أمن المعلومات وإدارة مخاطر تقنية المعلومات

التهديدات والثغرات الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 289 المهم من أعمالها. وهذا ينطبق بشكل خاص على مدونات المواقع الإخبارية وبعض وسائل الإعلام. ضرب إعصار س 20 ( 2 ففي ش اء في اليوم الت ّ ر ُ اس مدين ) Gawker ) و Th e Huffington Post المفضل ). Datagram ( � حيث كانت المنصة الرئيس )، وتعطلت خطوط الطاقة Datagram ( � لقد غمرت مياه الفيضان مراكز البيانات التابعة ل ). 9 - 6 التي تغذي المولدات، مما أدى إلى تعطل مركز البيانات بالكامل (الشكل بسبب إعصار ساندي ( Datagram : تعطل مزود خدمة الإنترنت ( 9 - 6 الشكل الموردون والبائعون: عندما لا يتمكن الباعة أو الموردون من توريد الموارد المطلوبة، أو مراقبة مستوى جودة الأجه . ً كبيرا ) في هولندا وذلك HTC ) بأمر قضائي ضد شركة إتش تي س Nokia فازت شركة نوكيا 20 (( في شهر مايو من عام HTC في هاتف ً ) استخدمت ميكروفونا H TC ). ويظهر أن HTC One سمى ُ فيما يختص ببيع هاتف أندرويد ي ستخدام )، لكن على ما يبدو أن شركة نوكيا لديها حقوق حصرية لا STMicroelectronics طور من شركة ُ ) م One هذا الميكروفون في أجهزتها

الفصل السادس 290 نشاط التهديد الوسيط هو الجزء الأول من التهديد. لكن لن يكون هناك أي تهديد حتى يقوم الوسيط ببعض الأنش خصوصية الأصل أو تكامله أو جاهزيته. إن عملية إنش يمكن أنش تصنيف أنشطة التهديدات الشائعة في الفئات التالية: •البرمجيات الخبيثة •قراصنة الحاسب ا •الهندسة الاجتماعية •مادي •الأخطاء •البيئة :(البرمجيات الخبيثة malicious software( �) اختصمصطل الخبيث عام إحداث أنش الحاسوبية وأحصنة طروادة والروبوتات الشبكية كلها أمثلة على البرمجيات الخبيثة. في عام ((00وق .20(0 إ(990 الفيروسات تنتشر الفيروس الملف المصاب موجوداً في القرص الصلب لجهاز الحاسب الآلي، لكن الجهاز لن يكون مصاباً

التهديدات والثغرات الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات29( حتى يتم تشغيل الملف. وينتشر الفيروس عندما يقوم شخص ما بإرسال ذلك الملف المصاب إلى جهاز جديد، ويُشغل ذلك الملف على المضيف الجديد. أول جزء برمجي يُعد فيروس ئ أنش(97(وفي ع BBN( ARPANET( �) لالشبكات وت بالقفز من خادم إلى خادم آخر، ويقوم بتنصيب نفس الرس ذلك ويُعد انتش الشركات. وكان ميليسا مختلفاً عن الفيروسات الأخرى بسبب السرعة التي انتشر بها حيث »>ش<كان يُخفي نفس وكانت الرس macro virus( الأجهزة المصابة بفيروس ميليسا تعاني من الأعراض التالية •).(0إيقاف غير مبرر لتشغيل الجهاز مع رسالة خطأ الموضحة في الشكل •عن حلقات البرنامج التلفزيو •يتم اختيار ملفات عش 50

الفصل السادس 292 : رسالة الخطأ من فيروس ميليسا(10-6 الشكل وبالإضافة إلى المشكلات التي تركز على المستخدم النهائي، سبّب فيروسا ميليسا مشكلات ة في بنية البريد الإلكتروني التحتية للشركات بس �خط والموجه بالسجن لمدة الدودة الحاسوبية: التدخل البشري، تس� تعتمد الإصابة بالفيروس�بين الحاس الضع . وعلى الرغم من أن هذه الدودة تشبه (988الدودة الحاسوبية الأولى التي ظهرت في عام فيروس مُتعددة من البرنامج خالتعليمات البرمجية أصبح للبرنامج فرصة ثابتة في التكاثر وإنتاج نس نفسه في الجهاز المصاب مما يؤدي إلى زيادة حمل الجهاز المضيف، وفي نهاية المطاف يؤدي أحياناً إلى تعطل الجهاز المضيف.

التهديدات والثغرات الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات29( )، والتي ظهرت في شهر يناير منوتُعد دودة إس كيو إل سلامر فادت ، وذلك لأنها استخ، واحدة من الديدان الحاس200(عام buffer o verflمن ثغرة تجاوز س الاس نحاء العالم ما يلي: للإصابة بدودة سلامر في جميع أ •عندما انتشر ه of America • قامت الخط إصابة نظام التذاكر بهذه الدودة. •system 911( ئتعطل نظام الطوار ل والمش الدودة أن تنشر نفس مما يؤدي وبش باس دقائق من إطلاق هذه الدودة. (0من الخوادم ذات الثغرات على الإنترنت في غضون :(الروبوتات الشبكية أح إلى أن البرمجيات الخبيثة 20(2ZeroAccess( ZeroAccess( �المعروفة ب البرمجيات ذات الاس الأوامر والتحكم الروبوت الشب الإضافات من خوادم الأوامر والتحكم الإضافات بتنفيذ المهام المصممة لتوليد الإيرادات لمش

الفصل السادس أمن المعلومات وإدارة مخاطر تقنية المعلومات29( )، والتنقيب عن عملةالمهمة من خلال طريقتين أساس الإنترنت بت كوين ويح الإعلانات المعروف بالدفع حس تختلف. وعادة ما يتم توظيف قراصنة الحاس للمنافسين. والجناة الأكثر شيوعاً هم الناشرون الذين نجحوا في السابق في إدارة هذا النوع .)((من الاحتيال( ويمكن وصف عملة الإنترنت بت كوين تحل محل النقود في شبكة الإنترنت. وبشكل مشابه للاحتياطي الاتحادي (البنك المركزي في الولايات المتحدة تنظيم عملة البت كوين (تنقي� عميل البت كوي�أجه جهازك فإن الجهاز �). وعندمBitcoin Miner( يعمل بشكل أساسي كأنه بنك بت كوين صحة المعاملات وغيرها. ويصبح الأفراد عادة جزءاً من مجموعة التنقيب ويحصلون على تعويضات بت كوين ومن الواضح أن الروبوتات الشبكية مناسبة جداً لهذا النشاط. القرصنة: فإن 20((وفقاً لتقرير اختراق البيانات التابع لنموذج تصنيف الحوادث ساليب قد تضمنت نوعاً من أعمال القرصنة. وبعض الأ 20((%) من الخروقات في عام8(( المس اختراق القرصنة وبين الإصابة بالبرمجيات الخبيثة هو أن الإصابة بالبرمجيات الخبيثة تنتشر ن كلاً منهما قد يستخدم أساليب الاختراق تلقائياً دون تدخل العنصر البشري. وعلى الرغم أ )14( What is Click Fraud? - Internet Marketing Services By )n.d.(. Retrieved from http://www. optimum7.com/internet-marketing/ppc/what-is-click-fraud.html

التهديدات والثغرات الأمنية 295 نفس منظمة معينة. :(هجوم القوة الغاشمة هجوم القوة الغاشمة هو الطريقة التي يحاول قراصنة الحاسب من خلالها الوصول إلى حساب على النظام المستهدف، وذلك بمحاولة تكون هذه العملية آلية وقد تستغرق ساعات لإكمالها. الرغم من أن إصدارات هذا الهجوم التي�وع والتي يحاول فيها القرصان بعضاً من كلمات المرور وبعد ذلك يتمكن بس ألف كلمة (50إلى جهاز الحاسب الآلي، إلا أنها ليست بعيدة جداً عن الحقيقة. إن تحليل م يبرز لنا النقاط الهامة التالية: • ).(((((( حساب على ياهو هي ((60 �إن كلمة السر ل •تم استخدام كلمة • مرة (لكن المس(((تم اس كالنينجا الذي أراد أن يكون مثله). وفيما يلي عينة من كلمات السر غير الملائمة والتي تحتوي على أس .)(5) حيث تم استخراجها من برنامج مكافحة الفيروسات( (الجدول20((عام (هجمات بيانات الاعتماد الافتراضية ت هذا الكلام على بعض التطبيقات البرمجية وقواعد البيانات. وتشير هجمات بيانات الاعتماد الافتراضي )15( http://blog.eset.com/2012/06/07/passwords-and-pins-the-worst-choices

الفصل السادس 296 محمي بواسطة اسم مستخدم وكلمة مرور موحدة ومحددة مسبقاً (ومن ثم تكون معروفة على نطاق واسع). وهناك العديد من المواق كلمة مرور (9(7موقع شركة مثل مايكروسوفت (67افتراضية من 25: أسوأ(1-6 الجدول password12345letmeinmichael2000 123456dragonmonkeyshadowjordan 12345678rosey696969mastersuperman 1234baseballabc123jenniferharley qwertyfootballmustang1111111234567 عند اكتمال تثبيت خادم تعليمات الاستعلام البُنيوية ر. مسؤول قاعدة البيانات اكتشف أحد مزودي خدمة الإنترنت الرئيسين في هولندا 20(2وفي ش د الافتراضية؛ إذ جرى إعداد �أن حس اسم المستخدم ليتكون من الرمز البريدي بالإضافة إلى عنوان الشارع، في حين تم ضبط كلمة المرور الأولية لتكون ت المرور الافتراضية � ألف عميل لم يكلفوا أنفس((0ت الأولية. والاختلاف الطفيف في الموضوع هو نقطة الوصول اللاسل والتي قد يكون لديك مثلها في المنزل. فمن أجل الربط بجهاز التوجيه المنز والوصول إلى الش جهاز الحاس

التهديدات والثغرات الأمنية 297 ) والتي يتم توزيعها من قبل مزود خدمة الإنترنتالشائعة لنقاط الوصول اللاسل أم hexadecimal value( الجانب السفلي من نقاط الوصول اللاسل وصول سريع إلى الش إمكانية الوصول الفوري للشبكة. (تحرير أجهزة الهاتف المحمول بدأت الجامعات ملاحظة موجة جديدة لمسح منافذ الشبكة تستهدف منفذ رقم20(0في عام . Security Shell Daemon)SSHdالمنفذ المخصص للوحة المراقبة المشفرة المتعلقة بحارس القشرة الآمنة وعند تعقب بروتوكول الإنترنت، تم اكتشاف أن ذلك على صلة بتحرير أجهزة الهاتف المحمول ويشير مصطلح بنظام تشغيل آخر من قبل المستخدم. إن تحرير أجهزة الآيفون عملية سهلة يتم من خلالها إزالة بعض القيود التي تفرضها شركة أبل على مطوري التطبيق. لكن اتضح أن عملية التحرير تُضيف خادم القشرة الآمنة هي بكلمات مرور افتراضية مما يؤدي إلى أن يكون التصرف في تلك الأجهزة :(هجمات تجاوز سعة المخزن المؤقت دعنا نبدأ هذه الجزئية بمثال. تجاوز س في إناء س الت ن يسفر عن مفاتيح العالم. الكمبيوتر الفائض المشكّل بدقة يمكن أ و في ع الإناء غير محددة بشكل جيد. والمحتوى الذي كان من المفترض أن يناسب الذاكرة، يطفح و من جي البرنامج ويحتاج إلى تشغيل.

الفصل السادس 298 (PS Vita في لعبة سوني بلاي ستيشن الجديدة(رمز الاختراق تُعد ألعاب سوني بلاي ستيشن تغيير وحدة التحكم المحمولة للعب بألعاب وبرامج تقليدية والمعروفة باسم لعبة بلاي ستيشن الجديدة والتي تسمى وللأسف كانت شركة سوني مخطئة. تمكن قرصان حاسب ياباني يحمل الاسم المستعار بلاي ستيشن الجديدة إلى اللعبة الجديدة. ومع العديد من الاختراقات لألعاب سوني بلاي ستيشن التي لم تنشر لمجتمع الألعاب ولا لقراصنة الحاسب الآلي، فإن الألعاب والبرمجيات ستستمر في المدى القصير على البلاي ستيشن الجديدة وتس خلال الاتصال بثغرة في خادم حروف !برمجيات ليتم تنفيذه من قبل خادم الشبكة. بسيطة وفعالة ضد المشكلات المعروفة لتجاوز سعة المخزن المؤقت (حماية المُجمِع عة الجديدة بتحذير المستخدمين أثناء قيامها بتجميع البرامج التي تحتوي على وظائف خطيرة ِتقوم البرامج المُجم ومعرضة لتجاوز سعة المخزون المؤقت: user@s erver -/user $ gcc simple.c -0 simple /tmp/ccECXQAX.o: In function ‘ma in’: simple.c: ).text+0x17(: w arning: the ‘gets’ function is dangerous and should not be used. :(Cross-site scripting (XSS( attacksهجمات البرمجة النصية للمواقع المشتركة وهذه الهجمات هي الأكثر ش . ويكون ِضرب بإدخال معلومات ذات محتوى مُِيس المحتوى عادة رمز جافا س يقوم بزيارة الموقع. والأهداف الشائعة لهذه الهجمات هي المنتديات على شبكة الإنترنت. وع للمس ). ((ثم يتم نشر الرمز في المنتدى حتى يقوم المستخدمون الآخرون بتشغيله (الشكل

التهديدات والثغرات الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 299 ، وهي شركة متخصص ) ( 6 ( ) Accunetix لشرك ً ووفق عادة ستخدم ُ ) ت X SS ة من قبل هجمات َ س ُ نية الم ش للقيام بالأنشطة الخبيثة التالية: • انتحال الشخصية. • الوصول إلى معلومات حساسة أو معلومات مقيدة. • الحصول على وصول مجاني لمحتوى غير مجاني. • التجسس على عادات التصفح لمستخدمي الإنترنت. • تغيير وظائف المتصفح. • التشهير العام بفرد أو بمنظمة. • تشويه تطبيقات الإنترنت. • هجمات رفض الخدمة. : المستوى العالي لهجمات البرمجة النصية للمواقع المشتركة ( 11 - 6 شكل ) 16 ( http://www.acunetix.com/websitesecurity/cross-site-scripting/

الفصل السادس أمن المعلومات وإدارة مخاطر تقنية المعلومات( 00 وفيما يلي مثال مبسط لهجوم تحصل هذه الصفحة على رمز للمتغير (وعادة ما يكون ذلك المتغير اسماً) من عنوان الموقع يتم عرض رسالة ترحيبية على الشاشة. php?< ;)‘name = $_GET[‘name$ ;»>echo »My name is $name>br /<echo »>a href=’’http://xssattackexamples.com/’’<Clic k to Download ;« <a <? ) إلى العنوان التاويمكن لقراصنة الحاسب أن يقوموا بصياغة عنوان الموقع index.php?name=guest>sc ript<aler t)‘ owned’}>/s cript< XSS( �ويعد هذا النوع من هجمات ال ذلك عندما تقوم البرامج النصية من جانب الخادم باستخدام البيانات المقدمة من قبل العملاء لإنشاء صفحة من ). (7النتائج لهذا المستخدم دون التحقق من صحة الطلب :(هجمات حقن تعليمات الاستعلام البُنيوية هجمات حقن تعليمات الاستعلام البُنيوية هي تقنية تستخدم لاستغلال كيفية تواصل صفحات الإنترنت مع قواعد البيانات الخلفية. ويمكن للمهاجم إصدار أوامر إلى قاعدة بيانات (على شكل عبارات . وكما ترى أن هجمات حقن تعليمات الاستعلام البُنيوية )(8الغرض) باستخدام حقول الإدخال في الموقع الإلكترو مشابهة إلى حد كبير لهجمات البرمجة النصية للمواقع المشتركة في الواجهة الأمامية للموقع الإلكتروني في حين أن هجمات حقن تعليمات الاستعلام البُنيوية تُنفذ في الخادم. والمشكلة في كلا الحالتين أنه لا يتم التحقق من مدخلات المستخدم بالشكل الصحيح. XSS( � بإمكانك مشاهدة مثال لهجمات ال)(7( XSS( �قام أصحاب هذا الموقع بتصميمه خصيصاً ليكون عرضة لهجمات ال النص البرمجي الموجود أعلاه. وإذا كان الجافا سكريبت مفعلاً في متصفح الشبكة الخاص بك سترى الرسالة تظهر على سطح الشاشة. )18( Verizon’s Data Breach Investigations Report )n.d.(. Retrieved from http://www.slideshare.net/ cloudrunnertom/verizon-dbir

التهديدات والثغرات الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات(0( ومثال على ذلك، دعنا نفترض أن موقعاً إلكترونياً يسمح لك بإدخال اسم العائلة في مربع نص، وعند الضغط ع إرسال، يقوم الموقع بعرض الاسم الأول مع رقم الهاتف. الاستعلام الذي يُرسله خادم الشبكة إلى قاعدة البيانات الخلفية قد يبدو مثل الاستعلام التالي: SELECT fname, phone FROM contacts WHERE lname = ‘do e’ لكن ماذا لو أدخلنا النص التالي في مربع النص ;‘(=(’ doe’ OR »(=(ولأن شرط doe’ exec master.dbo.xp_cmdshell ‘iisr eset/Stop’ إذا كان خادم قاعدة البيانات يسمح للقشرة بالهروب (يمكن تنفيذ الأوامر خارج بيئة قاعدة البيانات، على نظام التشغيل نفسه)، فإن المدخلات أعلاه ستقوم بإيقاف خادم الشبكة قام20(2في ع »Anonymous« 50 �المحصنة وذلك للكشف عن المعلومات المخزنة في خوادم قواعد البيانات ل العالم، متضمناً ذلك جامعات برينس .)(9وروتجرز إساءة الاستخدام: إس إس واس التي كان يحتاج إلى ذلك لأداء وظيفته. وهذا المبدأ ينطبق بش يشغلها الشخص في المنظمة. )19( http://pastebin.com/AQWhu8Ek

الفصل السادس أمن المعلومات وإدارة مخاطر تقنية المعلومات( 02 إساءة استخدام الامتيازات يحدث إس الأصول بطريقة غير سليمة مما يتسبب في الضرر للأصول و/أو المنظمة. وكش مس متعهدي تقنية المعلومات. عمل ستيف لشركة باس ألف دولار كتعويضات لشركة 5(على ستيفن بدفع بقضاء س على خادم البريد الإلكتروني للشركة البريد المزعج ومن ثم جرى استخدام الخادم كبروكسي للرسائل �لحماية الخادم من مُرس المرغوب فيها. وكانت النتيجة مش�غ نظام البريد الإلكتروني لشركة المنافذ مفتوحة. ووفقاً لس Falcon Networks .)20( 200(وأخذوا أجهزة الحاسب الآلي الخاصة به بالقوة وذلك في عام الاحتيال والاختلاس: يُع Counterfeit Access Device and Computer Fraud and Abuse Act ( ، أول محاولة من قبل الحكومة الاتحادية للتعامل مع قضية(98(أق احتيال في مجال تقنية المعلومات. كما يجرم القانون استخدام أجهزة الحاسب الآلي لإلحاق لي، متضمناً ذلك الأجهزة والبرمجيات الخاصة بها. وهذا القانون الضرر بأنظمة الحاسب الآ موجه في المقام الأول نحو قراصنة الحاسب الآلي. ومنذ ذلك الحين تم استخدام هذا القانون )20( http://gawker.com/5076432/angry-angry-it-guy-goes-to-jail

التهديدات والثغرات الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات(0( لمقاض واختلاس الأموال من المنظمات وعملائها. إن حالات الاحتيال والاختلاس باستخدام موارد تقنية المعلومات كثيرة، وخصوصاً عندما صيد يجد الأفراد أنفسهم في ضائقة مالية. وقد أدى ذلك إلى قيام الشركات بالتحقق من الر الدائن للموظفين الذين لديهم امتياز الوصول إلى أصول قد ترتبط بها عمليات احتيال. بدأت امرأة من نوكسفيل20(2وفي شهر أغسطس من عام س . )2(وذلك أثناء عملها مديرة عمليات التجزئة في مصرف س وكان ست لأعضاء النيابة العامة. وكان لديها إمكانية الوصول إلى الس من خلال جهاز الحاس على الاحتيال باستخدام أجهزة الحاسب الآلي: •إرس مجيات الفدية). وبر •اس شخص آخر على الإنترنت. •استخدام أي نوع من البرمجيات الخبيثة أو رسائل البريد الإلكتروني لجمع المعلومات من منظمة أو شركة بقصد استخدامها لتحقيق مكاسب مالية. •استخدام أجهزة الحاسب الآلي لإغواء القاصرين في تحالفات جنسية. • عن طريق تحميل وتب� حقوق التأليف والن�انته الحقوق دون إذن صاحبها. •استخدام أجهزة الحاسب الآلي لتغيير المعلومات، مثل الدرجات، وتقارير العمل، وغيرها. الحكم على موظفة سابقة في بنك سنترس في قضية احتيال باستخدام أجهزة الحاسب الآلي، تم استعادتها من الموقع)2(( http://www.knoxnews.com/news/local/former-suntrust-bank-employee-sentenced-in-computer- html.357098531-fraud-case-ep-361004043

الفصل السادس أمن المعلومات وإدارة مخاطر تقنية المعلومات( 0( استخدام البرمجيات غير المعتمدة قد يصبح الموظفون وس كتثبي المكتبية أو الهواتف الذكية قد توفر لقراصنة الحاس للمنظمة. ح للمس�ويُعد الس خصوصاً بالنسبة للجامعات. وبشكل تلقائي يجب أن تكون الجامعات مفتوحة وغير مقيدة لأنها المكان الذي يجتمع فيه حب الاس نفس يمكن أن الانفتاح تهديد مما يؤدي إلى عواقب وخيمة على الوحدة الإدارية والأفراد. وخير مثال على القضايا المرتبطة بتثبيت البرمجيات هو برنامج ظهر في أواخر التس لدى كثير من المستخدمين في الحرم الجامعي، وكان يتجول على سطح مكتب جهاز الحاسب أيضاً يجمع معلومات عن عادات التصفح الآلي وكان يُسلي المستخدمين. ولسوء الحظ كان الخاصة بالمس adware–وم بطء وأخيراً فإنه يس ).(2شديد في جميع التطبيقات الأخرى الشكل وبس من تثبيت البرمجيات على أجهزة الحاس ق 20(2بذلك. ففي ش الغربي انتهاك لسياس المُحمَلة بالحصول على وثائق المنظمة السرية. ففي القضية التي كانت بين شركة Corp