ لتوفير الدعم لمكونات الأجهزة المادية، أو استخدام حلول (البرمجيات كخدمة as a Service والآن وبعد أن أخذنا نظرة فاحصة على الأصول يمكنك أن ترى شيئاً واحداً بوضوح وهو أنه سيكون هناك تغيير كبير في الأصول اللازمة لدعم كل خيار. وهذه الأصول لا تقتصر على أصول مكونات الحاسب الآلي المادية. فهي تشمل أيضاً الإنشاء المحتمل للأصول المعلوماتية الجديدة مثل التقويمات والوثائق. هل هذه الأصول ستكون داعمة لأهداف الجامعة؟ لتحقيق أهداف هذا التصميم، تأمل في الأصول التالية: •وني للطلاب.ربيانات البريد الإلك •وني.ربرمجيات خادم البريد الإلك •وني.رالمكونات المادية لخادم البريد الإلك •التخزين الخارجي. •اتفاقية صيانة المكونات المادية للخادم. •وني واتفاقية الدعم الفني.رصيانة برمجيات خادم البريد الإلك •20 وني للطلاب من خلال الرجوعرويمكن الاطلاع على وصف للأجهزة الداعمة للبريد الإلك ض ما يلي:رإلى تصميم الحالة في نهاية الفصل الثاني. اف •مكونات الأجهزة المادية مملوكة بالكامل لإدارة خدمات الطلاب. •Sendmailوني، ويدعىرتم شراء برنامج البريد الإلك وني الصادر والوارد. وهناك عقد سنوي يغطي تحديثات الصيانة والتصحيحات رالإلك والدعم الفني.

تحديد الأصول والتعرف على خصائصها 263 • يتم تس ددي للشبكة المستخدمة من قبل ر) مقدار عرض النطاق ال باس النظام، و •7 �وني للطلاب بعد تخرجهم برتم حذف البريد الإلك أسئلة على تصميم الحالة الأمنية: المطلوب منك أن تُس النموذج أدناه لإدراج الأصول. بنية تحتية داخل الجامعةالأهميةالحساسيةالنوعالأصل كخدمة IaaS( برمجيات كخدمة SaaS( وني للطلابربيانات البريد الإلك xxx وربرنامج البريد الإلك المكونات المادية للخادم اتفاقية صيانة المكونات المادية التخزين الخارجي اتفاقية الدعم الفني لبرنامج البريد ونيرالإلك ساعات العمل الأسبوعية للموظفين 1 . إلى أصول: معلوماتية، أو�وني الداخرق وظيفية، أو برمجية، أو مكونات الحاسب المادية، أو مالية. 2 .هل بإمكانك تحديد الأصول تقوم بقية الأصول بدعم وجوده؟

الفصل الخامس 264 3 .في أي مرحل وني رروني؟ ما نوع الأصول المطلوبة إذا تم اتخاذ قرار بالاحتفاظ بالبريد الإلك �الإلك في موقع الجامعة؟ 4 .ح IaaSروني للطالب إلى حلول البنية التحتية كخدمة�الإلك وني ر الاحتياطية لبيانات البريد الإلك ْ). هل النُسَلحلول البرمجيات كخدمة م ولماذا؟ فكّر في آثار التكلفة. 5 .د النظام الجديد�) مع اعتهل س وني خارج الجامعة؟رللبريد الإلك 6 . في التقرير الأصول�حدّد وب الحالي في موقع الجامعة. وكيف تتغير هذه الأصول بالانتقال إلى حلول خارج موقع الجامعة؟ ومن الأمثلة على ذلك ما يلي: •وني في الجامعة. من الذي تتصل رإذا كان لديك مش إليه أولاً لحل هذه المشكلة؟ •وني من المُرسل وتصل إلى المُستقبل؟ركيف تنتقل رسالة البريد الإلك •داده؟رإذا قام الطالب بالخطأ بحذف صندوق البريد الوارد بأكمله. كيف يتم اس 7 .قم بتصنيف الأصول وفقاً لوجهة نظرك بالنسبة لحساسيتها وحرجيتها. علل إجابتك ٨ .وني لمجموعره الطلاب؟ 9 .ناقش في هذا التقرير الوقت المحتمل للانتقال إلى حلول خارج موقع الجامعة

265 الفصل السادس التهديدات والثغرات الأمنية نظرة عامة: بع نظرة أولية على مكونات مش والضواب صول متضمناً ذلك أنواع الأصول وتصنيفاتها والتعرف على خصائصها. موضوع الأ وفي هذا الفصل سوف نلقي نظرة فاحصة على التهديدات بحيث يجب أن يكون لديك في نهاية هذا الفصل فهم واضح لجوانب المختلفة من التهديدات بما في ذلك: •نماذج التهديدات، ودمج مكونات التهديد. •القوى التي يمكن أن تؤثر في الأصل (الوسطاء). •الطرق التي من خلالها يستطيع الوسطاء أن يؤثروا في الأصل (الأنشطة). •الثغرات الأمنية وعلاقتها بالتهديدات. مقدمة: عرّفنا التهديدات بأنها قدرات الخصوم ونواياهم وأس أو إح مخاط ثر س أو حدث من المحتمل أن يؤ الأخرى أو يؤثر س . وبعد أن تقوم )به أو تدمير أو إفش http://csrc.nist.gov/publications/nistpubs/800 -30-rev1/sp800_30_r1.pdf )1( أكثر شمولاً، نعتقد أن تعريفنا للتهديد أسهل للتذكر ويغطي العناصر الأساسية للتهديد

الفصل السادس 266 المنظمة بتحديد أصوله متطلب الأخير أن الكثير من أنشطتنا اليومية تعتمد على توافر الأصول، ورأينا كيف أننا نتعامل مع ر المُس الأصول بأنها من الأمو تلك الأصول؟ وبوصفك محلل أمن معلومات، س المُس كة �ت البرمج�) مُعInternet Explorer( cross-site scripting( بالتحديث الاجباري لجميع أجهزة الحاس القادمة؟ وهذا شبيه لقرار سكان ولاية فلوريدا الذي يجب أن يتخذوه في كل مرة يقرؤون فيها عن إعصار قادم من المحيط الأطلسي - هل التهديد في هذه المرة خطير بما يكفي لشراء مولد كهربائي لاستخدامه في حال تعطل الطاقة لفترة طويلة؟ نماذج التهديدات: تنش ثل نموذج التهديد الذي يمُالأصول. إن التفاعل بين الوسطاء والأنشطة والأصول ذوي العلاقة ). وفي بقية هذا الفصل سنس(يواجه المنظمة. وهذا التفاعل موضح في الش ، وهو الجزء الذي يتعامل مع )2()VERIS( �ج التهديدات بوصفها أساساً للمناقشة في هذا الفصل. وبينما يعتمد بعض الوسطاء والأنشطة في هذا الفصل على نموذج التأثير في الأصول هي فكرة عامة إلى حد ما. وقد سبق أن ناقشنا موضوع الأصول. وفي هذا الفصل نركز على العناصر المتبقية من التهديد وهي: الوسطاء والأنشطة. Verizon enterprise risk and incident sharing نموذج شركة فيريزون لمقاييس مشاركة الحوادث والمخاطر )2( metrics framework كجزء من تحليل المخاطر والتي سنقوم بمناقشتها في فصل إدارة المخاطر

التهديدات والثغرات الأمنية 267 (((: نموذج للتهديد(1-6 الشكل ((( من مايكروسوفت(نموذج التهديد يُعد نموذج فإن نموذج المستخدمة في تصنيف تهديد معين. انتحال الهوية واستخدام معلومات الاعتماد لمستخدم آخر مثل اسم المستخدم وكلمة المرور. العبث بالبيانات ومن الأمثلة على ذلك التغييرات غير المصرح بها على البيانات الثابتة، مثل تلك الموجودة في البيانات. قاعدة البيانات، وتغيير البيانات التي تنتقل بين أجهزة الحاسب الآلي عبر شبكة مفتوحة مثل الإنترنت. التنصل دون وجود وسيلة لإثبات خلاف ذلك لدى الأطراف الأخرى-على سبيل المثال، مستخدم يقوم بإجراء نشاط غير قانوني على نظام يفتقر لقدرة تتبع العمليات المحظورة. ويشير عدم التنصل إلى قدرة النظام على مواجهة تهديدات التنصل. مثلاً شراء المستخدم لغرض ما قد يستوجب التوقيع على إيصال الاستلام. ويمكن للمورد استخدام الايصال المُوقَع ليكون دليلاً على أن المستخدم استلم المشتريات. الإفصاح عن المعلومات انكشاف المعلومات إلى أشخاص يُفترض ألا يكون لديهم وصول لتلك المعلومات - على سبيل المثال، قدرة نح لهم حق الوصول لهذا الملف، أو قدرة المتسلل على قراءة يمُالمستخدمين على قراءة ملف ما بحيث لم البيانات المُنتقلة بين جهازي حاسب آلي. رفض الخدمة إلى مستخدمين حقيقيين - على سبيل المثال، جعل خادم الشبكة غير متوفر أو صالح للاستخدام مؤقتاً. عتمادية. ويجب الحماية ضد أنواع معينة من هجمات رفض الخدمة وذلك لتحسين الجاهزية والا رفع الامتيازات امتيازات الوصول إلى النظام على تلك الامتيازات ومن ثم يكون لديه حق الوصول لاختراق أو تدمير النظام بأكمله. وتتضمن تهديدات رفع الامتيازات تلك الحالات التي يتمكن فيها المهاجم من الاختراق ءاً من النظام الموثوق نفسه، وهذا وضع خطير حقاً. الفعال لجميع دفاعات النظام، ويصبح جز STRIDE( نموذج التهديد )(( https://msdn.microsoft.com/en-us/library/ee823878)v=CS.20(.aspx

الفصل السادس أمن المعلومات وإدارة مخاطر تقنية المعلومات 268 يس ً عاما ً ) نموذجا VERIS ع ُ وي مع الأدبيات الأكاديمية ً أيضا كتش ُ ت في ً حول هذا الموضوع وكذلك مع نماذج المخاطر القياسية التي أخذناها بعين الاعتبار لاحقا ). VERIS هذا الكتاب. ومن هنا تأتي أهمية استخدام نموذج التهديد وسيط التهديد: وسيط التهديد هو فرد أو منظمة أو مجموعة تقوم بتأسيس نشاط تهديد معين. ويمكن تصنيف وس تأسيس التهديد. • الوسطاء الخارجيون. • الوسطاء الداخليون. • الشركاء. ) يوضح تكرار الفئات المختلفة لوس 2 - 6 الش . ومن الواضح أن عدد الهجمات الداخلية قد انخفض ) ( ( 200 ( ) منذ نش VERIS ( ، في حين زاد عدد الوسطاء الخارجيين خلال الفترة نفسها 2009 بشكل كبير منذ عام : نسب الاختراقات لوسطاء التهديد خلال فترة زمنية ( 2 - 6 الشكل لأن العديد من الحوادث لديها أكثر من نوع واحد من الوسطاء. ( 00 لا يصل مجموع الأرقام إ ) ( (

التهديدات والثغرات الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 269 الوسطاء الخارجيون س ُ كما يوحي الم %) 98 فإن 20 ( 2 ) لعام VERIS ( � ل ) 5 ( لتقرير خرق البيانات ً صلة بالمنظمة نفس نش 20 ( 2 من الهجمات في عام ) قائمة سريعة للوسطاء الخارجيين. ( - 6 المهمين في القسم التالي. ويوضح الشكل : الوسطاء الخارجيون ( ( - 6 الشكل مجموعات الناشطين: أصبح )، وهذه المجموعة تخلط بين النش hacktivist « ) 5 ( http://www.verizonenterprise.com/resources/reports/rp_data-breach-investigations- report-2012_en_xg.pdf

الفصل السادس 270 قرصن المتحمسين للإنترنت، وهم أعضاء مجهولون يصورون أنفسهم على أنهم يعارضون كل أنواع القمع الموجودة، كما يعارضون رقابة الجهات الحكومية على الإنترنت في جميع أنحاء العالم. وهنا نذكر قائمة مختصرة من آخر الأنشطة الاستغلالية لمجموعة (المجهول). الاستغلالية(آخر أنشطة مجموعة (المجهول : قامت مجموعة مرتبطة بمجموعة (المجه20(2أغس في أوغن أوغندا. وتركت المجموعة الرسالة التالية ت الحكومي بالمساواة : ادعت مجموعة (المجهول) فصل خوادم اسم المجال20(2سبتم التابعة لشركة JHilI’s Staffing Servicesة مثل شرك �ة ووصولاً للمنظمات الكب �الصغ مهنية استشارية. : ه20(2أكتوب م Wikileaks( الحكومات الأجنبية وفق فإن)6( 20(( المخاب الدول والشكل(طائرات عسكرية (الشكل )6( http://www.ncix.gov/publications/reports/fecie_all/Foreign_Economic_Collection_2011.pdf

التهديدات والثغرات الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 27 ( ( J-20 : الطائرة العسكرية الصينية ( 4 - 6 الشكل المصممة من شركة لوكهيد الأمريكية ( F-22 : الطائرة الحربية ( 5 - 6 الشكل ووفقا للتقرير فإن الصين تأتي على رأس القائمة وذلك للهجوم المتكرر للقراصنة الصينيين نشاط تجسس ً على شركات القطاع الخاص الأمريكية. وتجري الاس إلكتروني ضد أهداف أمريكية وذلك لجمع المعلومات الاقتصادية والتكنولوجية.

الفصل السادس 272 للتحليل الأمني بخصوص وحدة جيش التحرير الشعبي الصيني(تقرير شركة أصدرت شركة التحليل الأمني 20((في الثامن عشر من شهر فبراير من عام وحدة من جيش التحرير الشعبي الصيني APT1( ودلت تحقيقات شركة مجموعة واسعة من الأهداف. (50وفي وقت التقرير قامت شركة من الضحايا. وكانت شركة كما كانت قادرة على التعرف على عناصر مختلفة من أدوات تلك الوحدة وتكتيكاتها وإجراءاتها. وكشف التقرير عن ثلاث من الهويات داخل وحدة أشخاص وليس من قبل روبوتات إلكترونية. وتعتقد شركة ينفذون الأوامر المُعطاة لهم من قبل رؤسائهم. وبناءً على وجود التنظيم لأكثر من ) 6((98ترعاه الحكومة الصينية وتحظى بدعم مباشر منها. وتشير التحقيقات كذلك إلى أن الوحدة رقم ) نظراً للتشابه في المواقع APT(كن أن تكون نفسها وحدةيمُ والتابعة لجيش التحرير الشعبي الصيني ) ووحدة6((98بين وحدة رقم طابقاً وبُني في عام(2) قدم مربع ويتكون من((0,66(مساحته شركة (((وقد حددت شركة وقامت وحدة (56اخترقتها، كما قامت بتتبع شبكات تلك الشركات على مدى عدة سنوات. وبلغ متوسط مدة الهجوم يوماً بما يعادل أربع سنوات وعشرة أشهر. ويبدو (76(يوماً حيث استمر أطول هجوم تم رصده لمدة أن تركيز وحدة وخطط العمل. وفي حالة واحدة لاحظت شركة أشهر. وتستهدف وحدة (0من البيانات المضغوطة من منظمة واحدة وذلك على مدى فترة زمنية بلغت APT1( وتتطلب وحدة الإنجليزية. وتوظف هذه الوحدة بشكل كبير من كليات العلوم والهندسة من المعاهد والجامعات مثل معهد هاربين للتقنية والتقنية