صفحة ٣٤
انظر إلى أعلى الصفحة حيث يبدأ درس تهديدات الأمن السيبراني وضوابطه. عندما نتحدث عن تهديدات البيانات فإننا نقصد المشكلات التي تواجه المعلومات الرقمية. الجدول يوضح ثلاثة مخاوف رئيسية: خروقات البيانات وهي الوصول غير المصرح به للمعلومات، والاحتفاظ بالبيانات وهي المدة والطرقة التي تخزن بها البيانات، وسيادة البيانات وهي الآثار القانونية لتخزين البيانات في بلدان مختلفة. بعد ذلك لدينا انحلال الشخصية أو انتحال الشخصية، وفيه يسرق المهاجم المعلومات لشراء أغراض بطريقة احتيالية. من أمثلة انتحال الشخصية لدينا انتحال الهوية حيث يتنكر المهاجم كمستخدم شرعي، وهجوم التصيد المستهدف الذي يتوجه إلى أفراد أو مؤسسات برسائل تبدو رسمية للحصول على معلومات حساسة. أخيراً التتبع الإلكتروني الذي يشمل مراقبة الأنشطة المختلفة عبر الإنترنت مثل تتبع السلوك وملفات تعريف الارتباط التي تتيح تتبع نشاط التصفح لغرض الإعلانات المستهدفة دون موافقة.
صفحة ٣٥
ننتقل الآن إلى ركيزة أساسية في حماية المنظومة الرقمية وهي الأمن السيبراني والتحكم بالوصول. الهدف هنا منع الوصول غير المصرح به للبيانات والتغيير غير المشروع لها. يعتمد التحكم على نماذج مختلفة مثل نموذج التحكم بناء على الدور ونموذج التحكم بناء على السمات. في التحكم بناء على الدور يتم تحديد وصول المستخدمين بناء على أدوارهم داخل المؤسسة، فمثلاً يمكن لمطور في شركة البرمجيات كتابة التعليمات البرمجية وتغييرها، ولكن لا يمكنه تعديلها كمختبر ضمان الجودة. أما في التحكم بناء على السمات فالأمر يعتمد على سمات مرتبطة بالمستخدم والموارد مثل الموقع أو الوقت أو القسم، فمثلاً يمكن الوصول إلى مستند حساس في شركة ما إذا كان الموظف ينتمي إلى نفس القسم في أوقات العمل الرسمية. وقبل منح أي صلاحية يأتي التعريف، وهو التحقق من هوية المستخدم أو الجهاز مسبقاً قبل منح الوصول للموارد في النظام.
صفحة ٣٦
بعد التعريف يأتي دور المصادقة وهي عملية التحقق من هوية مستخدم أو جهاز أو نظام يحاول الوصول إلى الموارد لضمان وصول المستخدمين الموثوقين فقط. بمجرد المصادقة يأتي التفويض الذي يحدد مستوى الوصول الذي يجب منحه بناء على السياسات المحددة مسبقاً، مما يضمن أن المستخدمين المناسبين هم فقط من يمكنهم الوصول للموارد وتنفيذ الإجراءات المسموح بها. ولضمان العدالة والمساءلة لدينا عدم الإنكار، وهو جانب مهم يضمن عدم تمكن المستخدمين من إنكار صحة أفعالهم أو معاملاتهم داخل النظام، لا سيما في الخدمات المالية والصحية. ومن المبادئ الهامة أيضاً مبدأ الحد الأدنى من الصلاحيات والامتيازات الذي ينص على منح المستخدمين أدنى مستوى من الوصول اللازم لأداء أدوارهم الوظيفية فقط لتقليل الضرر الناجم عن الاختراق. كما أن مبدأ الحاجة إلى المعرفة يقتصر الوصول على أولئك الذين لديهم حاجة تشغيلية لمعرفة المعلومات. ولتعزيز الحماية يطبق مبدأ تعدد الطبقات من خلال إضافة أشكال مختلفة من الأمن، ومبدأ التنووع لتنفيذ مجموعة متنوعة من آليات الأمن، ومبدأ التعتيم الذي يعتمد على توفير معلومات محدودة للغاية للبيانات الحساسة لجعل الوصول إليها أمراً صعباً للمهاجمين.
صفحة ٣٧
لكي تضمن المؤسسات فعالية التحكم بالوصول، لابد من وجود آليات للتدقيق والمراقبة لتتبع أنشطة المستخدم ومحاولات الوصول واكتشاف الأنشطة المشبوهة. انظر إلى الشكل الذي يوضح ميزات التحكم في إدارة الهوية والوصول، والتي تتكون من عدة عناصر أساسية. أولاً المصادقة المتعددة العوامل التي تساعد في الحماية من انتحال الشخصية، حيث تتم بطرق تحقق متعددة مثل تعيين اسم مستخدم وكلمة مرور للموظف الجديد بمجرد انضمامه إلى المؤسسة، والتأكد من هويته بشكل شخصي. ثانياً التفويض وهو عملية السماح للمؤسسات بإدارة الوصول إلى الموارد استناداً إلى التحكم بناء على الدور. ثالثاً إدارة الهوية التي تشمل إدارة هويات المستخدمين عبر العديد من الأنظمة الأساسية والتطبيقات، وأتمتة عملية تعيين حسابات المستخدمين وإلغاء تعيينها.
صفحة ٣٨
نكمل استعراض ميزات أدوات التحكم بالوصول للأمن السيبراني، ولدينا هنا تسجيل الدخول الموحد الذي يسمح للمستخدم بالوصول إلى تطبيقات وموارد متعددة باستخدام مجموعة واحدة من بيانات الاعتماد مما يقلل مخاطر الأمن المتعلقة بكلمات المرور. ثم خدمات الدليل التي توفر إدارة مركزية لهويات المستخدمين والوصول إلى الموارد. بعدها التدقيق والإبلاغ لتتبع نشاط المستخدم واكتشاف النشاط المشبوه وتلبية متطلبات الامتثال. وأخيراً إدارة الوصول للصلاحيات لتأمين وصول للصلاحيات للأنظمة والبيانات الحساسة وإدارتها ومراقبتها. انظر إلى الشكل الذي يوضح مثالاً على الدليل النشط، حيث يسمح للمسؤولين بإنشاء حسابات المستخدمين والمجموعات وأجهزة الحاسب وإدارتها، والتحكم بالوصول إلى الموارد استناداً إلى التحكم بناء على الدور. ويتم تنظيم الدليل النشط في بنية هرمية تشمل المجال وهو مجموعة منطقية من موارد الشبكة، والشجرة وهي مجموعة مجالات تشترك في مساحة اسم متجاورة، والغابة وهي شجرة ذات مخطط مشترك.
صفحة ٣٩
الجدول الذي أمامك يوضح الميزات والمشكلات المحتملة لأنظمة التحكم في إدارة الهوية والوصول. من مميزاتها توفير تحكم مركزي في هويات المستخدمين والوصول إلى الموارد وفرض سياسات أمن سيبراني مختلفة ومصادقة متعددة العوامل، ولكن من مشكلاتها المحتملة أن تكون معقدة التنفيذ والصيانة وتتطلب معرفة وموارد متخصصة. كما أن أتمتة تعيين حسابات المستخدمين قد تتطلب تكاملاً مع الأنظمة والتطبيقات الحالية وقد يستغرق وقتاً طويلاً. بالإضافة إلى ذلك، فإن قدرة أنظمة إدارة الهوية والوصول على توفير إمكانات تدقيق وإبلاغ مفصلة تساهم في اكتشاف النشاط المشبوه لتلبية متطلبات الامتثال. ولأن المهاجمين يحاولون دوماً اختراق هذه الأنظمة، فهناك طرق عدة مثل الهندسة الاجتماعية من خلال التصيد الإلكتروني لخداع المستخدمين، وهجوم القوة المفرطة باستخدام الأدوات الآلية لتجربة مجموعات مختلفة من أسماء المستخدمين وكلمات المرور لتخمين بيانات اعتماد تسجيل الدخول الصحيحة. كما يوجد رفع مستوى الصلاحيات من خلال استغل الثغرات الأمنية في نظام إدارة الهوية والوصول أو في الأنظمة الأخرى للحصول على إمكانيات وصول عالية.
صفحة ٤٠
من الهجمات الخطيرة أيضاً هجمات الوسيط حيث يمكن للمهاجم اعتراض اتصالات الشبكة واستخدامها لاعتراض أو سرقة المعلومات الحساسة مثل بيانات اعتماد تسجيل الدخول. وهجمات حجب الخدمة الموزع للتغلب على نظام إدارة الهوية والوصول وتعطيل عملياته مما يجعله غير قادر على معالجة الطلبات ومصادقة بيانات المستخدمين. بعد ذلك يأتي مفهوم تسجيل الدخول الموحد كمثال تطبيقي، وهو طريقة مصادقة تتيح للمستخدمين الوصول إلى تطبيقات وموارد متعددة بمجموعة واحدة من البيانات بدلاً من الحاجة إلى تذكر معلومات تسجيل دخول منفصلة لكل تطبيق وإدخالها، وتعد بوابة نفاذ السعودية مثالاً على التحكم بتسجيل الدخول الموحد. انظر إلى الشكل الذي يوضح وصول المستخدم إلى تطبيقات متعددة عبر تسجيل الدخول الموحد ومجموعة الحسابات المرتبطة به. والجدول أدناه يوضح الميزات والمشكلات المتعلقة بمصادقة تسجيل الدخول الموحد، فمن مميزاتها تسهيل وصول المستخدمين إلى الموارد المطلوبة باستخدام مصادقة مركزية، ومن مشكلاتها أن يكون تسجيل الدخول معقداً من حيث التنفيذ والصيانة ويتطلب معرفة وموارد متخصصة وإذا أصبح الخادم غير متاخ لم يعد المستخدمون قادرين على الوصول إلى الموارد الضرورية.
صفحة ٤١
ننتقل الآن إلى تقييم وتحديد الثغرات الأمنية للأنظمة، وهناك العديد من استراتيجيات الأمن السيبراني لتقييم وتحديد الثغرات الأمنية ونقاط ضعف أنظمة المعلومات، وأبرزها تقييم الثغرات الأمنية واختبار الاختراق. وهما من الممارسات الأساسية للأمن السيبراني لتحديد الثغرات قبل تمكن الجهات الخبيثة من استغلالها. تقييم الثغرات الأمنية يعمل على تحديد الثغرات الأمنية بشكل منهجي وتحليلها وتحديد أولوياتها في أنظمة المؤسسة أو شبكاتها. ويشمل تقييم الثغرات عدة جوانب: أولاً المسح، ويتم من خلال فحص الثغرات الأمنية في الأنظمة والتطبيقات بحثاً عن نقاط الضعف المعروفة أو الإعدادات الخاطئة باستخدام أدوات آلية أو تقنيات يدورية. ثانياً الإبلاغ، حيث يتم إنشاء تقرير مفصل يسرد نقاط الضعف التي تم تحديدها ومدى خطورتها وتأثيرها المحتمل على المؤسسة. ثالثاً تحديد الأولويات، ويتم تصنيف الثغرات الأمنية بناء على خطورتها وتأثيرها المحتمل لمساعدة المؤسسات على تحديد أولويات تصحيحها. رابعاً التصحيح، حيث تستخدم المؤسسات النتائج المستخلصة لمعالجة الثغرات الأمنية المحددة وإصلاحها غالباً من خلال التصحيح أو تغيير الإعدادات أو تحسينات الأمن الأخرى. أما اختبار الاختراق فهو تقييم أكثر عمقاً واستهدافاً للوضع الأمني للمؤسسة حيث يتضمن محاكاة لهجمات حقيقية لاختبار فعالية الضوابط الأمنية وتحديد الثغرات الأمنية التي يمكن استغلالها بالنظام، ويبدأ بالتخطيط والنطاق ثم الاستطلاع.
صفحة ٤٢
نتابع خطوات اختبار الاختراق وتحديداً الاستغلال، حيث يحاول المختبر استغل الثغرات الأمنية التي تم تحديدها ومحاكاة تصرفات هجوم حقيقي للوصول غير المصرح به أو الحصول على الامتيازات أو اختراق البيانات الحساسة. وبعد الانتهاء يتم إنشاء تقرير مفصل يحدد الثغرات الأمنية التي تم اكتشافها والاستغلالات الناجحة وتوصيات المعالجة. بعد ذلك ننتقل إلى موضوع الأمن السيبراني والقرصنة الأخلاقية، حيث يُطلق لقب القراصنة الأخلاقيين أو القراصنة ذوي القبعات البيضاء على القراصنة الذين يستخدمون التقنيات والأدوات لتحديد الثغرات الأمنية ونقاط ضعف أنظمة المؤسسة. يتمثل الاختلاف الأساسي بين القرصنة الأخلاقية والقرصنة الخبيثة في الإجراءات المستخدمة والأذونات الممنوحة من المؤسسة المستهدفة، حيث يعمل القراصنة الأخلاقيون ضمن الحدود القانونية والأخلاقية لمساعدة المؤسسات على تحسين وضعها الأمني، بينما يهدف القراصنة الخبثاء إلى استغلال الثغرات الأمنية لأغراض خبيثة أو لتحقيق مكاسب شخصية. ومن المهم مناقشة القرصنة الأخلاقية بموضوعية لأن إساءة فهم المصطلح أو إساءة استخدامه تؤدي إلى خلط بينها وبين الممارسات غير القانونية، وتركز النقاط التالية على الجوانب الحاسمة للحفاظ على التوازن والموضوعية: الإذن والتفويض، والامتثال القانوني والتنظيمي، والاحترافية والمسؤولية، والإفصاح والمعالجة، والتعليم والشهادات.
صفحة ٤٣
انظر إلى الجدول رقم واحد وخمسة الذي يوضح الأنشطة الرئيسية التي يؤديها متخصصو الأمن السيبراني والوصف الخاص بكل نشاط. أولاً اختبار الاختراق لتنفيذ اختبارات للاختراق لمحاكاة الهجمات على أنظمة المؤسسة أو شبكاتها أو تطبيقاتها لمساعدتها في تحديد الثغرات الأمنية القابلة للاستلاستغلال وتقييم فعالية الضوابط الأمنية الحالية. ثانياً تقييمات الثغرات الأمنية لإجراء تقييمات للثغرات الأمنية عن طريق فحص الأنظمة والتطبيقات بحثاً عن الثغرات الأمنية أو الإعدادات الخاطئة أو نقاط الضعف المعروفة، ثم تقديم تقرير مفصل عن النتائج التي تم التوصل إليها وترتيب أولوية الثغرات الأمنية حسب خطورتها من أجل علاجها. ثالثاً تدقيقات الأمن لإجراء عمليات تدقيق أمنية شاملة للبنية التحتية للمؤسسة وسياساتها وإجراءاتها لتقييم وضعها الأمن العام وتحديد مجالات التحسين والتطوير. رابعاً تقييمات الهندسة الاجتماعية لإجراء تقييمات الهندسة الاجتماعية لتقييم قابلية المؤسسة للتعرض للهجمات على العنصر البشري مثل التصيد الإلكتروني أو الخداع أو الاختراق الأمني، كما يمكن أيضاً تقديم التوصيات لتحسين الوعي والتدريب الأمني للموظفين.
صفحة ٤٤
هذه الصفحة مخصصة للتمارين والتدريبات. في السؤال الأول لديك عشر جبار ومطلوب منك تحديد ما إذا كانت الجملة صحيحة أم خاطئة بوضع علامة في المكان المناسب. انظر إلى الجمل بعناية، فمثلاً الجملة الأولى تتحدث عن هجمات التصيد المستهدف، والجملة الثانية عن تعريف ملفات تعريف الارتباط، والجملة الثالثة عن استخدام تتبع السلوك. اقرأ كل جملة وقارنها بما درسناه لتحدد إن كانت صحيحة أو خاطئة. في السؤال الثاني طُلب منك تحليل دور حماية البيانات في معالجة قضايا التهديدات التي تواجهها البيانات في العصر الرقمي، وما مخاوف حماية البيانات الرئيسية. استرجع ما قرأناه عن سيادة البيانات وخروقات البيانات والاحتفاظ بها لتدون إجابتك بشكل علمي دقيق على السطور المخصصة لذلك.
صفحة ٤٥
نتابع حل التريبات والأسئلة الخاصة بالدرس. في السؤال الثالث طُلب منك تقييم استخدام ملفات تعريف الارتباط في التتبع الإلكتروني، وكيف يمكنها تحسين تجربة المستخدم أو إثارة مخاوف بشأن الخصوصية. تذكر أن ملفات تعريف الارتباط تساعد في تتبع نشاط التصفح لتخصيص المحتوى والإعلانات المستهدفة، ولكنها في المقابل تثير مخاوف جمع البيانات دون موافقة. اكتب تحليلك بأسلوب متوازن على السطور المخصصة للإجابة. في السؤال الرابع طُلب منك تحليل أهمية عدم الإنكار في التحكم بالوصول والأمن السيبراني. تذكر أن عدم الإنكار يضمن عدم تمكن المستخدمين من إنكار صحة أفعالهم أو معاملاتهم داخل النظام، وهو أمر بالغ الأهمية في المعاملات المالية والصحية لتقديم أدلة دامغة في حال النزاعات، فقم بصياغة إجابتك مستعيناً بهذه الأفكار.
صفحة ٤٦
نستكمل الإجابة عن أسئلة التمارين. في السؤال الخامس طُلب منك تقييم مبدأ الحد الأدنى من الصلاحيات والامتيازات وتأثيره على التحكم بالوصول، وكيف يؤدي الالتزام بهذا المبدأ إلى تقليل المخاطر الأمنية داخل المؤسسة. فكر في كيف أن منح المستخدمين أدنى مستوى من الوصول اللازم لأداء أدوارهم فقط يمنع استغلال الحسابات ويحمي البيانات الحساسة عند اختراق أي حساب، واكتب إجابتك على السطور. في السؤال السادس طُلب منك وصف دور القرصنة الأخلاقية في الحفاظ على وضع قوي للأمن السيبراني، وكيف تساهم تلك القرصنة في الأمن العام للمؤسسة. تذكر أن القراصنة الأخلاقيين يحددون الثغرات قبل أن يستغلها المهاجمون الخبثاء، مما يساعد المؤسسات على تحسين أمنها، فقم بتلخيص هذا الدور بكلماتك.
صفحة ٤٧
نصل إلى الأسئلة الأخيرة في صفحة التمارين. في السؤال السابع طُلب منك توضيح دور الاحترافية والمسؤولية في القرصنة الأخلاقية. تذكر أن التزام القراصنة الأخلاقيين بقواعد السلوك الصارمة وإثبات الاحترافية يضمن عدم التسبب بأي ضرر للأنظمة التي يختبرونها، وهذا جزء أساسي من عملهم. اكتب توضيحك على السطور المخصصة. في السؤال الثامن طُلب منك تقييم دور القراصنة ذوي القبعات البيضاء في إجراء عمليات تدقيق الأمن وممارسات فريق الأمن الأحمر. تذكر أن المشاركة في أنشطة فريق الأمن الأحمر والتصرف كمهاجمين ضمن سيناريو محاكاة يختبر قدرة استجابة المؤسسة للحواث واستعداداتها الأمنية، فقم بصياغة إجابتك بوضوح.
صفحة ٤٨
هذه الصفحة مخصصة لمشروع الوحدة. تخيل أنك تعمل كموظف في شركة مالية كبيرة وتم تكليفك بإنشاء تحليل أمني شامل لمجلس إدارة الشركة. المطلوب منك يتكون من أربع خطوات رئيسية: أولاً تعريف البرمجيات الضارة والهجمات السيبرانية المتقدمة وعرض أمثلة عليها ثم شرح عواقبها على نظام معلومات الشركة. ثانياً تحديد عمليات تحديد المخاطر وتقييمها ثم وصف الاستراتيجيات المختلفة التي يمكن استخدامها لتقليل المخاطر المرتبطة بالبرمجيات الضارة والهجمات السيبرانية المتقدمة. ثالثاً التركيز على أهمية إدارة المخاطر المستمرة والمراقبة في مجال الأمن السيبراني وعرض دراسات حالة لمؤسسات تمكنت بشكل فعال من إدارة المخاطر التي تشكلها البرمجيات الضارة والهجمات السيبرانية المتقدمة. رابعاً إنشاء عرض تقديمي باستخدام برنامج باوربوينت من أجل تقديمه لمجلس إدارة الشركة بحيث يتضمن الملاحظات المذكورة أعلاه ويوضح ضرورة استراتيجيات الأمن السيبراني الفعالة وأهميتها في العصر الرقمي.
صفحة ٤٩
تعتبر هذه الصفحة ملخصاً لما تعلمته في هذا الدرس، حيث تستعرض النقاط الأساسية التي تم تناولها وتشمل: تعريف الأمن السيبراني، وتحديد المبادئ الأساسية للأمن السيبراني، وسرد المسارات الوظيفية الرئيسية في مجال الأمن السيبراني، واستعراض كيف أصبحت المملكة العربية السعودية دولة رائدة في مجال الأمن السيبراني، وتحليل الأنواع المختلفة من البرمجيات الضارة، وتحديد كيفية استخدام مرتكبي الجرائم السيبرانية للهجمات السيبرانية المتقدمة، والتمييز بين العمليات والأنشطة المختلفة لتحديد المخاطر وتقليلها وإدارتها، وتحديد مشكلات تهديد البيانات التي يتم تكليف أنظمة الأمن السيبراني بتأمينها، وتلخيص تقنيات التحكم بالوصول لتأمين أنظمة المعلومات، ووصف كيفية مساعدة القرصنة الأخلاقية في حماية المؤسسات والشركات. وفي أسفل الصفحة يوجد جدول المصطلحات الرئيسية الذي يضم أهم المفاهيم والمصطلحات الإنجليزية وما يقابلها بالعربية لتعزيز حصيلتك العلمية.
