أمن المعلومات وإدارة مخاطر تقنية المعلومات

التعامل مع الحوادث الأمنية 609 تحليل الحوادث الأمنية بمجرد أن يكون هناك اتفاق ع سيبدأ في عملية تحليل الحادث. والهدف من التحليل هو اكتشاف جميع الأحداث السلبية التي تش والاس خصوصية وتكامل وجاهزية �الاكتش الأصول المعنية. ومن الواضح أن التحليل س قياس العائد الذي يمكن أن تحصل عليه من التحليل. على س انتش لة البرمجيات الخبيثة. واتضح �إصاب أن جميع الأجهزة احتوت على الباب الخفي نفس تُلقي نظرة فاحصة على جميع وإذا كان لديك الوقت والموارد المتاحة، فإنه من المناس الأجهزة، وتبحث عن جميع سجلات الأبواب الخفية، وتتأكد مما إذا كان هناك أي آثار لتواصل ي حقيقي في اس�ب الاستخدام وليس فيها أي بيانات شخصية، فإنه من الأسهل فحص عينة واحدة من الأجهزة. وتُع بس انتهاءً بالروبوتات، وذلك للحصول على معلومات من لافتات برتوكول نقل الملفات بخصوص تثبيت البرامج الخبيثة المعينة. وأخيراً، وكجزء من التحليل، يجب أن تكون قادراً على تحديد المستفيدين، وكذلك تحديد الأص فقاً للمرحلة التالية من الأصول س إدارة الحوادث الأمنية.

الفصل الحادي ع 610 الاحتواء والاستئصال والاسترداد هو منع انتشالاحتواء: المصاب يس اثقاً من أن الأحداث الجارية تس يكون المُحلل و المحلل أن الخطر على الأصول عالٍ جداً في حال استمرار الأحداث كما هي. وبما أن الاحتواء ينط الخس مطلوباً عندما ننظر في عملية الاس الأخرى. وهذا التفكير نفس يمكن تعريفها بأنها إزالة الأسباب التي أدت إلى الاحداث السلبية (الشكل الشكل وبالع حاس داد والت�الاس العادي فريق الاستجابة للحوادث الأمنية في الحصول على نسخة من القرص الصلب ومن ثم مسح جميع ما في الجهاز، والتأكد من عمل نسخة احتياطية للبيانات، ومن ثم إعادة تثبيت نظام داد الجهاز �التش بسرعة دون المساس بمهام المستخدم النهائي في حين أن فترة التحليل تستمر.

التعامل مع الحوادث الأمنية 611 وبالنظ للح ق إلى مضيف خارج الحرم الجامع �الش الاتص قوائ الخ وجاهزيتها يجب أن تأتي قبل احتياجات المحللين. يجب أن يكون فريق الاس المش توفرت البيانات للتحليل. تم العثور على باب خفي في أحد أجهزة الحاسب الآلي في كلية الطب. الساعة أثناء التحليل، لا بد أن تتبادر بعض الأمور إلى الذهن على الفور. فكلية الطب هي أحد الكليات HIPPA (قان�الت بيانات ذات علاقة �المرتب بقانون لا يحتوي الجهاز على بيانات ذات علاقة بقانونالس الجهاز لعضو هيئة تدريس في قسم الطب الإشعاعي خارج منطقة بعد مكالمة هاتفية سريعة إلى المسؤول الداخلي تبين أن الجهاز لا يحتوي على بيانات ذات علاقة بقانون هي أنشطة التهديد الذي يشكلها هذا الجهاز؟ تم معرفة أن جهاز الحاسالس 100 �على منحة تُقدر ب وهنا يُلاحظ اهتمام عميد الكلية ومدير الجامعة، لذا من الأفضل الجدية في النس للجهاز قبل أن تتعرض محتوياته لأي خطر موجه عن بعد.

الفصل الحادي ع 612 وق للحوادث الأمنية أثناء مرحلة الاحتواء. فالأنش قد تُعرض الجوانب الأخرى من المنظمة للخطر. مثلاً إعادة تش لإنهاء إزالة البرمجيات الخبيثة قد تُقاطع عملية تجهيز كشوف الرواتب إذا تم إجراء عملية إعادة التش ات اللازمة لعملية احت�جمي اس أثناء تلك الإبلاغات. فقد يكون من الضروري توضيح أس الرواتب، لكن ليس من الضروري توضيح تلك الأسباب لكل شخص في إدارة الرواتب. ونقط ومراقبة س الضرر المحتمل على الأصول. ففي حين أن ردة الفعل الأولى لمسؤولي النظام هي التخلص من الخلل وإزالة جميع المسارات، إلا أن مراقبة سلوك قراصنة الحاسب قد تكون مفيدة للمنظمة. فقد تكش أصول تحت سيطرتهم، كما يمكن أن تكشف عن العديد من المعلومات المفيدة الأخرى. ويج قرار بشأن احتواء المشكلة على الفور. فلا بد من تنسيق الجهود قدر الإمكان للقيام بذلك، فمن المعروف أن قرصان الحاسب يتحول إلى قوة مدمرة إذا عرف أنه تم اكتشافه، وذلك في محاولة لتغطية آثاره وإزالة جميع معلومات التسجيل المحلية التي قد تؤدي للقبض عليه. وقد يقوم مسؤول قاعدة البيانات المتورط في حالات الاحتيال بنصب الفخاخ التي تؤدي إلى تدمير قاعدة البيانات وكافة البيانات الواردة فيها. وله قراصنة الحاس أق دلة التي تُدينهم. وتدمير الأ

التعامل مع الحوادث الأمنية 613 الدروس المستفادة المرحل للح بتجميع ملاحظاتهم واستكمال عملية التوثيق. وينبغي أن يتضمن التوثيق جميع الأحداث الس يلي: •الإشارة إلى جوانب المنظمة التي تأثرت بالحادث وتحديد نتيجة الاختراق. •كي الإدارات مجتمعة تحت تنسيق فريق الاستجابة للحوادث الأمنية؟ •مدى مناسبة الإجراءات الحالية للتعامل مع الحوادث، وتحديد فرص التحسين. •مدى مناسبة تحديد وتصنيف الأصول وأثر ذلك في اتخاذ فريق الاستجابة للحوادث الأمنية لقرارات سريعة تناسب تطور الحالة. •مدى مشاركة المعلومات مع المستفيدين ومدى الرضا عن ذلك. •فرص الكشف الاستباقية لتجنب حدوث مشكلات مشابهة. •التدابير التقنية اللازمة التي يجب اتخاذها لتجنب قضايا مماثلة في المستقبل.

الفصل الحادي ع 614 إذاً كيف تم حل مشكلة إدارة التنمية الاقتصادية في شهر فبراير من عام في وزارة التج نظامين. وبعد تأكد وزارة التجارة من عدم وجود حادث كبير، بدأت وزارة التجارة بجهود �ع 2013داد في ش�الاس القدرات التشغيلية السابقة لإدارة التنمية الاقتصادية. وبمقارن العام. وبالتحديد قامت وزارة التجارة بتزويد إدارة التنمية الاقتصادية بخدمات إدارة حس وني للمنظمة، وخدمات مكتب الدعم الفني، كما قامت بتهيئة آمنة لنس�الإلك أقراص أجهزة الحاسب المحمولة. بالإضاف الأعمال الهامة. الكارثة: في ع يستطيع إخضاع الشركة المزدهرة على ركبتيها، وهذا الأمر المخيف هو الكارثة. والكارثة هي حادثة مفجعة تتس ينطوي على حوادث فرعية متعددة، أو حادث يؤث�كب الطريقة التي تنظر بها إلى الكارثة، فإن لها آثاراً كبيرة على العديد من المستفيدين. ونب منظمة تقنية المعلومات من أجل إعادة الأنظمة الاحتياطية وتشغيلها. والتعافي من الكوارث قد يشمل انتقال العمليات إلى موقع آخر بهدف استرداد الخدمات والبيانات.

التعامل مع الحوادث الأمنية 615 في عام 30 في حس إعادة إنش البداية لكنها ستس هذه الخطوة، س إلى صناديق البريد الإلكتروني الخاص بالطلاب. وقد استغرقت عملية التعافي من الكارثة بأكملها في هذه الحالة قرابة والتع ة طويلة في المنظمة. وفي المنظمات الكبيرة غالباً م�خ الموضوع. وفي جميع الحالات فإنه ليس من المرجح أن توكل إليك مس الك الكتاب. وقد تطرقنا لهذا الموضوع بهدف تعريفك ببعض المفاهيم الأساس من المساهمة في هذه العملية. ءاً من الصورة الأكبر وهي التخطيط لاس ويُعد التعافي من الحوادث جز Business Continuity Planning( ة. ففي أثن�ه لاستمرارية الأعمال، يتوقع المخططون ما سيحدث في حال وقوع كارثة، وعليه يحددون الحد الأدنى والضروري لمساعدة المنظمة في استمرار عملياتها. وفي حالة نظام البريد الإلكتروني في جامعة جنوب فلوريدا، تش سنأتي بالتمويل اللازم لشراء الأجهزة الجديدة؟ وكيف سنقوم بمطالبات التأمين؟ وما الآثار الأخرى التي سيسببها انقطاع البريد الإلكتروني عن المنظمة؟ وبحكم طبيعة التخطيط لاستمرارية الأعمال والتعافي من الكوارث فإنها تشمل وحدات أخ المنظمة معزولة بعضها عن بعض عند الاستعداد لإعصار أو عاصفة. إن مثل هذه الحوادث

الفصل الحادي ع 616 س كان هناك احتمال لإعصار من المس تقنية المعلومات إلى حضور الموظفين لإيقاف تشغيل الخوادم والأجهزة الحاسوبية المكتبية. لذا فإن التنسيق بين هذه المجموعات سوف يضمن تنفيذ الإجراءات المناسبة. وجزء مهم من التخطيط لاستمرارية الأعمال هو تحليل تأثير العمل Analysis الأهمي وبناءً على ذلك فإن الأصول الضرورية هي تلك الأصول التي تدعم الخدمات والمنتجات ذات العلاق إجراءات التعافي من الكوارث. ل والتعافي من الك�والهدف الأس أم�ع الاس بعض الأمور الأخرى التي يجب الاهتمام بها: •قائمة بأرقام الهواتف وهي أداة مفيدة للغاية في حال وقوع كارثة. ربما قائمة بسيطة بحجم البطاقة وتحتوي على أرقام الهواتف تكون لدى الموظفين. •كيف ستخبر زملاءك الموظفين في حال تعطل أنظمة الهاتف؟ •إذا قمت بنسخ ملفاتك الاحتياطية داخلياً في شريط وبواسطة جهاز مرفق مع الخادم، كيف ستقوم بنسخ البيانات في موقع آخر؟ وما البيانات التي يجب استعادتها أولاً؟ •هل هناك شخص آخر يعرف كيفية استعادة البيانات؟ هل يوجد تعليمات منشورة في مكان ما؟ وإذا كان من المتوقع أن يقوم الش للبدء في استعادة البيانات، عندها يجب أن يتم البدء في تبسيط الإجراءات. •هل يتم اختبار استعادة النظام بشكل دوري؟ الأشرطة والوسائل الأخرى قد تهترئ، أو تُخدش، ومن ثم تصبح غير قابلة للقراءة.

التعامل مع الحوادث الأمنية 617 • هل هناك وس الت الحاسوبية، من هو الموظف الذي يعرف تفاصيل تفعيل التأمين؟ نموذج حالة - قرصنة في الحرم الجامعي: هذه الملاحظات الش وحدثت هذه الحالة قبل عام لحماي التقرير وذلك لأنها تتعلق بمبدأ سوف نُسمي الطلاب غير معلنة. وفيما يلي نستعرض ملاحظات مسؤول النظام حول الجدول الزمني للحادثة: يوم الإثنين الموافق تلقيت تقارير تفيد بأن قس jorange ء الدخول على النظام هي�اثنين من الطلاب (أس الفرع الملفات. وفي المساء تلقيت البريد الإلكتروني التالي من مسؤول الشبكة: « قام هذا الحساب بتسجيل الدخول مرتين في نفس الوقت ومن مناطق مختلفة من البلاد ت المرور، والموجود في �وة على ذلك يبدو أن هذا الش�وع حس حول هذا الموضوع في الصباح ويبدو أن ملف كلمات المرور صدر من موقع

الفصل الحادي ع 618 ) على قاويحت المس root@somedomain.comوني إ�عليه، كما قمت بإرس على أي رد. يوم الثلاثاء الموافق لاحظت في الصباح عند تسجيل الدخول إلى خادم somedomain.com( �متصل ب الرئيسي لحساب الرئيسي لحساب ثم اس tmp/( ألعاب إلكترونية مقرصنة. وبعد ذلك بدأت بمراقبة أنش نشطأ أخ مج بأن لديه حساباً في ذلك الموقع. وبما أني لم أتلق أي رد من Will( Will( ********************************************************************** من ملفات السجل عثرت على الروابط التالية وهي إما لحساب numsix@inca.anotherdomain.net( )hopi.anotherdomain.net( mikel@somedomain.com( thriddomain.net.server0( وقد يكون هناك المزيد من الحسابات المخترقة على هذه المواقع **********************************************************************

التعامل مع الحوادث الأمنية 619 :)الأدلة على حساب 1 .ملف كلمات المرور من موقع 2 ..)thepoin.com:/~ملف يحتوي على قائمة من الدليل التا 3 .ملفات السجل تشير إلى تسجيل الدخول من الأدلة على حساب 1 .البرمجيات المقرصنة والموجودة محلي آخر لكن الملفات الفعلية تمت إزالتها ليلة أمس وذلك قبل إغلاق الحساب. 2 .الرس بخصوص موقع جديد للبرمجيات المقرصنة، وتم تأكيد وجود هذا الموقع الجديد. 3 .ملف mikel( �) باسsomedomain.com( حساب بواسطة ونتيج السلوك الأخلاقي الملخص: ناقشنا في هذا الفصل عملية التعامل مع الحوادث الأمنية. ورأينا أن المنظمات الفعالة لا تنتظ المنظمات بالاس يتطلب إعداد سياس تأس للحوادث. ويتم اكتشاف الحوادث عن طريق السلوكيات غير الطبيعية. ولقد رأينا أنه أثناء

الفصل الحادي ع 620 الاس وأخيراً استعرضنا المفاهيم المتصلة بالكوارث أو الحوادث ذات النطاق الواسع. أسئلة مراجعة للفصل: 1 .ما حوادث أمن المعلومات؟ 2 .اذكر بعض الأمثلة على الحوادث الأمنية، ويُفضل أن تكون عايشت الأمثلة بنفسك 3 .ما الخطوات الأساسية للتعامل مع الحوادث الأمنية؟ 4 .في خطوات التعامل مع الحوادث الأمنية أعلاه، ما أهم خطوة في رأيك؟ ولماذا؟ 5 .ما الأنشطة الهامة ذات العلاقة بالإعداد للتعامل مع للحوادث الأمنية؟ 6 .ما سياسة الاستجابة للحوادث الأمنية؟ وما أهميتها؟ 7 .ألق نظرة على إحدى سياسات الاستجابة للحوادث الأمنية لأحدى المنظمات (ويمكن العثور عليها بس للاهتمام في هذه السياسة؟ 8 .ما نطاق سياسة أمن المعلومات؟ وما أهمية تحديد هذا النطاق؟ 9 .ما فريق الاستجابة للحوادث الأمنية؟ وكيف يتم تشكيله؟ 10 .ما هي بعض القضايا المتعلقة بالتواصل بخصوص التعامل مع الحوادث الأمنية؟ 11 .ما مبدأ 12 .ما الامتثال؟ وما أهميته للتعامل مع الحوادث الأمنية؟ 13 .كيف يساعد التدريب في التعامل مع الحوادث الأمنية؟ 14 .اختر إحدى ش منها، اشرح كيف تساعد ثلاث وحدات من ذلك المنهج الدراسي على تحسين قدراتك في التعامل مع الحوادث الأمنية.

التعامل مع الحوادث الأمنية 621 15 .ما الطرق الشائعة في اكتشاف الحوادث الأمنية؟ 16 .ما تحليل السجل؟ وما استخداماته؟ 17 .إذا كنت تستخدم أداة لمراقبة سلامة الملفات مثل الخاص بك، ما المجلدات المناسبة للمراقبة باستخدام تلك الأداة؟ ولماذا؟ (قد ترغب في تجربة احدى الأدوات المفتوحة المصدر مثل 18 .ما أهداف تحليل الحوادث الأمنية؟ 19 .م هجمات الفيروسات؟ 20 .ما الاستئصال؟ وما هي بعض التدابير التي يمكن اتخاذها لاستئصال هجمات الفيروسات؟ 21 .كيف يساعد التعامل مع الحوادث الأمنية على تحسين أمن المعلومات للمنظمة في المستقبل؟ 22 .افترض أنّك تُعد الفصل الدراسي السابق احدى الحوادث التي مرت عليك. اكتب فقرة مبس التعامل مع الحوادث الأمنية. قم بتعميم الدروس المس تحديد أسماء الشخصيات، وذلك للمحافظة على خصوصيتك. 23 .ما الكارثة؟ وما التعافي من الكوارث؟ 24 .ما التخطيط لاستمرارية الأعمال؟ وما هي بعض الأشياء التي يمكنك القيام بها كجزء من ممارسة التخطيط لاستمرارية أعمال بياناتك الشخصية؟ 25 .ما تحليل التأثير على العمل؟ وكيف يكون هذا التحليل مفيداً؟ أسئلة على نموذج الحالة: 1 .من بين آليات الكش أدت إلى الكشف عن الحادث؟ 2 .من الأشخاص المناسبين في الحرم الجامعي ليتم إخطارهم بالحادث حال اكتشافه؟

الفصل الحادي ع 622 3 .ما الدروس التي تعلمتها من قراءتك عن الحوادث الأمنية؟ نشاط التدريب العملي - الجدول الزمني للحوادث الأمنية باستخدام في هذا التمرين س العملي في الفصل التاسع وذلك لمراقبة حادث مصطنع وبناء جدول زمني لهذا لحادث. ولبدء محاكاة الحادث، انتقل إلى حس الخاص بالمحاكاة: صيالبرنامج الن [alice@sunshine ~]$ su - Password: thisisasecret [root@sunshine ˜]# /opt/book/ incident-handling/scripts/begin_incident ######################################## ########################## Simulated Incident has begun! This script will run for 10- 20 minutes. ######################################## ########################## ، قم بتشصيوبمجرد انتهاء البرنامج الن متصفح الإنترنت وزيارة موقع أسئلة: 1 .كيف حاول المهاجم الوصول إلى النظام؟ وما الحساب الذي كان يستهدفه؟

التعامل مع الحوادث الأمنية 623 2 .عند الانتهاء من اختراق الحساب، هل هناك حسابات أخرى تم اختراقها؟ 3 .هل تم تثبيت برمجيات جديدة؟ 4 .هل تم فتح أو إغلاق منافذ شبكة جديدة؟ 5 .هل تم إضافة أي حسابات جديدة إلى النظام؟ 6 .قم بإنش الرابط التالي �) عالج http://office.microsoft.com/en-us/templates/timeline-TC001016265.aspx( تمرين التفكير النقدي - الهدم في إدارة التنمية الاقتصادية يعد تقري المعلومات. ولمزيد من التفكير، نذكر هنا مقتطفات أخرى من التقرير: DHS الرغم من توصيات التعافي الصادرة ع�ع الأمن القومي الأمريكية داد أنظمة تقنية المعلومات بسرعة وبشكل كامل، ركزت إدارة التنمية الاقتصادية �على اس بدلاً ع تطبيقات الأعمال. وفي ش تقدم Commerce IT Review Board( لكن المجلس لم يوافق على طلب إدارة التنمية الاقتصادية. وقدّرت إدارة التنمية الاقتصادية أنها ستحتاج إلى أكثر من 3,6 الميزانية السنوية لتقنية المعلومات التابعة للإدارة) وذلك لتمويل جهود التعا لذا سيقوم المشكّكون في موضوعات الحكومة الكبيرة باستخدام هذه المعلومات الواردة في تقرير مكتب المفتش العام للإش

الفصل الحادي ع 624 الأمن تكنولوجي ستعارض هذه الفكرة بناءً على المعلومات الواردة في هذا التقرير؟ تصميم حالة: طل س بة التي آ القرصنة. وبعد قيام مورد تأمين الش بخصوص عدم قدرة �قد تحدث بس الجامعة على التصرف بسرعة وبش في صورة الجامعة. وفي التقرير المطلوب منك، أجب عن الأسئلة التالية: 1 .ما النقاط التي يجب الاهتمام بها في سياسة الاستجابة للحوادث؟ 2 .م علل إجابتك. 3 .ناقش مركزية الموارد المتعلقة بأمن الحرم الجامعي 4 .قم بالبحث اللازم لتحديد متطلبات الإبلاغ في ولايتك في حال حدوث اختراق 5 .قم بالبحث اللازم لمعرفة الحماية التي يوفرها تأمين أمن الشبكات