أمن المعلومات وإدارة مخاطر تقنية المعلومات

البرمجة النصية لقشرة نظام التشغيل 577 ( .قم بإنشاء نص برمجي يستعرض عناوين بروتوكل الإنترنت تكرار) لجميع الخوادم التي حاولت الدخول وفشلت في تسجيل الدخول كمستخدم « الدخول. وقم بفرز النتائج وفقاً لعدد مرات تسجيل الدخول الفاشلة 2 .قم بإنشاء نص برمجي يستعرض جميع أسماء الحسابات التي تم تجريبها ولا وجود له user أبجدياً بحيث لا تشمل السطور التي صدرت منها تلك المحاولات. وقم بفرز النتائج المكررة. 3 .قم بإنش بروتوكل الإنترنت المؤهل بشكل كامل باستخدام الأمر الإنترنت مث البرمجي عناوين بروتوكل الإنترنت و يمكن تحديد عنوان بروتوكل الإنترنت يجب أن يحفظ النص البرمجي عبارة لم(وإذا « كل مجموعة في سطر واحد ويتم الفصل بينهم بفواصل

578

579 الفصل الحادي عشر التعامل مع الحوادث الأمنية نظرة عامة: في هذا الفصل س الفصول الس جوانب الأمن لأنه ينطوي على التقليل من التأثير الس تطبي خدم اً على: أن تكون قادر •تحديد العناصر الرئيسية في التعامل مع الحوادث الأمنية. •فهم دورة حياة التعامل مع الحوادث الأمنية. •إعداد سياسة أساسية تضع منهجية للتعامل مع الحوادث الأمنية. •استخدام المواد التي استعرضناها سابقاً في تحديد وتصنيف الحوادث الأمنية بشكل صحيح. •تحديد الوقت المناسب لبدء عملية احتواء الحوادث الأمنية والقضاء عليها. •إعداد تقرير بالحوادث الأمنية وذلك لتحسين الاستعداد المستقبلي للحوادث الأمنية المماثلة. •معرفة عناصر التعافي من الكوارث والتخطيط لاستمرارية الأعمال. : مقدمة عن الحوادث الأمنية وفقاً لإدارة مخاطر تقنية المعلومات الآلي هي انتهاك أو تهديد وشيك بانتهاك سياسات أمن الحاسب الآلي، أو سياسات الاستخدام المقبول، أو ممارسات الأمان الموحدة. ومن الأمثلة على الحوادث الأمنية ما يلي:

الفصل الحادي ع 580 • مهاجم يأمر روبوتات بإرسال عدد كبير من طلبات الاتصال لخادم ويب المنظمة م يؤدي إلى تعطل الخادم. •خداع بعض المس البريد الإلكتروني وهو في الواقع برنامج ضار يقوم بتشغيل أداة تضر بأجهزة الحاسب الآلي وتؤسس اتصالات بمضيف خارجي. •مهاج سيجعل البيانات متاحة للعامة إذا لم تقم المنظمة بدفع مبلغ معين من المال. •مس الملفات في الفصول السابقة قمنا بتعريف المكونات الهامة لأمن المعلومات بما في ذلك التهديدات كة للحد من مش�والأصول وخصائصها وبعض التدابير المش الح المشكلات. ونُطلق على تلك المشكلات (الحوادث الأمنية). وللاستجابة للحوادث الأمنية، من المفيد تطوير بعض الإجراءات الموحدة وصقل تلك الإجراءات بناء على الخبرات. وس في هذا الفصل العناصر الأساسية لإجراءات التعامل مع الحوادث الأمنية. التعامل مع الحوادث الأمنية: كي عامة على المش مشكلة خادم البريد الإلكتروني للطلاب. وبالنظر إلى تلك المشكلة، ما الخطوات التي قمت بها للاستجابة إلى تلك الحادثة؟ ماذا عن الإصابة بالفيروسات، أو تشويه صفحات الشبكة؟ هل هناك إجراءات مشتركة للاستجابة المناسبة لجميع هذه الحوادث؟ في حين أن إجراءات التعامل مع كل حادثة قد تختلف، إلا أن العملية بش كما هي. وهذه الإجراءات موضحة في إدارة مخاطر تقنية المعلومات وتتضمن

التعامل مع الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 581 1 . الإعداد 2 . الاكتشاف والتحليل 3 . الاحتواء والاستئصال والاسترداد 4 . تحليل ما بعد الحادث الأمني كرر ُ من دورة ت ً عد جزءا ُ وفي المنظمات الأكثر فاعلية فإن هذه الخطوات لا تستقل بذاتها بل ت . وفي بقية هذا الفصل سنناقش عناصر التعامل مع ً ضارا ً نفسها في كل مرة تواجه المنظمة حدثا ). NIST الحوادث الأمنية التقليدية وذلك باتباع إجراءات إدارة مخاطر تقنية المعلومات مثال مرجعي: التعامل السيء مع الحوادث الأمنية هذه الأيام، ومع وجود درجة عالية من الاحتراف في عالم تقنية المعلومات، من الصعب الحصول مثال س � ع التج في إدارة التنمية الاقتصادية ً س ً للح في وزارة التجارة ً ) وهي وحدة صغيرة نس Economic Development Administration ( الأمريكية حيث بلغت ميزانيتها السنوية )، وإدارة المحيطات EDA وخلاصة القول أن وزارة الأمن الداخلي نبهت إدارة التنمية الاقتصادية ) في National Oceanic and Atmospheric Administration والغلاف الج السادس من ديسمبر من عام الث من التحذير الأولي. ً بعد ً مشكلاتها وإعادة أنظمتها المتأثرة إلى الخدمة، أي تقريبا

الفصل الحادي ع 582 وعلى النقيض من ذلك فإن إدارة التنمية الاقتصادية أصرت على التعهد بإزالة البرمجيات الضارة من جميع أنظمتها الإلكترونية وذلك خوفاً من انتش أطراف الحكومة. ولتحقيق ذلك أنفقت إدارة التنمية الاقتصادية لعلاج المش ملي ثل هذه التكلفة أكثر من نصف مجموع الميزانية السنوية لتقنية المعلومات في إدارة التنمية تمُو قتصادية. الا وم كُلفته والكاميرات، وأجهزة الحاسب المكتبية، وفارات الحاسب الآلي، وحتى لوحات المفاتيح. وقد توقف هذا التدمير الوحشي في الأول من أغس التنمي التنمي مليون دولار. وكانت إدارة التنمية الاقتصادية تنوي اس الموارد المالية اللازمة لذلك. وكل ذلك فقط لإزالة برامج ضارة نمطية أثرت في اثنين مما يقارب من المعلومات (كأجهزة الحاسب الآلي المكتبية، وأجهزة الحاسب الآلي المحمولة، والخوادم). وه الأمني ق الضرائب التي يدفعها المواطنون. المراجع: US Department of Commerce, OIG Final Report, »Economic Development Administration Malware Infections on EDA ’s Systems Were Overstated and the Disruption of IT Operations Was Unwarranted,« OIG-13-027-A, June 26, 2013, http://www.oig.doc.gov/ OIGPublications/OIG-13-027-A.pdf )accessed 07/14/2013(

التعامل مع الحوادث الأمنية 583 الإعداد الإعداد هو الخطوة الأولى في وضع خطة الاس على أكثر من محاولة التفكير في جميع س لاً من محاولة في مواصفات أصل معين، والرد المناسب على كل من هذه السيناريوهات. وبد أن نكون على اس كة بين �الأص جميع تلك الأحداث والتخطيط لتنفيذ تلك الخطوات. وضع سياسية للاستجابة للحوادث الأمنية: تتمثل الخطوة الأولى للتحضير للتعامل مع الحوادث الأمنية في وضع سياس للحوادث الأمنية والحصول على موافقة الإدارة العليا على تلك السياس الاس حوادث أمن المعلومات. وقد ينظر العديد من الأش جداً لمرحلة التنفيذ فيما بعد. وذلك لأن هذه السياس ضروري إلا أن هذه الخطوة مهمة تس متضمناً ذلك النتائج المحتملة للضوابط المؤقتة التي قد تضطر الإعلام والضغوط التنظيمية، إلى وضعها لاحتواء أو استئصال التهديد. على سبيل المثال، إذا تعرض خادم الشبكة الخاص بالجامعة إلى هجوم ما، فإنه من الأفضل أن يكون هناك سياس لاً من الاضطرار بتعطيل الموقع الإلكتروني ما دام ذلك ضرورياً للتعامل مع هذه القضية، بد للحصول على أذونات من أصحاب المصلحة في الوقت الفعلي للقيام بذلك. وفي الواقع فإن معرف مس القيام به في الوقت الفعلي. كما أن النقاشات المشتركة في تطوير سياسة الاستجابة للحوادث الأمنية تساعد الإدارة على فهم القضايا التي قد تضطر للتعامل معها خلال الحوادث الأمنية الفعلية.

الفصل الحادي ع 584 ويج المديرين أن يدركوا أهمية هذا المفهوم. كما أن صعوبات تطبيق السياس كبيراً من منظمة إلى منظمة أخرى. في جامعة جنوب فلوريدا، السياس المعلومات واللجان التوجيهية الداخلية، ثم تنتقل إلى المستش المختلف لمدة تس مبس العليا نقطة مشتركة في كلا المنهجين ويتوجب أن يكون في أي سياسة. وهذا هو الس س ن شخصاً ما يدعمك. تريد الاطمئنان التام إلى أ والنطاق هو جزء من سياس محدداً قدر الإم السياس للتحقيق. وتش هل هناك أي استثناءات لهذه السياسة؟ (ج) هل هناك دوائر داخل المنظمة لديها القدرة لرفض الالتزام بالسياسة؟ (د) هل بإمكان الدوائر الفردية أن تكون أكثر خصوصية وصرامة في سياس المعلوم متى يُصبح الحادث الأمني مصدر قلق على مستوى المنظمة. أن يعرفوا ما هو �ووجود السياس موجود في تلك السياسة. وفي حال النص التالي:

التعامل مع الحوادث الأمنية 585 « المحددة كما هو موضح في اتفاقية مستوى الخدمة الاقتصادية. وهذه الاتفاقية تنص بوضوح على الالتزام بخدمات الاستجابة للحوادث التابعة لوزارة التجارة (مثل التحقيق، والأدلة الجنائية، والهندسة العكسية)، كما تحدد مسؤوليات غ عن الحوادث والتعامل مع �إدارة التنمية الاقتصادية في الاس البرمجي الاتفاقية، فقد افترضوا بشكل غير دقيق أن إدارة التنمية الاقتصادية قادرة على أداء أنشطة تحليل الحوادث الأمنية (مثل تحديد مدى انتشار البرمجيات الضارة فريق الاستجابة للحوادث الأمنية: لوظائف معين�ت على تحيدد موظف�تعم هناك موظفون محددون للاس الاس موظفي الاس المنظمة خلال الحوادث الأمنية. إن الهدف الرئيسي لفريق الاستجابة للحوادث الأمنية هو الحماية العامة للبنية التحتية الحاس تقني منية متضمناً ذلك: الحوادث الأ •التحديد السريع لتهديدات البنية التحتية لبيانات الجامعة. •تقييم مستوى المخاطر. •اتخاذ خطوات فورية للتقليل من المخاطر التي تُعد حرجة وضارة على تكامل موارد الأنظمة المعلوماتية للجامعة. •أن يتم إبلاغ الإدارة بالحادثة ومخاطرها.

الفصل الحادي ع 586 • أن يتم إبلاغ الموظفين المحليين بأي مخاطر ذات علاقة بالموارد التي يعملون عليها •إصدار تقرير نهائي حسب الحاجة، متضمناً ذلك الدروس المستفادة. ولفريق الاس ويجب أن يكون دور كل عضو من أعضاء الفريق جزءاً من سياسة الاستجابة للحوادث. من الأحيان تمر عضوية فريق الاس�وفي كث المُديري�إدارة، وع للحوادث الأمنية من مشاريعهم الحالية وتخصيصهم للفريق الأمني، خصوصاً عندما يتعلق الأمر بمرحلة احتواء الحادث الأمني. وفي المنظمات الكبيرة قد تكون هناك حاجة لأكثر من فريق للاستجابة للحوادث الأمنية حيث يكون كل فريق في قس متعددة، فمن المهم أن تكون هناك مجموعة مركزية مس عندما تبدأ الأحداث بتجاوز حدود القس في أجه مناط وصول الكلية إلى الش الاستجابة للحوادث الأمنية. في جامع مُصنف بأنه الاستجابة للحوادث الأمنية وذلك عند مشاركة أصل ويجب أن يعمل أعضاء فريق الاستجابة للحوادث الأمنية مع بعضهم البعض في أقرب وقت يتم فيه الكشف عن الحادث داخل الجامعة. وبعد استعادة العمليات العادية، يجب تقديم تقرير لجميع أعضاء فريق الاس الاختراق والخطوات التي اتخذت لتجنب الحوادث في المس م مناقشة تقييم المخاطر في الفصل

التعامل مع الحوادث الأمنية 587 ويكون لفريق الاستجابة للحوادث الأمنية رئيساً واحداً وعادة ما يكون محلل أمني رفيع وهذا المحلل يقوم بالتنس أداء وظائفهم عند التعامل مع الحادث الأمني كالتواصل مع الإدارة والمستخدمين وموظفي تقني الاستجابة للحوادث الأمنية بالقضية أثناء تطورها خصوصاً من الناحية التقنية. ولذلك فإنه من الأهمية بمكان أن يكون لهذا الش ومهارات ولقدرته على صنع قرارات لحظية مدروس أعضاء الفريق الآخرين. في فريق الاس�ويت التهديد. على س حس الأمنية قد يشمل: •شخصاً مطلعاً على نظام التشغيل وذلك لإلقاء نظرة على نظام التشغيل والسجلات، أو على الأقل اس الجنائية. •مس في محاولة لتحديد ما إذا تم تغيير شيء ما في قاعدة البيانات. •مهندس ش الخارجة عن المألوف. •يمكن اس اختراق حساب مسؤول النظام. ويجب أن يكون فريق الاس تس

الفصل الحادي ع 588 فعندما تسوء الظروف الأمنية فإن فريق الاستجابة للحوادث هو خط الدفاع الأساسي. و مثال إدارة التنمية الاقتصادية عن فريق الاستجابة للحوادث الأمنية التابع لوزارة التجارة: « وع الإدارة لخدمات الاس للحوادث الأمنية، والذي يدير أنش خبرات الاستجابة للحوادث، وليس لديه أي تدريب على الاستجابة للحوادث، ولم يكن لديه المهارات الكافية لتقديم خدمات الاس أدت بمعالج الحادث لطلب معلومات تسجيل الشبكة الخاطئة (أي القيام بالتحليل الخاطئ اً في البرمجيات الضارة للحادث) مما أدى بإدارة التنمية الاقتصادية للاعتقاد أن لديها انتشار على نطاق واس مكتب المدي للحوادث الأمنية التابع لوزارة التجارة للحد الأدنى من مؤهلات الاستجابة للحوادث الأمنية فريق الدعم: ما يحدث أثناء الحادث الأمني أكثر من التجس ت الخاصة بالح�واجب بعملي معاً. فالمس المعلومات. وغالباً ما تكون هذه الاحتياجات المعلوماتية غير منس النه اق أي من المعلومات. وإذا كان هناك احتمال لاهتمام عام أوس�ت وسائل الإعلام تكون مهتمة مباشرة بتعليقات أكبر المديرين التنفيذين في المنظمة وذلك قبل غالباً موعد الموجز الاخباري القادم. وعندما تتلقى هذه الاستفس معلومات كافية لتقديم رد على نحو مرضي (الشكل

التعامل مع الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 589 ): تفاعلات فريق الاستجابة للحوادث الأمنية 1 - 11 الشكل إن إدارة تدف مقاوم من ً تلك الحوادث التي تؤثر في المس ً اف بالحوادث خصوصا � الاع المستحسن اتباع مفهوم يتم بناء عليه توفير المعلومات الضرورية فقط لأداء العمل. ومبدأ (معرفة ما نحتاجه) لا يعني أن تكون الأحداث سرية، بل إن الاعتماد المتسق على قلل من المكالمات غير الضرورية من المديرين لموظفي تقنية المعلومات، وذلك ُ ي ه للحصول على معلومات إلى المواقع الإلكترونية أو إلى القنوات الأخرى المحددة في سياسة الاستجابة للحوادث الأمنية. وقب تدخل الإدارة القانونية لاتخاذ قرار بشأن ما يتم الكشف عنه وكيف يتم الكشف عنه. أما من جهة التواصل مع الجمهور، ينبغي النظر في الوحدات التالية: إذا كان لدى المنظم العلاق الت والدراية في كيفية التعامل مع مثل هذه الحوادث.

الفصل الحادي ع 590 الإدارة القانونية تتحقق من تطبيق قوانين الإفصاح التابعة للولايةالمستش أو للدولة على حدث معين خصوصاً عندما تكون المشكلة ذات علاقة بسرية البيانات. وقد يؤدي الإفصاح غير المقصود إلى عواقب مالية وعواقب عامة قاسية على المنظمة. في كل جامعة يوجد شرطإنف جهة إنفاذ قانون خارجية بالدخول إلى الحرم الجامعي، حتى وكالة الاس ومكتب التحقيق الفيدرالي، دون معرفة الشرطة الجامعية والمستشار العام. وهذه الخطوات تقلل من إمكانية ترويج الشائعات، وترويج الشائعات المجهولة المصدر، والاضطراب العام خلال الاستجابة للحوادث. مبدأ على أمن الأفراد. وإذا كان العدو يعلم بأن الجندي أو الجاس جداً في أن يقوم العدو في الاستثمار في الجهد المطلوب للقبض على الجندي هناك احتمالاً بسيطاً أو الجاسوس. التواصل: سنلقي نظرة على التواصل لأنه يمثل جزءاً أساسياً من الاستجابة للحوادث (شكل هناك عدة طرق مختلفة قد تلفت انتباه فريق الاسالإبلاغ عن حادث للمتابعة للحوادث الأمنية. يقوم صاحب الأصول أو القائم عليها بالإبلاغ عن الحادث بنفسه. على في الإبلاغ المباشر، سبيل المثال، لنفرض أن لديك عادة حسنة تتمثل في البحث من وقت لآخر عن رقم الضمان الاجتماع الخ وكمس تُبلغه بأن رقم الضمان الاجتماعي الخاص بك عرضة للخطر. و

التعامل مع الحوادث الأمنية 591 حيث تُتيح المنظمات إمكانية شالإبلاغ المجهولوالوس عن مش على ذلك هي المزاعم بأن مس الجامع ً إلى التحرش الجنسي وانتهاءً بالاس العامة ووصولا تبطاً افتراض أن هذا الادعاء صحيح، فمن الواضح أن الموظف لا يرغب في أن يُرى اس بهذا الادعاء خوفاً من فقدان وظيفته. 2-11 الشكل قد تكون له علاقة بعملية الإبلاغ لأن موظف مكتب الدعم الفني الدعم الفنيمكت ق الخاطئة لمحرك أقراص الش اً من أحد المستخدمين مبدأ غ منفصلة وذلك لأن مكتب �ال الدعم الفني يس الاطلاع على محتوى تلك التذاكر. تأمل في كمية التفاصيل التي تراها في تذكرة الدعم الفني الواردة لمكاتب الدعم الفني. وهذا يعود للتحكم في الرسالة ومبدأ مثل تقييم الثغرات الدوري وتحليل السجل قد يؤدي الرقابة الذاتيةاً فإن أساليب وأخير إلى إب المس الآلي كان عالياً جداً مما أدى إلى مش المش ويحفظ موق

الفصل الحادي ع 592 وذلك لمشاركتها مع بعضهم، وهذا الموقع يُستخدم بشكل كبير مما أدى إلى الحِمل العا وحدة المعالجة المركزية. وللأسف فإن هذا السيناريو شائع جداً. الأحيان يبدأ الأش� في أكالإش الحوادث الأمنية صعبة الحل. وهذا ينطبق بش الحادث الأمني. وإذا كان الحادث يؤثر في المديرين والقادة التنفيذين الآخرين فإن الضغط من أجل التواصل السريع واتخاذ قرار يكون أكبر. وخصوصاً إذا كان موظفي تقنية المعلومويجب إش الحادث يؤثر في جاهزي المس للمنظم ت تقنية المعلومات الأخرى �في مختل ليكونوا على حذر. على س أصبحت ممكنة بس يضاً من هجمات رفض الخدمة. تصحيحات طارئة قبل أن تعاني أ غ الإدارة أولاً بأول. ومن الجيد إش� يجب أيض�ك التنفيذيين بش 100 المفترض تخصيص نس�بما فيها تلك المكالمات المباشرة للمهندس لاحتواء واستئصال المشكلة. ومن المفيد في هذه المرحلة الاستعانة بالرسائل النصية السريعة ورسائل البريد الإلكتروني المختصرة التي توضح تحديثات الحالة. كما يُصاب المس العادة سؤالان أثناء انقطاع الخدمة: متى يعود النظام إلى الخدمة؟ وما الذي حدث بالضبط؟ وفي بعض الأحيان، تكون الإجابة صعبة عن هذين السؤالين. ففي شهر ديسمبر من عام عانت شركة فيس اسم المجال المس وهي تغريدة من آلاف التغريدات التي أُرسلت خلال انقطاع الخدمة (الشكل