اتعلم سيكيورتى – (1)

اتعلم سيكيورتى – (1)

 

 

 

Network Security and Network Security Objectives

:::::::::::::::::::::::::::::::::::::::::::::::::::::::::::

 

 

لو دورنا على تعريف كلمة سيكيورتى هنلاقى حاجات كتير لكن خلينا نقول التعريف الخاص بسيسكو

وسيسكو بتقول ان السيكيورتى هو عبارة عن اى اجراءات يتم اتخاذها لحماية وضمان استمرارية العمل فى الشبكة الخاصة بك .

 

لجنة الامن القومى وتنظيم الاتصالات الامريكية (NSTISSC)

 

عرفت السيكيورتى بانه:

 

 

Network security is the protection of information and systems and hardware that use, store, and transmit that information

 

يبقى اتفقنا ان السيكيورتى هو حماية (الأنظمة والمعلومات والهاردوير لاستمرار عملية نقل البيانات)

 

………. ………. ………. ………. ………. ………. ………. ………. ………. ……….

 

Network Security Objectives

 

طيب ليه احنا محتاجين يبقى عندنا سيكيورتى ؟ وايه الهدف اننا بنحاول نأمن الشبكات

الهدف هو : CIA

 

 

1

C : Confidentiality (السرية)

Confidentiality ensures that only authorized individuals can view sensitive data

 

التاكد من ان الاشخاص المصرح لهم هم فقط الذين يستطيعون الوصول الى المعلومات وقرأتها

– لو بعت رسالة يبقى لازم تتاكد ان مفيش حد هيفتحها او يعرف محتواها غير الشخص اللى انت بعتله

 

2

I : Integrity (سلامة وصحة المعلومات)

Integrity ensures that data has not been changed by an unauthorized individual

 

التاكد من ان المعلومات لم يتم التعديل عليها فى طريقها من (المرسل) الى (المرسل اليه)

– طيب نفترض ان حد قدر يوصل للرسالة وبشكل او بأخر عرف يفتحها ..برضه ميقدرش يقرأها

وده لأن الرسالة لما بتتبعت من المرسل بتكون مشفرة والشخص الوحيد اللى يقدر يقرأها هو المرسل اليه والجزء ده هنتكلم عنه بعدين فى(Encryption and digital signature)

 

3

A : Availability (توفر المعلومات)

Availability ensures that access to the data is uninterrupted and data available 24/7

 

– نتأكد ان المعلومات متاحة بشكل دائم .

ومثال على كده لو حاولنا ندخل ويب سايت معين وليكن جوجل …طبعا عارفين ان محتوى الموقع نفسه على ويب سيرفرز ولو مفيش حماية للسيرفرات ..او تم

اختراقها ..بالتالى الموقع هيكون غير متاح

 

الجدير بالذكر اننا يجب ان نسعى لتطبيق الـ C I A معا ..

 

 

#‎Ahmed_Hassan

#‏اتعلم_سيكيورتى

#‏عافر_هتوصل

#‏ساعد_غيرك_ربنا_يساعدك

#‏زكاة_العلم_تعليمه

#‏ملكش_حجة #‏اتعلم #‏الجامعة_مش_كفاية

 

 

اتعلم سيكيورتى – (2)

اتعلم سيكيورتى – (2)

 

Security and Assets

::::::::::::::::::::::::

 

 

 

درسنا النهاردة هنتكلم وهنعرف يعنى ايه Assets (ممتلكات/أصول) وتعريفها هو اى شىء ذو قيمة ويعود بالنفع على شركتك او مؤسستك وبالتالى حمايته هى أولية قصوى

 

Assets: It is anything that is valuable to an organization

 

انواع ال Assets

 

Tangible items (أصول مادية )

 

– الموظفين, الاجهزة, الهاردوير ,الانظمة كل ماسبق يعتبر أصل من اصول الشركة يجب حمايته لضمان استقرار ونجاح الشركة

 

Intangible items (أصول معنوية/غير مادية)

 

– حسابات العملاء , ملفات الموظفين, مرتبات الموظفين, سمعة الشركة , الملكية الفكرية

 

* السؤال المهم هنا ممكن اى حد يقول ان الاصول المادية أهم من الأصول المعنوية ؟

 

– الاصول المعنوية قد تكون اهميتها اكبر من الاصول المادية ومثال على ذلك :

 

سمعة الشركة (أصل معنوى)لا تستطيع ان تراها او تلمسها ولكنها قد تكون أهم من حماية جهاز (أصل مادى) …

 

 

#‎Ahmed_Hassan

#‏اتعلم_سيكيورتى

#‏عافر_هتوصل

#‏ساعد_غيرك_ربنا_يساعدك

#‏زكاة_العلم_تعليمه

#‏ملكش_حجة #‏اتعلم #‏الجامعة_مش_كفاية

 

اتعلم سيكيورتى – (3)

اتعلم سيكيورتى – (3)

ISM) Information Security Management)

(Risk Management And Risk Assessment)

::::::::::::::::::::::::

Risk Management – (ادارة المخاطر)

– احنا محتاجين نعرف المخاطر الى بتهدد استقرار شركتنا ….يعنى ليس كافى ان نعرف كيف نحمى الاجهزة ونضع برنامج للفيروسات ..لازم نعرف احنا هنعمل كل اللى فات ليه وهنحمي مؤسستنا والانظمة من ايه وهحمى ايه ؟

must understand not only what you protect, but also from whom

– بمعنى لازم اعرف الخطر اللى بيهددنى نوعه ايه علشان اعرف اتعامل معاه

– علشان كده محتاجين نعرف ونفهم طبيعة ما نتعامل معه ومحتاجين نفهم الاتى :

1

Value of the asset – (قيمة الأصول)

– تخيل لو صديق لك اعطاك مبلغ مالى (مليون جنيه) وعايزك تحتفظ بيه امانة اكيد هتعمل المستحيل علشان تحمى المبلغ وتمنعه من السرقة ..لكن فى نفس الوقت لو قالك ان قيمة المبلغ (خمسين جنيه) ..هنا درجة الاهتمام هتقل وده ممكن يعرض ان الفلوس تضيع او تتسرق …يبقى لازم تعرف قيمة اللى بتحميه علشان تعرف وتقدر حمايته

(طبعا الامانة هى الامانة ولكن مثال للتوضيح )

2

Vulnerabilities – (نقط الضعف)

-من اين سيأتى الهاكر ؟؟ لازم تعرف وتقيم نقط ضعفك ولا تظن ابدا انك محمى فلا توجد حماية كاملة …

3

Potential threats – (التهديدات المحتملة)

-لازم تفهم ازاى الهاكر بيخترق مؤسستك وتبقى عارف التهديدات علشان تحميها كويس

من وجهة نظرى افضل Security Engineer هو افضل hacker

4

Business Requirements – (متطلبات العمل)

كل مؤسسة لها policy قد تختلف من مكان لاخر يجب ان تعى ذلك جيدا وتطبق درجة الحماية (قصوى – منع تام – سماح تام – سماح للبعض) حسب الpolicy

– كل اللى فات كلام مهم لكن برضه لازم نفهم ازاى نقدر المخاطر علشان نتقن اداراتها

Risk Assessment – (تقييم المخاطر)

– بعد فهمى لنقط الضعف لازم احدد severity نقطة الضعف (خطيرة – متوسطة -عادية)

لذلك تجد بعض برامج الانتى فيرس تظهر لك نوع الخطوة للفيرس او الثغرة المكتشفة

فذلك يساعدك على معرفة كيف تتعامل معهها (وتفهم مع من تتعامل كما ذكرنا بالاعلى)

– كمان لازم افهم المخاطر واقيمها واعرف قيمة الخسائر من التعرض لتلك المخاطر

‪#‎Ahmed_Hassan‬
‫#‏اتعلم_سيكيورتى‬
‫#‏عافر_هتوصل‬
‫#‏ساعد_غيرك_ربنا_يساعدك‬
‫#‏زكاة_العلم_تعليمه‬
‫#‏ملكش_حجة‬ ‫#‏اتعلم‬ ‫#‏الجامعة_مش_كفاية‬

 

اتعلم سيكيورتى – (4)

اتعلم سيكيورتى – (4)

Important Terminologies lead to Risk mitigation

::::::::::::::::::::::::::::::::::::::::::::::::::::

 

تخيل لو نزلت من بيتك …. ونسيت الباب مفتوح .. وكان فيه لص متواجد فى نفس المنطقة التى بها بيتك .. ودخل اللص بيتك وتمت السرقة بنجاح

ده مثال بسيط اقرأه مرة اخرى ثم أكمل الدرس

 

 

– التهديدات الأمنية (Threats)

وهى فى مثالنا اللص بغض النظر اذا تمت السرقة أم لا .. مجرد تواجده فى محيط منزلك (perimeter) فهو يشكل تهديد يجب وضعه فى الحسبان ..

 

– الأصول/ الممتلكات (Assets)

بيتك هو الأصل او يمثل ما تملكه و يجب حمايته ..

 

– نقط الضعف (Vulnerabilities)

نقطة الضعف فى بيتك هى ترك الباب مفتوح ..

 

– المخاطر / الخطورة (Risk)

احتمالية استغلال (اللص) لـ ( نقطة الضعف) فى(بيتك) مما يؤدى الى( سرقته)

 

Risk : possibility of exploit (threat) to the (vulnerabilities) in (assets ) therefore (loss)

 

 

 

ولذلك يجب حماية شبكتك او مؤسستك من الهاكرز وتقدير نقط الضعف ومعالجتها حتى لا يتم استغلالها وتحدث الخسائر

ونحتاج هنا الى تقليل او الحد من المخاطر (Risk Mitigation)

وذلك عن طريق ان يكون لديك وسائل مضادة او دفاع قوى (Countermeasure)

 

 

ولدينا ثلاث أنواع / طرق للحد من المخاطر :

1

Technical Perspective

-ان تقوم مثلا بوضع (ACL) اكسيس ليست فهى تمثل وسيلة للحماية

-او ان تقوم بوضع كلمة سر قوية وتشفير قوى للاكسيس بوينت

-وعمل يوزر نيم وباسورد للراوتر ومنع اى شخص ليس لديه الحق فى عمل (Telnet)

وهكذا فكل هذه الامور تحد من المخاطر وترفع من مستوى الحماية

2

Management Perspective

– ان تقوم بعمل تقدير للمخاطر (Risk assessment) وتقدير لنقط الضعف

– كتابة (Security Policy) والاهتمام بتطبيقها

– عملية ال (monitoring) و الـ (Auditing)

3

Operational Perspective

– المتابعة المستمرة القريبة لكيفية تطبيق ال policy وكيفية الالتزام بها من قبل الموظفين

– ال (Design) الجيد ل ( Policies) وتوزيع الادوار ومعرفة دور كل موظف فى اى (Process)

وفى النهاية يجب ان تعلم انه يمكن فقط بعد كل هذا التقليل او الحد من المخاطر ولكن لا يمكن منعها تماما فكما يقولون الطريقة الوحيدة لكى تكون أمنا هو ان تغلق

جهازك

 

Risk can be mitigated but can not be eliminated

Ahmed Hassan

 

انا عايز اتغير

انا عايز اتغير ؟

الجملة اللى بيقولها كل الناس ..لكن بعدها بيضيع الحماس

اعرف ان مفيش حد بيتغير فى يوم وان فى حاجات كتير فى حياتنا اتربينا عليها او اكتسبناها من تفاعلنا مع المجتمع وحاجات بنكررها كل يوم …كل ده اعتبرناه ثوابت لا تقبل الشك ولا التغيير

اصبحت عادة لا تسطيع بسهولة الاقلاع عنها ولكن ليس الامر مستحيلا …

1- كن على يقين ان بداية الامر هو القرب من الله عز وجل .. ومن غير ذلك فلا هدف ولا فائدة مما ستفعله وكل محاولاتك بلا قيمة ..

2- افهم اسبابك للتغيير … انسى الماضى ولا تفكر كثيرا فى المستقبل.. اليوم فقط هو سبيلك للنجاة من الماضى والمضى قدما للمستقبل

3- لا تحاول ان تنسى الماضى او تعتبره خطأ …بل اعتبره دافع .. ودليل يقودك عندما تتوه نفسك فى متاهات الشك ..عندها ستدرك ان ما حدث فى الماضى سيتكرر ان لم تدرك ذلك ..

4- حدد هدفك ..وقرر ما الذى يجب عليك فعله للوصول الى هذا الهدف

5 – راجع نفسك كل فترة ..لتتأكد انك ثابتا على طريق التغيير ..

6- غير من خططك وطرق الوصول للهدف ان لم تجدى نفعا .. ولا تغير الهدف

7- لا تربط اهدافك باشخاص ..فأنت وحدك القادر على تغيير نفسك ان اردت ذلك

8- أبدا الأن.. لا تنتظر بداية الاسبوع او الشهر او السنة !! بل الأن

‫#‏ان_الله_لا_يغير_ما_بقوم_حتى_يغيروا_ما_بأنفسهم‬
‫#‏أبدأ_الأن‬

Ahmed Hassan

 

اتعلم سيكيورتى – (5)

اتعلم سيكيورتى – (5)

Policies and procedures used to reduce Risk

::::::::::::::::::::::::::::::::::::::::::::::::::::

هنتكلم النهاردة ازاى نقدر نقلل المخاطر المحتملة وازاى نحاول السيطرة عليها

عرفنا ال risk قبل كده وقولنا هى احتمالية استغلال نقاط الضعف فى الأصول مما يؤدى الى الخسارة

النهاردة هنتكلم عن ال polices & procedures المفترض انشاءها من قبل المؤسسة واتباعها من قبل الافراد والهدف هو تقليل المخاطر

Acceptable use policy – AUP

نحدد صلاحيات الموظفين فى استخدامهم لانظمة وموارد المؤسسة والتأكد من عدم اساءة استخدام الموارد او تخصيصها للاستخدام الشخصى.. بمعنى هل مسموح لك طباعة الملفات الخاصة بك بطابعة المؤسسة او توصيل فلاش درايف ونقل الملفات او نقل البرامج الاصلية او تغيير الهاردوير لجهازك …

Security Policy

هنا نحدد من مسموح له بالدخول على السيرفر او اذا كان الوزر الخاص بالمستخدم لديه الصلاحيات للتلاعب بالجهاز وتثبيت البرامج .. وايضا التاكد من ال Vlans المختلفة و ال firewalls .. وبالطبع قسم السيكيورتى فى المؤسسة هو المسئول عن وضع ما هو مسموح وما هو غير مسموح من اجل حماية الاجهزة والانظمة والشبكات ..

Mandatory vacations

بالطبع هذا لا يحدث فى مصر ولكن بالخارج يجب الحرص من قبل المؤسسات الكبير وخاصة البنوك ان تعطى الموظفين والعاملين وخصوصا فى الاماكن المهمة اجازة مفاجئة لمدة قد تصل الى اسبوع او اسبوعين وذلك من اجل اولا الحفاظ على اداء الموظف وعمل (refresh ) وايضا التاكد ان البديل يستطيع بكفاءة سد العجز اذا حدث اى شىء للموظف الاساسى .. وهناك سبب رئيسى اخر وهو التأكد بانه لن يستطيع احد ان يتلاعب او يقوم بعملية نصب لانه يعرف ان له بديل وقد يأخذ اجازة ويكتشف بديله التلاعب ..

Separation of duties

الفصل بين المهام الرئيسية .. لو دخلنا مثلا سوبر ماركت هتلاقى ان الراجل اللى بيبيع غير الكاشير او الراجل اللى بيحاسبك وكمان فى البنوك او الشركات مينفعش يكون الشخص المسؤل عن الخزينة هو نفس الشخص اللذى يقوم بعملية المراجعة .. وهكذا يجب الفصل حتى لا يحدث (fraud) او تلاعب مما يمنع حدوث المخاطر وبالتاكيد لا خسائر

Job Rotation

عدم الاعتماد على شخص واحد فقط لتنفيذ المهام .. لذلك يجب وجود بديل وتدريبه واعطاءه الفرصة الكاملة ليكون بنفس الكفاءة .. وايضا حتى لا يكون شخص واحد هو المتحكم فى كل شىء مما يؤدى الى التلاعب وحدوث خسائر ومخاطر ..

Document Disposal and Destruction Policies

الملفات والوثائق الهامة يجب التاكد من لديه الحق فى الاطلاع عليها وايضا عند عدم الحاجة اليها يجب اتلافها والتخلص منها بشكل نهائى .. حتى لا تقع فى الايدى الخطأ

Physical Access Control Policies

تحديد الصلاحيات لبعض الاشخاص المصرح لهم دخول الداتا السنتر مثلا او التحكم فى السيرفرات والانظمة وهذا بالطبع يقلل من حدوث المخاطر والحفاظ على استمرارية عمل المؤسسة

Least Privilege

يجب تقسيم الصلاحيات على الموظفين من حيث احتياجهم لها .. بمعنى ليس كل الموظفين بحاجة الى تثبيت البرامج وهناك البعض يحتاج انترنت والبعض الاخر لا … وايضا بالنسبة للادمن لا يجب اعطاء ادمن واحد كل الصلاحيات للتحكم فى الشبكة والمؤسسة بل يجب تقسيم الواجبات والمهام والصلاحيات واعطاء كل موظف اقل صلاحيات يمكن الحصول عليها

‪#‎Ahmed_Hassan‬

 

سلسلة اعرف – (2)

سلسلة اعرف – (2)
Network Programming

زى ما اتعودنا اننا فى سلسلة اعرف هنلقى الضوء على حاجة مختلفة او نفتح طريق لمجال جديد

النهاردة هنتكلم عن برمجة الشبكات وازاى تقدر تحترف هذا المجال

فى البداية لازم تتعلم لغة برمجة وتتقنها بشكل كويس وبعد كده تقدر تعرف ازاى تبدا فى برمجة الشبكات

لغة البايثون من اللغات الجميلة والمفيدة اللى ممكن تساعدك وتقدر تتابع من اللينك ده

Python Network Programming

http://www.tutorialspoint.com/python/python_networking.htm
برمجة الشبكات بواسطة لغة بايثون

http://www.linuxac.org/…/56341-%D8%A8%D8%B1%D9%85%D8%AC%D8%…
وده كمان كورس – شبكات الحاسب – تحليل شبكات المعلومات

http://www.rwaq.org/courses/networks

كمان تقدر من خلال ال c# انك تبرمج برامج بواجهة رسومية

برمجة الشبكات للمبتدئين باستخدام ‪#‎C‬

https://www.youtube.com/playlist…

وده كمان كتاب برمجة الشبكات باستخدام لغات الدوت نيت وتطبيقات TCP/IP Models

http://bit.ly/1HeLdGd
سلسلة دروس C# Network Programming

http://arabteam2000-forum.com/…/78693-%D8%B3%D9%84%D8%B3%D…/

برمجة جدار ناري firewall باستخدام c#

http://arabteam2000-forum.com/…/280448-%D8%A7%D8%B4%D8%AA%…/
اتمنى تكون بداية موفقة وهنتكلم اكتر فى دروس قادمة

‪#‎Ahmed_Hassan‬