كورس الهاكر الاخلاقي الجزء الاول

 إذا كنت تعرف المعاناة وتعرف نفسك - فلا حاجة لك للخوف من نتائة تبقى إذا عرفت نفسك لا تعاني، كل ذلك

"إذا

نصر تحرزه قابلية ھزيمة تلقاھا. إذا كنت لا تعرف نفسك أو المعاناة – ستنھزم في كل معركة"

في عصرنا الحالي انقلبت الموازين، أصبحت تبدو مثلا بعقولھم في ممتازة من 16 إلى 20 ثانية. في هذا

السن تجد كثیرون محترفون عالم الھاكرز، منھم الطیب ومنھم الخبیث، المخترقون أجناس. وقد تجد فيھم من یساعد الناس في استرجاع

بیاناتھم وبریدھم الالكتروني. ومنهم من قوم بسرقة الناس هو شخص طيب وھو في الأصل متلصص یرید أن يخترق عبثا، كثرت

عمليات اختراق كلمة المرور في العالم العربي. ولاحظنا اختراقات الكثیرة على المواقع العربيةی وبأیدي عربیة للأس ف. أصبح الهاكر وسيلة للتھدید

ووسيلة للانتقام أصبح وسيلة تختار من الأشخاص إما من أجل المال أو شيء یریده ولم یجده إلا عندنا، ھذه الثلاثة من اغلبنا

حدث بيننا يسيمون بالهاكر. لذلك فمن المھم للغاية أن يستمر في تصنيفات الائتمان لأن الھاكر یعمل على كسر الشبكة الخاصة بك والأنظمة الخاصة بك

تحتها من اجل إضافة عدد من العتاد والعتاد، لذلك من المھم فھم كيفيه اختراق المھاجمين الھاكرز للأنظمة واستغلال الكوب وأیضا

معرفة الھدف من ھذا الھجوم.

من أجل كل من مدیري الإلكترونيات (ADMIN قیام بحمایة البنیة

التحتیة لأنظمتھم (البنية التحتية) تسعى إلیھ من استخدام أنظمتك (استغلالھا في)

وهذا ھو المغزى من المقولة السابقة م ن كتاب فن الحرب.

ما هو الهاكرز؟

أطلقت هذه الكلمة أول ما أطلقت في الستینیات لتشیر إلى المبرمجین المھرة القادرین على التعامل مع الكمبیوتر ومشاكلھ بخبرة ودرایة

كانوا يقدمون حلولاً لمشاكل البرمجة بشكل تطوعي الغالب.

واجهة المستخدم واجهة المستخدم الرسومية GUI كن البرمجة البلغارية

البیسیك واللوغو والفور توران في ذلك الوقت كانت جدیرة بالاتمام. ومن ذلك غدا غدا العارفين اللغات والمقدمين العون الشركات

والمؤسسات والبنوك یعرفون بالھاكرز وتعني الملمین بالبرمجة ومقدمي خدماتھم للآخرین في زمن كان عددھم لا یتجاوز بضعة ألوف على

مستوى العالم أجمع. ولذلك فإن ھذا الوصف لھ مدولات إیجابية ولا یجب خلطھ خطأ مع فئة الأخر الذین یسطون عنوه على البرامج

صنفاء. ونظرا لما سببتھا الفئة الأخیرة من التمويل وخاضعة لا حصر لها فقد تم إطلاقها

المفرقعات (كان الھاكرز) في تلك الحقبة من الزمن ی تعتبرون عباقرة في

علاوة على ذلك إسما

البرمجة فالهاكر ھو المبرمج الذي يقوم بتصنيع البرامج السريعة والمشاكل الموجودة في الوقت الحالي والتي تقوم بتعريف البرنامج عن القیام

بدور المطلوب منه. ولأنهام كذلك فقد ظھر منھم إسمان لبدءا في اتخاذ قراریم وإرساء متطلبات أحد البرامج المستخدم الیوم وھما دینیس ریتشي

وهكذا بدأ تومسون اللذان في إخراج برنامج اليونيون السادس في أواخر الستينات لتحصيل الوجود. لذلك فمن الأفضل عدم تخصيص اللقب

ھاكر على الأشخاص الذین یدخلون عنه إلى إلكترونيات بقصد التطفل أو التخريب بل علینا تخصيص عناوين الكراكرز علیھم وھي كلمة مطلوبة من

الكراك الكراك أيضا.

HACKING ETHICAL؟ما هو الهاكر الأخلاقي

وهو عملي واختبار الشبكة الخاصة بك من أجل إنشاء المكافآت ونقاط الضعف والتي من خلالها يمكن استخدام الهاكرز. الشخص الذي

هاكر وايت (هاكر وايت (الذي یعمل على الھجوم على أنظم) التشغیل بقصد اكتشاف الكأس بھا بدون

الحق أي ضرر. وقد تم تحويل هذا الطب إلى عدد كبير من الخدمات الطبية لدى النظام الأمني ​​الخاص بك. أو بمعنى آخر ھو أنسان لھ مھارات عطیھ

إمكانيه الفھم وضوح نقاط الضعف في مختلف الهيئات المختلفة، وهو الشخص الذي يعتبر نفسه ھاكرز حیث یستخدم نفس معرفتھ ونفس

الأدوات ولكن دون أن يحدث أي ضرر.

ما هو فريق الھاكرز الأخلاقي والھاكرز العشوائي؟

• الهاكرز الأخلاقيون (أخلاقيات الهاكر: وهي من خلال مهارة أفضل الهاكرز في

العالم ویستخدمها في تحسین الوضع و لأنظمة الشبكات المختلفة.

• الھاكرز العشوائي ھو الھاكر المدمر .

1.2 نظرة عامة على المعلومات الأمنية (نظرة عامة على المعلومات الأمنية )

ھذا مصطلح یشیر إلى الطریقة المستخدمة لحمایة أي نوع من أجهزة المعلومات أو بمعنى آخر وضع آمن على سطح المكتب حول المعلومات المھمة

وذلك لحمايتيها من قبل الاتي:

.1 الوصول غير المصرح به الولوج/الوصول الغیر مصرح بھ.

.2 الإفصاح عن هذه المعلومات.

.3 تعديل التعديل على هذه المعلومات.

.4 تدمير هذه المعلومات.

تعتبر المعلومات مصدرها الهام لذلك السبب أنها آمنة، وذلك من خلال مراقبة هذه المعلومات في الأیدي الخطأ قد یسبب تھديا كبیرا على

البنیة التي تخصھا هذه المعلومات.

بعض المصطلحات المهمة:

HACK VALUE

ھو مفھوم بین الھاكرز على انھ شيء مھم یستحق القیام بھ أو مثیر للاھتمام أو بمعنى أخر ھو قیمة العمل الذي سوف یقوم بھ.

EXPLOIT

ھي طریقة اختراق نظام المعلومات من خلال نقاط الضعف الموجودة فیھ وھذا المصطلح یستخدم في أي ھجمھ من أي نوع على الأنظمة

والشبكات ویمكن أن یكون أیضا عباره عن تطبیقات أخرى أو أوامر (commands (والتي من الممكن أن تسبب سلوك غیر متوقع

لبرامج قانونیھ أو أجھزه قانونیة عن طریق اخذ میزات نقاط الضعف التي تحتویھا.

VULNERABILITY

ھو مصطلح یعبر عن نقاط الضعف/الثغرات، وقد تكون نقاط الضعف ھذه إما نقاط ضعف في التصمیم (code design (أو أخطاء

(bugs/error (والتي قد تسبب سولك غیر متوقع أو غیر مرغوب فیھ في نظام الأمن. وھو یعتبر المصدر الذي یھتم بھ الھاكر لكي

یعمل علیھ.

TARGET OF EVALUATION

ھو نظام المعلومات أو الشبكات (system IT (أو برنامج أو محتوى یستخدم للوصول إلى درجھ معینھ من الأمن. وھذا النوع یساعد في

فھم وظائف وتقنیات ونقاط الضعف في الأنظمة والمنتجات.

ZERO-DAY ATTACK

ھو عباره عن ھجوم یستغل ثغره امنیھ لم تكن معروفھ مسبقا للمبرمجین في تطبیق كمبیوتر وھذا یعنى أن المبرمجین لدیھم صفر یوم

لمعالجة ھذا الضعف.

DAISY CHAINING

تعنى أن الھاكر الذي استطاع الوصول إلى قاعدة المعلومات فانھ یعمل على تكملة أھدافھ عن طریق تغطیة أثار ما فعلھ ویتم ذلك بتدمیر

ملفات السجل (file log destroy (وذلك لإخفاء الھویة الخاصة بھ.

بعض المصطلحات التعريفية الأخرى:

• Attack: ھو عباره عن أي ھجوم على نظام امن.

• Security: عملیة حمایة البیانات من السرقة والعبث.

• Threat: الفعل أو الحدث الذى یمكن أن یضر بالأمن ، التھدید ھو انتھاك محتمل للأمن.

• Confidentiality) الخصوصیة)

ھي الإجابة على السؤال (من لھ الحق في الأطلاح/الدخول على ھذه المعلومات؟) أو بمعنى اصح ھي صلاحیات الدخول.

Integrity •

شكل البیانات (منع أي تغیر على البیانات).

• Availability) الإتاحة)

البیانات تكون متاحھ لمن لھ الحق في الدخول علیھا أو بمعنى أخر أن النظام المسئول عن نقل وتخزین ومعالجة البیانات یكون متاحا لمن لھ

الحق في الدخول علیھا.

Authenticity •

ھذا یشیر إلى سمة (الاتصالات، أو الوثیقة، أو أي بیانات) والتي تضمن نوعیة كونھا حقیقیة أم لا (genuine (غیر مقلده من الأصل.

والأدوار الرئیسیة من عملیة المصادقة authentication تشمل الاتي:

.1 التأكید من ھویة المستخدم ھل ھو ھذا المستخدم م المعرف لدیھ أم لا.

.2 ضمان أن الرسالة القادمة منھ اصلیھ ولم یتم التغیر في محتواھا أو لیست مزوره.

.3 تستخدم كل من biometric وcards smart والشھادة الرقمیة certificate digital في التأكد من مصداقیھ البیانات

أو الاتصال أو حتى المستندات.

Non-repudiation •

ھذا یشیر إلى القدرة على التأكد من أن طرفي العقد أو الاتصالات لا یستطیعا أن ینكرا صحة التوقیع على الوثیقة أو الرسالة المرسلة بینھم

من الأمثلة على ذلك بروتكول HTTPS وKerberos.

تهديدات أمن المعلومات وناقلات الهجوم 1.3

إن ھذا الجزء یقدم لك الاتي:

.1 Vector Attack من أین تأتى الھجمات؟

.2 Threat Security التھدیدات الأمنیة المحتملة.

.3 attack of Goal الھدف من وراء ھذا الھجوم.

هجوم المتجهات من أین یأتي ھذا الھجوم؟

ھذا یشیر إلى المسار الذي یتخذه المھاجم للوصول إلى مركز المعلومات على أنظمة الشبكة لأداء بعض الأنشطة المختلفة.

Vector Attack: تمكن المھاجم من الاستفادة من الثغرات الموجودة في نظام المعلومات لحمل الھجوم الخاص بھ. المسارات المتاحة التي

ممن الممكن أن یستخدمھا المھاجم في عملیة القرصنة

هجوم الهدف الھدف من وراء ھذا الھجوم.

العنصر الأول ھو motive وذلك لان أي ھجوم إما ان یكون لھدف أو لدافع معین (objective or goal , motive (مثال لھذه الأھداف

تعطیل استمراریة العمل (continuity business disrupting(، سرقة المعلومات، تنفیذ انتقام من مؤسسھ معینھ أو سرقة شيء ذات

قیمھ من مؤسسھ ما. ھذه الأھداف تختلف من شخص إلى أخر على حسب الحالة العقلیة للمھاجم الذي حملھ على القیام بھذا العمل. بمجرد

امتلاك المھاجم للھدف فانھ یستخدم العدید من الطرق والأسالیب لاستغلال نقاط الضعف (vulnerability exploit (في نظام المعلومات

system information أو في policy security في عملیة الھجوم حتى یصل إلى تحقیق ھدفھ.

THREAT SECURITY التھدیدات الأمنیة المحتملة.

التھدیدات الأمنیة المحتملة تنقسم ھنا إلى ثلاثة أقسام

• Threats Naturalالتھدیدات الطبیعیة

التھدیدات الطبیعة تشمل الكوارث الطبیعیة مثل الزلازل earthquake او الفیضانات floods او الأعاصیر hurricanes أو أي كارثھ

طبیعیة أخرى التي لا یمكن إیقافھا أو التحكم فیھا.

المعلومات التي یتم تدمیرھا أو فقدانھا نتیجة التھدیدات الطبیعیة لا یمكن منعھا حیث لا یمكن توقع وقت حدوثھا واقصى ما یمكن فعلھ ھو

وضع بعض الخطط الأمنیة التي تمكنك من عدم فقد ھذه المعلومات مثل خطط الطوارئ واسترجاع البیانات عند الفقدان أو التدمیر.

• Threats Physical التھدیدات الفیزیائیة

ھذا النوع من التھدید ینتج نتیجة تلف أي جزء من الأجھزة المستخدمة سواء بواسطة الحریق أو الماء أو السرقة أو التداخلات الفیزیائیة

(impact physical (وأیضا مصادر الطاقة التي من الممكن أن تؤدى إلى تلف بعض الأجھزة (damage hardware(.

• Threat Human التھدیدات البشریة

ھذا النوع من التھدیدیات ینتج نتیجة الھجمات سواء من داخل المنظمة (Insider (أو من الخارج (Outsider(.

• Attack Insider) الھجمات من الداخل): تعتبر الأخطر والتي تتم بواسطة الموظفین من داخل المنظومة او من قبل شخص

ساخط. وتعتبر الأخطر لان المھاجم یعرف الكثیر مثل الوضع الأمني (posture security (الخاص بأنظمة المعلومات.

• Attack Outsider) الھجمات من الخارج): تتم بواسطة أشخاص آخرین من الخارج الذین یملكون بعض من الخبرة التي

تمكنھم من معرفة الوضع الأمني لنظام المعلومات.

ھذا النوع من التھدید ینقسم ھو الأخر إلى ثلاث أنواع أخرى كالاتى:

:Network Threats .A

الشبكة Network: ھي عبارة عن ربط جھازین حاسوب فأكثر (مجموعة من الأجھزة) مع بعضھما البعض من خلال قنوات اتصال

channel communication وذلك لتبادل البیانات والموارد resources computer مثل (الطابعات، الملفات ... وغیرھا). ومع

ً الى ھذه القنوات

مرور ھذه البیانات من خلال قنوات الاتصال channel communication فإنھ من الممكن دخول شخص ما عنوة

وسرقة ما بھا من معلومات.

لذلك فان المھاجم الھاكر یعرض العدید من التھدیدات من خلال الشبكة ومن ھذه التھدیدیات كالاتى:

.1 gathering Information) جمع المعلومات)

(والتجسس التنصت (sniffing and eavesdropping .2

.3 spoofing) التنصت)

session hijacking and man-in-middle attack .4

sql injection .5

ARP Poisoning .6

Denial of service attack .7

comprised key attack .8

:Host Threats .B

ھذا النوع من التھدید یتم توجیھ إلى النظام الحالي الذي یحمل المعلومات القیمة التي یریدھا المھاجم مباشرة (عن طریق الاتصال المباشر).

حیث یحاول المھاجم من كسر الوضع الأمني للنظام الذي یحمل ھذه المعلومات ومن ھذه التھدیدات كالاتى:

Malware attacks .1

Target Footprinting .2

Password attacks .3

Denial of service attacks .4

Arbitrary code execution .5

.6 access Unauthorized الدخول عنوه أي من غیر إن یكون مصرح لھ بالدخول.

Privilege escalation .7

Back door attacks .8

Physical security threats .

Application Threats.C

تطویر أي تطبیق أو إنشائھ مع عدم الاھتمام بالأوضاع الأمنیة الخاصة بھ. قد یؤدى إلى وجود بعض الثغرات الأمنیة في ھذا التطبیق وقد

ینتج عن ھذه الثغرات ثغرات أخرى في تطبیقات أخرى. حیث أن المھاجم یستفید من ھذه الثغرات في تنفیذ ھجماتھ لسرقة المعلومات أو

تدمیرھا ومن ھذه التھدیدیات كالاتى:

Data/Input validation .1

Authentication and Authorization attacks .2

Configuration management .3

Information disclosure .4

Session management issues .5

Cryptography attacks .6

Parameter manipulation .7

Improper error handling and exception management .8

Auditing and logging issues .9

WARFARE INFORMATION) حرب المعلومات)

المصطلح (InfoWar/Warfare Information (یشیر إلى استخدام تكنولوجیا المعلومات والاتصالات ICT في الحصول على بعض

المزایا التنافسیة من الشركات المنافسة أو بمعنى أخر ھو سرقة المعلومات من الشركات المنافسة.

أو بمعنى أخر ھو اصطلاح ظھر في بیئة الإنترنت للتعبیر عن اعتداءات تعطیل المواقع وإنكار الخدمة والاستیلاء على المعلومات، وكما

یشیر الاصطلاح فان الھجمات والھجمات المقابلة ھي التي تدل على وجود حرب حقیقیة، وبما إنھا حرب فھي حرب بین جھات تتناقض

مصالحھا وتتعارض مواقفھا، لھذا تكون في الغالب ھجمات ذات بعد سیاسي، أو ھجمات منافسین في قطاع الأعمال. ولذا وصفت حملات

الھاكرز الیوغسلافیین على مواقع الناتو أبان ضربات الناتو بانھا حرب معلومات ، ووصفت كذلك ھجمات المخترقین الأمریكان على مواقع

صینیة في اطار حملة أمریكیة على الصین تحت ذریعة حقوق الأنسان والتي تمت بدعم حكومي أمریكي بانھا حرب معلومات ، وأشھرحروب المعلومات القائمة حتى الأن المعركة المستعرة بین الشباب العرب والمسلم وتحدیدا شباب المقاومة اللبنانیة والمدعومین من خبراء

اختراق عرب ومسلمین ، وبین جھات تقنیة صھیونیة في اطار حرب تستھدف إثبات المقدرات في اختراق المواقع وتعطیلھا أو الاستیلاء

على بیانات من ھذه المواقع . وھذا الاصطلاح في حقیقتھ اصطلاح إعلامي أكثر منھ أكادیمي، ویستخدم مرادفا في غالبیة التقاریر

لاصطلاح الھجمات الإرھابیة الإلكترونیة ونجده لدى الكثیرین اصطلاح واسع الدلالة لشمول كل أنماط مخاطر وتھدیدات واعتداءات وجرائم

البیئة الإلكترونیة، ونرى قصر استخدامھ على الھجمات والھجمات المضادة في ضوء حروب الرأي والمعتقد لتمییزه عن بقیة أنشطة تعطیل

المواقع التي لا تنطلق من مثل ھذه الأغراض.

:Defensive InfoWar

یشیر إلى جمیع الاستراتیجیات والمبادرات التي تستخدم للدفاع ضد ھذا النوع من الھجمات (assets ICT(.

:Offensive InfoWar

یشیر إلى InfoWar التي تستخدم للھجوم على المؤسسات (assets ICT (في الشركات المنافسة.

THREATS SECURITY 6IPV) التھدیدات الأمنیة من استخدام 6IPV(

6IPv مقارنة ب 4IPv فانھ یملك تحسینات امنیھ افضل منھ والتي تصل بك إلى مستوى اعلى من الأمان والخصوصیة للمعلومات التي تمر

عبر الشبكة ولكن مع ذلك فانھ یحمل بعض التھدیدیات كالاتى:

Auto-Configuration threat-1

6IPv یدعم الإعداد الألى (Authconfig (لعناوین الشبكة (IP(, والتي تترك المستخدم عرضھ للھجوم عبر بعض الثغرات اذا لم یتم

الإعداد الصحیح والأمن من البدایة.

Unavailability Reputation-based Protection-2

بعض الحلول الأمنیة الحالیة تعتمد على استخدام address IP of reputation) عناوین IPمشھوره أو معروفھ) في تصفیة بعض

المصادر المعروفة لل malware. والتي تحتاج إلى وقت حتى یتم تطویرھا لكي تشمل عناوین 6IPv.

Incompatibility of Logging Systems-3

6IPv یستخدم عناوین ذات حجم bit 128 والتي یتم تخزینھا على ھیئة 39 حرف ورقم, ولكن 4IPv یستخدم عناوین ذات أحجام bit 32

وتخزن على ھیئة 15 رمز. لذلك فان عملیات التسجیل solutions logging في الأنظمة المعتمدة على 4IPv من الممكن إنھا لن تعمل مع

الشبكات القائمة على 6IPv.

Rate Limiting Problem-4

یستخدم مدیري الأنظمة Adminاستراتیجیات الحد (strategy limiting rate (لإبطاء أدوات المھاجم ألیا (tool attack Automated(

لكن ھذا سوف یكون صعبا عند استخدامھ مع عناوین ذات أحجام bit .128

التھدیدات التي تكمن نتیجة استخدام 6IPV

Default IPv6 Activation-1

6IPv من الممكن أن یفعل ألیا بدون علم مدیري النظام (ADMIN(, والتي یؤدى إلى عدم فاعلیة الأوضاع الأمنیة القائمة على 4IPv.

Complexity of Network Management Tasks-2

مدیري النظام (admin (دائما ما یختاروا عناوین 6IPv سھلة الحفظ مثل (0C5C:: ,FOOD:: ::20, ::10, (وغیرھا والتي من السھل

توقعھا بالنسبة للمھاجم.

Complexity in Vulnerability Assessment-3

6IPv ذات أحجام bit 128 یجعل فحص بنیة الأنظمة (infrastructure (من اجل كشف المتسللین والثغرات عملیھ معقده.

Overloading of Perimeter Security Controls-4

6IPv یحمل عنوان ثابت في header ذات حجم byte 40 مع on-add) header extension (قد تكون مقیده والتي نحتاجھا في بع

العملیات المعقدة بواسطة بعض أدوأه التحكم الأمن (control security (للشبكة مثل routers, gateways security, firewall و IDS.

IPv4 to IPv6 Translation Issues-5

ترجمة الحزم من 4IPv إلى 6IPv من الممكن أن یؤدى تدمیر الحزم أو ینتج عن سوء تنفیذ ھذه الترجمة 

.

Security Information and Event Management (SIEM) Problems-6

كل عمیل یستخدم 6IPv یحمل عناوین عده من 6IPv ولیس عنوان واحد مما یؤدى إلى التعقید في ملفات log والأحداث event.

Denial-of-service (DOS)-7

زیادة التحمیل على امن الشبكة وأجھزة التحكم یؤدى إلى تقلیل إتاحة موارد الشبكة، والتي تؤدى إلى الھجمات من النوع DOS.

Trespassing-8

المیزات المستقبلیة لعناوین 6IPv التي یتم استكشافھا من الممكن أن تستغل من قبل المھاجمین في اجتیاز الشبكة الخاصة بك من اجل

الوصول إلى موارد الشبكة المقیدة (resources restricted(.

 1.4 CONCEPT HACK) مفھوم الھاكنج)

• ما ھو الفرق بین الھاكر المدمر(Hacking (والھاكر الأخلاقي (hacking Ethical(؟

التھكیر المدمر hacking

یشیر إلى استغلال ثغرات الأنظمة(vulnerability (والأخلال بالضوابط الأمنیة (controls security compromising (للحصول

على الدخول الغیر مصرح بھ (access unauthorized (لموارد النظام. ھذا یشمل تعدیل النظام (system modifying (أو بعض

ممیزات البرامج (feature application (لتحقیق الھدف.

التھكیر الأخلاقي hacking Ethical

یشمل استخدام أدوات التھكیر وبعض التقنیات والحیل لتعریف الثغرات وذلك للتأكد من امن النظام. وھذا یركز على استخدام تقنیھ مشابھ

للتھكیر المدمر لكشف الثغرات في النظام الأمن.

• ما ھو تأثیر الھاكر المدمر؟

.1 تلف وسرقة المعلومات.

.2 استخدام أجھزة كمبیوتر في التھكیر على أخر.

back door استخدام .3

.4 سرقة البرید الإلكتروني من اجل الأرقام السریة.

.5 سرقة وتدمیر الأجھزة.

• تأثیر الھاكر المدمر على الأعمال

من ھو الھاكرز؟

Hats Black) المخترق ذو القبعة السوداء)

ھم أفراد لدیھم مھارات استثنائیة في علم الحوسبة(science computer (، اللجوء إلى أنشطة ضارة أو مدمرة، كما أنھم

معروفین أیضا باسم كراكرز (crackers(.

ھؤلاء الأفراد دائم ما یستخدمون مھاراتھم في الأنشطة التدمیریة والتي تسبب ضرر كبیر للشركات والمؤسسات والأفراد. ھؤلاء یستخدمون

مھاراتھم في إیجاد الثغرات في الشبكات المختلفة والتي تشمل أیضا المواقع الحكومیة ومواقع الدفاع والبنوك وھكذا.

بعضھم یفعل ذلك من اجل أحداث ضرر أو سرقة معلومات أو تدمیر بیانات أو كسب المال بطریقھ سھل عن طریق قرصنھ الرقم التعریق

لعملاء البنوك.

Hats White) المخترق ذو القبعة البیضاء)

ھم أفراد یعتنقون مھارات القرصنة (الاختراق) ویستخدمون ھذه المھارات من اجل الأھداف الدفاعیة؛ كما أنھم معروفین أیضا

باسم المحللین الأمنین (analysts security(. في ھذه الأیام فان معظم الشركات یملكون محللین امنین من اجل حمایة

أنظمتھم ضد الھجمات المختلفة. ھؤلاء یساعدون الشركات لتامین الشبكات الخاصة بھم.

Hats Gray) المخترق ذو القبعة الرمادیة)

ھم أفراد لدیھم مھارات الھاكر یستخدمونھا في الھجوم والدفاع على حد سواء في أوقات مختلفة. وھؤلاء یقعون بین

Hats Black وHats White. ھؤلاء یمكنھم أیضا مساعدة الھاكر في إیجاد الثغرات المختلفة في الأنظمة والشبكات وفى

نفس الوقت یقومون بمساعدة المؤسسات في تحسین منتجاتھم (hardware and software (عن طریق جعلھا أكثر أمانا وھكذا.

Hackers Suicide) الھاكر المنتحرون)

ویطلق علیة أیضا الھاكر المنتحر لأنھ یشبھ إلى حد كبیر الشخص الذي یقوم بتفجیر نفسھ غیر مھتم بحیاتھ من اجل ھدف ما.

وھم عباره عن أفراد یھدفون إلى إسقاط البنیة التحتیة الحیویة لسبب ما سبب لا یقلقون بشأن 30 عاما في السجن نتیجة أفعالھم

ولا یخفون أنفسھم بعد القیام بالھجمة أي بمعنى أخر یسرقون علانیتا. ولقد انتشر ھذا النوع في السنوات الأخیرة.

Script Kiddies

ھو ھاكر لیس لدیھ مھارات الھاكر ولكن یتحایل على الأنظمة باستخدام بعض الاسكربات والأدوات والتطبیقات التي تم

تطویرھا بواسطة الھاكرز الحقیقین. وھؤلاء من السھل لھم استخدام التطبیقات والاسكربات في اكتشاف الثغرات في الأنظمة

المختلفة. ھذا النوع من الھاكر یركز في الأساس على كمیة الھجمات أكثر من قوة وفاعلیة الھجمة التي یقوم بإنشائھا.

Spy Hackers

ھم عباره عن افراد یتم تأجیرھم من قبل المنظمات المختلفة لاختراق والحصول على أسرار من المنظمات المنافسة لھم.

Terrorists Cyber) إرھاب العالم الإلكتروني)

ھي ھجمات تستھدف نظم الكمبیوتر والمعطیات لأغراض دینیة أو سیاسیة أو فكریة أو عرقیة. وتعتبر جرائم إتلاف للنظم

والمعطیات أو جرائم تعطیل للمواقع وعمل الأنظمة. وھي ممارسات لذات مفھوم الأفعال الإرھابیة لكن في بیئة الكمبیوتر

والإنترنت وعبر الإفادة من خبرات الكراكرز وھذا النوع من الھاكر یعتبر الأكثر خطورة لأنھ لن یخترق المواقع الإلكترونیة فحسب بل من

الممكن منطقھ بأكملھا.

State Sponsored Hackers

ھم عباره عن أفراد یتم تأجیرھم بواسطة الحكومات من اجل الاختراق والحصول على معلومات على درجھ عالیة من السریة

وتدمیر بعض أنظمة المعلومات الأخرى للحكومات الأخرى.

:HACKTIVISM

ھو عمل لتعزیز أجندة سیاسیة عن طریق القرصنة، خاصة عن طریق تشویھ أو تعطیل بعض المواقع. والشخص الذي یقوم بھذه

الأشیاء یسمى hacktivist. أو بمعنى أخر (ھذا یشیر إلى فكرة القرصنة لأسباب)

ھؤلاء الأشخاص یزدھرون في البیئة حیث توجد المعلومات التي یمكن الوصول إلیھا بسھولة. وھذا یھدف إلى إرسال رسالة من خلال

أنشطة القرصنة واكتساب الرؤیة من أجل قضیة معینھ. ومعظم الأھداف إما أن تكون الوكالات الحكومیة، والشركات متعددة الجنسیات، أو

أي كیان آخر ینظر إلیھا على أنھا كیان سیئ (wrong or bad (من وجھة نظر ھؤلاء الأشخاص. ولكن یبقى الواقع، أن اكتساب الوصول

الغیر مصرح بھ ھو جریمة، مھما كان القصد من ذلك.

أو بمعنى أخر ھم یقومون بعملیة القرصنة لسبب معین قد یكون بدافع الانتقام، أو أسباب سیاسیة أو اجتماعیة أو إیدیولوجیة، أو للتخریب،

والاحتجاج والرغبة في إذلال الضحایا.

1.5 PHASE HACK) مراحل القرصنة)

ھذا یشمل الاتي:

-1Reconnaissance عملیة جمع المعلومات (الاستطلاع)

-2Scanning فحص

-3Access Gaining الدخول إلى الھدف

-4Access Maintaining یحافظ على الدخول

-5Tracks Clearing ینظف أي إشارة لھ

Reconnaissance •

یطلق علیھا أیضا phase preparatory أي المرحلة التحضیریة والتي فیھا یقوم المھاجم بجمع أكبر قدر ممكن من المعلومات عن الھدف

لتقیمھ قبل تنفیذ ھجمتھ. أیضا في ھذه المرحلة المھاجم یھتم بالاستخبارات التنافسیة لمعرفة المزید عن الھدف. ھذه المرحلة تشمل أیضا

scanning network) فحص الشبكة) سواء من الداخل أو الخارج بدون دخول على النظام.

ھذه المرحلة ھي المرحلة التي عن طریقھا یضع المھاجم استراتیجیات الھجوم والتي من الممكن أن تأخذ بعض الوقت حتى یحصل على

المعلومات المھمة.

جزء من ھذه المرحلة یشمل الھندسة الاجتماعیة (engineering social(. الھندسة الاجتماعیة أو ما یعرف بفن اختراق العقول ھي عباره

عن مجموعھ من التقنیات المستخدمة لجعل الناس یقومون بعمل ما أو یفصحون عن معلومات سریھ. وتستخدم في عملیات القرصنة في

المرحة الأولى (مرحلة جمع المعلومات) حیث أن الھدف الأساسي للھندسة الاجتماعیة ھو طرح أسئلة بسیطة أو تافھة (عن طریق الھاتف أو

البرید الإلكتروني مع انتحال شخصیة ذي سلطة أو ذات عمل یسمح لھ بطرح ھذه الأسئلة دون إثارة الشبھات).

بعض تقنیات الفحص الأخرى ھي diving Dumpster) الغوص في سلة المھملات) وھي عباره عن عملیھ النظر في سلة مھملات بعض

المنظمات من اجل الوصول إلى بعض المعلومات الحساسة المستبعدة.

المھاجم أیضا یمكنھ استخدام شبكة المعلومات الأنترنت للحصول على بعض المعلومات مثل معلومات الاتصال والشركاء في العمل

والتكنولوجیا المستخدمة وبعض المعلومات الحساسة الأخرى ولكن diving dumpster تدعمك بمعلومات أكثر حساسیھ مثل اسم

المستخدم والرقم السري وأرقام الكریدت كارد والحالة المالیة ورقم الائتمان الاجتماعي وغیرھا من المعلومات الحساسة.وینقسم Reconnaissance) الاستطلاع) إلى:

 Reconnaissance Passive: التعامل مع الھدف ولكن بطریقھ غیر مباشره للحصول على معلومات; مثل سجلات

البحث العامة و نشرات الأخبار و الھندسة الاجتماعیة و diving dumpster وغیرھا

 reconnaissance Active: ینطوي على التفاعل المباشر مع الھدف باستخدام أي وسیلة; مثل استخدام الأدوات

للكشف عن المنافذ المفتوحة مكان تواجد الموجھ/الراوتر وھكذا.

Scanning •

المسح ھو ما یفعلھ المھاجم قبل تنفیذ الھجوم. ویشیر المسح إلى فحص الشبكة للحصول على معلومات محددة على أساس المعلومات التي تم

جمعھا من خلال عملیة الاستطلاع (Reconnaissance(، یستخدم القراصنة المسح للحصول على نقطة دخول (الثغرة) للبدء في الھجوم،

وتتضمن عملیة المسح مسح المنافد، خرائط الشبكة الضعف الأمني، وما إلى ذلك.

المھاجم دائما ما یستخدم الأدوات الجاھزة مثل scanner host/network وdialers war لإیجاد النظام واكتشاف الثغرات الذي یحتویھا.

Gaining Access •

ھذه المرحلة تعتبر اھم مرحلھ ویطلق علیھا أیضا damage potential. وھذه المرحلة تشیر إلى مرحلة الاختراق، المخترق یستغل الضعف

في النظام، حیث یمكن أن یحدث ذلك على مستوى شبكة محلیة (LAN (أو الأنترنت أو على مستوى نظام التشغیل أو على مستوى

. password cracking، session hijacking، denial of service،buffer overflows :ذلك على الأمثلة ومن ،التطبیقات

Maintaining Access •

وتشیر إلى المرحلة التي یحاول فیھا المخترق حفظ ملكیة الدخول مجددا إلى النظام، من خلال وصول حصري باستخدام Backdoors،

Rootkits، أو Trojans، مما یسمح للمخترق بتحمیل ورفع الملفات، والتعامل مع البیانات والتطبیقات على النظام المخترق

Clearing Tracks •

تشیر إلى الأنشطة التي یقوم بھا المخترق لإخفاء دخولھ إلى النظام، بسبب الحاجة للبقاء لفترات طویلة، ومواصلة استخدام الموارد، وتشتمل

إخفاء بیانات الدخول والتغییر في ملف Log.

(الھجمات أنواع (TYPE OF ATTACKS 1.6

ھناك العدید من الطرق التي تمكن المھاجم من الدخول إلى النظام. ویجب أن یكون الھاكر قادرا على اكتشاف نقاط الضعف والثغرات في

النظام حتى یتمكن من الدخول. ومن ھذه الطرق كالاتى:

-1attacks System Operating: حیث ھنا یبحث المھاجم عن ثغرات في نظام التشغیل (vulnerabilities OS (ویستخدم

ھذه الثغرات للدخول إلى نظام الشبكة.

-2attacks level-Application: إن معظم التطبیقات/البرامج تأتي مع وظائف ومیزات لا تعد ولا تحصى. ولكن مع ندرة من

الوقت لإجراء اختبار كامل قبل خروج المنتج إلى السوق. یؤدى الى ان ھذه التطبیقات یكون لدیھا بعض من نقاط الضعف المختلفة والتي قد

تصبح مصدرا للھجوم من قبل الھاكر.

-3attacks Misconfiguration: معظم مدیري الأنظمة (Admin (لا یملكون المھارات الضروریة من اجل صیانة أو

إصلاح بعض المسائل/القضایا، والتي من الممكن أن تؤدى إلى أخطاء في عملیات الإعداد. بعض ھذه الأخطاء من الممكن أن تكون مصدرا

للمھاجم للدخول إلى الشبك ھاو النظام الذي یستھدفھ.

-4attacks code wrap Shrink: تطبیقات أنظمة التشغیل تأتى بالعدید من ملفات الاسكریبت المبسطة لكي تسھل العمل على

مدیري الأنظمة (Admin(، ولكن مثل ھذه الاسكربات تحتوي أیضا على العدید من الثغرات والتي من الممكن أن تؤدى إلى ھذ النوع من

الھجوم

OPERATING SYSTEM ATTACKS-1

أنظمة التشغیل، والتي یتم تحمیلھا الیوم مع الكثیر من الممیزات، أصبحت تزداد تعقیدا. ومع الاستفادة من الكثیر من ھذه الممیزات التي

توفرھا ھذه الأنظمة من قبل المستخدمین، تجعل النظام عرضة لمزید من نقاط الضعف، وبالتالي عرضھ للقراصنة. أنظمة التشغیل تعمل

على تشغیل العدید من الخدمات مثل واجھات المستخدم الرسومیة(GUI(. وھذه تدعم استخدام المنافذ ports وطریقة الوصول إلى شبكة

الإنترنت، لذلك فھذه تتطلب الكثیر من التغیر والتبدیل للتحكم في ھذا. ھنا یبحث المھاجم عن ثغرات في نظام التشغیل (vulnerabilities OS (

ویستخدم ھذه الثغرات للدخول إلى نظام الشبكة. لإیقاف المھاجمین من الدخول إلى شبكة الاتصال الخاصة بك، فإن مسؤولي الشبكة أو النظام

لابد لھم من مواكبة الاكتشافات والطرق الجدیدة المختلف والمتبعة من قبل المھاجمین ومراقبة الشبكة بشكل مستمر. تطبیق التصحیحات

والإصلاحات لیست سھلة في الوقت الحاضر لأنھا شبكة معقده.

معظم مستخدمي أنظمة التشغیل یقومون بتثبیت العدید من التطبیقات والتي تقوم بعضھا بفتح بعض المنافذ ports افتراضیا. والتي تسھل

على المھاجمین من اكتشاف العدید من الثغرات. تثبیت الباتشات patches وملفت الإصلاح file-fix لم یعد سھلا مع تعقیدات الشبكة

الموجودة في ھذه الأیام. وأیضا معظم الباتشات تعمل على حل المشاكل والثغرات الحالیة ولكن لا یمكن اعتباره الحل الدائم.

بعض من ھذه الھجمات تشمل الاتي:

Buffer overflow vulnerabilities Bugs in the operating system

Unpatched operating system Exploiting specific network protocol implementation

Attacking built-in authentication systems Breaking file system security

Cracking passwords and encryption mechanisms

APPLICATION-LEVEL ATTACKS-2

یتم إصدار التطبیقات إلى سوق العمل مع العدید من الممیزات والعدید من الأكواد المعقدة. ومع الطلب المتزاید للتطبیقات لما تحملھ من

وظائف ومیزات، أدى إلى إھمال مطوري التطبیقات الوضع الأمني للتطبیق، والذي أعطى الفرصة لوجود العدید من الثغرات. الھاكر یعمل

على اكتشاف ھذه الثغرات الموجود في التطبیقات باستخدام العدید من الأدوات والتقنیات.

التطبیقات لما بھا من ثغرات تصبح عرض للھجمات من قبل الھاكر نتیجة الأسباب الأتیة:

.1 لمطوري البرامج الجداول الزمنیة الضیقة لتسلیم المنتجات في الوقت المحدد (deliver to schedules tight (والذي یؤدى إلى

ظھور التطبیقات في سوق العمل بدون الاختبارات الكافیة علیھ.

.2 تطبیقات البرامج تأتى مع العدید من الوظائف والمزایا.

.3 لیس ھناك ما یكفي من الوقت لأداء اختبار كامل قبل الإفراج عن المنتجات (time of dearth(.

.4 الأمن في كثیر من الأحیان تكون مرحلة لاحقة، ویتم تسلیمھا فیما بعد باعتبارھا عناصر إضافیة(component on-add (.

ضعف أو عدم وجود خطأ التدقیق (checking error nonexistent or poor (في التطبیقات امر یؤدى إلى الاتي:

.1 attacks overflow Buffer) الھجوم بإغراق ذاكرة التخزین المؤقت)

Active content .2

Cross-site scripting .3

Denial-of service and SYN attacks .4

SQL injection attacks .5

Malicious bots .6

بعض الھجمات الأخرى التي تكون على مستوى التطبیقات كالاتى:

Phishing .1

Session hijacking .2

Man-in-the middle attacks .3

Parameter/from tampering .4

Directory traversal attacks .5

امثلھ على الھجمات

Session Hijacking-1

denial of service-2

MISCONFIGURATION ATTACKS-3

نقاط الضعف في الإعداد (misconfiguration (یؤثر على ملقمات/سیرفرات الویب، ومنصات التطبیق، وقواعد البیانات، والشبكات، أو

الإطارات(framework (التي قد تؤدي إلى الدخول/ الغیر المشروع access illegal أو احتمالیة امتلاك النظام. إذا تم إعداد النظام بشكل

خاطئ، مثل عندما یتم تغییر في تصریحات/أذونات الملف، فیؤدى إلى جعلھ غیر آمن.

SHRINK WRAP CODE ATTACKS-4

عند تثبیت نظام التشغیل أو التطبیقات فانھ یأتي مع العدید من الاسكربات والتي تسھل على Admin التعامل معھا. ولكن المشكلة ھنا " لیست

ضبط " أو تخصیص ھذه الاسكربات التي من الممكن أن تؤدى إلى الرموز الافتراضیة أو ھجوم code wrap-shrink.إذا كان المتسلل ھو أو ھي یرید الدخول على النظام الخاص بك فانت لن تستطیع أن تفعل شيء أمام ھذا ولكن الشيء الوحید الذي یمكنك

القیام بھ ھو جعل الأمر أكثر صعوبة علیھ للحصول على نظامك.

1.7 CONTROL SECURITY INFORMATION) التحكم في امن المعلومات)

• لماذا الھاكر الأخلاقي ضروري ومھم؟

ھناك نمو سریع في مجال التكنولوجیا، لذلك ھناك نمو في المخاطر المرتبطة بالتكنولوجیا، والقرصنة الأخلاقیة یساعد على التنبؤ بمختلف

نقاط الضعف المحتملة في وقت مبكر وتصحیحھا دون تكبد أي نوع من الھجمات القادمة من الخارج.

القرصنة الأخلاقیة(hacking ethical (: مثل القرصنة یشمل التفكیر الإبداعي، واختبار مواطن الضعف والتدقیق الأمني الذي لا یمكنھ

التأكد من أن الشبكة آمنة.

استراتیجیة الدفاع من العمق (Strategy Depth-in-Defense(: لتحقیق ذلك، تحتاج المنظمات لتنفیذ استراتیجیة "الدفاع من العمق"

عن طریق اختراق شبكاتھم لتقدیر مواطن الضعف وعرضھم لھذه.

الھجوم المضاد (Attacks the Counter(: الھاكر الأخلاقي ھو ضروري لأنھ یسمح بمجابھة الھجمات التي یشنھا القراصنة الخبیثة

بطریقة التوقع (methods anticipating (والتي یمكن استخدامھا لاقتحام نظام.

• المخترق الأخلاقي یحاول أن یجاوب على الأسئلة التالیة:

• ماذا یمكن أن یرى الدخیل على نظام الھدف؟

مراحل الاستطلاع والمسح (scanning and reconnaissance(

• ما الذي یمكن أن یقوم بھ المتسلل بھذه المعلومات؟

مراحل الوصول والمحافظة على الوصول (Access Maintaining and Access Gaining(

• ھل یوجد دخیل على النظام؟

مراحل الاستطلاع وتغطیة الأثر (tracks covering and reconnaissance(

• ھل جمیع أجزاء نظام المعلومات یتم حمیاتھ وتحدیثھ وتمكین الباتشات باستمرار؟

• ھل مقایس امن المعلومات ممتثلھ لمعایر الصناعة والقانون؟

• لماذا تقوم المؤسسات بتعین المخترقین الأخلاقیین؟

.1 لمنع القراصنة من الدخول إلى قسم المعلومات.

.2 لمكافحة الإرھاب ومخالفات الأمن القومي.

.3 لبناء نظام یكون قادر على تفادى ھجمات القراصنة.

.4 لاختبار الوضع الأمني للمؤسسات والمنظمات.

(SCOPE AND LIMITATIONS OF THE ETHICAL HACKERS) الأخلاقیین القراصنة وحدود نطاق

ما یلي نطاق القرصنة الأخلاقیة:

• القرصنة الأخلاقیة ھو عنصر حاسم لتقییم المخاطر، ومراجعة الحسابات، ومكافحة الاحتیال، وأفضل الممارسات، والحكم الجید.

• یتم استخدامھ لتحدید المخاطر وتسلیط الضوء على الإجراءات العلاجیة، والحد من تكالیف تكنولوجیا المعلومات

والاتصالات (ICT(عن طریق إیجاد حل لتلك الثغرات.

ما یلي حدود القرصنة الأخلاقیة:

• ما لم تعرف الشركات أولا ما الذي یبحثون عنھ، ولماذا یتعاقدون مع مورد خارجي لاختراق الأنظمة في المقام الأول؛ وھناك

احتمالات بأن لن یكون ھناك الكثیر لتكسبھ من خبرة.

• لذا القراصنة الأخلاقیین الوحیدین الذین یمكنھم أن یساعدوا المنظمات لفھم أفضل لأوضاعھم الأمنیة، ولكن الأمر متروك للمنظمة

لوضع الضمانات الأمنیة على الشبكة.

مھارات الھاكر الأخلاقي SKILLS HACKER ETHICAL:

القرصنة الأخلاقیة ھي عملیة قانونیھ یتم تنفیذھا بواسطة tester pen لإیجاد نقاط الضعف في بیئة تكنولوجیا المعلومات. ولكي یتم ھذا

یجب أن یتمتع الھاكر الأخلاقي ببعض المھارات كالاتى:

.1 خبیر في مجال الحوسبة وبارع في مجالات التقنیة.

.2 یملك معلومات قویة في علم البرمجة والشبكات.

.3 معرفتھ المتعمقة للأشیاء المستھدفة، مثل ویندوز ویونكس ولینكس.

.4 لدیة معرفة مثالیة لإقامة الشبكات والأجھزة ذات الصلة والبرمجیات.

.5 لدیة معرفة مثالیة في الأجھزة والتطبیقات التي قدمت عن طریق بائعي الكمبیوتر وأجھزة الشبكات ذات شعبیة.

.6 لیس من الضروري أن یحمل معرفھ إضافیة متخصصة في الوضع الأمني.

.7 ینبغي أن یكون على درایة ببحوث الضعف.

.8 ینبغي أن یكون لدیھ السیادة في مختلف تقنیات الاختراق أو القرصنة.

.9 ینبغي أن یكون على استعداد لاتباع سلوك صارم إذا احتاج الأمر لھذا.

DEPTH-IN-DEFENSE) الدفاع من العمق)

یتم اتخاذ العدید من التدابیر المضادة للدفاع من العمق (Depth-in-Defense (لحمایة أصول المعلومات في الشركة. وتستند ھذه

الاستراتیجیة على مبدأ عسكري أنھ من الصعب على العدو ھزیمة نظام دفاعي معقد ومتعدد الطبقات من اختراق حاجز واحد. إذا حدث

واستطاع الھاكر الوصول إلى النظام، فإن الدفاع من العمق (Depth-in-Defense (یقلل التأثیر السلبي ویعطي الإداریین والمھندسین

الوقت لنشر مضادات جدیدة أو محدثة لمنع تكرار ھذا الاختراق مرة أخرى.

• الدفاع من العمق (Depth-in-Defense (ھي استراتیجیة الأمن التي توضع عدة طبقات واقیة في جمیع أنحاء نظام المعلومات.

• یساعد على منع وقوع ھجمات مباشرة ضد نظام المعلومات والبیانات بسبب كسر طبقة واحدة لا یؤدي إلا انتقال المھاجم إلى

الطبقة التالیة.

PROCESS MANAGEMENT INCIDENT) عملیة الإدارة الطارئة)

ھي مجموعة من العملیات المحددة لتحدید وتحلیل، وتحدید الأولویات، وتسویة الحوادث الأمنیة لاستعادة النظام إلى عملیات الخدمة العادیة

في أقرب وقت ممكن ومنع تكرار نفس الحادث.

الغرض من عملیة إدارة الحوادث كالاتى:

• quality service improves) تحسین جودة الخدمة)

(الاستباقیة المشاكل حل (Pro-active problem resolution •

• organization/business on incidents of impact Reduces) یقلل من تأثیر الحوادث على الأعمال التجاریة/المنظمات)

• requirements availability service Meets) یلتقي متطلبات الخدمة المتوافرة)

• productivity and efficiency staff Increases) یزید من كفاءة الموظفین وإنتاجیتھم)

• satisfaction customer/user Improves) یحسن رضا المستخدم / العملاء)

• incidents future handling in Assists) یساعد في التعامل مع الحوادث في المستقبل)

یتم التعامل مع أي حادث وقع في مؤسسة ما وحلھا باتباع الخطوات التالیة من قبل إدارة الحوادث

POLICIES SECURITY INFORMATION سیاسات أمن المعلومات

سیاسة الأمن (Policy Security(: ھو وثیقة أو مجموعة من الوثائق التي تصف الضوابط الأمنیة التي ینبغي تنفیذھا في الشركة على

مستوى عالي لحمایة الشبكة التنظیمیة من الھجمات سواء من الداخل أو الخارج. تحدد ھذه الوثیقة الھیكل الأمني الكامل للمنظمة، وتشمل

الوثیقة أھداف واضحة، والأھداف والقواعد والأنظمة والإجراءات الرسمیة، وھلم جرا.

ھذه السیاسات من الواضح إنھا تذكر الأصول التي ینبغي حمایتھا والشخص الذي یمكنھ تسجیل الدخول والوصول إلیھا، الذین یمكن عرض

البیانات المحددة، فضلا عن الناس الذین یسمح لھم بتغییر البیانات، وما إلى ذلك. من دون ھذه السیاسات، فإنھ من المستحیل حمایة الشركة

من الدعاوى القضائیة المحتملة، العائدات المفقودة، وھلم جرا.

ٌ ّعرف الاستخدام المقبول أو المرضي لجمیع الوسائط الإلكترونیة في المنظمة.

على وجھ العموم سیاسة الأمن ھي الخطة التي ت

سیاسات الأمن ھي أساس البنیة التحتیة الأمنیة(infrastructure Security (. ھذه السیاسات تعمل على تأمین وحمایة موارد المعلومات

للمؤسسة وتوفیر الحمایة القانونیة للمنظمة. ھذه السیاسات مفیدة في المساعدة في تحقیق الوعي للموظفین العاملین في المؤسسة على العمل

معا لتأمین اتصالاتھم، وكذلك التقلیل من مخاطر ضعف الأمن من خلال عامل الأخطاء البشریة مثل الكشف عن معلومات حساسة إلى

مصادر غیر مصرح بھا أو غیر معروفھ، الاستخدام الغیر لائق للإنترنت، وما إلى ذلك. بالإضافة إلى ذلك، توفر ھذه السیاسات الحمایة ضد

الھجمات الإلكترونیة والتھدیدات الخبیثة، والاستخبارات الأجنبیة، وھلم جرا. أنھا تتناول أساسا الأمن المادي، وأمن الشبكات، أذون الدخول،

الحمایة من الفیروسات، والتعافي من الكوارث.

أھداف السیاسات الأمنیة(POLICIES SECURITY (:

• الحفاظ على الخطوط العریضة لتنظیم وإدارة أمن الشبكات.

• حمایة موارد الحوسبة للمنظمة.

• القضاء على المسؤولیة القانونیة من الموظفین أو أي طرف ثالث.

• ضمان سلامة العملاء ومنع إھدار موارد الحوسبة الخاصة بالشركة.

• منع التعدیلات الغیر المصرح بھ على البیانات.

• الحد من المخاطر الناجمة عن الاستخدام الغیر مشروع لموارد النظام وفقدان البیانات السریة والحساسة والممتلكات المحتملة.

• التفریق في حقوق الوصول بالنسبة للمستخدم.

• حمایة سریة المعلومات الشخصیة من السرقة أو سوء الاستخدام، أو الكشف الغیر مصرح بھ.

(الأمنیة السیاسة تصنیف (CLASSIFICATION OF SECURITY POLICY

إن استراتیجیة أمن المعلومات، أو سیاسة أمن المعلومات ھي مجموعة من القواعد التي یطبقھا الأشخاص عند التعامل مع التقنیة ومع

المعلومات داخل المنشأة وتتصل بشؤون الدخول إلى المعلومات والعمل على نظمھا وإدارتھا.

لإدارة أمنیة فعالة، فإن السیاسات الأمنیة یتم تصنیفھا إلى خمسة مجالات مختلفة كالاتى:

• Policy User) السیاسات الأمنیة للمستخدم)

• ھي تتعلق بالموظفین العاملین على النظام التقني. المعني من حیث توفیر وسائل التعریف الخاصة بكل منھم

وتحقیق التدریب والتأھیل للمتعاملین بوسائل الأمن إلى جانب الوعي بمسائل الأمن ومخاطر الاعتداء على

المعلومات. مثال على ذلك: policy management password.

IT Policy •

• ھذا الجزء مصمم لقسم تكنولوجیا المعلومات للحفاظ على الشبكة آمنة ومستقرة.

modification policy، patch updates، server configuration،backup policies :ذلك على مثال•

General policies •

• تحدید المسؤولیة للأغراض التجاریة العامة.

crisis management، business continuity plans،high-level program policy :ذلك على مثال•

Partner policy •

• السیاسة التي یتم تعریفھا ضمن مجموعة من الشركاء.

Issue-specific policies •

• یتم تعریف مجالات محددة للقلق ووصف وضع المنظمة من أجل الإدارة على مستوى عالي.

STRUCTURE AND CONTENTS OF SECURITY POLICIES الأمنیة السیاسات ومحتوي ھیكل

(STRUCTURE OF SECURITY POLICY) الأمنیة السیاسات ھیكل

سیاسة الأمن ھو المستند الذي یوفر الوسیلة لتأمین الأجزاء المادیة للشركة، الخاصة بالموظفین والبیانات من التھدیدات أو الاختراقات

الأمنیة. ینبغي تنظیم السیاسات الأمنیة بعنایة فائقة وینبغي إعادة النظر بشكل صحیح للتأكد من أنھ لا توجد صیغة یمكن لشخص ما الاستفادة

منھا. وینبغي أن یشمل الھیكل الأساسي للسیاسات الأمنیة العناصر التالیة:

• وصف تفصیلي لقضایا السیاسات الأمنیة.

• وصف لحالة السیاسة الأمنیة

• تطبیق السیاسة الأمنیة.

• تحدید وظائف المتضررین من السیاسة.

• عواقب محددة من شأنھا أن تحدث إذا كانت السیاسة غیر متوافقة مع المعاییر التنظیمیة.

(CONTENTS OF SECURITY POLICY) الأمنیة السیاسات محتوي

• المتطلبات لوضع مستوى عالي من سیاسات الأمنrequirements security level-high : ھذا یوضح متطلبات النظام لوضع

السیاسات الأمنیة التي سیتم تنفیذھا. وھذا یشمل أربعة متطلبات كالاتى:

• المتطلبات لانضباط الأمنrequirements security Discipline : ھذه المتطلبات تشمل السیاسات الأمنیة المختلفة

مثل أمن الاتصالات، وأمن الحاسوب، وأمن العملیة، الانبثاق الأمن، وأمن الشبكات، وأمن الأفراد، وأمن المعلومات

والأمن المادي.

• المتطلبات للحفاظ على الأمنrequirement security safeguard : ھذه المتطلبات تحتوي أساسیا على التحكم في

الوصول، الأرشیف، والتدقیق audit، المصداقیةauthenticity ، التوافر، السریة، التشفیر، التحدید والتوثیق، النزاھة

integrity، الواجھات، وضع العلامات، عدم الأنكارrepudiation-non ، إعادة استخدام كائنreuse object ،

الاسترجاع recovery، والحمایة من الفیروسات.

• المتطلبات لإجراء سیاسات الأمنrequirement security procedural : ھذه المتطلبات تحتوي أساسیا على

سیاسات الدخول/الوصول، وقواعد المساءلة، وخطط ووثائق استمراریة العملیات (operations-of-continuity(

• ضمان الأمن security assurance: وھذا یشمل عرض شھادات التصدیق والاعتماد ووثائق التخطیط المستخدمة في

عملیة الضمان.

• الوصف لھذه السیاسات Description Policy: یركز على التخصصات الأمنیة، والضمانات والإجراءات واستمراریة العملیات،

والوثائق. حیث یصف كل جزئیة من ھذا الجزء من السیاسة كیفیة قیام معماریة النظام في فرض الأمن.

• المفھوم ألأمني للعملیات operation of concept security: یعرف أساسا الأدوار والمسؤولیات ومھام سیاسة الأمن. لأنھا تركز

على المھمة، والاتصالات، والتشفیر، وقواعد المستخدم والصیانة، وإدارة الوقت الضائع، واستخدام البرمجیات المملوكة للقطاع الخاص

مقابل برمجیات الدومین العام، وقواعد إدارة البرامج التجریبیة، وسیاسة الحمایة من الفیروسات.

• تخصیص الأمن لتطبیقھ على عناصر المعماریة elements architecture to enforcement security of allocation: یوفر

تخصیص بنیة نظام الكمبیوتر إلى كل نظام من البرنامج.

(TYPES OF SECURITY POLICY) الأمن سیاسات أنواع

سیاسة الأمن ھو عباره عن مستند یحتوي على معلومات عن طریقة وتخطط الشركة لحمایة أصول المعلومات الخاصة بھا من التھدیدات

المعروفة والغیر معروفة. ھذه السیاسات تساعد على الحفاظ على سریة، وتوافر، وسلامة المعلومات. یوجد أربعة أنواع رئیسیة من

السیاسات الأمنیة ھي كما یلي:

1) Policy Promiscuous سیاسھ خفیفة: تتمیز ھذه السیاسة بعدم وجود أي قیود على الوصول إلى الإنترنت. یمكن للمستخدم

الوصول إلى أي موقع، وتحمیل أي تطبیق، والوصول إلى كمبیوتر أو شبكة من موقع بعید. في حین أن ھذا یمكن أن یكون مفیدا

في الأعمال التجاریة للشركات حیث كان الناس الذین یسافرون أو العمل في المكاتب الفرعیة تحتاج إلى الوصول إلى شبكات

تنظیمیة، العدید من التھدیدات مثل البرمجیات الخبیثة(malware(، والفیروسات، وطروادة موجودة على شبكة الأنترنت. بسببحریة الوصول إلى الإنترنت، وھذه البرمجیات الخبیثة (malware (من الممكن أن تأتي كمرفقات دون علم المستخدم. یجب أن

یكون مسؤولي الشبكة في حالة تأھب للغایة إذا ما تم اختیار ھذا النوع من السیاسة.

2) Policy Permissive سیاسھ متساھلة: یتم قبول أغلبیة حركة المرور(traffic internet (على الإنترنت، ولكن یتم حظر

العدید من الخدمات والھجمات الخطیرة المعروفة. ولأنھ یعمل على حظر الھجمات المعروفة فقط، فإنھ من المستحیل لمسؤولي

النظام مواكبة التطور الحالي في الھجمات. الإداریین یحاولون دائما اللحاق بالركب بمعرفة الھجمات والاختراقات الجدیدة.

3) Policy Prudent سیاسھ حكیمھ: تبدأ ھذه السیاسة بحظر كافة الخدمات. مسؤولي النظام (administrator (یمكنوا فقط

الخدمات الأمنة والضروریة بشكل فردي. وھذا یوفر أقصى قدر من الأمان. كل شيء مثل أنشطة النظام والشبكة یتم تسجیلھ.

4) Policy Paranoid سیاسھ مرھبھ: تبدأ ھذه السیاسة بمنع كل شيء. ھناك قیود صارمة على استخدام أجھزة الكمبیوتر الخاصة

بالشركة، سواء كان استخدام النظام أو استخدام الشبكة. بسبب ھذه القیود على الملقم server بشكل مفرط، فإن المستخدمین غالبا

ما یحاولون إیجاد السبل حول ھذه السیاسة.

(STEPS TO CREATE AND IMPLEMENT SECURITY POLICIES) الأمنیة السیاسات وتطبیق لإنشاء الخطوات

تنفیذ السیاسات الأمنیة یقلل من خطر التعرض لھجوم. وبالتالي، یجب أن یكون كل شركة السیاسات الأمنیة الخاصة التي تقوم على أعمالھا.

وفیما یلي الخطوات التي یجب أن تتبعھا كل مؤسسة من أجل وضع وتنفیذ السیاسات الأمنیة:

.1 تنفیذ لعملیة تقییم المخاطر لتحدید المخاطر إلى أصول معلومات المنظمة.

.2 التعلم من المبادئ التوجیھیة القیاسیة وغیرھا من المنظمات.

.3 في وضع السیاسات فإنھا تشمل الإدارة العلیا وجمیع الموظفین الآخرین.

.4 تعیین عقوبات واضحة وتنفیذھا وأیضا مراجعة وتحدیث السیاسة الأمنیة.

.5 جعل النسخة النھائیة متاحة لجمیع الموظفین في المنظمة.

.6 ضمان كل فرد من الموظفین أن یقوم بقرائھ، وفھم السیاسة.

.7 تثبیت الأدوات التي تحتاجھا لتطبیق سیاسة.

.8 تدریب موظفیك وتثقیفھم حول السیاسة.

أمثلھ على السیاسات الأمنیة كالاتى:

وفیما یلي بعض الأمثلة على السیاسات الأمنیة التي تم إنشاؤھا، وتم قبولھا، واستخدامھا من قبل المنظمات في جمیع أنحاء العالم لتأمین

أصولھا ومواردھا الھامة.

Acceptable-Use Policy •

یحدد الاستخدام المقبول لموارد النظام.

User-Account policy •

یحدد عملیات إنشاء الحساب (account(. یحدد السلطة، والحقوق، والمسؤولیات الخاصة بحسابات المستخدمین.

یحدد من لھ الصلاحیة في استخدام الاتصال عن بعد، ویحدد الضوابط الأمنیة لھذا الاتصال عن بعد.

Information-Protection Policy •

یحدد مستویات حساسیة المعلومات، ومن الذي یتاح لھ الوصول لھذه المعلومات؟ وكیف یتم تخزینھا ونقلھا؟ وكیف ینبغي حذفھا من وسائط

التخزین؟

Firewall-Management Policy •

یحدد وصول، وإدارة، ورصد الجدران الناریة في المنظمات.

Special-access Policy •

تحدد ھذه السیاسة أحكام وشروط منح وصول خاص إلى موارد النظام.

Network-Connection Policy •

یحدد الذین یمكنھم تثبیت موارد جدیدة على الشبكة، والموافقة على تركیب الأجھزة الجدیدة، وتوثیق تغیرات الشبكة، الخ.

Email Security Policy •

أنشأت لتحكم الاستخدام السلیم للبرید الإلكتروني للشركات.

Password Policy •

یوفر مبادئ توجیھیة لاستخدام كلمة مرور قویة على موارد المنظمة لحمایتھا.

بحوث الثغرات الأمنیة (SECURITY VULNERABILITY RESEARCH(

Vulnerability Research ھي تقنیات یستخدمھا مختبري الاختراق لاكتشاف الثغرات وضعف التصمیم التي یمكن من خلالھا الھجوم

على التطبیقات و أنظمھ التشغیل, وتشمل الدراسة الدینامیكیة للمنتجات والتقنیات و التقییم المستمر لإمكانیة الاختراق. ھذه البحوث تساعد كل

من مسئولي الأمن والمھاجمین. ویمكن تصنیفھا على أساس:

• مستوى الخطورة (منخفضة، متوسطة، أو عالیة)

• استغلال النطاق (محلي(local(، عن بعد(remotely((.

وتستخدم ھذه التقنیة:

• لتحدید وتصحیح نقاط ضعف الشبكة.

• لحمایة الشبكة من التعرض للھجوم من قبل الدخلاء.

• للحصول على المعلومات التي تساعد على منع المشاكل الأمنیة.

• لجمع المعلومات حول الفیروسات.

• للعثور على نقاط الضعف في الشبكة وتنبیھ مدیر الشبكة قبل حصول الھجوم.

• لمعرفة كیفیة التعافي من الھجوم.

أدوات الوصول الى الأبحاث عن الضعف WEBSITE RESEARCH VULNERABILITY

CodeRed Center .1

http://www.eccouncil.org :المصدر

ھو مصدر امنى شامل لمسؤولي النظام (admin (والتي یمكنھا أن تعطیك تقریر یومي ودقیق وأحدث المعلومات عن أحدث الفیروسات،

وأحصنة طروادة، والبرمجیات الخبیثة، والتھدیدات، وأدوات الأمن والمخاطر ونقاط الضعف.

TechNet .2

http://blogs.technet.com :المصدر

موقع تم إنشائھ من قبل فریق سیرفرات مایكروسوفت (teams server Lync Microsoft(. یتم قیادتھم من قبل Server Lync

documentation الكتاب والمعلقین التقنین یأتون من جمیع

Security Magazine .3

http://www.securitymagazine.com :المصدر

ھذا الموقع یركز على الحلول الفریدة لقادة المؤسسة الأمنیة. لقد تم تصمیمھ وكتابتھ للمدیرین التنفیذیین لرجال الأعمال الذین یقومون بإدارة

المخاطر والمؤسسة الأمنیة.

SecurityFocus .4

http://www.securityfocus.com :المصدر

ً للمجتمع الأمني. وعند تصفح الموقع سوف ترى بعض

ھذا الموقع یركز على عدد قلیل من المجالات الرئیسیة التي ھي من أعظمھا أھمیة

التصنیفات منھا كالاتى:

BugTraq یحتوى على قائمھ بریدیھ كبیرة الحجم والإفصاح الكامل لمناقشة تفصیلیة والإعلان عن الثغرات الأمنیة للكمبیوتر. وھو یعتبر

حجر الأساس بالنسبة لمجتمع الأنترنت الأمني.

Database Vulnerability SecurityFocus The یوفر للمتخصصین في مجال الأمن معلومات محدثھ عن نقاط الضعف لجمیع

المنصات والخدمات.

Help Net Security .5

http://www.net-security.org :المصدر

ھو موقع إخباري یومي عن الأمن والذي یغطي أحدث الأخبار عن أجھزة الكمبیوتر وأمن الشبكات منذ تأسیسھا عام .1998 بجانب تغطیة

للأخبار في جمیع أنحاء العالم، فأنھ یركز أیضا على جودة المواد الفنیة والورقات، ونقاط الضعف، تحذیرات البائعین، والبرمجیات الخبیثة،

وتستضیف أكبر مساحة تحمیل للبرمجیات الأمنة مع برامج ویندوز، لینكس، ونظام التشغیل X OS Mac.

HackerStorm .6

http://www.hackerstorm.com.uk :المصدر

ھو مورد أمني للقراصنة الأخلاقیین ومختبري الاختراق لوضع خطط اختبار الاختراق أفضل ونطاقات أفضل، وإجراء بحوث عن الضعف.

SC Magazine .7

http://www.scmagazine.com :المصدر

ھو موقع یتم نشره من قبل .Inc Media Haymarket وھو جزء من العلامة التجاریة العالمیة. ویوجد ثلاثة إصدارات من ھذه المجلة.

Canada and .S.U –America North إصدار لأمریكا الشمالیة مخصص لأمریكا وكندا

Europe mainland and K.U – International إصدار عالمي مخصص لإنجلترا وبعض البلدان الأوربیة.

online Pacific Asia إصدار یتم قراءتھ بواسطة صانعي القرار لأكثر من -20دولھ موجود في منطقة المحیط الھادي.

المجلة یتم إصدارھا شھریا في أول أسبوع في الشھر. وھي أكبر مجلھ لأمن المعلومات في العالم مع أكبر توزیع في العالم. بدأت العمل سنة

.1989

Computerworld .8

http://www.computerworld.com :المصدر

لأكثر من 40 سنھ أصبحت world computer المصدر الرئیسي للأخبار التكنولوجیا والمعلومات على مستوى العالم.

HackerJournals .9

http://www.hackerjournals.com :المصدر

ھو مجتمع أمن المعلومات على الإنترنت. إنھا تنتشر الأخبار المتعلقة على وجھ التحدید لتھدیدات أمن المعلومات والقضایا من جمیع أنحاء

العالم. وھم عباره عن فریق بحثي یعمل على بحث وتجمیع الأخبار من عشرات الآلاف من المواقع لتجلب لك عناوین الأمن الأكثر ملاءمة

في مكان واحد. بالإضافة إلى الأخبار، فأنھا تستضیف blogs والمناقشات، وأشرطة الفیدیو التعلیمیة، ولقد أصبح من أفضل مواقع الإختراق

الأكثر شھره في العالم.

WindowsSecurity Blogs .10

http://blogs.windowsecurity.com :المصدر

كتب بواسطة المؤلفین المشھورین الذین یقودون خبراء الصناعة.

ما ھو اختبار الاختراق (TESTING PENETRATION IS WHAT(؟

اختبار الاختراق (test penetration(: ھو وسیلة لتقییم مستویات الأمن لنظام أو لشبكة معینة. تساعد على حمایة الشبكة حیث إذا لم یتم

اكتشاف نقاط الضعف في أسرع وقت ممكن فإنك سوف تكون مصدر سھل للھاكر.

خلال اختبار الاختراق، فان الشخص الذي یقوم بھذا الاختبار یحلل كل الإجراءات الأمنیة التي تستخدمھا المنظمة لتشخیص ضعف التصمیم،

والعیوب الفنیة، ونقاط الضعف. ھناك نوعان من الاختبار كالاتى:

• الصندوق الأسود (box black(

ھو إنشاء ھجوم من قبل أشخاص لیس لدیھم معرفة مسبقة عن البینة التحتیة لفحصھا.

• الصندوق الأبیض (box white(

ھو إنشاء ھجوم من قبل أشخاص لدیھم معرفة كاملة عن البنیة التحتیة للشبكة.

بمجرد الانتھاء من الاختبارات فان الشخص المسئول عن الاختبارات (tester pen (یبدا في إعداد تقاریر والتي تشمل جمیع نتائج الاختبار

والتي تبین مناطق الضعف التي تم إیجادھا.

وتشمل ھذه التقاریر تفاصیل عن نتائج نشاط الاختراق، ونقاط الضعف مفصلة وإجراءات الوقایة والاقتراحات وعادة ما یكون تسلیمھا في

شكل نسخة مطبوعة لأسباب أمنیة.

ما أھمیة TESTER PEN؟

• تحدید التھدیدات التي تواجھ أصول المعلومات في المؤسسة

• تخفیض تكالیف أمن تكنولوجیا المعلومات للمؤسسة وتوفیر أفضل عائد من الاستثمار الأمن (ROSI (حسب تحدید وحل نقاط

(ROSI = Return On Security Investment) .الضعف

• توفیر المنظومة مع الضمان: من خلال تقییم شامل للمنظومة الأمنیة والتي تغطي السیاسة(policy(، والإجراءات، والتصمیم،

والتنفیذ.

• الكسب والحفاظ على شھادة لتنظیم الصناعة(.etc HIPAA7799,BS (.

• تبني أفضل الممارسات من خلال مطابقة اللوائح القانونیة والصناعة.

• الاختبار والتحقق من صحة وكفاءة الحمایة الأمنیة والضوابط.

• تغییر أو ترقیة البنیة التحتیة القائمة من البرمجیات أو الأجھزة أو تصمیم الشبكات.

• التركیز على نقاط الضعف الأكثر شده والتأكید من الأمن على مستوى التطبیق.

• توفیر نھج شامل لخطوات إعداد التي یمكن اتخاذھا لمنع الاستغلال.

• تقییم كفاءة أجھزة أمن الشبكات مثل الجدران الناریة والموجھات/الراوتر وخوادم ویب.

•

منھج اختبار الاختراق METHODOLOGY TESTING PENETRATION

بمثابة إنك tester pen، فیجب علیك ألا تغفل عن أي مورد للمعلومات. یجب أن یتم اختبار جمیع مصادر المعلومات الممكنة للبحث عن

ً نقاط الضعف، لیس فقط مصادر المعلومات، ولكن یجب أن یتم اختبار كل آلیة وبرنامج تستخدمھم في عملك لأنھ إذا كان المھاجم لیس قادر

ا

على خرق نظام المعلومات، فانھ أو إنھا قد تحاول الوصول إلى النظام ومن ثم إلى المعلومات الحساسة. ھناك عدد قلیل من الھجمات، مثل

ھجمات الحرمان من الخدمات (services-of-denial(، والتي لا تحتاج إلى الدخول إلى النظام. وبالتالي لضمان أن تحقق فحص لجمیع

السبل الممكنة لاختراق النظام أو الشبكة، یجب علیك اتباع منھجیة اختبار الاختراق. وھذا یضمن النطاق الكامل للاختبار.