أمن المعلومات وإدارة مخاطر تقنية المعلومات

625 الفصل الثاني عشر تحليل الحوادث الأمنية نظرة عامة: في الفصل الس ناقشنا المراحل المختلفة لتلك العملية وهي: •الإعداد: تجهيز البنية التحتية اللازمة للتعامل مع الحوادث الأمنية عند وقوعها. •التحليل: اكتشاف وتوثيق أكبر قدر ممكن من الحادث. •الاحتواء: تحديد أفضل وس على نتائج التحليل. الدروس المس العملية، ومن ثم العودة إلى مرحلة الإعداد. ودورة التعامل مع الحوادث الأمنية لا تنتهي أبداً، فهناك ثغرات جديدة تظهر، وتقنيات جدي الإعداد، وهي المرحلة التي تحاول المنظمة أن تكون فيها اس فإن ذلك حتماً سيؤدي إلى عواقب سلبية. وفي هذا الفصل سنُلقي نظرة فاحصة على المرحلتين الثانية والثالثة وهما مرحلة التحليل ومرحلة الاحتواء من خلال: •النظر إلى مصادر المعلومات في نظام تشغيل لينكس ونظام تشغيل ويندوز. •معرفة كيفية استخراج المعلومات من تلك الأنظمة وذلك فيما يخص الأحداث التي نستعرضها. •معرفة كيفية إنشاء جدول زمني يوضح نمط الحادث. •النظر في أمثلة على أدلة الهجوم وذلك في تطبيقات متعددة.

الفصل الثاني ع 626 تحليل السجل تحتوي مُعظم التطبيقات البرمجية ونُظم التش الحالة. وتختلف أغراض تسجيل المهام بناءً على التطبيق. •يستخدم مطورو البرمجيات التسجيل لضمان أن التطبيق يعمل كما هو متوقع. على سبيل المثال، قد يُقرر مطورو البرمجيات إظهار مخرجات أمر داخلي على الشاشة في بعض الحالات، ويعرف هذا عادة بتشغيل التطبيق في وضع التصحيح. •ويستخدم مسؤولو النظم معلومات التس التطبيق. على س لديه ما يكفي من الذاكرة ومن مساحة القرص للعمل بالشكل الصحيح. •ويس فإن المسؤول الأمني كجزء من التحقيق. س وفي هذا القس التشغيل وسجل التطبيقات. سجلات نظام التشغيل ويندوز: 1-12« �ويعرف س واجهة ويندوز التي تتيح للمس « تجارية يمكن اس التش الإنترنت.

تحليل الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 627 8 ): شاشة برنامج (عارض الأحداث) على نظام تشغيل ويندوز 1 - 12 الشكل الجان يس ً يضا الاطلاع على الس رق عرض مخصصة للتركيز على أهداف محددة. ُ نشاء ط المسؤول إ الشاشة الرئيسية لبرنامج عارض الأحداث: )، من ثلاثة 1 - 12 تتكون الشاشة الرئيسية لبرنامج عارض الأحداث، والموضحة في الشكل جوانب كل منها يحتوي على معلومات مختلفة عن ملفات السجل. ً بناء وه ملخ ل النقر على زر (+) � نوع الحدث. فإذا قام المس � ع الموجود بجانب النوع فإن عدد الأحداث المصنفة تحت نوع معين يتم تقس عرف ُ م ). و Event ID ف الح ِ ع ُ م ). 2 - 12 الأحداث (الشكل ): ملخص لجانب الأحداث الإدارية 2 - 12 الشكل

الفصل الثاني ع 628 ويحتوي هذا الجزء على ملفات سجانب ملفات الس وصف للعرض �الأح (عندم هذا الملف)، ومتى تم إنش لم يتم إنشاؤه أصلاً أو إلى أن مُدخلات السجل لم يتم إلحاقها بالملف (شكل 3-12 الشكل ملخص السجل: الجانب الأخير في الشاش ويقوم هذا الجانب بوصف خصائص ملفات السجل التي يحتفظ بها نظام التشغيل ويندوز فيُخبر المسؤول عن حجم المساحة المتبقية والمسموحة حالياً. أما عمود للزيادة في ملف السجل. وإذا رأيت أن حجم ملف السجل وصل للحد الأقصى أو اقترب من ذلك فمن المرجح أن الس إلى فقدانها (الش يستطيع الجهاز الاحتفاظ بها دون فقدان؟ وس اعتماداً على عدد مستخدمي السجلات الأخرى. وهذا ينطبق بشكل خاص على خوادم الويندوز. و الخادم، فإن استخراج معلومات مفيدة من ملفات سجل الأمن قد يكون عديم الفائدة. لاحظ أيضاً وجود عموديَن آخرين في جانب ملخص السجل. من خلال هذين العمودين يمكنك معرفة م�يمكن خدمة الكتابة فوق المعلومات الحالية عندما يكون ملف الس المدخلات الجديدة عندما يكون ملف السجل ممتلئاً.

تحليل الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 629 ): جانب ملخص السجل 4 - 12 الشكل أنواع ملفات سجل الأحداث: بعض ملفات س ). وبإمكانك الاطلاع على ملفات س XP إكس ). 2 - 12 ( • يحتوي س من التوزيع الأس ً ءا عد تطبيقات مايكروس ُ ولا ت س مايكروسوفت أوفيس تكون في ملف سجل الأحداث التابع للتطبيقات. • لمحاولات تسجيل الدخول والخروج. ً اضيا افتر ً ويعد ملف الأمن إلى حد كبير مستودعا ويمكن تعديل تهيئة هذا الملف حتى يمكنه تسجيل إنشاء ملفات البيانات أو إغلاقها أو فتحها داخل النظام. • يحتوي ملف سجل الأحداث الخاص بالنظام على رسائل سجل نظام التشغيل. على سبيل المثال، يتم تسجيل مشكلات الاتصال بالشبكة، وأخطاء مشغل بطاقة الفيديو في ملف سجل أحداث النظام. على نوعين إضافيين من ملفات سجل الأحداث: 8 ويحتوي نظام التشغيل ويندوز 1 . ملف س لتثبيت التطبيقات البرمجية. 2 . سجل الأحداث المنقولة، وهو ما سنناقشه في القسم القادم

الفصل الثاني ع أمن المعلومات وإدارة مخاطر تقنية المعلومات 630 مثال على أدلة التحليل الجنائي في نظام ويندوز Event م ً مثالا نس ) وذلك في جمع المعلومات بهدف التحليل. ففي بعض الأحيان فإن الأحداث التي Viewer توصف بأنه ) لقطة من 5 - 12 الشكل ): أحداث معلوماتية 5 - 12 الشكل ) يعمل في هذا الجهاز. McAfee وكما تلاح وم ). وهذا ليس الجهاز الأصلي Event ID 5000 ( » 5000 ف الحدث ِ عر ُ « الوصف العام نرى الذي تم تصدير السجل منه لذلك لا يمكن لنظام التشغيل ويندوز معرفة الحالة التي أدت ) VirusScan Enterprise إلى تطبي � درجة تش ُ الم إلى ه لم بالمنظمة فس ِ بأن ) الموجود في الس 5.3.0 ) (مقارنة بالإصدار 5.4.1 الفيروس ، مما يدل على أن ماس 5700 أن إصدار توقيعات الفيروس � ك � ) وعلاقته ب Event ID 5000 ح ُ م On ) نكتش McAfee ( ) وهي الخدمة التي تحمي الجهاز من الإصابة في الوقت الفع Access protection

تحليل الحوادث الأمنية 631 كل هذه المعلومات حصلنا عليها من سجل بسيط للحدث المعلوماتي. وينبغي أن تتساءل في هذه المرحلة: هل كان التطبيق البرمجي لمكافحة الفيروسات يعمل في هذا الجهاز؟ أهمية الحدث: رسائل السجل يتم تمييزها أيضاً بإشارات تدل على درجة أهميتها. فعند القاء نظرة على برنامج Administrative Events« �على العرض المخصص الخاص ب العرض يأتي مثبتاً بش و ذات مس فإن مس)1المُخرج الأهمية في ويندوز تتمثل فيما يلي: الحدث الذي يصالمعلوم تش برنامج تشغيل الشبكة بنجاح. إلى إمكانية حدوث � الحدث الذي لا يكون مهماً بالضرورة، لكنه قد يش الإن مشكلة في المستقبل. على سبيل المثال، يتم تسجيل حدث إنذار عندما تبدأ مساحة القرص بالانخفاض. الحدث الذي يصف مشالخطأ: الحدث قد يشمل فقدان بيانات أو فقدان الوظيفة. على سبيل المثال، يتم تسجيل (حدث خطأ) عند فشل تحميل الخدمة وذلك عند بدء التشغيل. الحدث الذي يصف الانتهاء بنجاح من حدث أمني تدقيق النجاح (س تمت مراجعته. على س المستخدم بتسجيل الدخول إلى جهاز الحاسب الآلي. )1( » How to view and manage Event Logs, « http://support.microsoft.com/kb/308427

الفصل الثاني ع أمن المعلومات وإدارة مخاطر تقنية المعلومات 632 ): نافذة عرض 6 - 12 الشكل الحدث الذي يصف الانتهاء بفشل حدث أمني تمت تدقيق الفشل (سجل أمني): مراجعته. على س المستخدم من الوصول إلى برنامج تشغيل الشبكة. على مس ً يضا ويحتوي نظام ينكس أ وسوف نستخدم المستويات الأهمية في نظام ينكس في القسم التالي. وعند اختيار الجانب الأيسر من ). Overview and Summary page الموجز واللمحة العامة سجلات نظام ينكس: لقي الآن نظرة على سجل نظام ينكس. وفي الأقسام القادمة سنستخدم (لينكس) لكن ُ سن )، AIX ) و Solaris على الأنواع الأخرى من نظ ً يضا الفكرة نفس وتنطب ) أو ملف Solaris ) في نظام var/adm/messages الملفات التي سنتعامل معها هو ملف ). وهما الملف نفس Linux ) في نظام var/log/messages ( . ً ماكن مختلفة قليلا أ

تحليل الحوادث الأمنية 633 :)أداة سجل النظام يتضمن نظام ينكس عملية مصممة خصيصاً لتعامل الرسائل مع البرمجيات التي يمكنها التواصل مع أداة س لحفظ معلومات السجل في مكان محدد من ملف التهيئة ويتم استخدام أداة من جُزئين: 1 .الأداة وتحدد الخدمة المسؤولة عن انشاء رسالة الخطأ. وبعض الأدوات المتاحة هي )، وauth( ،)authpriv( ،)cron ( ،)daemon ( ،) kern ( ،)lpr( رسائل الس mail( local0 ( �داخلياً. وتُعرف هذه الأدوات ب 2 . )debug( ،)info ( ،)notice ( ،)warning ( ،)warn( :لي�ّا ي ماالأولوية وهي عبارة ع )، err( ،) crit ( ،) alert ( ،) emerg) (نف warning( ،) err( ،) error(نف و الأولوية مضافة مما يعني أنه عندما يتم إرس مثلاً، المحدد جميع الأولويات الأعلى. )، وwarn( ،)err( ،)critالأولوية ويتك يكون: •اسم ملف مثل •تمرير إلى خدمة •كتابة معلومات الس جميع المستخدمين.

الفصل الثاني ع 634 وهنا بعض الأمثلة info;mail.none;authpriv.none;cron.none /var/log/messages authpriv.* /var/log/secure mail.* /var/log/maillog cron.* /var/log/cron *.emerg * في الس أهمية من ذلك بغض النظر عن الأداة المستخدمة. لذا سيتم كتابة log/messages البريد مثل التي تحتوي على هذه الأدوات في ملف السجل الخاص بها. وأخيراً فإن جميع الرسائل ذات الأهمية المستخدمين الذين قاموا بتسجيل الدخول إلى الخادم. هن البدائ تحس نطاق هذا الكتاب. والهدف من التعرض لهذا الموضوع، سواء في نظام ويندوز أو نظام ينكس، كاً في عملية التحقيق هو توفير الخلفية اللازمة لفهم البحث عن الس ونظرت في دليل قام بإزالتها. بل قد يرجع ذلك لأن المسؤول وضع السجلات في مكان آخر. ملفات السجل الموحدة: عند التحقيق في حادث أمني فإن المُحلل س var/log/(

تحليل الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 635 ) وتحتوي معظم تطبيقات ينكس على ملف رسائل، syslog الرس عن ملف ً لا ) بد var/log/syslog لك الرسائل. ومع ذلك فإن المعلومات التي تخزنها تلك الملفات هي المعلومات نفسها الموجودة ). وتذهب جميع الرسائل المعلوماتية التي تستخدم خدمة var/log/messages في ملف ) إلى ه syslog ( يبح الاختراق. ومن الجدير بالذكر أنه يمكن القيام بالفحص الدقيق لملفات سجل نظام ينكس باستخدام ) حيث تم تفريغ 7 - 12 الأدوات التي تعرضنا لها لحد الآن. خذ على س هذا الجزء من ملف السجل إلى الشاشة باستخدام الأمر التالي: zcat syslog.?.gz| grep –v snort | grep –v AptDaemon | grep –v dbus | less ) syslog ): دليل من ملف سجل النظام 7 - 12 الشكل ً وهذا الأمر يوجه النظام بفك الضغط عن جميع محتويات الملفات في الدليل الحالي بدءا من مطابقة النمط أعلاه حيث تتس ) ومن ثم dbus )، أو AptDaemon )، أو snort يقوم الأمر بإزالة أي س

الفصل الثاني ع 636 ). والهدف من القيام بذلك هو تنظيفيقوم بعرض النتائج من خلال أمر الاس ملف الس بإخفاء رس عدد الأسطر من والس تريد أن تنظر في الأحداث الشاذة والغربية. انظر في الشكل الشكل تقريباً يظهر لك سطر السجل التالي: Jan 11 07:38:16 inigo kernel: [337129.385557] device eth0 left promiscuous mode جميع س ثم الوقت، واس بالتحديد يُبين أنه في الس الواجهة الس وه التق ثل ذلك مشكلة. لكن في بيئة مشتركة، مثل نقاط الوصول غير المحمية، فإن يمُمنفصلة قد لا حركة المرور من جميع الأجهزة المتصلة بنقطة الوصول ستكون واضحة لجهاز الحاسب الآلي في وضع سجل المصادقة: وينبغي أن يكون سجل المصادقة هو محطة التوقف الثانية لمُحلل الأمن. وهذا السجل موجود في ملف التش التخويل على النظام. ويوضح الشكل

تحليل الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 637 ) auth.log ): ملف 8 - 12 الشكل وتم استخراج هذا الملف من صندوق لينكس المكتبي والذي لا يحتوي على أي بيانات جاذبة ). crash and burn اق � ع ُ لقراصنة الحاس ويتم إعداد هذا الصندوق ثم تدميره ثم إعداده مرة أخرى وهكذا. والهدف منه هو اختبار أدوات التحليل الجنائي الجديدة. ساعات: 6 وبالنظر مرة أخرى إلى ملف السجل، تبين أنه في الليلة السابقة حدث ما يلي خلال • ) من ssh ) وذلك باستخدام aadriano ش ). 66.135.32.170 ( • ش ) 5.76.16.183 المرور، إلى حساب الجذر من ) في هذا الصندوق، لا يمكننا إلا الافتراض aadriano ستخدم باسم ُ م ولأنه لا يوجد هناك ب ). وعند القيام ببحث سريع على الش aadriano ما للمس ) وهو موقع مفتوح honeypot بروتوك ) على كلمات honeypot ، وذلك لجذب وتس ً عمدا ). admin ( ، ) aadriano123 ( ، ) aadriano س ُ المرور الفعلية الم ) حدثت في التاريخ نفس honeypot وجميع المحاولات المس فيه الحادثة الخاصة بهذا المثال.

الفصل الثاني ع 638 وفي الواق شركة اتصالات في روس أثر في أي مكان. وفي حين يوجد دليل واضح على أن الهجمة الأولى كانت هجمة آلية، فإن الهجمة الثانية ربما كانت هجمة استكش على النحو التالي: التحقق من إصابة أجهزة أخرى في المنظمة بنفس عنوان بروتوكول الإنترنت. فحص السجل كاملاً، دون تصفية، وذلك لنفس عنوان بروتوكول الإنترنت. فحص ملفات السجل الأخرى في نفس الجهاز. إجراءات العمل الموحدة لقراصنة الحاسب بمج والمنظم مختلفة لثلاث فِرق مختلفة تعمل في ثلاث مناطق مختلفة: والتي تتمثل في اللمسالاكتشتأتي أولاً مرحلة اكتشاف وتحليل نقاط الضعف المحتملة. مسح المنافذ، ومحاولات تسجيل الدخول المحدودة كما رأينا في هذا القس للبحث عن نقاط الضعف المحتملة في مرحلة الاستكشاف. . والهدف من مرحلة الاختراق هو اسالاختوبعد مرحلة الاكتش المعلومات المُكتش فريق مرحلة الاكتش النُظم الموجودة ف الفعل التواصل مع المجموعة الأولى من عناوين بروتوكول الإنترنت المش فإن المرحلة الثانية تس مرحلة الاختراق. . وفي هذه المرحلة قد يتم استخراج بعض البيانات من الأجهزة الاستغلالاً تأتي مرحلة وأخير المخترقة. وقد تُس خاملة أملاً في عدم اكتشافها والتوسع في عملية الاستغلال.

تحليل الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 639 وهو ليس مل ): wtmp مل var/ ) في نظام ينكس يقوم بق who الدخ ) ويعرض على الشاش log/wtmp ) يقوم بتس last وبالإضافة إلى ذلك فإن الأمر ). وإذا كن var/log/wtmp /( ) هو أسهل الأوامر للتشغيل والحصول على النتيجة. والافتراض هنا بطبيعة الحال أن last ( في ) last على مخرجات الأمر ً مثالا ) 9 - 12 الس أحد أجهزة لينكس المكتبية. ويحتوي الش المرتبطة بتس ) في نهاية الأمر فهو يطلب من النظام عرض اس a الدخول فيها. أما مفتاح نهاية السطر. وإذا لم يتم استخدام هذا المفتاح، فإن عرض اسم المضيف سيكون في العمود . ً صعبا ً ا أمر ً قتطع منه حسب الحاجة، مما يجعل قراءة اسم المضيف كاملا ُ الثالث وي ) last ): مثال على مخرجات الأمر 9 - 12 الشكل ) بش wtmp ويتم تدوير ملف ، وهكذا. ويمكن الوصول إلى هذه الملفات القديمة 2 ، 1 � والمنتهية ب ) var/log ( في ) wtmp ( . ) a-f <filename> ( ) مع last باستخدام الأمر

الفصل الثاني ع 640 الصديق المفضل لمسؤول النظام بإمكانك معرفة الكثير عن أوامر ينكس وعن جميع المفاتيح والخيارات المتاحة باستخدام الأمر man( مكان وجود ملف السجل في النظام. كما أن صفحات الأمر التي قد تكون مفيدة. في حين أن ملفملف السابقة، فإن ملف أنظمة ينكس، يتم الاحتفاظ بملف نظام ينكس تحتفظ بالملف في دليل وبش محتويات هذا الملف باس ومن ثم عرض اسم المستخدم الذي قام بتسجيل الدخول، كما يقوم هذا الأمر بعرض بعض المعلومات عن مكان تسجيل الدخول. أمر مفيد آخر هو الأمر ع يقوم بتسجيل الدخول. ويقوم الأمر •منذ متى يعمل جهاز الحاسب الآلي بدءاً من آخر إعادة تشغيل. •ما المحطات الحقيقة أو المستعارة المستخدمة. •متى قام المستخدم بتسجيل الدخول. •هل المستخدم نشط أم لا؟ •معلومات الحِمل. •الأوامر التي تعمل بواسطة المستخدم.