أمن المعلومات وإدارة مخاطر تقنية المعلومات

إدارة الهوية والوصول 465 3 .في اعتقادك كيف حصل صديق الطالبة على بيانات اعتماد حسابها الجامعي؟ 4 .كيف يمكن تعديل النظام لاستخدام القياسات الحيوية للتأكد من 5 .بالإضافة إلى القياس التقنية أو غير التقنية، والتي ستعرضها للتأكد من 6 .وبما أن الجامعات تتحرك أكثر فأكثر نحو الدورات الدراسية على الإنترنت، ما الحالات الأخ الطالب ولا كافياً كذلك لمنع الاحتيال؟ 7 .كيف يمكن للطالبة منع هذه الحادثة؟

466

467 الفصل التاسع الضوابط الأمنية باستخدام المكونات المادية والبرمجيات نظرة عامة: في ه وال تحديد الأصول والتعرف على خصائصها. وفي الفصل الس والثغرات الأمنية. والعنصر الأخير في النموذج الأساسي لأمن المعلومات هو عنصر الضوابط. في هذا الفصل سنُلقي نظرة على الضوابط الأكثر أهمية والأكثر شهرة. و في نهاية هذا الفصل يجب أن تعرف ما يلي: •إدارة كلمات المرور. •الجُدُر النارية وقُدُراتها. •قوائم التحكم بالوصول. •أنظمة كشف/ منع التسلل. •تصحيحات نظم التشغيل والتطبيقات من الأخطاء. •حماية نقطة النهاية. •أفضل ممارسات ضوابط أمن المعلومات. وليس الغرض من القائمة أعلاه أن تكون ش يُذكر أعلاه هو برنامج اختارها مؤلفو هذا الكتاب. ومثال بس مكافح متضمناً ذلك الضواب س

الفصل التاسع 468 والهدف من الضوابط أعلاه، والهدف كذلك من هذا الفصل عرض الضوابط المعروفة بحيث يك للتعميم لذلك فإنها ستس مستقبلك. إدارة كلمات المرور: عرّفنا كلمات المرور بأنها سلس وال الاس لحماية البيانات والأنظمة والش حيث يعمل اسم المس . فالاستخدام الناجح على النظام. أما المصادقة فهي تؤسس للثقة في صحة الهوية المُدعاة((( لاس البريد الإلكتروني، والمواقع الإلكترونية، والمعلومات الحساسة وفقاً للأذونات المرتبطة بالهوية. ولكلمات المرور عدة أسماء مختلفة تبعاً للسياق الذي ترد فيه. فرقم التعريف الشخصي 4 هو كلمة مرور عددية قصيرة تتكون من(PIN( ، أو(ف الآلي�ة ضرورية (مثل أجهزة ال�الش عندما تؤدي كلمات المرور العادية إلى مشكلات مُحتمَلة في سلامة الأفراد (مثل نظام إخماد . ولأن أرقام التعريف الش(الحرائق في المطارات ومن ثم فإن الأمن الذي توفره يكون محدوداً. وبش الشخصية مبني على فرضية اس المراقبة في أجهزة الصرف الآلي، ووسائل الأمن في المطارات. . وعبارة (passphraseت المرور ه�وش ً العب�ر. مث�ت الت�ا .عرّفنا سابقاً المصادقة بأنها (((

الضوابط الأمنية باستخدام المكونات المادية والبرمجيات 469 تمثل عبارة مرور. والدافع وراء استخدام عبارات المرور(Wow!!!thisis#1clasatschooL( هو أنه على الرغم من أن المخ البشري يستطيع الاحتفاظ فقط بسبعة أجزاء من المعلومات ة الأجل فإن كل جزء من أجزاء المعلوم�في الذاك م التذكر من التسلس يمك(مث . وليس بالضرورة أن تكون عبارة المرور الطويلة أكثر أمناً (بكلمات المرور مثل من كلمة المرور أو عبارة المرور القصيرة. على تخمين كلمات المرور. �ويعتمد أم وناقش المب وقة من مورد ما لا يمكن استخدامها في مورد آخر. رالمرور بحيث أن كلمة المرور الم والنقاش أعلاه يوضح وجهة نظر المستخدم النهائي بخصوص كلمات المرور: كلمة المرور تسمح لك بالوصول إلى نظام آمن. لكن ولكونك مسؤولاً عن النظام وأخصائي أمن معلومات يتطل ت المرور. وإدارة كلمات �الت المرور عبارة عن عملية تحديد سياس أنح تستخدم كلمات المرور. ، (Integrityت المرور تعيد تقديم الأبعاد الثلاثة لأمن المعلومات: التكامل�إدارة كل ، وذلك لأن المنظمات بحاجة (Availability، والجاهزية(والخصوصية 2( M iller, G.A. » The magical number seven, plus or minus two: some limits on our capacity for processing information,« The Psychological Review, 1956, 63: 81–97, http://www.musanim.com/ miller1956/ (accessed 11/1/2012( (3( NIS T Special publication 800-118 (draft ( , Guide to enterprise password management, http://csrc. nist.gov/publications/drafts/800-118/draft-sp800-118.pdf (accessed 11/1/2012(

الفصل التاسع 470 لحماية تكامل كلمات المرور وخصوصيتها وجاهزيتها. وباستخدام مصطلحات إدارة الأصول الت معلوماتية مقيدة وضرورية. فكلمات المرور أصول مقيدة لأن فقدان الخصوصية أو التكامل يسمح للمهاجمين بالوصول غير المناسب للمعلومات. كما أن كلمات المرور أصول ضرورية لأن عدم جاهزيتها يجعل من الموارد الأساسية المحمية غير متوفرة. وتعزيزاً لمس فق(Standards and Technology الخاصة بإدارة كلمات المرور. وسنس هذا القس اشتراطات إضافية متضمناً ذلك المطالبة بآليات أخرى للمصادقة مختلفة عن كلمات المرور. ت المرور بمعرفة الطرق التي يمكن من خلاله�وتب واتخ والتكنولوجيا بتحديد أربعة تهديدات لكلمات المرور: التقاط كلمة المرور، وتخمين كلمات ها، واستبدال كلمات المرور، واستخدام كلمات المرور المُخترقة. رالمرور وك تهديدات كلمات المرور: التق حفظها، أو أثناء إرسالها، أو من معرفة المستخدم وسلوكه. فإذا تم حفظ كلمة المرور بشكل صحيح في الذاكرة ع�غ التشغيل، فإن المستخدم الذي يملك بيانات اعتماد مناسبة قد يتمكن من سرقة كلمة المرور. وبالمثل فإذا لم يتم تش ش الهندسة الاجتماعية. ثيمُو بمحاولات متكررة للمصادقة باستخدام كلمات المرور المحتملة مثل كلمات المرور الافتراضية

الضوابط الأمنية باستخدام المكونات المادية والبرمجيات أمن المعلومات وإدارة مخاطر تقنية المعلومات47( ت القاموس. ويمكن أن يتم تخمين كلمات المرور بواس�وكل كلمات المرور فهو عملية رالوصول إلى واجهة تس توليد سلس كلمات المرور من خلال المهاجم الذي يتمكن من رالنظام المس الوصول إلى الإصدار المش وسوف نناقشها في الفصل المتعلق بالتشفير. (المرور تُسمى دوال التجزئة أما استبدال كلمة المرور هو استبدال كلمة المرور الحالية للمستخدم بكلمة مرور أخرى لا يعرفها إلا المهاجم. وهذا يحدث عادة من خلال استغلال نقاط الضعف في سياسات النظام الخاصة بإعادة تعيين كلمات المرور وذلك باستخدام مختلف تقنيات الهندسة الاجتماعية. وكلمات المرور المخترقة هي كلمات مرور موجودة على النظام ويعرفها مستخدمون غير مصرح لهم. وبمجرد أن تُعرف إحدى كلمات المرور فإنه يمكن اس الهندس اً على المخترقة لمس تغيير التطبيقات والأنظمة لاس قادراً على إنشاء حساب بامتيازات عالية لنفسه. وتهتم الإدارة الفعالة لكلمات المرور بهذه التهديدات. وتتمثل توصيات المعهد الوطني للمعايير والتكنولوجيا الخاصة بتدابير إدارة كلمات المرور في صياغة سياسات لكلمات المرور، كلمات المرور، وتطبيق انتهاء رومنع التقاط كلمة المرور، ومحاولة التقليل من تخمين أو ك صلاحية كلمات المرور كلما تطلب ذلك. توضح تهديدات كلمات المرور الطبيعة المتكررة لتهديدات أمن المعلومات. وقد ناقشنا فيما سبق تهديدات الأصول. وفي هذا الفصل كنا نحاول تطوير الإجراءات الوقائية ضد التهديدات المشتركة. لكننا وجدنا أن تلك الإجراءات الوقائية نفسها يمكن اختراقها. على سبيل المثال، كلمات المرور هي إجراء وقائي، لكن كلمات المرور يمكن اختراقها، ومن ثم يجب اتخاذ تدابير محددة للحفاظ على أمن الإجراءات الوقائية.

الفصل التاسع أمن المعلومات وإدارة مخاطر تقنية المعلومات47( توصيات إدارة كلمات المرور سياسات كلمات المرور هي مجموعة من القواعد ذات العلاقة باستخدام كلمات المرور. فبالنس المث ت المرور تحدد كي�الأنظمة فإن سياس إرس في الاعتبار الأنظم(ويجب أن تأخذ (سياس التي تعمل فيها المنظمة. ت المرور من ضروريات �إن الانتب ها. فالوصول إلى الملفات وقواعد البيانات المسرت المرور وك �تقلي لحف . (المستحسن حفظ دالة تجزئة كلمات المرور (كما وضحنا ذلك بالتفصيل في الفصل السابع ويجب أن تكون عملية تبادل كلمات المرور مش كما يج كلمات المرور. وأخيراً يجب أن يكون كل مس�المرور المنس اق النظر من �لمحاولات سرقة كلمات المرور من خلال هجمات الانتحال، أو من خلال اس خلف المستخدم، أو غيرها من الطرق. كلمات المرور، يجب أن تكون كلمات المرور معقدة بما فيه الكفاية، رولمنع تخمين وك كما يتوجب غلق الحس ت المرور. كما أن وضع قيود �والمتعاقب رصارم كلمات المرور. ا(ويح قب من احتمالية اس( المرور

الضوابط الأمنية باستخدام المكونات المادية والبرمجيات أمن المعلومات وإدارة مخاطر تقنية المعلومات47( جمع كلمات المرور�ا وبين قيام المهاجم باس المهاجم اس له بعض الس( كلمة المرور لأنظمتها المختلفة. فالمس ذات التكلفة العالية، لاس بتعقل من خلال تطبيق فترات زمنية أطول للأنظمة التي تحتاج إلى (صلاحي قليل من الأمان. قيود كلمات المرور: بينما تكون كلمات المرور موجودة في كل مكان في مجال أمن المعلومات فإنها تحتوي على الكثير من القيود الهامة. فالمس دعم فني ذات تكلفة عالية للاس المرور. لكن آليات إعادة تعيين كلمات المرور تحتوي على بعض الثغرات لأن أسئلة استعادة كلم اً يمكن لهجمات الهندسة الاجتماعية كلمات المرور في أماكن يستطيع الآخرون رؤيتها. وأخير (. 4البسيطة نسبياً، مثل الانتحال، أن تكون ناجحة بشكل ملحوظ في سرقة كلمات المرور وللأس بهدف المصادقة. لكن الوصول إلى بديل لكلمات المرور ليس بالأمر السهل. فالمستخدمون يعلمون كيفية اس العمل إلا للضرورة القصوى. ومما لا يساعد على ذلك محدودية البيانات المتعلقة بالخسائر الفعلية التي تعاني منها المنظمات بسبب سرقة كلمات المرور. 4( Herley, C. van Oorschot, P .C. and Patrick, A.S. » Passwords: if we’re so smart, why are we still using them? « Lecture Notes in Computer Science 5628, 2009, Springer-Verlag

الفصل التاسع 474 مستقبل كلمات المرور وقد تم اقتراح العديد من آليات المصادقة لاستبدال كلمات المرور. وأحد هذه الآليات والتي يقوم فيها المستخدم بالاختيار المسبق لمجموعة من الوجوه البشرية، (آلية وأثناء محاولة تس والتي يقوم فيها المستخدم برسم خط (draw-a-secret( »روآلية أخرى هي آلية متواصل عبر ش ة من الوقت، فإنه لن يكون من المس�ا مماثلة أكثر شعبية في السنوات المقبلة. تُعد كلمات المرور والاهتمام العام بإدارة الهوية مجالاً هاماً في الواقع العملي لأمن المعلومات، لذا خصصنا فصلاً كاملاً عن إدارة الهوية وإدارة الوصول في هذا الكتاب. (((:(التحكم في الوصول عرّفنا س له التحكم في الوصول. الأقفال، على س أجهزة الحاسب الآلي يتمثل التحكم في الوصول من خلال استخدام نماذج التحكم في الوصول. ونماذج التحكم في الوصول توضح مدى توافر الموارد في النظام. والنماذج المفيدة في التحكم في الوص حملاً مستويات متفاوتة من التفاصيل. وفي الوقت نفسه فإن تنفيذ النماذج ينبغي ألا يضع طاً على القدرات الحاس مفر ، والتحكم في (التحك . (الوصول المعتمد على الدور 5( T olone, W . Gail-Joon Ahn and Tanusree Pai, » Access control in collaborative systems, « ACM Computing Surveys, 37(1(: 29–41

الضوابط الأمنية باستخدام المكونات المادية والبرمجيات 475 :(Access Control Lists( (ACLsقوائم التحكم في الوصول قا (objects والمكونات(قوائم التحكم في الوصول جُمَلاً بسيطة لتحديد الأشخاص والعمليات المسموح بها. على سبيل المثال، إذا كانت قائمة التحكم في الوصول لاتصال بالشبكة ((((.(47.9(.68، فإنه يجب منع المضيف(ANY, block ,131.247.93.68( لى�تنص ع من المرور عبر الاتصال بالشبكة أو الوصول إلى أي مورد على الشبكة. ويقوم نظام التشغيل بالتحق قد تمنع الوصول إلى الموارد. وتُس بتحديد حقوق (واتصالات الش المس في الفصل الثالث هو أحد أمثلة (قوائم التحكم في الوصول لحماية (واستخدام أمر بتحديد القواعد (. وتقوم (قوائم التحكم في الوصول لحماية اتصالات الش(الملف لمعرفة أرقام المنافذ والعناوين الش أحد الطرق الشائعة في تطبيق الجُدُر النارية (والتي (الوصول إلى حماية اتصالات الشبكات . ومعظم أنظمة التشغيل الحديثة تأتي بقوائم تحكم وصول (سنناقشها لاحقاً في هذا الفصل افتراضية والتي توفر مستويات معقولة من الأمن للمستخدم العادي. وتُعد قوائم التحكم في الوصول من أبس الأخرى على قوائم التحكم في الوصول. على س إلى المحافظة على تكامل وجاهزية كلمات المرور عن طريق منع المهاجمين من الكتابة فوق كلمات المرور. وتبدأ قوائم التحكم في الوصول من الفرق الأساسي بين الأشخاص والمكونات. فالأشخاص ح بتنفيذ العملي�يحاول مس تقوم بتحديد الأذونات لكل ش(باعتبارها (مصفوفة وصول

الفصل التاسع 476 مثالاً على ذلك. وتوضح كل خلية في الصورة أذونات الوصول للشخص المقابل( (الشكل والمستخدم للمكون المقابل. ، كما أن لديه أذونات قراءة وكتابة على (( هو مالك الملف رقم ((الشخص جون مالك الملف يمكنه تعيين أذونات على الملف لأي ش(المل إذن قراءة الملف، كما تم إعطاء الشخص أليس (هذه الحالة تم إعطاء الشخص بوب إذن التنفي(Alice( مستخدم للمكون المقابل : مثال على مصفوفة وصول(1-9 الشكل القيود: تُعد قوائم التحكم في الوصول آلية بسيطة جداً لكنها فعالة لمراقبة الوصول. ومع ذلك فه فإنه يجب تعديل الأذونات على جميع المكونات التي يتمكن هذا المس يضاً فإنه ليس من الممكن تعيين أذونات على أس إليها. وأ تم تغيير دور المس يتطلب تعديل الأذونات لكل مستخدم على حدة، وذلك على جميع المكونات ذات العلاقة.

الضوابط الأمنية باستخدام المكونات المادية والبرمجيات 477 :(Role-Based Access Control( (RBACالتحكم في الوصول المُعتمد على الدور يُعين الأذونات للمس( لقد رأينا أن (التحكم في الوصول المُعتمد على الدور على الدور بدلاً من تعيينها بناءً على المستخدم الفردي حيث يتم إنشاء الأدوار لمهام العمل، ويتم تعيين الأدوار للمستخدمين بناءً على مسؤولياتهم. ومن خلال تحديد أذونات الوصول دوار، هناك فرق بين ضوابط المس�ل تدريجياً في المنظمة، أدوارهم يمكن تعيينها، وأذونات الوصول يتم تحديثها تلقائياً. لذا عند فإن الأول ( (قوائم التحكم في الوصول� ب(مقارن يقل الكبيرة. الجُدُر النارية(((: الجُدُر النارية هي ش أخرى مع الحفاظ على مستوى معين من الحماية. وأحد أكثر الأمثلة المألوفة لجُدُر الحماية ه يضاً في الحفاظ على قدر من خصوصية والصقيع من الدخول للمنزل. كما يس السكان. الجُدُر النارية للشبكات هي مكونات مادية أو برمجية تمنع الأخطار التي تنشأ في شبكة ما من الانتش تقييد الدخول والخروج من الش((بأغراض متعددة بما في ذلك ( يعمل على أجهزة � الإنترنت وذلك لتطبيق مع� الح((بدق منع حرك ((معين الجُدُر النارية ليست مُعدة للدفاع عن هجمات مخصصة. فأبواب متاجر بيع التجزئة، على س Building Internet firewalls, « by Elizabeth D. « المصدر التالي مصدر ممتاز عن الجدر النارية للإنترنت، (6( 896( 8-871-56592-1-Zwicky, Simon Cooper and D. Brent Chapman, O’ Reilly Media, ISBN 978 . وكثير من معلومات هذا القسم تستند على هذا المصدر(pages

الفصل التاسع أمن المعلومات وإدارة مخاطر تقنية المعلومات 478 ترك لضوابط أك ُ ت ( الس ر النارية ُ د ُ قة. ومع ذلك فإن الج ر مثل المفتش البشري أو تقنيات الحماية ضد ال ً تخصص ضد عدد كبير من المضايقات الشائعة. ً عد خط الدفاع الأول الفعال وغير المكلف نسبيا ُ ت الترتيب الشائع لجدار حماية يقع بين الشبكة الداخلية للمنظمة ( ( - 9 ويوضح الشكل والش الداخلية من خلال الجدار الناري حيث يمكن تنفيذ قواعد مرور المنظمة. : جدار ناري نمطي ( 2 - 9 الشكل ر النارية: ُ د ُ قرارات الج ح أو الرفض. � أم فالحزم المس ح الافتراضي. � الن فإذا كانت الحالة الأساسية للجدار الناري هي السماح الافتراضي فإنه سيسمح لجميع الحزم في الشبكة باستثناء تلك المحظورة صراحة. أما إذا كانت الحالة الأساسية للجدار الناري هي الرفض الافتراضي فإنه سيحظر جميع الحزم في الشبكة باستثناء تلك المسموح بها صراحة.

الضوابط الأمنية باستخدام المكونات المادية والبرمجيات 479 الرفض الافتراضي أم السماح الافتراضي؟ توصية الأمان الموحدة هي استخدام حالة الرفض الافتراضي. وبهذه الطريقة فإن الخدمات المعروف أنها آمنة فقط ستكون قابلة للوصول للإنترنت. لكن المستخدم يفضل عادة حالة السماح الافتراضي لأنها تتيح للخدمات التجريبية وغيرها من خدمات الإنترنت أن تعمل. ويمكن لحالة السماح الافتراضي أن تكون مقبولة للإداريين والطلاب الذين يتعلمون كيفية تهيئة الجُدُر النارية. وأما بالنسبة لجميع الاستخدامات الأخرى فيُفترض اعتماد حالة الرفض الافتراضي. ويتم تعزيز الحالة الأساسية للجُدُر النارية من قبل المسؤول الذي يخصص قواعد لقوائم ، وذلك لتحديد الحزم المس(التحك . وبعض القواعد الممثلة لهذه الحالة موضحة أدناه باستخدام برنامج (حالة الرفض الافتراضي ، وهو برنامج جداري ناري شائع الاستخدام. (ipfilter( pass in quick from 192.168.1.024/ to 192.168.10.50 pass out quick from 192.168.10.50 to 192.168.1.024/ pass in log quick from any to any port = 22 pass out log quick from any port = 22 to any block in all block out all ويمكن تفسير هذه القواعد على النحو التالي: القاعدتان الأولى والثانية تسمحان بالوصول »(والمغ . ((4/(9(.(68.(.0 إلى أي عنوان بروتوكل الإنترنت في الشبكة الفرعية((9(.(68.(0.50( هو وس((4/(9(.(68.(.0وه . ويمكن أن يكون هذا مفيداً إذا تم، ((9(.(68.(.(55 إ((9(.(68. ( .0الإنترن لتوفير خدمات مشتركة مثل مشاركة ((9(.(68.(0.50على سبيل المثال، استخدام المضيف في (الملف أو مش المنظمة. أما المجموعة الثانية من القواعد فتُتيح لجميع الاتصالات الواردة والصادرة خدمة . كما تُحدد قواعد (»ssh«

الفصل التاسع 480 س(ssh بأن جميع معاملات(SSH( . أما القاعدتان الأخيرتان فتحددان الحالة الافتراضية للجدار(أجل تتبع جميع أنشطة الناري، وهي حالة الرفض الافتراضي. قيود الجُدُر النارية: نظ القيام به. وبعض القيود الهامة للجُدُر النارية تشمل ما يلي: الجُدر النارية تحم الأعض الهجمات التي تأتي من خارج الشبكة. فإذا تم اختراق جهاز حاسب آلي داخل المنظمة، فقد يتمك وقام (المرور عبر الجُدر النارية. وبالمثل فإذا أحضر شخص ما جهاز التخزين المحمول (فلاش بنس قة لأن حركة مرور البيانات لا تمر من خلال الجُدر النارية. رهذه ال لا يمكن فحص البيانات المشفرة، ومن ثم فإن لدى الجُدر النارية حركة المرور المشفرة: قدرة محدودة في الدفاع عن البيانات المشفرة. على سبيل المثال، إذا قام المستخدم بتصفح اً على فحص المعلومات المش موق تبادلها بين المستخدم والموقع الإلكتروني. تهيئتها من قبل � إن أمن الجُدر النارية وس التهيئ مسؤول النظام. فالجُدر النارية المُهيئة بشكل ضعيف تكون أكثر عرضة لحركة المرور الضارة ومن ثم الوصول إلى أهداف حساس النارية أمناً كاذباً. أنواع الجُدُر النارية: بش بفح(للفح