تهديدات الأمن السيبراني وضوابطه | الوحدة الأولى | الدرس الثالث

تهديدات الأمن السيبراني وضوابطه هو عنوان الدرس الثالث من الوحدة الأولى التي تحمل اسم “أساسيات الأمن السيبراني” من مقرر “الأمن السيبراني” الفصل الدراسي الثالث.

ستتعرف في هذا الموضوع على تهديدات الأمن السيبراني، وعلاقة الأمن السيبراني بالتحكُّم بالوصول، وتمييز أدواته، بالإضافة لتقييم وتحديد الثغرات الأمنية للأنظمة، وتمييز علاقة الأمن السيبراني بالقرصنة الأخلاقية.

لذا قم بقراءة نواتج التعلُّم، ثم أعد قراءتها وتأكَّد من تحصيلها بعد انتهائك من دراسة الموضوع.

نواتج التعلُّم

• معرفة تهديدات الأمن السيبراني.
• معرفة علاقة الأمن السيبراني بالتحكُّم بالوصول.
• تمييز أدوات التحكُّم بالوصول.
• تقييم وتحديد الثغرات الأمنيَّة للأنظمة.
• تمييز علاقة الأمن السيبراني بالقرصنة الأخلاقية.

هيا لنبدأ!

تهديدات الأمن السيبراني (Cybersecurity Threats)

تهديدات الأمن السيبراني هي أي أنشطة ضارة تهدف إلى إلحاق الضرر بالأنظمة والشبكات والبيانات الرقمية أو استغلالها بطريقة غير مشروعة. وتشمل هذه التهديدات مجموعة واسعة من الهجمات الإلكترونية التي يمكن أن تؤثر على الأفراد، المؤسسات، وحتى الدول.

ومن أبرز هذه التهديدات:

تهديدات البيانات (Data threats)

إن حماية البيانات أمرًا بالغ الأهمية خاصة في ظل تزايد تخزين المعلومات الشخصية الحساسة رقميًا، ويجب على المؤسسات التعامل مع البيانات الشخصية بشكل آمن ومسؤول، وتشمل مخاوف حماية البيانات الرئيسية ما يلي:

• خروقات البيانات (Data Breaches): يحدث عند الوصول غير المصرح به إلى البيانات الشخصية أو الكشف عنها بسبب ضعف التدابير الأمنية أو أخطاء بشرية.
• انتحال الهوية (Identity Theft): يتمثل في استخدام المعلومات الشخصية لشخص آخر بطريقة احتيالية لتحقيق مكاسب غير مشروعة.
• سيادة البيانات (Data Sovereignty): تشير إلى التحديات القانونية الناجمة عن تخزين البيانات في بلدان مختلفة تخضع لقوانين خصوصية متباينة.

انتحال الشخصية (Identity Theft)

يحدث انتحال الشخصية عادة من خلال سرقة المعلومات الشخصية لفرد ما واستخدامها بطريقة احتيالية، من أجل تحقيق مكاسب ما، ومن أمثلة انتحال الشخصية في العالم الرقمي:

• انتحال الهوية (spoofing): يتمثل في استخدام المعلومات الشخصية لشخص آخر بطريقة احتيالية لتحقيق مكاسب غير مشروعة.
• هجوم التصيد المستهدف (spear-phishing): يتمثل في التصيد المستهدف إلى الأفراد أو المؤسسات برسائل مخصصة بهدف الحصول على معلوماتهم الحساسة والشخصية.

التتبع الإلكتروني (Online Tracking)

هو عملية مراقبة وتحليل أنشطة المستخدمين عبر الإنترنت لتحديد اهتماماتهم وعاداتهم الرقمية، مما يثير مخاوف تتعلق بالخصوصية والمراقبة. يمكن أن يتم التتبع الإلكتروني بطرق مختلفة، منها:

• ملفات تعريف الارتباط (Cookies): وهي ملفات نصية صغيرة تُوضع على جهاز المستخدم بواسطة مواقع الويب لتتبع نشاط التصفح والتفضيلات.
• تتبع السلوك (Behavioral Tracking): يتمثل في مراقبة وتحليل نشاط الأفراد عبر الإنترنت لإنشاء ملف تعريف شخصي يتضمن اهتماماتهم وعاداتهم، وغالبًا ما يُستخدم هذا النوع في الإعلانات المستهدفة.

التتبع الإلكتروني قد يكون مشروعًا في بعض الحالات مثل تخصيص المحتوى، لكنه في أحيان أخرى يُستخدم دون موافقة المستخدم، مما يستلزم اتخاذ تدابير لحماية الخصوصية.

لمعرفة المزيد من المعلومات عن كيفية القضاء على التهديدات السيبرانية، قم بالاطّلاع على الرابط التالي:

مطاردة التهديدات السيبرانية – ويكيبيديا

الأمن السيبراني والتحكم بالوصول (Cybersecurity and access control)

يعدُّ التحكم بالوصول عنصرًا أساسيًا في الأمن السيبراني، حيث يهدف إلى حماية أنظمة المعلومات وخصوصية البيانات من الوصول غير المصرح به والتعديل غير المشروع.

يعتمد التحكم بالوصول على عدة نماذج، مثل:

• التحكم بالوصول بناءً على الدور (Role-Based Access Control – RBAC): يعتمد على تعيين الأذونات للمستخدمين بناءً على أدوارهم داخل المؤسسة.
• التحكم بالوصول بناءً على السمات (Attribute-Based Access Control – ABAC): يمنح الأذونات وفقًا لمجموعة من السمات مثل الموقع، الوقت، أو نوع الجهاز المستخدم.
• إدارة الهوية والوصول (Identity and Access Management – IAM): تتضمن عمليات إدارة هويات المستخدمين، والمصادقة، وتفويض الصلاحيات، والتدقيق المستمر لمحاولات الوصول​.

يساعد التحكُّم بالوصول في تحقيق أهداف أمنية متعددة، مثل:

• المصادقة (Authentication): التأكد من هوية المستخدم قبل منحه الوصول.
• التفويض (Authorization): تحديد الموارد التي يمكن للمستخدم الوصول إليها.
• عدم الإنكار (Non-Repudiation): ضمان عدم إنكار المستخدم لأي نشاط قام به داخل النظام.
• مبدأ الحد الأدنى من الصلاحيات والامتيازات (Principle of Least Privilege): يقتضي منح المستخدمين الحد الأدنى من الصلاحيات الضرورية لأداء مهامهم فقط، مما يقلل من المخاطر المحتملة الناتجة عن الاختراق أو التهديدات الداخلية.
• الحاجة إلى المعرفة (Need to Know): يقضي هذا المبدأ بتحديد الوصول إلى المعلومات بناءً على الحاجة الفعلية لأداء المهام المطلوبة، مما يحدّ من احتمالية وصول غير المصرح لهم إلى البيانات الحساسة.
• تعدد الطبقات (Layering): يشير إلى استخدام عدة طبقات من الحماية لضمان عدم الوصول غير المصرح به للبيانات، بحيث يكون هناك أكثر من حاجز أمني يمنع التسلل.
• تنويع الأنظمة (Diversification): يعتمد على استخدام تقنيات أمنية مختلفة للحد من الهجمات المحتملة، بحيث لا يؤدي اختراق نظام واحد إلى تعريض جميع البيانات للخطر.
• التعتيم (Obscurity): يركز على إخفاء بعض المعلومات الحساسة لمنع الوصول غير المشروع إليها، مثل إخفاء تفاصيل البنية التحتية للمؤسسة أو طرق حماية الأنظمة.
• التدقيق والمراقبة (Auditing and Monitoring): يجب أن تتضمن أنظمة التحكُّم بالوصول قدرات تدقيق ومراقبة لتَتبُّع أنشطة المُستخدِم ومحاولات الوصول، ومن خلال تسجيل ومراجعة محاولات وأحداث الوصول يمكِن للمؤسسات تحديد الأنشطة المشبوهة، واكتشاف الانتهاكات الأمنية المحتملة، وضمان الامتثال للسياسات الداخلية واللوائح الخارجية.

بالتالي، يعد التحكم بالوصول أحد أهم أساليب الحماية السيبرانية، حيث يقلل من مخاطر الاختراقات والتلاعب بالبيانات ويضمن الامتثال للسياسات الأمنية.

بإمكانك مراجعة محتوى موضوع “تهديدات الأمن السيبراني وضوابطه” من بدايته وحتى نهاية هذا القسم، من خلال الرابط التالي:

أدوات التحكم بالوصول للأمن السيبراني (Cybersecurity Access Control Tools)

التحكم في إدارة الهوية والوصول (IAM)

تُعد عمليات إدارة الهوية والوصول (Identity and access management – IAM) من المكونات الأساسية للأمن السيبراني، حيث تساعد المؤسسات على إدارة هويات المستخدمين وحمايتها، ويتم تصميم حلول إدارة الهوية والوصول لتوفير تحكم مركزي في هويات المستخدمين وفي الوصول للموارد.

ويوجد الكثير من المميزات الإضافية مثل:

1. المصادقة (Authentication): تتضمن استخدام العوامل المتعددة (MFA) للتحقق من هوية المستخدمين قبل السماح لهم بالوصول.
2. التفويض (Authorization): يحدد أذونات الوصول للمستخدمين استنادًا إلى الأدوار (RBAC) أو نماذج تحكم أخرى.
3. إدارة الهوية (Identity Management): تشمل إدارة حسابات المستخدمين عبر الأنظمة والتطبيقات المختلفة.
4. تسجيل الدخول الموحد (Single Sign-On – SSO): يتيح للمستخدمين تسجيل الدخول مرة واحدة للوصول إلى أنظمة متعددة.
5. خدمات الدليل (Directory Services): توفر قاعدة بيانات مركزية لإدارة حسابات المستخدمين والوصول إلى الموارد.
6. التدقيق والإبلاغ (Auditing and Reporting): يمكن المؤسسات من مراقبة أنشطة المستخدمين واكتشاف النشاط المشبوه.
7. إدارة الوصول للصلاحيات (Privileged Access Management – PAM): تضمن التحكم في صلاحيات المستخدمين ذوي الامتيازات العالية.

مثال على الدليل النشط (Active Directory Example)

يشرح المثال كيفية عمل الدليل النشط (Active Directory) في بيئة المؤسسات، وكيف يتم تنظيمه لتسهيل إدارة الحسابات والأجهزة والموارد، وإليك التفاصيل:

1. تعريف Active Directory

• هو خدمة من مايكروسوفت تسمح للمسؤولين بإنشاء وإدارة حسابات المستخدمين، المجموعات، أجهزة الحاسب، الموارد، والتحكم في الوصول إليها.
• يعتمد على التحكم في الوصول بناءً على الدور (RBAC)، أي أن لكل مستخدم أذونات وصلاحيات محددة حسب دوره في المؤسسة.

2. مكونات الدليل النشط

• النطاق (Domain): يمثل مجموعة من موارد المؤسسة مثل حسابات المستخدمين وأجهزة الحاسب والبيانات.
• الشجرة (Tree): تتكون من مجموعة نطاقات (Domains) مرتبطة مع بعضها بمساحة أسماء مشتركة.
• الغابة (Forest): هي مجموعة من الأشجار (Trees) يمكنها مشاركة الموارد والتعاون فيما بينها، حتى لو كانت من كيانات مختلفة.

3. استخدامات الدليل النشط

• يسمح للمؤسسات بالتحكم في وصول المستخدمين إلى الموارد المختلفة وفقًا للأذونات الممنوحة لهم.
• يدعم المصادقة الموحدة (SSO) بحيث يتمكن المستخدم من تسجيل الدخول مرة واحدة للوصول إلى عدة أنظمة.
• يُستخدم في الشركات متعددة الفروع التي تحتاج إلى مشاركة الموارد بين مقراتها المختلفة.

4. المخطط الهرمي للدليل النشط

• قمة الهرم: تمثل سياسات المجموعة (Group Policies) التي تحدد القواعد العامة للمستخدمين والأجهزة.
• المستويات المتوسطة: تشمل المستخدمين، المشاركات، مجموعات الأمن، وحدات التنظيم، وهي الكيانات التي يتم إدارتها داخل الدليل النشط.
• قاعدة الهرم: تتضمن الأجهزة والموارد مثل الخوادم، الحواسيب المحمولة، محطات العمل، الهواتف المحمولة، والتي تتم إدارتها عبر الدليل النشط.

المميزات والمشكلات المحتملة لأنظمة التحكم في إدارة الهوية والوصول (IAM)

مهاجمة إدارة الهوية والوصول (Attacking an IAM)

هناك عدة طرق يمكن للمهاجمين استخدامها لمهاجمة أنظمة إدارة الهوية والوصول (IAM)، ومنها:

• الهندسة الاجتماعية (Social Engineering): استغلال الخداع والتلاعب النفسي لإقناع المستخدمين بالكشف عن بيانات حساسة.
• هجوم القوة العشوائية (Brute-Force): تجربة كلمات مرور مختلفة لاختراق حسابات المستخدمين.
• رفع مستوى الصلاحيات (Privilege Escalation): استغلال الثغرات الأمنية للوصول إلى بيانات حساسة أو أنظمة أخرى.
• التهديدات الداخلية (Insider Threats): قيام مستخدم داخلي مصرح له بالوصول بتسريب أو سرقة البيانات أو استغلال الصلاحيات.
• هجمات الوسيط (MitM – Man-in-the-Middle): اعتراض الاتصالات بين المستخدمين والنظام وسرقة بيانات تسجيل الدخول.
• هجمات حجب الخدمة الموزع (DDoS – Distributed Denial of Service): تعطيل نظام IAM ومنعه من تنفيذ المصادقات ومعالجة الطلبات.

تسجيل الدخول الموحد (Single Sign-On – SSO)

يسمح للمستخدمين بالوصول إلى موارد متعددة باستخدام بيانات اعتماد واحدة، لكن يمكن أن يكون نقطة ضعف إذا تم اختراقه.

 الميزات والمشكلات المحتملة لمصادقة تسجيل الدخول الموحد (SSO)

بإمكانك مراجعة محتوى موضوع “تهديدات الأمن السيبراني وضوابطه” بدايةً من عنوان “أدوات التحكُّم بالوصول للأمن السيبراني” وحتى نهاية هذا القسم، من خلال الرابط التالي:

تقييم وتحديد الثغرات الأمنيَّة للأنظمة (Assessing and Identifying Vulnerabilities of Systems)

هناك العديد من استراتيجيات الأمن السيبراني وتقنياته لتقييم وتحديد الثغرات الأمنيَّة ونقاط ضعف أنظمة المعلومات، من أبرزها تقييم الثغرات الأمنيَّة (Vulnerability Assessment) واختبار الاختراق (Penetration Testing – PT)، وهما من الممارسات الأساسية للأمن السيبراني التي تساعِد المؤسسات على تقييم وتحديد الثغرات الأمنيَّة ونقاط الضعف في أنظمتها.

حيث تسمح هذه الإجراءات الاستباقية للمؤسسات بمعالجة المخاطر الأمنيَّة المحتملة قبل تَمكُّن الجهات الخبيثة من استغلالها، وفيما يلي شرح لهذه الاستراتيجيات:

تقييم الثغرات الأمنية (Vulnerability Assessment – VA)

تتناول الوثيقة استراتيجيات الأمن السيبراني لتقييم وتحديد الثغرات الأمنية في الأنظمة، مع التركيز على تقييم الثغرات الأمنية (Vulnerability Assessment – VA) واختبار الاختراق (Penetration Testing – PT).

تقييم الثغرات الأمنية (VA)

يهدف إلى تحليل الثغرات الأمنية وتحديد أولويات معالجتها باستخدام عدة خطوات:

• المسح (Scanning): فحص الأنظمة بحثًا عن الثغرات والإعدادات غير الآمنة.
• الإبلاغ (Reporting): توثيق الثغرات التي تم تحديدها وتأثيرها المحتمل.
• تحديد الأولويات (Prioritization): تصنيف الثغرات بناءً على خطورتها وأهميتها.
• التصحيح (Remediation): تنفيذ حلول لمعالجة الثغرات وتقليل المخاطر الأمنية.

اختبار الاختراق (PT)

يهدف إلى محاكاة هجمات حقيقية لاختبار فعالية الأمن السيبراني، ويتضمن المراحل التالية:

• التخطيط والنطاق (Planning and Scope): تحديد أهداف الاختبار والأنظمة المستهدفة.
• الاستطلاع (Reconnaissance): جمع المعلومات عن الأنظمة لتحديد نقاط الضعف المحتملة.
• الاستغلال (Exploitation): محاولة استغلال الثغرات للوصول غير المصرح به إلى الأنظمة والبيانات.
• الإبلاغ (Reporting): توثيق نتائج الاختبار والتوصيات اللازمة للتحسين.

يساعِد كل من VA وPT المؤسسات في تعزيز أمنها السيبراني من خلال الكشف عن الثغرات ومعالجتها قبل أن يتم استغلالها من قبل المهاجمين.

الأمن السيبراني والقرصنة الأخلاقية (Cybersecurity and Ethical Hacking)

يطلق اسم القراصنة الأخلاقيون (Ethical Hackers) أو القراصنة ذوي القبعات البيضاء (White-Hat Hackers) على المتخصصين في اختبار الأنظمة والأدوات لتحديد الثغرات ونقاط ضعف أنظمة المؤسسة أو شبكاتها، أو تطبيقاتها. يكمن الاختلاف الأساسي بين القرصنة الأخلاقية والقرصنة الخبيثة في: الإجراءات المستخدمة، والأدوات، والنيات. حيث يعمل القراصنة الأخلاقيون ضمن الحدود القانونية والأخلاقية لمساعدة المؤسسات على تحسين أمنها السيبراني بدلاً من استغلال الثغرات الأمنية لتحقيق مكاسب شخصية.

من المهم النظر الموضوعي عند مناقشة القرصنة الأخلاقية. ففي بعض الأحيان، قد يتم استخدام المصطلح أو إساءة استخدامه، بحيث تكون القرصنة الأخلاقية بلا هدف واضح سوى تحديد القدرات التقنية، ولكن لا يعني جميعها نية هجوم بل قد تكون استكشافًا أمنيًا بحتًا يساعد في تعزيز أمان الأنظمة.

يركز النشاط التالي على جوانب الحاسمة للضمانات الواجب مراعاتها فيما يتعلق بالقرصنة الأخلاقية:

1. الإذن والتفويض: يجب العمل بإذن صريح من المؤسسة التي يتم اختبارها، مع وجود اتفاق واضح يحدد نطاق أنشطتهم وأهدافها وحدودها.
2. الامتثال القانوني: يتضمن الامتثال القانوني والتوعية بالمعايير ذات الصلة، لضمان أن الأنشطة تتم ضمن الحدود القانونية والأخلاقية، ومساعدة على تجنب المشاكل القانونية المحتملة أو المواجهة غير المقصودة.
3. الأمانة والمسؤولية: الالتزام بقواعد السلوك المهني وإثبات الأمانة الأخلاقية. يجب أن يتحمل القراصنة الأخلاقيون مسؤولية أفعالهم ويعبرون عن عدم التسبب في أي ضرر للأنظمة التي يختبرونها.
4. الإفصاح والمعالجة: عند اكتشاف الثغرات الأمنية المحتملة، يجب على القراصنة الأخلاقيين إبلاغ المؤسسة المستهدفة فورًا، وتقديم توصيات للمعالجة. يساعد هذا النهج التعاوني في معالجة مشاكل الأمن بشكل فعال مع الحفاظ على الثقة بين القراصنة الأخلاقيين والمؤسسة.
5. التعليم والشهادات: يساعد التشجيع على التدريب وتأهيل القراصنة الأخلاقيين على تكوين فهم واضح للمعايير الأخلاقية والمهنية التي يجب الحفاظ عليها.

يؤدي المتخصصون في مجال الأمن دورًا حيويًا في تحديد الثغرات الأمنية السيبرانية ومساعدة المؤسسات على تحسين وضعها الأمني. ومع ذلك، فمن الضروري الحفاظ على رؤية متوازنة حول هذه الممارسة لضمان بقائها ضمن الحدود الأخلاقية والقانونية، وتجنب أي إساءة استخدام محتملة للمصطلحات أو المهارات الفنية.

الأنشطة الرئيسية التي يؤديها متخصصو الأمن السيبراني

بإمكانك مراجعة محتوى موضوع “تهديدات الأمن السيبراني وضوابطه” بدايةً من عنوان “تقييم وتحديد الثغرات الأمنية للأنظمة” وحتى نهاية الموضوع، من خلال الرابط التالي:

اختبر تحصيلك لمحتوى الموضوع من خلال الرابط التالي:

الواجب الإلكتروني

إلى هنا يكون قد انتهى موضوع “تهديدات الأمن السيبراني وضوابطه”، لا تنسوا مراجعة نواتج التعلُّم أعلى المقال، وانتظرونا في الموضوع القادم.

روابط هامة

مقررات الفصل الدراسي الثالث