أمن المعلومات وإدارة مخاطر تقنية المعلومات

التعامل مع الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 593 ) أثناء انقطاع خدمة فيسبوك DollSays ( � ): تغريدة ل 3 - 1 1 الشكل ) EDA وللنظر في موضوع سوء التواصل بإمكاننا العودة إلى مثال إدارة التنمية الاقتصادية السالف الذكر. وفي الواقع فإن الجزء الأول من التقرير يضع اللوم بشكل كبير على فشل وضعف التواصل بين وزارة التجارة وإدارة التنمية الاقتصادية كما يوضح ذلك النص التالي من التقرير: أرس الاقتصادية بخصوص الحادث الأمني. في الإشعار الأول والذي كان في السابع من ديسمبر من عام طلب معالج الحادث في فريق الاس 2011 حتمل أن تكون ُ ي من تزويد إدارة التنمية الاقتصادية بقائمة الأجهزة التي ً سجل الشبكة. لكن وبدلا مصابة، قام معالج الحادث وعن طريق الخطأ بتزويد إدارة التنمية الاقتصادية بقائمة تحتوي على داخل حدود شبكتها. وبعد استلام هذا الإشعار اعتقدت إدارة التنمية الاقتصادية أنها ً ا جهاز 146 ) المدرجة في القائمة ً ا جهاز 146 للبرامج الخبيثة وأن ذلك أثر ً ا كبير ً تواجه انتشارا كما أخطأ فريق الاس ) بإبلاغ فريق الاستجابة HCHB ، قام موظف تابع لش 2011 الثامن من ديس للحوادث الأمنية التابع لوزارة التجارة أن معلومات سجل الشبكة التي طلبها معالج الحادث في فريق الاس ). وبعد HCHB تحدد فقط أجهزة إدارة التنمية الاقتصادية التي توجد على جزء من ش ) بالتحليل المناسب حيث توصل إلى أن جهازين فقط HCHB ذلك قام الموظف التابع لشبكة US- يحتويان على س ). وم CERT لوزارة التجارة بإرسال إشعار آخر عبر البريد الإلكترو

الفصل الحادي ع 594 لكن الإشعار الثاني لفريق الاستجابة للحوادث الأمنية التابع لوزارة التجارة كان غامضا، إذ لم يوضح هذا الإشعار أن الإشعار الأول لم يكن دقيقاً. وعلى ذلك استمرت قناعة إدارة التنمية الاقتصادية بوجود انتش تؤكد أن معلومات الإشعار الأول المقدمة عن الحادثة صحيحة. وعلى ذلك فسرت إدارة التنمية الاقتصادية عبارات الإشعار الثاني بأنها تأكيد للإشعار الأول، في حين قصد معالج الحادث في فريق الاس الاقتصادية هي الإدارة التي تم تحديدها من قبل فريق استجابة طوارئ الحاسب الآلي الأمري CERT المعلومات المقدمة مسبقاً وعلى الرغم من أن مرفقات الإش سلوك مشبوه، وليس إلا أن اسم مرفقات الإشعار الثاني كان يطابق اسم مرفقات الإشعار الأول مما يزيد الوضع غموضاً. استمر سوء الفهم بين إدارة التنمية الاقتصادية وفريق الاستجابة للحوادث الأمنية التابع لوزارة التجارة لمدة خمسة أسابيع على الرغم من حدوث اتصالات إضافية بين الطرفين، إذ كان لكل منظمة فهم مختلف عن مدى انتش هناك جهازين فقط تأثرا بالبرمجيات الضارة، في حين تعتقد إدارة التنمية الاقتصادية بإصابة أكثر من نصف أجهزتها بالبرمجيات الضارة. وقد أسهمت عدة عوامل في حدوث هذه التفسيرات المختلفة: •افترض فريق الاستجابة للحوادث الأمنية التابع لوزارة التجارة أن إدارة التنمية الاقتصادية قد فهمت بالبرمجيات الخبيثة. ينَأن الاش لك فهمت المعلومات الجديدة. •استجابت إدارة التنمية الاقتصادية للإشعار الثاني بتقديم عينة تتكون من جهازيَن اثنين (من القائمة المرس الجنائية. ويعتقد فريق الاس نفس الجهازين المُحددَين في الإشعار الثاني. •عندم بالبرمجي إصابة جميع الأجهزة •لم يحتفظ فريق الاس اً)، كما أنه لم يوثق الأنش قائمة تحتوي ع فإن إدارة فريق الاس سوء فهم قد وقع بين الطرفين.

التعامل مع الحوادث الأمنية 595 الامتثال الامتث التعاقدي لتجن ي الامتثال المرتبطة بالاستجابة للحوادث الأمنية والتي تنطبق على الوضع الذي أنت فيه، كما فقاً لتلك المتطلبات. عليك التصرف و وكمث يتطلب )1المعلوم وكالات اتحادية لتنمية قُدُرات الاستجابة للحوادث الأمنية. ويُطلب من كل وكالة اتحادية مدني ، والإبلاغ عن الحوادث بما يتفق مع )2استجابة طوارئ الحاسب الآلي الأمري سياسة الاستجابة للحوادث التابعة للوكالة. وكمثال على الامتثال لقانون إدارة أمن المعلومات الفيدرا تُحدد الهوية الشخصية) في أنظمة البحرية أو الاشتباه بضياع أو سرقة أو اختراق (معلومات الأمريكية يُطلب من إدارة البحرية ما يلي: •استخدام نموذج •إرس خلال ساعة واحدة من حدوث الاختراق. •إبلاغ مكتب الخصوصية التابع لمدير تقنية المعلومات في البحرية الأمريكية CIO • إبلاغ مكتب الدفاع عن الخصوصية )1( http://csrc.nist.gov/groups/SMA/fisma/index.html )2( http://www.us-cert.gov/

الفصل الحادي ع 596 • Navyغ البحرية الأمريكية�إب البحرية للطب والجراحة الأجهزة والبرمجيات: م المناس المعلومات •أجهزة النسخ الاحتياطي وذلك لإنشاء صور للقرص أو للبيانات الأخرى للحادثة. •أجهزة حاسب آلي محمولة لجمع وتحليل البيانات وكتابة التقارير. •مكون and burn المعروفة •مُحللات الحزم لالتقاط وتحليل مرور الشبكة. •برمجيات تحليل الأدلة الجنائية الرقمية لاستعادة البيانات التي تم إزالتها، وتحليل تعديلات الوصول، وإنشاء الجداول الزمنية •ملحقات جمع الأدلة مثل الكاميرات الرقمية، ومس العهدة، وغيرها. وأحد أفضل أصدقائك خلال هذه العملية هو محرك البحث. على سبيل المثال، القصاصة البرمجية الخاصة بتس معلومات قيمة مثل موقع ملفات السجل، وموقع ملفات التهيئة، وغيرها من الأدلة الهامة التي تساعد الفريق الأمني على بناء جدول زمني متكامل لهذا الحادث.

التعامل مع الحوادث الأمنية 597 م 69اق، و�%) م2013 برمجي ثم فم الأوقات في تحليل اختراق أو انتشار لبرمجيات خبيثة مما يستدعي استخدام الأدوات المتخصصة على نطاق واسع. ولهذا خصصنا فصلاً كاملاً لهذا التحليل. التدريب: عالم تقنية المعلومات في تغير مستمر. فالتقنيات الجديدة والاختصارات الجديدة تواكب أص الأص البع لدى الأعضاء الأساس الأمني لوظائف الفريق الأمني، كما يجب أن يكون لديهم نظرة شاملة للمنظمة والأصول والضوابط والتهديدات والنتائج. تُعد الش و ب من خرطوم المياه، بل لأنها �المعلوم توف تخطر ببالك إلى الآن. وتُبنى الش الكتاب.

الفصل الحادي ع 598 وأح System Security Professional بالمع أمن المعلومات في جميع أنحاء العالم بما في ذلك: ضوابط الوصول. أمن الشبكات والاتصالات. حوكمة أمن المعلومات وإدارة المخاطر. تطوير تشفير البرمجيات. تصميم وهيكلة أمن المعلومات. العمليات الأمنية. استمرارية الأعمال والتخطيط للتعافي من الكوارث. اللوائح والقوانين والتحقيقات والامتثال. الأمن المادي (البيئي). الجوانب الأخرى من التدريب تس سبيل المثال، يجب أن يكون لديهم تعليمات حول كيفية التعامل مع وسائل الإعلام متضمناً ذلك التحكم في الرس التفاصيل التقنية فيما يتعلق بكيفية اكتش تُنبه قراصنة الحاس على س نفس الضوابط في الإصدارات المستقبلية للبرمجيات الخبيثة. وفي بعض الحالات يكون ذلك معاكس التحكم في الرس العام الضوابط الأمنية: الكش ءاً. الأمور تزداد سو

التعامل مع الحوادث الأمنية 599 الاكتشاف والتحليل الخطوات في القس وفي هذا القسم سننظر في العملية العامة لاكتشاف وتحليل الحوادث الأمنية. وسوف نلقي في الأقسام اللاحقة من هذا الكتاب نظرة تفصيلية على بعض تقنيات تحليل الحوادث. التوثيق الأولي: وفق فريق الاستجابة للحوادث الأمنية أن توثيق الحادث يتم بالشكل الصحيح، وأن التوثيق يبدأ عند اكتش أن يحتوي توثيق الحادث على الأقل على معلومات حول العناصر التالية: •الوضع الحالي للحادث (جديد، متقدم، تم إرساله للتحقيق، تم حله، وما إلى ذلك). •ملخص الحادث. •المؤشرات المتعلقة بالحادث. •الحوادث الأخرى ذات العلاقة بهذا الحادث. •الإجراءات التي تم اتخاذها بشأن هذا الحادث من قبل جميع معالجي الحوادث. •ذا كان ذلك قابلاً للتطبيق. تسلسل العهدة، إ •تقييم الأثر المتعلق بالحادث. •معلومات الاتصال للأطراف المعنية الأخرى (مثلاً مالك النظام، مسؤولي النظام). •قائمة الأدلة التي جُمعت خلال التحقيق في الحادث. •ملاحظات معالجي الحادث. •الخطوات التالية التي يجب اتخاذها (مثلاً إعادة بناء المضيف، ترقية التطبيق).

الفصل الحادي ع أمن المعلومات وإدارة مخاطر تقنية المعلومات 600 اكتشاف الحادث ت المنظمة بعملية التحضير للحادث الأمني. وق ّ فيما س والتدريب وشراء بعض المشتريات. كما تم إعداد التحليل الخاص بالأجهزة، وتهيئة العلاقات لوضعه ً ا العامة. ولسوء الحظ فإن فريق الاستجابة للحوادث الأمنية لن يضطر للانتظار كثير ؟ وكيف س ً ما ليس طبيعيا ً المح � ع الكشف عن الحادث؟ التغييرات المرئية للخدمات: لاكتش ً إن أحد أكثر الطرق ش اكتش غير ً ا ذلك. على س ). 4 - 11 طبيعي عند زيارة موقع إلكتروني ويتم استقباله بالصفحة الموضحة في الشكل ): مثال على تشويه موقع إلكتروني 4 - 11 الشكل

التعامل مع الحوادث الأمنية 601 %) منووفق الاختراق منظور عملي. فبغض النظر عن نوع البرمجيات التي يحاول مورد البرمجيات الأمنية إقناعك بأنها بواسطة طرف ثالث عند حدوث اختراق. مراقبة الأداء: أما الس أو غير مباشرة للبرمجيات الخبيثة المثبتة بواسطة قراصنة الحاسب، قد يصبح نظام الحاسب الآلي بطيئاً بحيث يكون ذلك ملحوظاً من قبل المستخدمين أو مسؤولي النظام. وأحد الاس وجعلها كمستودع بيانات، إما للتبادل غير المشروع لملفات الموسيقا والأفلام، أو لتبادل المواد الإباحية. ويبدو أن تبادل المواد الإباحية قد حصل على الكثير من الاهتمام من قبل قراصنة الحاسب ومن قبل المندس لكن لا يقومون بمشاركة البيانات). وبمجرد أن يتعرض جهاز الحاس طريق ذلك الجهاز، سيلاحظ المستخدم بسرعة أن أداء الجهاز قد انخفض لأن معظم وحدة تُس المعالجة المركزية وعرض النطاق الترددي لش المواد. وهذا يتطلب عادة استدعاء مكتب الدعم الفني. فهم السلوك الطبيعي من أجل اكتش مثلاً تُس الس تس أنواع الإنذارات التحذيرية.

الفصل الحادي ع 602 مراقبة المعلومات الشخصية ونتيجة مباشرة لجميع الاختراقات الكبيرة في المنظمات الضخمة والتغطية الإعلامية لتلك الهجمات، أصبح الأش قد يلجأ المس الشخصية مثل رقم الضمان الاجتماعي (الشكل 5-11 الشكل وكان من الش ء من أجل حماية هوية الطالب، �طلابهم على أبواب مكاتبهم. وبدلاً من اس كان أعضاء هيئة التدريس يستخدمون أرقام الضمان الاجتماعي. الآن وبع MS Word( ن الاجتماعي والدرجات. وفي بعض الأحيان، ينتهي المطاف بهذه الملفات�على أرقام الض المنسية في أماكن تقوم محركات البحث بالتقاطها وعرضها للعالم. خدمة تنبيهات جوجل خدمة تنبيهات جوجل هي أداة تقدمها جوجل لمساعدة المستخدمين على تعقب الموضوعات ذات تنبيهاً في كل مرة يتم الاهتمام. ويتمثل الاستخدام الجيد لهذه الأداة من خلال إعدادها لتقدم لك فيها فهرس ومن ثم توجيه خدمة تنبيهات جوجل لإرسال رسالة بريد إلكتروني في كل مرة يتم فيها العثور على صفحة إلكترونية جديدة تحتوي على هذا الاسم.

التعامل مع الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 603 أدوات سلامة الملفات هي تطبيقات برمجية تراقب سلامة الملفات مراقبة سلامة الملفات: في نظام أجهزة الحاس من الحزمة البرمجية المعروفة ً ءا ما تكون هذه الأدوات جز ً مسؤول النظام على الفور. وغالبا Host-based Intrusion Detection بأنظمة اكتش المضيف لأنها تعمل على � ). وه HIDS ( ً ا ) أو اختص Systems جهاز الحاس ). IDS ( � ) والتي يشار إليها عادة ب Network-based Intrusion Detection Systems ( index. خذ على س ) (أو الملف الأس html . وتحتوي ً مة الصفحة (من خلال تغيير المحتوى) س � س عندما يتم اكتش ً العدي مة الصفحات: � الأدوات التي تحتوي على تطبيقات لمراقبة س � ومن الأمثلة الش ). Tripwire )، و Samhain )، و 6 - 11 ) (الشكل OSSEC ( ) OSSEC ): أداة شائعة الاستخدام في مراقبة الملفات 6 - 11 الشكل False مة الملف � لق ُ وت ). والإيج Positive

الفصل الحادي ع 604 إجراء المزيد من التحقيقات يتبين أنه ليس بمش هذا المفهوم في مجال الإحصاء بوصفه خطأ من النوع الثاني. وهذا المفهوم موجود في العديد من أدوات مة الملفات. �والآن س فعند تثبيت الأداة يتم سؤال مسؤول النظام عن الملفات التي يجب مراقبتها. وهذا القرار مة ملف �يجب اتخاذه بعناية. على س سجل الوصول التابع لخادم الشبكة؟ ملف سجل الوصول التابع لخادم الشبكة يتغير في كل مرة يقوم ش كل مرة يكون لديك زائر - وهذه الإنذارات من نوع إيجابي خاطئ. أن ذلك ق�وفي ح الإلكترونية الأكثر انش ذل html غ من ش�الإب الس أو الأح المث قبل المُديرين وغيرهم من الموظفين الإداريين، وادعاءات التحرش الجنسي على رسائل البريد الإلكتروني، وغيرها. وفي كثير من الحالات، تتطلب السياس أن اتباع مثل تلك �غ المجهولة المصدر. وفي ح�أي م السياس أن الأف تهديداً ضد الأصول الوظيفية الادعاءات دون التحقق المناس (المدير على سبيل المثال) مما يضع المنظمة في خطر.

التعامل مع الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 605 وهي عبارة عن س تحليل الس س ُ ت المحلل الأمني. وبخصوص اكتش الأمن لتحديد الوقت الذي تعرض في ). 7 - 11 خدمت من قبل قراصنة الحاسب (الشكل ُ است ): السجلات التقليدية المدمجة 7 - 11 الشكل ). كما يمكن التحكم في var/log وفي نظام لينكس تقع معظم الس ). والرسائل الموجودة في دليل syslog معظم س عن المخالفات الأمنية مثل رسائل ً ) هي أول ما يقوم المحلل الأمني بتحليله بحثا var/log /( الخطأ الغريبة، وإعادة التش ). 8 - 11 من التفصيل في الفصل اللاحق (الشكل وبخصوص عملية الاكتش Security ) أو يك Log Consolidation ( ). في حال SIEM ( ً ا ) أو اختص Incident Event Manager الس للمراقب ) فإنه يتم ضم الدمج مع التحليل حيث تبحث تلك الأنظمة عن SIEM للح الأنماط الشاذة في الأنظمة المتعددة لتحديد التهديدات والاختراقات المحتملة.

الفصل الحادي ع أمن المعلومات وإدارة مخاطر تقنية المعلومات 606 من المهم تزامن جميع الس ً وحتى يكون تحليل الس غذي س ُ التي ت أن تفسير الجداول الزمنية تم بالشكل الصحيح، وذلك عند قيام قراصنة الحاسب باستطلاع ومهاجمة واختراق أنظمة متعددة. نظأنظذأ،ظ ): تحليل السجلات 8 - 11 الشكل ولدمج الس نسخ بيانات ً يضا مما يجعل من السهل تحليل البيانات للبحث عن حوادث محددة، فإنه يتيح أ مة الس � الس عن أدلة الاحتيال الذي يرتكبه أشخاص يملكون امتيازات إدارية. وبشكل عام فإن مدير قواعد البيانات يس ) ينبغي أن تكون أذونات قراءة فقط. SIEM على خادم دمج السجلات أو خادم

التعامل مع الحوادث الأمنية 607 ) أولوح اختصاراً النهاي وعادة تشمل حلول حماية نقطة النهاية ما يلي: •الحماي الحاس الحقيقي •الحماية من الفيروس جهاز الحاسب الآلي، والتي تم تحميلها من الإنترنت، سواء تم تثبيتها أم لم يتم ذلك، من خلال المسح •حماية الجُدُر النارية. •كشف التسلل المعتمد على المضيف (اختياري). •سلامة الملفات (اختياري). •سرقة الهوية (اختياري). •مراقبة وصول الأطفال (اختياري). وكما ترى فإن مجموعات حماية نقطة النهاية فق النهاية وخوادم الش الأمنية مانعاً لكثير من المنظمات، ف الس بس ت الخيار في اس�المنظ السجلات (الشكل

الفصل الحادي ع أمن المعلومات وإدارة مخاطر تقنية المعلومات 608 ): مثال على حماية نقطة النهاية 9 - 11 الشكل تجدر الإش ً وأخيرا التحقيقات الداخلية: قب قسم التدقيق الداخلي، أو مدققي الولاية (إذا كان العمل في وحدة تابعة للولاية)، أو الموارد البشرية، أو شرطة الجامعة، أو المستشار العام. وفي بعض الأحيان قد تبدأ تلك التحقيقات عن المنطقة التقنية لكن يحتاج إلى مس ً تماما بشيء بعيد من الأدلة. على سبيل المثال، إذا قام موظف مفصول من منظمتك بمقاضاة المنظمة بسبب إنهاء العمل بصورة غير نظامية، فإن المستشار العام قد يطلب منك جمع كل رسائل البريد الإلكتروني التي تمت بين المديرين التنفيذين في المنظمة والتي تم فيها مناقشة هذا الموضوع. ل آخر بأن يقوم المدقق الداخلي بالتحقي � وهن حدد الهوية الش ُ (معلومات ت يخالف سياسة المنظمة. وفي هذه الحالة، من المهم العثور على جميع المعلومات المحفوظة بشكل غير منظم وتصنيفها وتطبيق الضوابط المناسبة قبل القيام بالتدقيقات الأخرى (مثل ). Payment Card Industry تدقي كما يتطلب معرفة المشكلات الخطرة الأخرى التي تهدد البيانات.