أمن المعلومات وإدارة مخاطر تقنية المعلومات

تحليل الحوادث الأمنية 641 )10-12 الشكل ) مؤثرة جداً، لكنها تصبح قد لا تكون مخرجات الأمر مفيدة جداً في الأنظمة ذات المستخدمين المتعددين حيث يقوم مئات المستخدمين بتسجيل الدخول في نفس الوقت. دعنا نفترض أنه أثناء تنفيذ الأمر يشغل الأمر التالي: nmap 192.168.1.024/ > ~/.out/.output.pscan وحتى إذا كنت لا تعلم ما يقوم به الأمر يقوم بحفظ بيانات في ملف مخفي وفي دليل مخفي يجب أن يقرع أجراس التحذير. وعند مواصفات �) نجد أنه ماسالبحث على الإنترنت عن الأمر المُضيف إلى أن هذا المس لو لم يكن ذلك مخالفاً لسياس FROM( وضع الاستجابة للحوادث سجل خادم الشبكة: معظم الحوادث الأمنية التي حدثت في السنوات القليلة الماضية كانت تستهدف أحداثاً على ش مُلوث، أو هجمات حقن تعليمات الاستعلام البُنيوية هذه الأحداث نحتاج إلى عينة من سجل خادم الشبكة. والمربع التالي يوضح بعض الأس تطبيق Apache web server(

الفصل الثاني ع 642 xxx.2xx.89.16 - - [09/May/2012:11:41:37 -0400] »GET /login HTTP/1.1« 404 338 xxx.2xx.89.16 - - [09/May/2012:11:41:37 -0400] »GET /sws/data/sws_ data.js HTTP/1.1« 404 353 xxx.2xx.89.16 - - [09/May/2012:11:41:37 -0400] »GET /wcd/system.xml HTTP/1.1« 404 347 xxx.2xx.89.16 - - [09/May/2012:11:41:37 -0400] »GET /js/Device.js HTTP/1.1« 404 345 xxx.2xx.89.16 - - [09/May/2012:11:41:37 -0400] »GET /ptz.htm HTTP/1.1« 404 340 xxx.2xx.97.183 - - [09/May/2012:11:41:37 -0400] »GET / HTTP/1.1« 200 14257 xxx.2xx.97.183 - - [09/May/2012:11:41:37 -0400] »GET /authenticate/ login HTTP/1.1« 404 352 xxx.2xx.97.183 - - [09/May/2012:11:41:37 -0400] »GET /tmui/ HTTP/1.1« 404 339 xxx.2xx.97.183 - - [09/May/2012:11:41:37 -0400] »GET /admin/login.do HTTP/1.1« 404 348 xxx.2xx.97.183 - - [09/May/2012:11:41:37 -0400] »GET /dms2/Login.jsp HTTP/1.1« 404 348 xxx.2xx.97.183 - - [09/May/2012:11:41:37 -0400] »GET /login HTTP/1.1« 404 339 xxx.2xx.97.183 - - [09/May/2012:11:41:38 -0400] »GET /sws/data/sws_ data.js HTTP/1.1« 404 354 xxx.2xx.97.183 - - [09/May/2012:11:41:38 -0400] »GET /wcd/system.xml HTTP/1.1« 404 348 xxx.2xx.97.183 - - [09/May/2012:11:41:38 -0400] »GET /js/Device.js HTTP/1.1« 404 346 xxx.2xx.97.183 - - [09/May/2012:11:41:38 -0400] »GET /ptz.htm HTTP/1.1« 404 341 xxx.2xx.89.16 - - [09/May/2012:11:41:38 -0400] »GET /robots.txt HTTP/1.1« 404 343 xxx.2xx.89.16 - - [09/May/2012:11:41:38 -0400] »GET /CVS/Entries HTTP/1.1« 404 344 xxx.2xx.89.16 - - [09/May/2012:11:41:38 -0400] »GET / NonExistant1380414953/ HTTP/1.1« 404 355

تحليل الحوادث الأمنية 643 ) يقوم بنوع من البحث على خادم الشفي العينة أعلاه يبدو أن المُضيف ويبدو أن كل س الإنترن أن مل الإنترنت. وبالإضافة إلى هذه النتائج، يبدو أن المُضيف وال التحقيق اتضح أن مُضيف سجل بروتوكول بروتوك بهدف جمع معلومات حركة مرور الشبكة المتعلقة ببروتوكول الإنترنت اً لهذا النوع من السجلات حيث أصبح البروتوكول البروتوكول خلال الس مدعوماً من قبل موردي الأجهزة الشبكية الأخرى. وفيما يلي نعرض عينة من المعلومات المتوفرة من بروتوكول Date Time Source Port Destination Port Packets 201166.2 00:11:19.285 01-12-xx.71.155 34340 1xx.2xx.222.243 443 TCP 1 60 201161.1 00:11:46.659 01-12-xx.172.2 35590 1xx.2xx.222.243 80 TCP 1 48 201171 00:18:58.992 01-12-.xx.61.163 55194 1xx.2xx.222.243 80 TCP 3 152 201166.2 00:18:59.594 01-12-xx.71.155 36614 1xx.2xx.222.243 443 TCP 3 180

الفصل الثاني ع 644 ) مفتاح المقدرة على تكوين علاقات بين الأنشويُعد س في الأجه Netflow( الخدمة قيد التشغيل على بروتوكول الإنترنت الحزم يُعد مؤشراً جيداً لكمية المعلومات التي يتم تبادلها خلال هذا التواصل. ومن المربع أعلاه يمكننا معرفة بعض الأمور: •80ل منفذ رقم�) على خادم ويب من خر يكون رقم المنفذ هذا لخادم ويب غير آمن •يعمل نفس بروتوكول الإنترنت على خادم ويب آمن الخاص به رقم •كمي وكمية التواصل غير الطبيعية قد تشير إلى علامات استفهام حول المحتوى (مثل المواد الإباحية، أو الموسيقا، أو الأفلام) الذي يُوزع بشكل غير قانوني. •بما أنه يوجد خادم ويب قيد التش للمضيف ذلك من خلال افتراض تزامن ساعة بروتوكول وكما ترى فإنه يمكننا الحصول على قدر جيد من المعلومات من أربعة أس بروتوكول السجلات الأخرى: اعتماداً على التطبيقات التي تعمل في نظامك، قد يكون لديك أكثر من س أثناء العمل على تحليل الحادث. وفيما يلي بعض الرس تطبي System م البُنيوية الاستعلا

تحليل الحوادث الأمنية 645 [07-Dec-2012 02:40:49] WordPress database error You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ‘WHERE id = —1\ ‘’ at line 1 for quer y SELECT text, author_id, date FROM WHERE id = —1 \’ [07-Dec-2012 02:40:50] WordPress database error You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near ‘WHERE id = 999999.9 U NION ALL SELECT 0x31303235343830303536--’ at line 1 for query SELECT text, author_id, date FROM WHERE id = 999999.9 U NION ALL SELECT 0x31303235343830303536-- التهيئة العامة للسجل والمحافظة عليه تأتي أنظمة التشغيل والتطبيقات البرمجية من المطور بإعدادات افتراضية لالتقاط السجل وهذه الإعدادات الافتراضية لا تتناس الكتاب، فإن موظفي تقنية المعلومات يريدون اس يريده المستخدم قد لا يرغب فيه المحلل الأمني. على سبيل المثال، قد لا يهتم المستخدم على الإطلاق بس ه إنجازها عند التعامل مع تهيئة وحفظ الس الس على س Auditor Numbers السجل لعدد معين من الأيام؟ وما المعلومات التي ينبغي للمنظمة المحافظة عليها؟

الفصل الثاني ع 646 كل ما سبق من أسئلة لها علاقة بالامتثال، وأسئلة الامتثال ليست بالضرورة نفس الأسئلة الأمنية. الآن س ما الذي يجب أن أحتفظ به؟ مع إبقاء أعيننا على الجانب الأمني. الشكل إدخالات س . لنظام التشغيل ويندوز ناقشنا سابقاً حقيقة أن السجل الأمني هو أسرع السجلات في الامتلاء والتدوير. والسبب في ذلك هو تس الخيارات التالية: وهذا يعطينا بعض الوقت الإضافي والذي زيادة الحد الأقصى لحجم ملف الس ح بعدد ملائم من الأيام للاحتفاظ بالسجل في أجهزة الحاسب �قد يكون كافياً للس الش المنظمات. فيمكن أن يقوم مس حاسب آلي مختلفة اعتماداً على نمط الاستخدام. وقد يبدو هذا الخيار مقبولاً، على الأقل عدم تس في البداي كافة التسجيلات الناجحة من السجل، فإنك لن تعرف عدد المرات التي قام قراصنة الحاس ولمثال عملي عن ذل!صباحاً في الس التالية.

تحليل الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 647 ): قصاصة من السجل الأمني 11 - 12 الشكل �� ثم و تدوي وأكثر ً ا س دارة، كما يس لإ ل قابلية والنقطة الس في الاحتفاظ بالنسخ الخمس الأخيرة من ملفات السجل بحيث يكون حجم كل ملف ميجا بايت. ماذا عن بقية 100 ميقا بايت، فإن حجم السجل الأمني سيصل إ 20 ملفات السجل الأخرى؟ ولذلك فإن استخدام مساحة القرص سيكون في ازدياد ، بحيث ً ممكنا إلى جهاز آخر، إذا كان ذلك ً الخيار الأفضل هو نقل ملفات السجل بعيدا للحفاظ على معلومات الس ً مخصصا يك . وهذه الأحداث التي يتم تصديرها س 8 في نظام التش ). Forwarded Events المرسلة

الفصل الثاني ع 648 وتُعرف عملية تصدير الس السجلات بعملية دمج السجلات. ومن وجهة نظر أمنية ومن وجهة نظر الامتثال أيضاً، يعد تصدير السجلات الخيار الأفضل وذلك لعدة أسباب. بالنسبة للمبتدئين، يسمح هذا الخيار بالربط المُبس م فإن مثلاً، في حالة دمج السجلات يقوم المحلل الأمني بالنظر في ملفات الوصول بحثاً عن جميع مح وه النظام قد تتحول إلى ملايين من الدولارات (الشكل 12-12 الشكل والخط الحاس لطم اً على الحصول على النسخة الأصلية حدوثها وفي الوقت الفعلي فإن محلل الأمن سيكون قادر من السجلات حتى في حال تلف السجلات المحلية.

تحليل الحوادث الأمنية 649 ويحمي تصدير الس النظام حيث يس طريق تعديل معلومات الس لحفظ الس ح فقط لموظفي الأمن بالوصول له�والممارس صلاحية (القراءة فقط) للمسؤولين الآخرين حسب الحاجة. الاستجابة المباشرة للحوادث الأمنية: القاعدة الأولى للأدلة الجنائية هي اس النظام إذا كان ذلك ممكناً. وفي بعض الأحيان، وتبعاً للضرر الناتج، يقوم المس القابس من الجهاز أو فصل الجهاز من الشبكة، وبعد ذلك يقوم بطرح الأسئلة. لك المحققين بالكثير من البيانات. وتتضمن الاستجابة المباشرة للحوادث الأمنية بيانات مستقرة حِفظ دائمة مثل وبيانات غير مس تُفقد عند إعادة تش الأق النظام مثل العمليات الجارية، ومحتوى الذاكرة المتنقلة، واتصالات بروتوكول التحكم بالنقل )، وغيرها. وعند الانتهاء من جمع UTCP( تلك البيانات فإنه يتم نقلها من الجهاز من خلال أي وسيلة ممكنة. ومن التطبيقات الشائعة المستخدمة في نقل تلك البيانات إلى محطة أخرى (والتي تعرف عادة بمحطة التحليل الجنائي) تطبي بين جهاز الحاس بالنق سلامة البينات، أما تطبيق وأحد الأوامر الهامة هو أمر systeminfo(

الفصل الثاني ع أمن المعلومات وإدارة مخاطر تقنية المعلومات 650 أن هذا الأمر هو من الأوامر الأولى التي يقوم قراصنة الحاسب بتشغيلها في الجهاز المخترق وذلك لمعرفة مدى قوة الجهاز ومقدار المس التي تم تطبيقها على النظام. قراصنة الحاسب والتصحيحات ليس من المس قراصنة الحاس إلى الجهاز نفسه. وبش قراءة المخرجات وتقييمها من نظام آخر بس مخرجات هذه الأدوات موجودة في حزمة واحدة وذلك عند التحقيق في حالة جهاز مخترق. ) systeminfo ): مخرجات الأمر 13 - 12 الشكل استعادة الملفات: يقوم قراصنة الحاس ذلك أدوات تش ً متضمن الت

تحليل الحوادث الأمنية 651 ناقش عملي استعادة الملفات أمراً مفيداً خاصة في حالات التحقيق مع الأفراد، وحالات الاحتيال، وحالات الاستخدام غير النظامي لموارد المنظمة. وهن المس تطوراً يدرك أنه يجب �الملف من النظام بش « يُدرك أنه حتى عند الأخذ بهاتين الخطوتين لا يزال هناك إمكانية لاستعادة البيانات المرتبطة بهذا الملف. وهنا تبس المعلومات التي �فإن « �تح metadata( س ويضتمُ م للاستخدام ومن أجل تجنب فقدان البيانات يتم نسخ مؤشر العنوان في مواقع متعددة على النظام. ف وضع عليها علامة أنها متاحة، فإنه يمكن استرداد الملف بأكمله. وهناك طريقة أخرى لإعادة بناء الملف تُس على محتويات كل جزء من أجزاء الملف وليس اعتماداً على واصفات البيانات ويوضح الش ويندوز وذلك عند تحميل نظام التشغيل.

الفصل الثاني ع 652 اعتماداً على المحادثة الحالية، كيف يمكن محو الملف بش الكتابة على أجزاء البيانات بمحتويات عشوائية حيث تزيل هذه الطريقة المعلومات الحقيقية من جميع أجزاء البيانات مما يجعل استعادة الملفات غير ممكنة سواء باستخدام طريقة نحت الملفات أو غيرها. وللأسف فإن قراصنة الحاسب على علم بهذه المعلومة أيضاً. 14-12 الشكل ):الأوقات الزمنية المرتبطة بالملفات ناقشنا فيما سبق الأوقات الزمنية للأحداث التي وجدناها في جميع أنواع ملفات السجل. والآن سنتحدث عن الأوقات الزمنية المرتبطة بملفات البيانات. تحتوي جميع الملفات، س �ثلاث MAC times( • وقت التعديل: ويشير إلى الوقت الذي تم فيه آخر تعديل على الملف •وقت الوصول: ويشير إلى الوقت الذي تم فيه آخر وصول أو قراءة للملف. •وقت الإنشاء: ويشير إلى الوقت الذي تم فيه إنشاء الملف.

تحليل الحوادث الأمنية 653 ووقت الوصول عادة ليس محل ثقة كبيرة لأنه يتغير غالباً. فماس س الفيروس الصلبة، وذلك لتحسين الأداء عن طريق إزالة المساحات الفارغة بين البيانات. وكلا النشاطين السابقين يؤثر في وقت الوصول لملفات النظام. ويمكن تعطيل متابعة وقت الوصل بواسطة مسؤول النظام بهدف تحسين أداء نظام الملفات. من جهة أخرى يتس س بواسطة قراصنة الحاسب. تمُهذين الوقتين يمكن تغييرها برمجياً إلا أنها لا يمكن أن دعنا نفترض أنه أثناء فحص سجل برتوكول خدمة الوقت الزمني المرتبط بهذا الاتصال. كما يشير سجل برتوكول الحزم التي يتم نقلها إلى الخادم، ويُلاحظ أن بعض الأحمال الحاسوبية انخفضت من النظام. لكن س نع لاً عن أدل ذل مقارب للوقت الذي عثرنا عليه في سجل بروتوكول ويوضح الشكل ببس أيض وعرض العمود المناس سريع بحاجة لفحص القرص بالكامل فإنه من الأسهل استخدام أداة لفحص الأدلة بطريقة متكررة مثل أداة

الفصل الثاني ع أمن المعلومات وإدارة مخاطر تقنية المعلومات 654 الجداول الزمنية بمج من عملية التحليل. ويعد وضع الجداول ً ساس أ ً الأمني. وتش الزمنية في أجهزة متعددة وربط تلك الجداول ببعضها البعض وربطها كذلك بسجل الشبكة من عمل الأدلة الجنائية. ً ا كبير ً جزءا من ً ءا ) عينة لجدول زمني لخادم من خمسة خوادم كانت جز 17 - 12 ويوضح الش صفحة، ويوضح التقرير 15 . وكان التقرير الناتج يتكون من 2006 حادث أمني وقع في عام في الخوادم الأخرى. والمس ً يضا أن الأنش ً كاملا الذي بدأ في كينيا تم اكتشافه في خادم (أ) والعكس صحيح. وتم بناء الجدول الزمني على فحص ملفات السجل المتنوعة في الخوادم الخمسة الأخرى. ً اعتمادا ) MAC times ): الأوقات الزمنية المرتبطة بالملفات 15 - 12 الشكل

تحليل الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 655 ): مستكشف الملفات بالأوقات الزمنية 16 - 12 الشكل ): عينة لجدول زمني 17 - 12 الشكل موضوعات ذات علاقة بأدلة التحليل الجنائي: يعد موضوع أدلة التحليل الجنائي لتقنية المعلومات موضوع واسع للغاية ويحتاج فصل دراسي كامل لمناقشته، والمهارة تأتي فقط عن طريق الخبرة في هذا المجال. فالتدريب يجب من ً بدءا لأن الأجهزة المحوس ً أن يكون مس لمنظمات الحرارة الذكية. والكثير من الأجهزة الإلكترونية المعقدة ً لا الهوات في العالم الذي نعيشه. ً مهما ً ءا أصبحت

الفصل الثاني ع 656 ويجدر بنا أن نذكر بعض التطورات الجديدة لأنها تجلب تحديات رئيسية لأدلة التحليل الجنائي. وأحد تلك التطورات هو التخزين في الس تطبيق أدلة التحليل الجنائي بش Dropbox( Dropbox أن الملف�ك Dropbox( �حذفها من البوابة الإلكترونية ل الش الوصول؟ وهل يتطلب ذلك مذكرة من المحكمة؟ الهواتف الذكية والأجهزة اللوحية الش ) وهو اسBموضوع (أحضر جهازك الخاص العم أدلة التحليل الجنائي بحيث تس الذكي نفس الوصول إلى النسخ الاحتياطية الموجودة. ومن ثم فإن التحقيقات الداخلية تكون في مأزق لأن الوصول إلى أحد هذه الخيارات يتطلب تعاون الموظف (والذي لا يتوافر في الغالب) أو مذكرة من المحكمة. وبش مواكب جه دائماً نوع من التأخر مما يس أن تتطور وتتكيف مع الوضع الجديد. وس إيجاد البدائل والاجاب� المحققين أن يكونوا قادرين ع�ع الوضع ذلك.