سياسة الأمن السيبراني لدينا، وإجراءاته، وأدواته – لأنها مهمة

بالنسبة للشركات والمؤسسات التي تمتلك أنظمة تكنولوجيا المعلومات وقواعد البيانات والبرامج التي تعتبر أساسية لعملها، فإن كل موظف أو متعاقد تقريبًا يتمتع بأي مستوى من مستويات الوصول إلى الأنظمة يمثل خطرًا أمنيًا محتملاً.

تعد هجمات التصيد الاحتيالي الطريقة الأكثر شيوعًا لاختراق أنظمة تكنولوجيا المعلومات. وعادةً ما يتم تنفيذها عن طريق خداع الموظفين غير المرتابين لحملهم على النقر على رابط أو ملف ضار في مكان ما.

حتى الأشخاص المتمرسون عمومًا في مجال الأمن السيبراني قد يقعون في الفخ في لحظة تشتت الانتباه أو بسبب أسلوب متطور بشكل خاص.

بمجرد أن يتعرض جهاز كمبيوتر له صلاحية الوصول إلى أنظمة تكنولوجيا المعلومات الخاصة بمؤسسة ما للاختراق بواسطة برامج ضارة، فإن هؤلاء المخططين الخبيثين الذين يعملون في الخفاء يشرعون عادةً في البحث عن نقاط الضعف.

حتى الوصول المحدود للغاية إلى أنظمة تكنولوجيا المعلومات والبرمجيات الحساسة، مثل حساب البريد الإلكتروني الخاص بالشركة، يمكن استغلاله بواسطة برامج ضارة متطورة؛ فعلى سبيل المثال، قد تطلق هذه البرامج هجومًا جديدًا للتصيد الاحتيالي على عناوين بريد إلكتروني أخرى تابعة للشركة مباشرةً من عنوان بريد إلكتروني داخلي تم التحقق من صحته.

وعادةً ما يكون ذلك كافياً للوصول إلى أجهزة كمبيوتر أخرى داخل المؤسسة أو خارجها، لا سيما تلك التي يتمتع مستخدموها بامتيازات وصول أكبر إلى أنظمة تكنولوجيا المعلومات الحساسة.

وبالطبع، كلما زادت صلاحيات الوصول التي يتمتع بها مستخدم أي جهاز مصاب إلى أنظمة تكنولوجيا المعلومات، زادت درجة الضعف أو التهديد الذي يمثله ذلك المستخدم لأمن المنظمة السيبراني.

اطلع على منشورنا المخصص لأمن تكنولوجيا المعلومات على المدونة للحصول على نظرة عامة شاملة حول التهديدات والمخاطر الأكثر شيوعًا في مجال تكنولوجيا المعلومات، وكيفية تعاملنا معها.

يمثل المتخصصون في تكنولوجيا المعلومات تهديدًا كبيرًا بشكل خاص لأمنك السيبراني

إذا كان لديك متخصصون في تكنولوجيا المعلومات يعملون بنشاط على تطوير وصيانة أنظمة برمجيات خاصة بشركتك أو إدارة البنية التحتية، فإن هؤلاء الأفراد يتمتعون بإمكانية الوصول إلى صميم شريان الحياة الرقمي لشركتك. وإذا تعرضت أجهزة الكمبيوتر التي يعملون عليها للاختراق، فستكون في مأزق.

حتى لو كان عدد الأفراد الذين يمكنهم الوصول إلى البيانات والأنظمة الحساسة محدودًا، وحتى لو كانت هناك طبقات أمنية إضافية مطبقة، فإن أخصائيي تكنولوجيا المعلومات عادةً ما يتمتعون بسلطة وصول واسعة بما يكفي لتشكل خطرًا متزايدًا.

يشكل أخصائيو تكنولوجيا المعلومات تهديدًا للأمن السيبراني على مستويين رئيسيين:

• هجمات التصيد الاحتيالي – يتيح الوصول الأوسع نطاقاً إلى أنظمة تكنولوجيا المعلومات والبرمجيات الحساسة فرصاً أكبر للبرامج الضارة.
• هجمات البرمجة النصية (XSS): قد تتضمن هجمات XSS إدخال نصوص برمجية ضارة في البرامج. وغالبًا ما يتم ذلك عن طريق إخفاء هذه النصوص في كتل أو مقتطفات برمجية جاهزة يستخدمها المطورون أثناء بناء البرامج.

غالبًا ما يستخدم المطورون وغيرهم من المتخصصين في تكنولوجيا المعلومات أجزاءً من الكود المأخوذة من المكتبات وأطر العمل والموارد الأخرى مثل المنتديات. وعادةً ما تخضع مستودعات الكود مفتوحة المصدر الكبرى لرقابة صارمة. لكن الهجمات التي تُنفَّذ عبر البرامج النصية والمُخفية ضمن المساهمات قد تتسلل أحيانًا.

تزداد المخاطر بشكل كبير إذا تم استنساخ الكود من مصادر لا تخضع لمراجعة دقيقة، مثل منتديات المطورين أو مستودعات مثل GitHub.

تبذل K&C جهودًا إضافية في مجال الأمن السيبراني لحمايتك أثناء تعاونك معنا – سياستنا الأمنية ومجموعة أدواتنا الأمنية

إن وجود سياسة وثقافة داخلية مفصلة في مجال الأمن السيبراني، مع الالتزام الصارم بها، يقلل بشكل كبير من مخاطر ارتكاب الأفراد للأخطاء التي غالبًا ما تؤدي إلى اختراق الأجهزة.

تشمل سياسة الأمن السيبراني الخاصة بنا ما يلي:

• القواعد المتعلقة بالبرامج المسموح بتثبيتها على أجهزة العمل – يجب أن تكون من مورد موثوق به ومعتمد.
• القواعد المتعلقة بأنواع الملفات التي يمكن فتحها أو تنزيلها على أجهزة العمل – يجب أن تكون هذه الملفات أيضًا من مصادر موثوقة ومعتمدة.
• سياسة أمن البريد الإلكتروني (ترتبط ارتباطًا وثيقًا بالسياسة السابقة)
• سياسة حماية كلمات المرور
• سياسة نقل البيانات
• سياسة أمان الأجهزة

لا تكفي سياسة الأمن السيبراني القائمة على القواعد وحدها — بل هناك حاجة أيضًا إلى مجموعة أدوات

ولكن على الرغم من أهمية وضع قواعد صارمة وغرس ثقافة للأمن السيبراني تضع الأمن في المقام الأول، فإن ذلك لا يكفي.

حتى مع وجود أفضل النوايا والذكاء والرغبة، فإن البشر معرضون للخطأ. فنحن جميعًا نرتكب أخطاء، وكما سبق أن أشرنا، فإن تهديدات الأمن السيبراني تزداد تعقيدًا.

كما أن سياسة أمنية تبلغ فعاليتها 99٪ — وهي على أي حال غير واقعية لأي نظام يعتمد على التزام الأفراد التام بالخطة الموضوعة — تعتبر نسبة منخفضة للغاية. لا سيما عندما يتعلق الأمر بأخصائيي تكنولوجيا المعلومات.

يجب أن تكون هناك شبكة أمان آلية لتصحيح أي أخطاء قد تحدث.

لدينا أداتان أساسيتان للأمن السيبراني لتزويدكم بخطوط دفاع إضافية:

• OpenVPN
• CrowdStrike

نأمل ألا تكون هناك حاجة إليها أبدًا. لكننا لسنا مستعدين للمخاطرة بأمنكم السيبراني، أو أمننا السيبراني، بناءً على هذا الأمل.

OpenVPN

يجب أن يكون برنامج OpenVPN مثبتًا وعاملًا على أجهزة جميع موظفينا والمتعاقدين معنا. ولا يمكن الوصول إلى أي من أنظمة شركتنا ما لم يكن البرنامج نشطًا. كما يمكن أن يشمل ذلك أنظمة تكنولوجيا المعلومات الخاصة بعملائنا.

وهي تستخدم«نموذج أمان صناعي القوة»مصممًا للحماية من الهجمات السلبية والإيجابية على حد سواء. ويستند نموذج الأمان هذا إلى استخدام بروتوكول SSL/TLS لمصادقة الجلسة، وبروتوكول IPSec ESP لنقل البيانات عبر نفق آمن باستخدام بروتوكول UDP.

يدعم OpenVPN بنية المفتاح العام (PKI) X509 لمصادقة الجلسة، وبروتوكول TLS لتبادل المفاتيح، وواجهة EVP المستقلة عن خوارزمية التشفير في OpenSSL لتشفير بيانات النفق، وخوارزمية HMAC-SHA1 لمصادقة بيانات النفق.

وقد تم تصميمه واختباره بدقة ليتمكن من العمل بكفاءة عالية حتى على الشبكات غير الموثوقة. ويتمثل أحد الأهداف الرئيسية لتصميم OpenVPN في أن يكون سريع الاستجابة — سواء في العمليات العادية أو في استعادة الأداء بعد حدوث الأخطاء — تمامًا مثل طبقة IP الأساسية التي يتم إنشاء النفق عبرها.

وهذا يعني أنه في حال انقطاع طبقة بروتوكول الإنترنت لمدة 5 دقائق، فإنه عند عودة الخدمة، ستستأنف حركة مرور النفق على الفور حتى لو تسبب الانقطاع في تعطيل عملية تبادل المفاتيح الديناميكي التي كان من المقرر إجراؤها خلال تلك الفترة.

في حين يوفر OpenVPN العديد من الخيارات للتحكم في معلمات الأمان الخاصة بنفق الشبكة الافتراضية الخاصة (VPN)، فإنه يوفر أيضًا خيارات لحماية أمن الخادم نفسه، مثل الخيار –chroot لتقييد الجزء من نظام الملفات الذي يمكن لبرنامج OpenVPN الخفي الوصول إليه، والخيارين –user و–group لتقليص امتيازات البرنامج الخفي بعد التهيئة، والخيار –mlock لضمان عدم نقل مواد المفاتيح وبيانات النفق أبدًا إلى القرص، حيث قد يتم استردادها لاحقًا.

CrowdStrike

تُعد CrowdStrike المعيار الذهبي في مجال حلول حماية النقاط الطرفية، وهي توفر الحماية لجميع أجهزة K&C. إلا أن التراخيص باهظة الثمن، مما يعني أن غالبية المؤسسات لن تستثمر بهذا الحجم. ونحن لا نعتبر ذلك خيارًا.

تستفيد شركة CrowdStrike من أحدث تقنيات التعلم الآلي لفحص أي برامج أو مستندات يتم إدخالها إلى الجهاز بحثًا عن التهديدات. وتتيح تقنياتها القائمة على البيانات الضخمة والذكاء الاصطناعي والحوسبة السحابية تحديد التهديدات الناتجة عن الأكواد الخبيثة واكتشافها، وهو ما لا تستطيع أدوات السوق الشائعة القيام به.

إلى جانب خط الدفاع الأول هذا، الذي يتسم بفعالية بالغة، تعمل شركة CrowdStrike أيضًا بشكل مستمر على البحث بنشاط عن التهديدات التي قد تكون مخبأة نظريًّا داخل الأجهزة.

كما تحمي CrowdStrike سلامة البرامج التي تقوم بتطويرها

كما أن تثبيت برنامج CrowdStrike على الجهاز يوفر الحماية من خطر — مهما كان ضئيلاً — إدراج شفرة ضارة في البرامج أثناء عملية تطويرها.

فإنه سيكتشف أي شيء غير مرغوب فيه في الأكواد المكتوبة مسبقًا أو مقتطفات البرامج النصية التي قد يستخدمها المطورون أو غيرهم من المتخصصين في تكنولوجيا المعلومات في عملهم. إن عدم الاستفادة مطلقًا من كتل الأكواد المكتوبة مسبقًا من شأنه أن يجعل عملية تطوير البرمجيات غير فعالة ومكلفة على مستوى مختلف تمامًا.

ما لم تكن تعمل على تطوير أنظمة تتطلب أعلى مستوى ممكن من الأمان — مثل البنية التحتية الوطنية أو المصرفية أو قطاع الطاقة وما إلى ذلك — فإن الامتناع تمامًا عن استخدام الكتل الجاهزة ومقتطفات الكود لن يكون أمرًا عمليًّا على الإطلاق.

يمكن تقليل المخاطر الكامنة في مثل هذا الكود بشكل كبير إذا تم اتباع قواعد صارمة، مثل الاقتصار على استخدام مستودعات موثوقة. لكن، مرة أخرى، لا تكفي السياسات القائمة على القواعد وحدها. وتقوم شركة CrowdStrike هنا أيضًا بالتصدي للأخطاء البشرية والتطور المتزايد لأساليب الجهات الخبيثة.

ونتيجة لذلك، يمكن لشركة K&C أن تضمن بشكل قاطع سلامة أي كود يتم كتابته أو تنفيذه على الأجهزة المعتمدة من الشركة والمحمية بواسطة CrowdStrike.

يُعد الأمن السيبراني أولوية قصوى بالنسبة لنا، كما يجب أن يكون كذلك بالنسبة لكم أيضًا. إذا كانت لديكم أي أسئلة أخرى أو كنتم ترغبون في الحصول على مزيد من التفاصيل حول سياستنا وأدواتنا المتعلقة بالأمن السيبراني، فلا تترددوا في طرحها.

اتبع نهجًا لا يقبل أي تنازلات في مجال الأمن السيبراني، لا سيما فيما يتعلق بخدمات تكنولوجيا المعلومات التي تقدمها أطراف ثالثة.