الفصل السابع : Explain various types of
vulnerabilities
الجزء الأول : #1
شرح الأنواع المختلفة من الثغرات الأمنية (Explain various types of vulnerabilities):
يتناول هذا الفصل الهدف الثالث من المجال 2.0، "التهديدات، الثغرات، والتخفيفات" من امتحان CompTIA Security Plus ، وفي هذا الفصل، سنستعرض الأنواع المختلفة من الثغرات الأمنية في مجال الأمن السيبراني، بما في ذلك الثغرات المتعلقة بالتطبيقات، أنظمة التشغيل، والثغرات المستندة إلى الويب، بالإضافة إلى أنواع مختلفة من الثغرات الخاصة بالأجهزة والسحابة، وستتناول الأقسام الأخيرة من هذا الفصل المخاطر المحتملة لاستخدام الموردين الخارجيين والأجهزة المحمولة داخل مؤسستك.
سيوفر لك هذا الفصل نظرة عامة على سبب اعتماد الشركات على هذه العمليات للحفاظ على أمان بيئتها، مما يضمن استعدادك للإجابة بنجاح على جميع أسئلة الامتحان المتعلقة بهذه المفاهيم للحصول على الشهادة.
ثغرات التطبيقات (Application Vulnerabilities):
عند الغوص في عالم الثغرات البرمجية، نجد أنفسنا أمام هجمات مثل حقن الذاكرة (memory injection)، وتجاوز السعة التخزينية (buffer overflow)، وسباقات الظروف (race conditions)، ويمكن استغلال هذه الثغرات المعقدة من قبل الأشخاص ذوي النوايا السيئة. كما أن ثغرات التحقق في الوقت (Time-of-check TOC) والاستخدام في الوقت (Time-of-use TOU) تضيف طبقة أخرى من التعقيد، مما يشكل تهديدات لتوقيت العمليات، وبالإضافة إلى ذلك، فإن الاحتمال المزعج لتحديث ضار يلقي بظلال من الشك على الثقة التي نضعها في أنظمة البرمجيات. دعونا نتناول كل واحدة من هذه الثغرات البرمجية بالتفصيل:
- Memory injection: تحدث هذه الهجمات عندما يتم إدخال تعليمات برمجية ضارة بشكل سري في مساحة ذاكرة البرنامج، مما يتيح للمهاجمين استغلال الثغرات للحصول على وصول غير مصرح به أو تنفيذ أوامر عشوائية. قد تكون التطبيقات الشرعية عرضة للاستغلال، مما يسمح للمهاجمين بالاستفادة من الثغرات للحصول على وصول غير مصرح به أو تنفيذ أوامر عشوائية.
هذه الثغرة يمكن استغلالها بواسطة أدوات تحليل الطب الشرعي (forensic toolkits)، والتي تُصمم لتحليل والتفاعل مع التطبيقات التي تعمل في ذاكرة الكمبيوتر، ويمكن لهذه الأدوات الوصول إلى عمليات التطبيق وبياناته والتلاعب بها، متجاوزةً وظيفة التطبيق الأساسية، وقد يؤدي هذا الوصول والتلاعب غير المصرح به إلى اختراق أمان التطبيق، مما يؤدي إلى تسرب البيانات أو فقدان سلامة البيانات، بل ويمكن أن يوفر بوابة لاختراق النظام بشكل أوسع من قبل الجهات الضارة.
الخطر يكمن في قدرة هجمات حقن الذاكرة على البقاء غير مكتشفة. من خلال استغلال الطبيعة الديناميكية لتخصيص الذاكرة، يمكن للمهاجمين تجاوز التدابير الأمنية التقليدية، والتحدي الذي يواجه المدافعين هو إنشاء دفاعات قوية لمواجهة هذه الهجمات، من خلال اعتماد تقنيات مثل توقيع التعليمات البرمجية، والتحقق من صحة المدخلات، وآليات حماية الذاكرة.
أحد الأمثلة الشهيرة على هجوم حقن الذاكرة هو الدودة Code Red التي أصابت خوادم Microsoft IIS في عام 2001، واستغلت الدودة ثغرة تجاوز السعة التخزينية في خدمة الفهرسة بالخادم، مما أتاح لها حقن تعليمات برمجية ضارة في ذاكرة النظام، وتم تنفيذ هذه التعليمات باستخدام أوامر عشوائية، مما أدى إلى تعطل الخوادم والوصول غير المصرح به.
- Buffer overflow: تخيل دلوًا يمكنه حمل كمية محددة من الماء فقط، ويحدث هجوم تجاوز السعة التخزينية عندما يتم سكب كمية زائدة من الماء في الدلو، مما يتسبب في انسكابه وإلحاق الأضرار بالمنطقة المحيطة. بنفس الطريقة، يقوم المهاجمون بإغراق السعة التخزينية للبرنامج ببيانات زائدة، مما يؤدي إلى تجاوز المساحات المجاورة في الذاكرة، وتعطيل تنفيذ البرنامج، وفتح الأبواب للوصول غير المصرح به.
تأثيرات هجمات تجاوز السعة التخزينية واسعة النطاق، ويمكن أن تؤدي إلى تعطل النظام، وعدم استقراره، والأكثر إثارة للقلق هو تنفيذ التعليمات البرمجية العشوائية بواسطة المهاجمين، ويتطلب الدفاع ضد هذه الهجمات نهجًا متعدد الجوانب، يشمل التحقق من صحة المدخلات، وإدارة الذاكرة بشكل صحيح، واستخدام لغات البرمجة التي تحتوي على ضمانات مدمجة ضد مثل هذه الاستغلالات. من خلال فهم ومعالجة تفاصيل هجمات تجاوز السعة التخزينية، يمكننا تعزيز الحماية في بيئتنا الرقمية ضد هذا التهديد المستمر.
أحد الأمثلة الحقيقية لهجوم تجاوز السعة التخزينية هو دودة "Slammer"، والمعروفة أيضًا باسم "SQL Slammer"، في يناير 2003، استغلت هذه البرمجية الخبيثة ثغرة تجاوز السعة التخزينية في "Microsoft SQL Server" ، انتشرت الدودة بسرعة عن طريق إرسال حزمة بيانات صغيرة تم تصميمها خصيصًا للخوادم الضعيفة، مما تسبب في تجاوز السعة التخزينية في ذاكرة الخادم.
نتيجة لهذا التجاوز كانت أن تعليمات الدودة البرمجية تم تنفيذها في مساحة ذاكرة الخادم، مما أدى إلى فيضانات في حركة المرور على الشبكة أثناء محاولة إصابة الأنظمة الضعيفة الأخرى، انتشار دودة "Slammer" السريع تسبب في تعطيل واسع النطاق لخدمات الإنترنت، بما في ذلك إبطاء أجزاء كبيرة من الإنترنت وتعطيل مواقع الويب المختلفة، ونجاح دودة "Slammer" كان يرجع إلى قدرتها على استغلال ثغرة واسعة الانتشار والانتشار بسرعة عبر الأنظمة الضعيفة، وهذا الحادث أبرز التأثير الكبير الذي يمكن أن تحدثه هجمات تجاوز السعة التخزينية على البنية التحتية الرقمية وأهمية تطبيق التصحيحات الأمنية بسرعة لمنع مثل هذه الاستغلالات.
- Race conditions: يحدث سباق الظروف عندما تحاول تعليمات من خيوط منفصلة الوصول إلى نفس البيانات في الوقت نفسه، وفي الحالة المثالية، يجب أن يكون المطور قد برمج الخيوط للوصول إلى البيانات بشكل متسلسل، ولتوضيح ذلك، تصور سيناريو حيث يقوم شخص ما بعرض سمات ملف ما، بينما يقوم شخص آخر في الوقت نفسه بالوصول إلى نفس الملف. هذه الظاهرة تُعرف باسم "TOC/TOU" ، في هذه الحالة، قد يقوم الشخص الذي يصل إلى الملف بتعديل بياناته، مما يؤدي عن غير قصد إلى الكتابة فوق المعلومات التي يشاهدها الشخص الأول.
مثال على سباق الظروف يمكن أن يشمل نظام حجز تذاكر الطيران، تخيل أن شخصين، أحمد ومحمد، يحاولان حجز آخر مقعد متاح على رحلة معينة في نفس الوقت، يقوم أحمد ببدء عملية الحجز والتحقق من توفر المقعد الأخير، وفي الوقت نفسه، يبدأ محمد أيضًا عملية الحجز ويرى أن المقعد الأخير متاح، ومع ذلك، بين تحقق أحمد وتأكيد الحجز، يقوم محمد أيضًا بتأكيد حجزه، يقوم النظام بمعالجة كلتا المعاملتين في الوقت نفسه، نظرًا للفجوة الزمنية بين تحقق أليس وتأكيد الحجز، يسمح النظام لكلا الحجزين بالمرور، مما يؤدي إلى حجز زائد للرحلة.
هذا المثال يوضح أهمية التزامن الصحيح وإدارة الموارد المشتركة في الأنظمة البرمجية لتجنب سباق الظروف، مما يضمن أن يكون الحجز الوحيد للمقعد المتاح. بمجرد أن قامت أليس بشراء تذكرتها، كان يجب على النظام التحقق من توفر التذكرة، ولكن الفشل في التحقق أدى إلى شراء تذكرة عندما لم تكن متاحة.
- Malicious update: تحدث ثغرة التحديث الضار عندما يحتوي تحديث برمجي يبدو شرعيًا على تعليمات برمجية خفية أو تغييرات تم إنشاؤها بواسطة جهات ضارة، المستخدمون، الذين اعتادوا على استقبال التحديثات التي تعد بتحسين الأمان أو إضافة ميزات جديدة، يقومون دون قصد بالسماح بدخول هذا الكود الضار إلى أجهزتهم أو أنظمتهم، بمجرد تثبيت التحديث، قد يمنح الكود المدمج الوصول غير المصرح به، أو يتسبب في اختراق البيانات الحساسة، أو يوفر خلفية للهجمات السيبرانية المستقبلية.
يستغل المجرمون السيبرانيون الثقة الأساسية التي يضعها المستخدمون في مقدمي البرمجيات وتحديثاتهم، ومن خلال التلاعب بهذه الثقة، يمكنهم تجاوز التدابير الأمنية، واستخدام الآلية التي تهدف في الأصل إلى تحسين الأمن السيبراني، وللدفاع ضد هذا التهديد، يجب على المستخدمين والمنظمات ممارسة التحقق الدقيق من التحديثات، والاعتماد على مصادر موثوقة، والتواقيع الرقمية، والمصادقة متعددة العوامل أثناء تثبيت التحديثات. في عالم تعد فيه التحديثات بالتقدم، يصبح الحذر من ثغرات التحديث الضار أمرًا ضروريًا لضمان بقاء بيئتنا الرقمية آمنة وقوية.
مثال على ذلك هو برنامج "CCleaner"، وهو برنامج شائع يستخدم لتنظيف وتحسين أداء الكمبيوتر، وفي عام 2017، تمكن القراصنة من اختراق سلسلة التوريد لشركة "Piriform"، الشركة الأم لـ "CCleaner"، وتمكنوا من إدخال تعليمات برمجية ضارة في تحديث برمجي شرعي لـ "CCleaner"، وتم توزيع التحديث الضار على ملايين المستخدمين الذين كانوا يثقون في شرعية البرنامج، بمجرد التثبيت، سمح التحديث المخفي للبرمجيات الخبيثة للقراصنة بالحصول على وصول غير مصرح به إلى الأنظمة المصابة، وجمع المعلومات الحساسة، وربما توصيل حمولة إضافية للهجمات المستقبلية. سلط هذا الهجوم الضوء على الخطر الكبير الذي تشكله ثغرات سلسلة التوريد واستغلال ثقة المستخدمين في تحديثات البرمجيات.
الثغرات الأمنية المعتمدة على نظام التشغيل (OS-Based Vulnerabilities):
تحدث هجمات الثغرات الأمنية المعتمدة على نظام التشغيل عندما يستغل المخترقون نقاط الضعف في البرامج الأساسية التي تدير موارد الأجهزة والبرمجيات الخاصة بالجهاز، وقد تظهر هذه الثغرات نتيجة عيوب في كود نظام التشغيل، أو تصميمه، أو تكوينه، ويمكن أن يستهدف الخصوم هذه الثغرات للوصول غير المصرح به، أو لتعطيل العمليات، أو لاستخراج بيانات حساسة من النظام.
مثال بارز على ذلك هو ثغرة "BlueKeep" التي أثرت على أنظمة "Microsoft Windows" ، وسمحت هذه الثغرة للمهاجمين بالتسلل عن بُعد إلى الأنظمة غير المحدثة، مما أدى إلى اختراق مليون جهاز. يُعَدُّ مجال الثغرات الأمنية المعتمدة على نظام التشغيل ساحة مليئة بالفرص والمخاطر؛ حيث يسعى المدافعون لتعزيز أسس حياتنا الرقمية، بينما يحاول الخصوم استغلال الثغرات المخفية.
الثغرات الأمنية المعتمدة على الويب (Web-Based Vulnerabilities):
في عالم الإنترنت المترابط، تشكل الثغرات الأمنية المعتمدة على الويب بوابات للمخترقين الرقميين، ومن بين هذه الثغرات، تبرز تهديدات رئيسية مثل "SQL Injection (SQLI)" و "Cross-Site Scripting (XSS)"، وتستهدف هذه الهجمات البنية الأساسية للمواقع والتطبيقات الإلكترونية، مما يتيح للمهاجمين التلاعب بقواعد البيانات عبر مدخلات خاطئة في حالة "SQLI"، أو حقن سكربتات ضارة في المواقع باستخدام "XSS" عند استكشاف تفاصيل هذه الثغرات الأمنية المعتمدة على الويب، نكتشف الأخطار غير المرئية التي يمكن أن تفسد تجاربنا الرقمية:
- SQLI: هو نوع من الهجمات السيبرانية يحدث عندما يستغل المهاجم ثغرات في مدخلات المواقع أو التطبيقات الإلكترونية للتلاعب في استعلامات SQL التي تُنفذ على قاعدة البيانات الخلفية. يمكن لهذه الهجمات أن تؤدي إلى وصول غير مصرح به، اختراق البيانات، وحتى التحكم الكامل في النظام. يعمل "SQLI" على النحو التالي:
- حقول الإدخال: العديد من التطبيقات الويب تأخذ مدخلات المستخدمين عبر نماذج أو معلمات في الـ "URL" ، تُستخدم هذه المدخلات عادةً لبناء استعلامات "SQL" للتفاعل مع قاعدة بيانات.
- إدخال ضار: يدخل المهاجم مدخلات مصممة خصيصًا (غالبًا تحتوي على كود SQL) في هذه الحقول.
- تلاعب بالاستعلام: إذا لم تقم التطبيق بالتحقق من صحة المدخلات أو تنظيفها بشكل صحيح، فإن كود "SQL" الضار يصبح جزءًا من الاستعلام الذي يتم تنفيذه على قاعدة البيانات.
- تعريض البيانات للخطر: بناءً على نوع الهجوم، يمكن للمهاجم استخراج معلومات حساسة، تعديل أو حذف البيانات، أو حتى الحصول على التحكم الإداري في قاعدة البيانات.
على سبيل المثال، تخيل موقعًا يحتوي على وظيفة بحث تتيح للمستخدمين البحث عن منتجات عن طريق إدخال اسم المنتج. يستخدم الموقع مدخلات المستخدم مباشرة في بناء استعلامات SQL دون التحقق من صحتها أو تنظيفها بشكل صحيح. يمكن رؤية ذلك في الكود التالي:
الصوره الأول من الفصل
يتم استخدام الشرطتين المتتاليتين (--) لتعليق بقية الاستعلام الأصلي، مما يؤدي إلى تجاهل علامة الاقتباس الفردية الختامية وأي حروف لاحقة. سيتحقق الاستعلام المعدل دائمًا من أن '1'='1'، وهو شرط صحيح. نتيجة لذلك، سيقوم الاستعلام باسترداد جميع السجلات من جدول المنتجات، مما يؤدي إلى كشف بيانات حساسة للمهاجم. قد تتضمن هذه البيانات معلومات العملاء، والأسعار، وأي بيانات أخرى مخزنة في الجدول. يمكن تخفيف هجمات "SQLI" بالطرق التالية:
- Stored procedure: هو كائن في قاعدة البيانات يجمع بين مجموعة من تعليمات SQL. يمكن لهذه التعليمات تنفيذ مجموعة متنوعة من العمليات، بما في ذلك التلاعب بالبيانات، والاستعلامات، والمعاملات. يتم تخزين الإجراءات المخزنة في قاعدة البيانات ويمكن استدعاؤها من التطبيقات أو من كائنات قاعدة البيانات الأخرى.
- Input validation: قم بالتحقق من صحة جميع مدخلات المستخدم وتنقيتها قبل استخدامها في استعلامات SQL. استخدم استعلامات معلمة أو تعليمات مهيأة، والتي تقوم تلقائيًا بتنقية المدخلات.
- XSS: يمثل XSS مصدر قلق أمني كبير في تطبيقات الويب بسبب إمكانية حقن كود ضار يتم تنفيذه في سياق متصفح الضحية. يمكن أن يؤدي ذلك إلى اختراق بيانات المستخدم، واختطاف الجلسات، وحتى تشويه المواقع. يمكن أن يستخدم "XSS" علامات "HTML" و " <script/> <script>" ويمكن أن يتضمن JavaScript بينهما، والذي يمكن التعرف عليه بامتداد ".js".
على سبيل المثال لـ "XSS"، تخيل تطبيق ويب يتيح للمستخدمين نشر تعليقات على منتدى. يتم عرض التعليقات للمستخدمين الآخرين على الموقع، ومع ذلك، لا يقوم الموقع بتنقية أو ترميز مدخلات المستخدم بشكل صحيح، مما يؤدي إلى ثغرة "XSS".
يقوم مستخدم ضار بنشر التعليق التالي:
الصوره الثانية من الفصل
عند زيارة المستخدمين الآخرين للصفحة ومشاهدة التعليقات، يتم تنفيذ السكريبت الضار في متصفحاتهم. نتيجة لذلك، يظهر مربع حوار تنبيه يحتوي على الرسالة "XSS Attack!"، وقد يبدو هذا غير ضار، ولكن يمكن للمهاجمين كتابة سكريبتات أكثر خطورة لسرقة الكوكيز، اختطاف الجلسات، أو تنفيذ أفعال خبيثة أخرى. يمكن منع ذلك باستخدام "input validation" حيث يُسمح فقط بإدخال البيانات بتنسيق معين.
الثغرات الأمنية في الأجهزة (Hardware Vulnerabilities):
رغم تعقيد الثغرات الأمنية في الأجهزة، يمكن التخفيف من آثارها من خلال اتخاذ إجراءات استباقية، تعتبر الاختبارات الصارمة خلال مراحل التصميم والتصنيع أمرًا بالغ الأهمية، ويساعد استخدام تقنيات مثل "fuzz testing" وتقييم الثغرات الأمنية في تحديد نقاط الضعف المحتملة قبل استغلالها، وكما أن التحديثات المنتظمة للـ "firmware" التي تعالج الثغرات الأمنية ضرورية، حيث توفر خط دفاع ضد التهديدات المتطورة، يمكن أن تؤدي الجهود التعاونية بين مصنعي الأجهزة وخبراء الأمن إلى تعزيز الدفاعات.
تتخذ هذه الثغرات عدة أشكال، بما في ذلك ما يلي:
- Vulnerabilities in firmware: يعمل "firmware" كجسر بين الأجهزة والبرمجيات، ويتحكم في العمليات ذات المستوى المنخفض للجهاز، ويمكن أن توفر الثغرات في "firmware" فرصًا للمهاجمين للتلاعب أو اختراق وظائف النظام، وقد تشمل طرق الهجوم "firmware" قديمة، تدابير أمنية غير كافية أثناء التطوير، أو بروتوكولات تشفير غير كافية، للحد من هذه المخاطر، تعد التحديثات المنتظمة للـ "firmware" والالتزام بأفضل الممارسات الأمنية أمرًا ضروريًا.
- End-of-life systems: تشير إلى نهاية دورة حياة المنتج عندما يتوقف تصنيع النظام، لا يتم دعم قطع الغيار أو الضمانات، مثال على ذلك هو "Windows XP"، وهو نظام تشغيل طورته شركة "Microsoft" في عام 2001 واكتسب شعبية بسرعة بسبب واجهته سهلة الاستخدام واستقراره. أنهت "Microsoft" رسميًا دعم "Windows XP" في 8 أبريل 2014.
- Legacy system vulnerabilities: تشير إلى التقنيات القديمة التي لا تزال قيد الاستخدام بسبب أهميتها التاريخية أو دورها الحاسم في العمليات، غالبًا ما تفتقر هذه الأنظمة إلى ميزات الأمان الحديثة وقد لا تكون متوافقة مع أحدث التحديثات الأمنية، يمكن للمهاجمين استغلال الثغرات في الأنظمة القديمة للوصول غير المصرح به، كما شهدنا في العديد من خروقات البيانات البارزة، ويكمن الخطر في الأنظمة القديمة في غياب دعم البائع حيث يركزون اهتمامهم على الأنظمة الحديثة.
ثغرات الأمن في Virtualization:
تسمح "virtualization" بتشغيل عدة "virtual machines (VMs)" على خادم مادي واحد، مما يعزز استخدام الموارد، ويزيد من المرونة، ويسهل عمليات تكنولوجيا المعلومات، ومع ذلك، مثل أي تقنية، تقدم "virtualization" أيضًا ثغرات تتطلب دراسة دقيقة لضمان أمان واستقرار الأنظمة. يشرح هذا القسم الثغرات المرتبطة بـ "virtualization" واستراتيجيات التخفيف منها، وتشمل هذه ما يلي:
- VM escape: بينما تم تصميم "virtualization" لعزل الـ "VMs"، يقدم الـ "hypervisor" (وهو البرنامج الأساسي الذي يدير هذه الـ "VMs") تحديًا غير متوقع. يمكن أن ينشئ بطريق الخطأ مسارًا للحركة الجانبية، مما يُعرف بالتحرك من شرق إلى غرب، ويسمح للمهاجمين المحتملين بالانتقال من "VM" معزول إلى نظام الـ "host" أو "VMs" المتصلة الأخرى، يمكن أن تكون الثغرات داخل الشيفرة المعقدة للـ "hypervisor" مسارًا للوصول غير المصرح به للبيانات، الخروقات، واختراق أمان النظام، ويمكن للمهاجم استهداف الـ "hypervisor"، أو الـ "host"، أو الـ "VMs".
- Resource reuse: بينما يعد مشاركة الموارد ميزة رئيسية لـ "virtualization"، يمكن أن يؤدي التخصيص والإدارة غير الصحيحة للموارد إلى مشكلات في الأداء. إذا لم يتم تنقية الموارد مثل الأقراص بشكل صحيح قبل إعادة استخدامها، فقد يتم وضع بيانات حساسة على الـ "VM" الجديد. إذا استهلكت إحدى الـ "VMs" كمية زائدة من الموارد، فقد يؤثر ذلك على أداء الـ "VMs" الأخرى على نفس الـ "host"، قد يؤدي ذلك إلى استنفاد الموارد.
- VM sprawl: يشير إلى الإنشاء غير المنضبط والمفرط للـ "VMs" داخل بيئة افتراضية، مما يؤدي إلى تحديات إدارية، وزيادة في استهلاك الموارد، واحتمالية وجود ثغرات أمنية. يتطلب منع "VM sprawl" تنفيذ توفير مؤتمت، مراقبة الموارد، تدقيقات منتظمة، وحوكمة واضحة للتحكم في انتشار الـ "VMs" وضمان استخدام فعال للموارد في البيئات الافتراضية.
من خلال نشر ضوابط وصول قوية، وتجزئة الشبكة، وتعزيز العزل بين الـ "VMs"، يمكن تخفيف احتمال هجمات "VM escape" والوصول غير المصرح به بفعالية، عن طريق تحديث الـ "hypervisor" والبرامج ذات الصلة لمعالجة الثغرات المعروفة.
الثغرات المتعلقة بالحوسبة السحابية (Cloud-Specific Vulnerabilities):
مع توسع الشركات في استخدام الحوسبة السحابية، يظهر خطر استغلال السحابة لتحقيق مكاسب مالية من قبل المجرمين، ويغطي هذا القسم الثغرات في السحابة، ويستكشف تعقيداتها ويقدم استراتيجيات لتعزيز الأمان الرقمي من خلال معالجة هذه الضعف، كما يلي:
- خطر المشاركة في البنية التحتية المشتركة: عند استخدام خدمات السحابة العامة، يظهر مفهوم "shared tenancy"، حيث يشترك العديد من العملاء في نفس البنية التحتية الفعلية، مع عمل كل عميل داخل بيئة افتراضية معزولة خاصة به. إذا لم يقم العميل بتأمين بياناته بشكل صحيح، فقد يؤدي ذلك إلى هجوم "side-channel" حيث يتمكن مستأجر آخر من الوصول إلى بياناته عن غير قصد. إذا لم تُدار الأمور بعناية، فإن خروقات الأمان أو تسريبات البيانات في بيئة أحد المستأجرين قد تؤثر بشكل غير مباشر على الآخرين، مما يبرز أهمية اتخاذ تدابير أمان قوية وآليات عزل للحفاظ على سلامة وسرية بيانات وعمليات كل مستأجر.
- إدارة التكوينات غير الكافية: تقدم خدمات السحابة مجموعة واسعة من الإعدادات والتكوينات والأذونات المعقدة، ونقص الفهم أو التعامل غير الصحيح مع هذه التكوينات يمكن أن يؤدي إلى كشف موارد بشكل غير مقصود أو فتح المنافذ، مما يمهد الطريق للاختراقات الخبيثة.
- عيوب في إدارة الهوية والوصول: التكوينات الخاطئة لأذونات المستخدمين، أو الاعتماد على بيانات اعتماد ضعيفة، أو استخدام آليات مصادقة ضعيفة تخلق اضطرابات في البيئات السحابية، مما يتيح للمستخدمين غير المصرح لهم اختراق السحابة والوصول إلى الحسابات.
- Cloud Access Security Broker (CASB): يقوم الـ "CASB" بتطبيق سياسات الأمان الخاصة بالشركة، حيث يسد الفجوة بين البنية التحتية الموجودة في الموقع والبيئة السحابية الديناميكية. على عكس السياسات الجماعية التقليدية، تفتقر السحابة إلى آلية حوكمة موحدة. يتولى الـ "CASB" الدور الحاسم في مراقبة جميع العملاء السحابيين، وضمان أمانهم وتحديث جميع الأجهزة. لديهم رؤية شاملة عبر جميع المنصات.
سلسلة التوريد (Supply Chain Vulnerabilities):
سلسلة التوريد هي شبكة من المؤسسات والأشخاص والأنشطة والموارد المتورطة في إنتاج وتسليم السلع أو الخدمات للعملاء، وتعتمد العمليات التجارية الحديثة غالبًا على سلسلة توريد تشمل مزودي الخدمات، ومصنعي الأجهزة، ومزودي البرمجيات، وبينما يعزز هذا الشبكة المتصلة الكفاءة والابتكار، فإنه يُدخل أيضًا ثغرات يمكن أن تكون لها عواقب بعيدة المدى، يغطي هذا القسم الثغرات المرتبطة بمزودي الخدمات والأجهزة والبرمجيات في سلسلة التوريد، مع تسليط الضوء على المخاطر المحتملة واقتراح استراتيجيات لتعزيز أساس العمليات التجارية، كما يلي:
- ثغرات مزودي الخدمة: مع تزايد اعتماد الشركات على الاستعانة بمصادر خارجية للعديد من الوظائف لمقدمي الخدمات، فإن الاعتماد على الكيانات الخارجية للحصول على الخدمات الحيوية يؤدي إلى زيادة التعرض للمخاطر. يمكن أن تؤدي إدارة العلاقات مع الأطراف الثالثة بشكل سيئ إلى ثغرات في ضوابط الأمان، مما يؤدي إلى خروقات البيانات، وتعطيل الخدمات، والوصول غير المصرح به.
- ثغرات مزودي الأجهزة: تشكل الأجهزة العمود الفقري للبنية التحتية لتكنولوجيا المعلومات، مما يجعل مزودي الأجهزة جزءًا حيويًا من سلسلة التوريد. يمكن أن تتسلل الأجهزة المزيفة أو المكونات المخترقة إلى سلسلة التوريد، مما يُدخل ثغرات قد تؤدي إلى الإضرار بسلامة النظام ومرونته وسرية البيانات.
- ثغرات مزودي البرمجيات: عندما يقوم مزودو البرمجيات بإنشاء البرمجيات، يجب عليهم إعداد قائمة بالمواد، والتي تعلن عن المواد المستخدمة في صنع المنتج.
يلعب مزودو البرمجيات دورًا حاسمًا في تقديم التطبيقات والأدوات الأساسية. يمكن أن تؤدي الثغرات في سلسلة توريد البرمجيات، مثل ممارسات الترميز غير الآمنة أو البرمجيات غير المحدثة، إلى تعريض الشركات لتهديدات الأمن السيبراني، بما في ذلك إصابة البرامج الضارة والاختراقات النظامية.
عندما يقوم مطورو البرمجيات ببناء تطبيق، فإنهم يستخدمون مكتبات الأكواد من طرف ثالث، وهذه المكتبات هي كتل من الأكواد القابلة لإعادة الاستخدام التي يمكن تعديلها لتبسيط عملية إنشاء التطبيقات، ويسمح هذا للمطورين بتجنب إعادة اختراع العجلة للعمليات الشائعة، ومع ذلك، لا يمكن الوثوق بهذه المكتبات من طرف ثالث بشكل كامل، حيث قد تحتوي بالفعل على برمجيات ضارة. لهذا السبب، تمثل هذه الممارسة ثغرة أمنية.
الثغرات في التشفير (Cryptographic Vulnerabilities):
تتطلب الثغرات في التشفير، خصوصًا تلك المتعلقة بالشهادات والتشفير، تقييماً وفحصاً دقيقين. في هذا القسم، سنستعرض هذه الثغرات، ونبرز المخاطر المحتملة، ونقترح استراتيجيات لتعزيز دفاعاتنا كما هو موضح أدناه:
- اختراق سلطة إصدار الشهادات (CA): يعتمد العالم الرقمي على سلطات إصدار الشهادات (CAs) لإصدار الشهادات الرقمية، وإذا تم اختراق CA، يمكن للمهاجمين توليد شهادات مزيفة، مما يؤدي إلى اعتراض الاتصالات المشفرة وإمكانية حدوث اختراقات واسعة النطاق.
- اختراق المفتاح: الأنظمة التشفيرية تكون قوية بقدر قوة مفاتيحها، يمكن اختراق المفتاح بسبب السرقة أو توليد المفتاح بشكل ضعيف أو سوء إدارة المفتاح، مما يؤدي إلى الوصول غير المصرح به للبيانات أو التلاعب بها أو فك تشفيرها.
- تنفيذ ضعيف: حتى أقوى الخوارزميات التشفيرية يمكن تقويضها من خلال تنفيذ ضعيف، ويمكن أن تؤدي إجراءات التشفير المكتوبة بشكل سيئ وإدارة المفاتيح الضعيفة إلى خلق ثغرات يمكن للمهاجمين استغلالها.
- الخوارزميات القديمة: مع تقدم التكنولوجيا، قد تصبح الخوارزميات التشفيرية التي كانت آمنة في الماضي عرضة لتقنيات الهجوم الناشئة أو زيادة القدرة الحسابية. الاعتماد على الخوارزميات القديمة يعرض البيانات لخطر الاختراق.
- الهجمات عبر القنوات الجانبية: قد تتسرب المعلومات بشكل غير مقصود خلال العمليات التشفيرية عبر قنوات جانبية مثل استهلاك الطاقة أو التوقيت أو الإشعاع الكهرومغناطيسي، ويمكن للمهاجمين المهرة في استغلال هذه المؤشرات الخفية اختراق مفاتيح التشفير أو البيانات.
- استغلال الثغرات الخلفية: الثغرات الخلفية المتعمدة أو غير المقصودة داخل الأنظمة التشفيرية يمكن أن تمنح المهاجمين وصولًا غير مصرح به، مما يجعل التشفير غير ذي جدوى.
- توليد الأرقام العشوائية: يعتمد التشفير الآمن على أرقام عشوائية حقيقية لتوليد المفاتيح التشفيرية. يمكن أن يؤدي توليد الأرقام العشوائية بشكل خاطئ أو قابل للتنبؤ إلى مفاتيح ضعيفة وأمن مخترق.
- قوائم إبطال الشهادات (CRLs) وبروتوكول حالة الشهادة عبر الإنترنت (OCSP): هذه أدوات حيوية للحفاظ على سلامة البنية التحتية للثقة. توفر "CRLs" وسيلة للتحقق من صلاحية الشهادات الرقمية الحالية، حيث تقدم قائمة بالشهادات الملغاة التي يمكن للتطبيقات الرجوع إليها، وبالتزامن مع ذلك، يمكّن "OCSP" (وهو الأسرع بين الاثنين) من التحقق الفوري من صلاحية الشهادات من خلال استعلام" CAs " للحصول على معلومات الحالة في اللحظة الحالية، ومن خلال إبطال الشهادات المخترقة، تصبح أي مفاتيح مدرجة في CRL ملغاة بشكل قاطع لمنع أي استخدام غير مصرح به.
- إدارة المفاتيح بشكل آمن: تتطلب إدارة المفاتيح بشكل آمن سياسات صارمة لضمان توليد المفاتيح بأمان، وتخزينها بشكل آمن، وتدويرها بشكل منتظم، وإدارة المفاتيح الضعيفة هي طريقة شائعة للهجوم، ويمكن حماية المفاتيح بتخزينها في وحدة أمان الأجهزة (HSM) أو إيداعها عن طريق الحفظ لدى طرف ثالث.
- هجوم SSL Stripping : الـ SSL Stripping هو هجوم يقوم فيه المهاجمون بتنفيذ هجوم تخفيض SSL ويتمكنون من تجاوز الحماية المعتمدة على الشهادات، مما يحول الجلسة إلى هجوم HTTP. يمكنهم بعد ذلك التقاط بيانات مثل معلومات بطاقات الائتمان. يُعرف هذا باسم هجوم تخفيض HTTPS.
- تخفيض SSL/TLS: في هجوم تخفيض SSL/TLS، يتم اعتراض حركة "SSL" بواسطة خادم يدعي أن لديه متصفحًا أقدم وأقل أمانًا. للتواصل مع هذا الخادم، يتحول "SSL" إلى طريقة تشفير أضعف (تُعتبر متوافقة)، مما يسهل على المخترقين رؤية المعلومات الخاصة. مثال على ذلك هو هجوم POODLE (Padding Oracle On Downgraded Legacy Encryption)، وهو هجوم رجل في المنتصف يستهدف الإصدارات القديمة من SSL، التي تستخدمها المتصفحات القديمة.
الثغرات الناتجة عن سوء التكوين (Misconfiguration Vulnerabilities):
في عالم اليوم المترابط الذي يشمل الأجهزة مثل جدران الحماية، والمحولات، وأجهزة التوجيه، والخوادم الإلكترونية، بالإضافة إلى الأجهزة المحمولة، وأجهزة الكمبيوتر المحمولة، وأجهزة الكمبيوتر، وجدران الحماية، أصبحت اعتمادنا على الأنظمة المترابطة في أعلى مستوياته على الإطلاق. الثغرات الناتجة عن سوء تكوين أنظمة تكنولوجيا المعلومات، وأجهزة الشبكة، وجدران الحماية يمكن أن تفتح أبواباً للمجرمين الإلكترونيين، مما يؤدي إلى اختراقات للبيانات، خسائر مالية، وأضرار سمعة. يمكن أن تنجم هذه الأخطاء في التكوين عن الإشراف البشري، وتعقيد التكوينات، ونقص الخبرة، والضغط لنشر الخدمات بسرعة. في هذا القسم، سوف نتناول تفاصيل هذه الثغرات ونبرز أهمية ممارسات التكوين الآمن. سننظر هنا في كل جهاز والثغرات التي قد تطرأ عليه:
- أجهزة الشبكة (Network devices): أجهزة الشبكة، مثل أجهزة التوجيه، والمحولات، ونقاط الوصول، تلعب دوراً حيوياً في إدارة حركة البيانات داخل بنية المنظمة التحتية. عندما نشتري جهازاً جديداً، يجب أن نبدأ بتغيير التكوينات الافتراضية. يمكن أن تؤدي الأخطاء في تكوين هذه الأجهزة إلى ضعف كبير في الوضع الأمني العام. يمكن أن تترك المنافذ المفتوحة، ووسائل التحكم في الوصول الضعيفة، والبرامج الثابتة غير المحدثة شبكة المنظمة عرضة لهجمات مثل هجمات الرفض الموزع للخدمة (DDoS) وهجمات الرجل في المنتصف. علاوة على ذلك، يمكن أن تمنح قوائم التحكم في الوصول (ACLs) التي تم تكوينها بشكل غير صحيح بشكل غير مقصود المستخدمين غير المصرح لهم الدخول إلى أجزاء حساسة من الشبكة.
- جدران الحماية (Firewalls): تعمل جدران الحماية كخط دفاع أول ضد الوصول غير المصرح به من خلال تصفية حركة الشبكة الواردة والصادرة، تشمل أنواع الثغرات التي يمكن أن تنشأ عن جدار حماية مكون بشكل غير صحيح ما يلي:
- الوصول غير المصرح به: سوء التعامل مع فتحات المنافذ يسمح للمجرمين الإلكترونيين بالاستفادة من الثغرات، والتسلل إلى الشبكات. يمكن للقراصنة تجاوز تدابير الأمان، والحصول على وصول غير مصرح به إلى البيانات الحساسة أو السيطرة على الأنظمة.
- البرمجيات الخبيثة والهجمات: المنافذ المفتوحة دون داع توفر طرقاً لانتشار البرمجيات الخبيثة أو تسلل المهاجمين. حتى المنافذ التي تبدو غير ضارة يمكن أن تكون قنوات للفيروسات والبرمجيات الخبيثة.
- تحديات الامتثال للتنظيمات: الصناعات مثل الرعاية الصحية والمالية يجب أن تلتزم باللوائح الصارمة. فتح المنافذ بشكل غير صحيح قد يؤدي إلى عدم الامتثال، مما يعرض المنظمات للعواقب القانونية والغرامات المالية.
- البيانات الافتراضية/الإعدادات الافتراضية: عدم تغيير أسماء المستخدمين وكلمات المرور والإعدادات الافتراضية لأجهزة الشبكة وجدران الحماية هو خطأ شائع يسهل على المهاجمين الحصول على الوصول. أسماء المستخدمين وكلمات المرور الافتراضية لمعظم الأجهزة متاحة على الإنترنت.
- البرمجيات غير المحدثة: تجاهل تحديث البرامج الثابتة والبرمجيات على أجهزة الشبكة وجدران الحماية يمكن أن يترك الثغرات المعروفة دون معالجة، مما يوفر باباً مفتوحاً للاستغلال.
- الصلاحيات الزائدة: منح صلاحيات زائدة لحسابات المستخدمين يمكن أن يؤدي إلى وصول غير مصرح به.
ثغرات الأجهزة المحمولة (Mobile Device Vulnerabilities):
لقد أصبحت الأجهزة المحمولة جزءًا أساسيًا من حياتنا الحديثة، حيث تسهم في الاتصال، المعلومات، والترفيه. ومع ذلك، تأتي هذه الراحة مع ثغرات قد تعرض أمننا الرقمي للخطر. تتناول هذه الفقرة التهديدات الكبيرة لأمن الأجهزة المحمولة، والتي تشمل ما يلي:
- الجيلبريك (Jailbreaking): الجيلبريك ينطبق بشكل خاص على أجهزة Apple ويسمح للمستخدمين بتجاوز القيود التي يفرضها المصنع أو نظام التشغيل، مما يمنحهم تحكمًا أكبر في الجهاز. وهذا يُعرف عمومًا بإلغاء قفل الجهاز. ومع ذلك، فإن هذه الحرية تعرض الجهاز لمخاطر أمان كبيرة.
- الروت (Rooting): الروت يسمح للمستخدمين بتجاوز القيود التي يفرضها المصنع أو نظام التشغيل على أجهزة Android، مما يوفر تحكمًا أكبر في الجهاز. وهذا يُعرف عمومًا بإلغاء قفل الجهاز. ومع ذلك، فإن هذه الحرية تعرض الجهاز لمخاطر أمان كبيرة.
- التثبيت الجانبي (Sideloading): التثبيت الجانبي يرتبط عمومًا بأجهزة Android التي تستخدم ملفات Android Application Package (APK). بينما يمكن أيضًا تثبيت التطبيقات على أجهزة Apple بشكل جانبي، فإن هذه الممارسة تنتهك شروط وأحكام Apple وتبطل ضمان الجهاز. إبطال ضمان الجهاز يعني أن الجهاز قد لا يتلقى بعد ذلك التحديثات الأمنية أو إصلاحات الأخطاء، مما يجعله عرضة للتهديدات والثغرات الجديدة.
الجهاز الذي تم تطبيق الجيلبريك أو الروت عليه قد يكون عرضة للثغرات التالية:
- التطبيقات المزيفة: يمكن للمتاجر غير المنظمة استضافة نسخ مزيفة أو معدلة من التطبيقات الأصلية التي تحمل برامج ضارة مخفية.
- عدم استقرار البرمجيات: التعديلات غير المصرح بها على البرمجيات يمكن أن تؤدي إلى عدم استقرار نظام تشغيل الجهاز، مما يسبب أعطالًا وسلوكًا غير منتظم.
- المخاطر الأمنية: الجيلبريك يقوض تدابير الأمان الخاصة بالجهاز، مما يسهل على البرمجيات الضارة والفيروسات الاستغلال.
- سرقة البيانات: شراء التطبيقات من المتاجر غير المنظمة قد يعرض المستخدمين لخرق البيانات وسرقة مالية.
رغم كل الفوائد والراحة التي تقدمها الأجهزة المحمولة، فإنها أيضًا تقدم ثغرات يجب فهمها وإدارتها. التثبيت الجانبي، الجيلبريك، والشراء من المتاجر غير المنظمة قد يوفر فوائد قصيرة المدى، لكن لا يمكن تجاهل التداعيات الأمنية طويلة المدى:
- حلول إدارة الأجهزة المحمولة (MDM): تقوم حلول "MDM" بتحديد السياسات لتثبيت وحماية الأجهزة المحمولة، مثل سياسات كلمات المرور على طول كلمة المرور أو المسح عن بُعد للأجهزة المفقودة أو المسروقة لإعادتها إلى إعدادات المصنع، وكما يمكنها أيضًا تقديم التحديثات للأجهزة التي تديرها، على سبيل المثال، يمكنها منع استخدام الكاميرا على الأجهزة المحمولة أو منع الهاتف الذكي من إرسال أو تلقي الرسائل النصية. النسخة السحابية من "MDM" هي "CASB"، من خلال اليقظة واتخاذ القرارات المستنيرة واعتماد ممارسات واعية بالأمان، يمكننا التنقل في عالم الأجهزة المحمولة بثقة وحماية تجاربنا الرقمية.
الثغرات من نوع اليوم صفر (Zero-Day Vulnerabilities):
الثغرة من نوع "Zero-Day" هي مثل ممر سري في برامج الحاسوب يكتشفه القراصنة قبل أن يكتشفه مطورو البرنامج، وتمنح هذه الثغرة القراصنة إمكانية الوصول غير المقيد لاختراق الأنظمة لأن الدفاعات أو الإصلاحات لم تُعرف بعد. وبما أن هذه الثغرات غير معروفة، فلا توجد تصحيحات أو أدوات أمان يمكنها اكتشافها.
مثال على هذا النوع من الثغرات هو فيروس "Stuxnet" ، ظهر فيروس "Stuxnet" في عام 2005، لكنه لم يُلاحظ تمامًا حتى عام 2007، ولم يتم تحديده إلا في عام 2010، خلال تلك الفترة، انتشر الفيروس إلى 14 موقعًا مختلفًا دون اكتشافه. وقد استُخدمت أربعة فيروسات "Zero-Day" لتعطيل جزء من البرنامج النووي الإيراني، مما سمح للمهاجمين (وهي عملية مشتركة بين الولايات المتحدة وإسرائيل) بمراقبة عمليات البرنامج دون اكتشافهم، ومن ثم إبطاء البرنامج.
الملخص (SUMMARY):
يغطي هذا الفصل الأنواع المختلفة من ثغرات التطبيقات، بما في ذلك "race conditions" و "buffer overflow"، وكذلك الثغرات الأكثر اختبارًا مثل "SQL Injection" و "Cross-Site Scripting (XSS)" بعد ذلك، تناولنا ثغرات الأجهزة، بدءًا من تحديثات "firmware" ثم أنظمة "End of Life (EOL)"، بالإضافة إلى ثغرات "cloud virtualization" وسلسلة التوريد، وأخيرًا مراجعة ثغرات الأجهزة المحمولة واستخدام حلول "Mobile Device Management (MDM)" لإضافة طبقة من الأمان.
النهاية:
