أمن المعلومات وإدارة مخاطر تقنية المعلومات

تحليل الحوادث الأمنية أمن المعلومات وإدارة مخاطر تقنية المعلومات 657 ) Dropbox ): أمن المعلومات وإدارة المخاطر التقنية ليست مرعية من قبل شركة 18 - 12 الشكل نموذج حالة - اختراق الخادم الاحتياطي: في أحد الأيام تم اختراق أحد أجهزة الحاسب الآلي في قسم تقنية المعلومات في الجامعة. س ُ ي وكان ذلك الجهاز ش ُ وي الجهاز في طور إعادة البناء عندما تم اختراقه. ) المثبتة في الجهاز. والسبب MySQL ثغرة معروفة في نسخة قديمة لخادم قاعدة البيانات يحتوي على بيانات حساسة قام قراصنة الحاسب بنقله من ً هاما ً للقلق هو أن ملفا سي الرئي الجهاز قبل اكتش تش الخاص. ولا يعرف هذا المفتاح الخاص سوى شخصين داخل المنظمة. لأنه يوضح وتيرة الهجمات والحاجة للاس ً جدا والج السريعة من قبل تقنية المعلومات. وجميع الأحداث في الجدول التالي حدثت في يوم واحد. ً صباحا 8:00 الساعة ق )، 1.2.3.4 )، وعنوان بروتوكول الإنترن MySQL خ ) وموجود في مدينة تامبا http://www.example.com ( � كما أنه مس بولاية فلوريدا. ً صباحا 10:21 الساعة � ) ومس 2.3.4.5 قام جهاز حاس � ك ) في بلجيكا باختراق الجهاز المحلي بنجاح. B ig IS P (

الفصل الثاني ع 658 تم إنش الخفي لتشغيل برمجيات تشخيصية على الجهاز، كما تم نقل ملفات البيانات. تم رفع الأدوات التشخيصية إلى الخادم بواسطة قراصنة الحاسب.الساعة أول برنامج تش هذا البرنامج بتحديد قطع الأجهزة المادية على جهاز الحاسب الآلي بما في ذلك: سرعة وحدة المعالجة المركزية. مساحة القرص والذاكرة. قائمة بجميع التصحيحات المثبتة. قائمة بأحداث النظام المسجلة على الجهاز. قائمة مكتملة بجميع أجهزة الحاس له الجهاز المخترق. ثاني برنامج تش البرنامج بجمع معلومات جديدة بما في ذلك: معلومات عن قطع الأجهزة المادية. قائمة بالعمليات الحالية التي تعمل على الجهاز. قائمة بالخدمات. معلومات عن المستخدم الذي قام حالياً بتسجيل الدخول. الساعة معلومات حساس�المل datatodate.zip( والمفتاح الخاص اللازم لفك ش يُعتقد بأنه تم اختراقه. ت المسؤول المحلي. تم إعادة تشغيل الباب الخفي الخاص بنقل الملف من الخادم المخترق.الساعة تم إزالة الجهاز عن الشبكة بواسطة المسؤول المحلي.الساعة

تحليل الحوادث الأمنية 659 ) إلى أن قرصان الحاسب الذي اخترقويشير تثبيت خادم بروتوكول نقل الملفات الخادم كان ينوي جعل الخادم جزءاً من ش البرمجيات المقرصنة. وما يثير الدهشة هو أنه على الرغم من أن الهجمة لم تكن تستهدف الأجه الملف الذي يحتوي على المعلومات الحساسة. ومع ذلك فإن المعلومات الموجودة في الملف المسروق ما زالت في أمان بسبب التشفير. وتم استخلاص الدروس التالية وتطبيقها بعد تحليل هذا الحادث الأمني. قائمة التحكم في الوصول: قا على الشبكة حيث تتحكم القائمة بالسماح للأجهزة بالوصول للخدمات في الأجهزة المستهدفة الأخرى. تحديث خادم ويبدو أن هذا هو مصدر الثغرة التي س ث مس عليه التعامل مع تحديثات الأمان الضرورية على وجه السرعة. الخطوات الإضافية التي تم اتخاذها: •مراجعة كاملة وشاملة للعمليات والإعدادات لضمان بيئة آمنة. •ت المستخدم الوظيفي للنظام وذلك لضمان الإدخالات الضرورية. •تم إنش الكوارث.

الفصل الثاني ع 660 • الضرورية والموج�ت والاحتياطية. •ء إلى أحد الموردين فإنه شيلا يتم حفظ هذه الملفات على الخوادم، وإذا تم إرس يتم حذفه على الفور. أسئلة مراجعة للفصل: 1 .ما تحليل الحوادث الأمنية؟ وما هدف تحليل الحوادث الأمنية؟ 2 .ما تحليل السجل؟ وما هدف تحليل السجل؟ 3 .افت الموضحة في جانب 4 .ما الإدخال الأخير في جانب ملفات السجل التي تم عرضها مؤخراً؟ 5 . عنها عادة بواسطة أنظمة ويندوز؟غما المستويات المختلفة لأهمية السجل والتي يتم الإبلا 6 .ما فائدة معلومات أهمية الحدث في سجل ويندوز؟ 7 . ما المواقع الشائعة لملفات السجل في الأنظمة المعتمدة على نظام ينكس؟ 8 .ما خدمة سجل النظام 9 .ما محددات سجل النظام 10 .ما أجزاء محددات سجل النظام 11 .ما سجل المصادقة في نظام ينكس؟ وما فائدته؟ 12 .ما ملف 13 . )؟ وما فائدة المعلومات التي يحتويها هذا الملف؟ما ملف 14 .ما المعلومات التي يمكن الحصول عليها عادة من سجل خادم الشبكة؟ 15 .ما فوائد دمج السجلات؟

تحليل الحوادث الأمنية 661 16 .ما الاستجابة المباشرة للحوادث الأمنية؟ وما أهميتها؟ 17 . الأساسية للاستجابة المباشرة للحوادث الأمنية؟ ئما هي بعض المباد 18 .لماذا تُعد الأوقات الزمنية مهمة في تحليل الحوادث الأمنية؟ 19 .ما الأوقات الزمنية المرتبطة بالملفات 20 .ما الجدول الزمني للحادث الأمني؟ وما فائدته؟ 21 .ما قضايا تحليل الحوادث التي تُثيرها خدمات التخزين في الس Dropbox( الأس التدريس. وقد عرفت أن هذا الجهاز تم اختراقه منذ ثلاثة أيام. 22 .ما الأداة التي يمكنك استخدامها لعرض سجل أحداث الجهاز؟ 23 .ما الجانب الذي يحتوي على تاريخ إنشاء ملفات السجل؟ 24 .ما الافتراضات التي يمكنك أن تطرحها إذا كان وقت انشاء كل من سجل التطبيقات، وسجل النظام، والسجل الأمني في الساعة الرابعة صباحاً؟ 25 .ه الحاسب الوصول فيه إلى الجهاز؟ أسئلة على نموذج الحالة: 1 . بداية المس�ة الزمنية الفاصلة ب�ك معلومات البطاقات الائتمانية؟ 2 .ار المحتملة التي يمكن أن تحدثضربافتراض أن هذه الهجمة لم يلاحظها أحد، ما الأ في الجامعة؟ 3 .ما الطرق التي يمكن أن تساعد في الإسراع في الكشف عن الحادث؟

الفصل الثاني ع 662 نشاط التدريب العملي - تحليل سجل الخادم في هذا التدريب سنقوم بتحليل سجل الخادم من أحد خوادم الشبكة الإنتاجية. وسنبدأ هذا التدريب بإلقاء نظرة على نسق السجل التالي: [alice@sunshine ~]$ cd /opt/book/chptr_12 [alice@sunshine ~]$ h ead -1 apache_ server.log ونسق هذا الملف هو نسق عنوان بروتوكول الإنترنت للعميل (مثلاً، هوية العميل وفقاً لحقل اس HTTP( .)[0500-Jan/2013:10:14:02/16]وقت معالجة الطلب (مثلاً، طلب بروتوكول رمز الحالة لبروتوكول حجم البيانات المرسلة بالبايت (مثلاً، « « .)»)Mozilla/4.0 )compatible; MSIE 7.0; Windows NT 6.0من قبل العميل أهمية تلك شم البيانات كما س العاشر.

تحليل الحوادث الأمنية 663 ) للعميلعنوان بروتوكول الإنترنت العميل. ملاحظة: تىإذا كان هن هذه المعلومات مستخرجة من أحد خوادم الشبكة الإنتاجية، وتم تعديل عناوين بروتوكول الإنترنت لحماية خصوصية المستخدم. [alice@sunshine ~]$ head -4 apache_server. log | cut -d»« -f1 YX.224.59.134 YX.224.59.134 YYP .63.193.132 YAY.247.53.103 الوقت الزمني أهمي وقت تقديم الطلب إلى خادم الشبكة. [alice@sunshine ~]$ head -4 apache_server. log | cut -d» « -f4,5 [16/Jan/2013:10:13:55 -0500] [16/Jan/2013:10:13:55 -0500] [16/Jan/2013:10:13:56 -0500] [16/Jan/2013:10:13:58 -0500]

الفصل الثاني ع 664 :)طلب بروتوكول 1 .طلب بروتوكول 2 .الطريقة: يستخدم الأمر 3 .الموارد التي يتم طلبها (صفحة 4 .إصدار بروتوكول [alice@sunshine ~]$ head -4 apache_server. log | cut -d» « -f6,7,8 »GET /favicon.ico HTTP/1.1« »GET /favicon.ico HTTP/1.1« »GET / HTTP/1.1« »GET / HTTP/1.1« رمز الحالة لبروتوكول وهو الرمز الذي يرسله الخادم إلى العميل إذا أدى الطلب إلى استجابة ناجحة (الرموز تبدأ بالرقم بالرقم .)2تبدأ بالرقم [alice@sunshine ~]$ head -4 apache_server. log | cut -d» « -f9 404 404 200 200 )2( http://httpd.apache.org/docs/1.3/logs.html

تحليل الحوادث الأمنية 665 وكيل المستخدم سلس واص ). وعادة %متصف ما تستخدم سلس الذين يصلون إلى صفحة الشبكة من خلال الأجهزة المحمولة. [alice@sunshine ~]$ head -4 apache_server. log | cut -d‘»’ -f6 Mozilla/5.0 )Windows NT 6.1; WOW64; rv:21.0( Gecko/20130115 Firefox/21.0 Mozilla/5.0 )Windows NT 6.1; WOW64; rv:21.0( Gecko/20130115 Firefox/21.0 Mozilla/4.0 )compatible; MSIE 7.0; Windows NT 6.0( Mozilla/5.0 )Macintosh; U; Intel Mac OS X 10_6_8; en-us( AppleWebKit/533.21.1 )K HTML, like Gecko ( Version/5.0.5 Safari/533.21.1 )cut) كمحدد للأمر’ ’) بدلاً من المس’« ’لاحظ أننا اس حيث يحتوي وكيل المس وتنتهي بعلامة اقتباس مما يجعل علامة الاقتباس محدداً أكثر موثوقية.

الفصل الثاني ع 666 أسئلة جابة عن الأسلإل باس العملية في هذا الكتاب: 1 .كم عدد عناوين بروتوكول الإنترنت 2 .ما عنوان بروتوكول الإنترنت ناجحة؟ وكيف عرفت ذلك؟ 3 .ما وكيل المستخدم الأكثر شيوعاً؟ 4 .كم عدد وكلاء المس كلمة 5 . جه�لق YAY.247.114164( باستخدام هذا النظام 6 .اق خادم ويب آخ�ت wp-admin( �المس تتمك تتوقع قيام المهاجم بمسح خوادم ويب أخرى للعثور على ثغرات ابحث في س بروتوكول الإنترنت تمرين التفكير النقدي - الهدم في إدارة التنمية الاقتصادية: نسبة كبيرة من تحليل الحادث في إدارة التنمية الاقتصادية العامشخارجي. وفيما يلي جزء من تقرير مكتب المفت

تحليل الحوادث الأمنية 667 بعد أس إدارة التنمي إيجابية خاطئة - أي لا يوجد انتش إدارة التنمية الاقتصادية س سعى للتأكد من عدم اس للحادث الأمني لم يتمكن من تقديم الضمان الذي يسعى إليه مدير المعلومات، لأن تقديم ذل إثبات أنها لم تكن موجودة. وبحلول الس من مرور أشهر من البحث، لم يتمكن المتعهد الأمني في إدارة التنمية الاقتصادية من العثور أي برمجي�ع الاقتصادي ) لم يعثرا على أي أنشطة دولية أو أي U الحاسب الآلي الأمريئاستجابة طوار برمجيات ضارة دائمة. •ه الاقتصادية - ضمان عدم وجود البرمجيات الخبيثة في أنظمة المنظمة؟ •اعتماداً على هذا التقرير، ما رد فعل المتعهد الأمني على هذه النتائج؟ تصميم حالة: يلي ملخص لتحليل حادث أمني قم�في المعلومات المركزية. تم اختراق خادم 2013 قراصنة الحاسب الوصول إلى أجهزة أخرى في شبكة جامعة ولاية الشمس المشرقة باستخدام مجموعة من ستة بيانات اعتماد مختلفة. وتم استخدام أساليب التحقيق التالية لتحديد مدى الاختراق:

الفصل الثاني ع 668 • استخدام واسع لأدلة التحليل الجنائي بما في ذلك أداة لتحدي وتحديد الأبواب الخفية، ومسجل المفاتيح •تمت استعادة سجل أحداث ويندوز كما تم فحصه بالتفصيل. •تم كذلك فحص اتصالات الشبكة الواردة إلى خادم •DBتم الاهتمام بحركة المرور ال هذا الخادم يحتوي على بيانات شخصية مقيدة في الجامعة. اس في واجهة خادم الاعتماد المخترقة سابقاً. واتضح أن بيانات الاعتماد التي استخدمها قراصنة الحاسب للوصول إلى خادم تنتهي صلاحية كلمات المرور في الجامعة خلال الجدول الزمني: 2013/29/2 الأحد الساعة مؤشرات أولية للاختراق، تم استخراجها من سجل تدفق الشبكة. اتصال م Remote Desktop( والمملوك بولاية واشنطن. 2013/29/2 الأحد الساعة تم إعادة تش خف الملفات، أو قنوات تحكم آلية تسمح للمستخدم البعيد بالسيطرة على الأجهزة المحلية دون الحاجة لاس وتم اس التشغيل غير المجدولة.

تحليل الحوادث الأمنية 669 2013/29/2 الأحد الساعة حاول قراصنة الحاسب الاتصال بأجهزة أخرى في الجامعة، لكن محاولاتهم باءت بالفشل. 2013/29/2 الأحد الساعة قام قراصنة الحاس محاولات أخرى لتسجيل الدخول. أسئلة: 1 .متى تم اكتشاف الحادث الأمني؟ وكيف تم ذلك؟ 2 .ما المعلومات الهامة الناقصة؟ 3 .اعتماداً على ما تعرفه، ما الأمور التي س النهائية للحادث الأمني؟ اذكر التفاصيل قدر المستطاع. 4 .ما مقترحاتك لتطوير الوضع الحالي؟

670

671 الفصل الثالث عشر السياسات والمعايير والمبادئ التوجيهية نظرة عامة: في الفصول الس التي تعتمد أعمالها على شبكات البيانات. وجميع المنظمات، سواء كانت منظمة حكومية أو منظم الأص في الفصول الس النظام المدربون. كما ناقشنا فيما سبق الإجراءات الموصى بها للتفاعل مع الأحداث السلبية ومن ثم السيطرة على الأضرار والتقليل من تأثيرها في المنظمة. سنبتعد قليلاً عن العالم التقني وسنناقش الآليات الإدارية المتاحة للمحلل في هذا الفصل الأمني ومس في المنظم طويلاً جداً لإصلاح المشكلات الأمنية التي يفترض الآليات فإن مس ألا تحدث في المقام الأول مما يسبب تكاليف كبيرة على المنظمة. في نهاية هذا الفصل يجب أن تكون قادراً على: • فهم الفرق بين المتطلبات الأمنية ومتطلبات الامتثال. •التمييز بين السياسات والمعايير والإجراءات. •فهم دورة حياة السياسات. •تحديد مجموعة من السياسات التي تُعد ضرورية لأي منظمة.

الفصل الثالث ع 672 الأسس التوجيهية الآليات الإدارية المس والمعايير، والمبادئ التوجيهية. وتسمح هذه الآليات للمسؤول عن أمن المعلومات بالحصول على مصادقة المس وترجم خبرات تلك الآليات في التعامل مع الحوادث الأمنية إلى مس�تش تحت العليا للقيام بمراجعة ش المعلوم يضي الناتجة التغيير فإن الإدارة العليا ستسمح بذلك التغيير. ويتم نشر ممارسات أمن المعلومات على شكل سياسات، أما المعايير والمبادئ التوجيهية فإنها تنبثق من تلك السياسات. ويجب أن تكون السياس واضحة. ولتحقيق ذلك فإنه من الضروري فهم المبادئ الأساس سنُناقش بعضاً من تلك لدى المنظمة، واس المبادئ في الفقرات القليلة القادمة. أولاً وقب وموظفيها وعملائها ويكون ذلك التأثير على أساس يومي. أمن المعلومات ليس شيئاً تفعله مات اليوم وتتركه غداً وترجع له مرة أخرى الأس يجب أن تكون جزءاً لا يتجزأ من جميع أنشطة المنظمة. وبعد ذلك ينبغي إدراك مفهوم حل يتصف بأنه س وأن تلك المنتجات تحل جميع المش صحيحاً، فإننا لن نرى في وسائل الإعلام حالات متكررة لانتشار الفيروسات، وتسرب البيانات