الأمن السيبراني يبنى على 3 معايير أساسية تسمى بمثلث الأمن أو CIA Triad: السرية Confidentiality، الموثوقية Integrity، والتوفر Availability. سوف يتم شرح كل معيار منها في ثريد منفصل.
السرية Confidentiality: تعني فقط الأشخاص المصرح لهم بالوصول للبيانات هم من يستطيعون الوصول إليها.
الموثوقية Integrity: هي كيف تضمن أن البيانات موثوقة ولم يتم التعديل عليها.
التوفر Availability: أن تكون البيانات متوفرة عند الحاجة إليها.
لماذا سمي بمثلث الأمن؟ لأنك لا يمكن أن تحقق أحد المعايير دون التضحية ببقية المعايير واذا حققت معيارين فإنك تقوم بالتضحية تماما بالمعيار الثالث ولا يمكن أن تحققه مهما حاولت
لشرحها بطريقة أوضح لنفترض أنك مالك مطعم كنتاكي وتريد أن تحافظ على مكونات خلطتك السرية، فقمت بحفظها بصيغة ورقية في خزنتك الخاصة
في هذا المثال انت قمت بتحقيق معيارين وهما السرية confidentiality بحيث لا يستطيع الوصول للبيانات سواك انت والموثوقية integrity حيث أنك قمت بضمان أنه لا أحد قام بتعديل مكونات الخلطة، لكنك ضحيت بمعيار التوفر availability حيث انك اذا اردت الوصول للخلطة فيجب عليك الذهاب للخزنة بنفسك
هناك عدة طرق للحفاظ على السرية Confidentiality منها بوابات التحكم Access Controls، التخفية والتعمية Steganography and Obfuscation، والتشفير Encryption
بوابات التحكم Access Controls: هي الثلاث مراحل التالية التعريف Identification، والتحقق Authentication، والتفويض Authorization
التعريف Identification: تخيل أنك عند بوابة مبنى تويتر وقابلك رجل أمن وسألك من أنت قبل أن يسمح لك بالدخول فقلت له أنا المستخدم محمد، هذا هو التعريف Identification
التحقق Authentication: بعد أن إدعيت أنك محمد، أثبت ذلك لرجل الأمن بأن تقوم بإعطاءه كلمة المرور التي من المفترض أنه لا يملكها أحد سوى محمد، هذا هو التحقق Authentication
التفويض Authorization: حسناً لقد عرفت نفسك لرجل الأمن وتحقق من ذلك الأن يتحقق رجل الأمن هل من المسموح لك بدخول المبنى أم لا واذا مسموح فهل مثلا يمكن أن تصعد للدور الثاني أم فقط مسموح لك بدخول البهو، هذا هو التفويض Authorization
التخفية والتعمية Steganography and Obfuscation: التخفية Steganography هي إخفاء البيانات داخل البيانات بحيث لا تظهر البيانات الا اذا كنت تعرف أين تبحث. كأن تقوم بإخفاء نص داخل صورة بحيث عند فتح الصورة تكون صورة عادية ولكن بداخلها نص خفي.
التعمية Obfuscation: هي جعل الشيء غير واضح أو جعله صعب الفهم. سأقوم بالتفصيل في هذا الموضوع بإسهاب لاحقاً إن شاء الله
التشفير Encryption: هي تحويل البيانات لشي غير قابل للفهم من قبل الأشخاص الغير مخولين لقرائته. يوجد العديد من طرق التشفير ومن أشهرها MD5 وAES ويمكن تجربة تشفير النصوص باستخدام md5 من هنا md5hashgenerator.com
يمكن التحقق من موثوقية البيانات عن طريق عدة طرق منها الترميز Hashing والتوقيع الرقمي Digital Signture.
الترميز Hashing: هو عبارة عن معادلة حسابية تجرى على البيانات لإنشاء رقم أو رمز في وقتين مختلفين بحيث يجب أن يكون الرمزان متساويان واذا لم يكن الرمزان متساويان فهذا يعني أن البيانات تم تغييرها وسوف أقوم بضرب مثال على ذلك
لنقم بترميز كلمة Mohammed باستخدام md5 ليظهر لنا هذا الرمز 297c5cc6364817dd03e40dcb66160cd3
الأن اذا قمت بترميزه في أي وقت لاحقا سوف يظهر لك نفس الرمز تماما دون أي اختلاف في أي حرف أبداً
الأن اذا قمت بترميزه في أي وقت لاحقا سوف يظهر لك نفس الرمز تماما دون أي اختلاف في أي حرف أبداً
الأن لنحاول ترميز كلمة mohammed "لاحظ فقط غيرنا حرف M من كبير إلى صغير" ليظهر معنا الرمز التالي d79cd06799863224b7324d969c1e2084
لاحظ أن الرمز مختلف تماما لأن البيانات مختلفة وبالتالي فإن البيانات تغيرت عن البيانات الأصلية وبالتالي فقدت موثوقيتها
لاحظ أن الرمز مختلف تماما لأن البيانات مختلفة وبالتالي فإن البيانات تغيرت عن البيانات الأصلية وبالتالي فقدت موثوقيتها
التوقيع الرقمي Digital Signature: التواقيع الرقمية تنشىء بإستخدام شهادات وأيضاً البنية التحتية الخاصة بنظام المفاتيح العامة Public key Infrastructure والتي سنتحدث عنها جميعاً بتعمق أكثر لاحقاً
يقوم معيار التوفر Availability على توفر البيانات عند الحاجة إليها وقت الحاجة إليها دون تأخير أو تعطيل ويكون ذلك عن طريق إيجاد حلول زائدة عن الحاجة ومعالجة الأخطاء Redundancy and Fault Toleranceوأيضا ترقيع الأنظمة Patching أو تحديثها
من الأمثلة على الحلول الزائدة وتصحيح الأخطاء Redundancy and Fault Tolerance هي أقرص صلبة زائدة عن الحاجة للخوادم Disk Redundancy أو حتى وجود سيرفرات زائدة عن الحاجة Server Redundancy، أيضاً وجود مصدر طاقة بديل للخوادم Alternate Power كـUPS مثلا
من الأنظمة المهمة جداً هي أنظمة التكييف Cooling Systems في مراكز البيانات حتى تحافظ على الخوادم من ارتفاع حرارتها وبالتالي تعطلها وخسارة معيار التوفر
من طرق معالجة الأخطاء وجود خوادم لتوزيع الحمل او الضغط Load Balancing حتى لا يتعطل الخادم من الضغط، أيضاً النسخ الاحتياطي Backups أحد طرق المعالجة الاخطاء في حالة وجود مشكلة يمكن الرجوع إلى أخر نسخة سليمة من البيانات وسوف أقوم بتفصيل كل ما سبق لاحقاً بإذن الله
يكون الترقيع Patching عن طريق الشركة المنتجة للنظام ويختلف عن التحديث بأنه مخصص فقط لإصلاح المشاكل التقنية دون إضافة أي تقنيات جديدة للنظام
يرجى ملاحظة أن كل نقطة من النقاط تم شرحها بتفصيل أكثر في ثريد يبدأ تحت التغريدة المذكوره فيها
@Rattibha رتبها
جاري تحميل الاقتراحات...