الأمن السيبراني

الأمن السيبراني للشركات هو حماية مواقعها وأنظمتها وأجهزتها وبياناتها من السرقة والتلف والتعطيل. ويجمع بين التقنية، مثل الجدران النارية والتشفير، والعادات الجيدة، مثل كلمات المرور القوية وتدريب الموظفين. والهدف أن يستمر العمل وتبقى بيانات العملاء خاصة.

تحتاج الشركات الصغيرة إلى الأمن السيبراني لأن المهاجمين يستهدفونها كثيرا متوقعين حماية أضعف من الشركات الكبيرة. واختراق واحد قد يوقف المبيعات ويكشف بيانات العملاء ويضر بالثقة لسنوات. والإجراءات الأساسية، مثل التحديثات والنسخ الاحتياطي وتسجيل الدخول بخطوتين، توقف نسبة كبيرة من الهجمات الشائعة.

أشهر الهجمات الإلكترونية على المواقع هي سرقة كلمات المرور أو تخمينها، وحقن SQL، والبرمجة النصية عبر المواقع XSS، ورفع البرمجيات الخبيثة، وإغراق الموقع بالزيارات فيما يعرف بهجمات DDoS. وينجح كثير منها لأن البرامج لم تحدث. وقائمة OWASP Top 10 تصف أكثر مخاطر تطبيقات الويب شيوعا بالتفصيل.

قائمة OWASP Top 10 قائمة واسعة الاستخدام لأخطر عشرة مخاطر أمنية على تطبيقات الويب، تصدرها مؤسسة Open Worldwide Application Security Project. وتغطي مشكلات مثل خلل التحكم في الوصول والحقن وأخطاء الإعدادات الأمنية. ويعتمد عليها المطورون والمدققون كأساس للكود الآمن.

اختبار الاختراق هجوم محاكى آمن ومصرح به على موقع أو تطبيق أو شبكة أو واجهة API لاكتشاف نقاط الضعف قبل أن يكتشفها المهاجمون الحقيقيون. ويجرب المختبر الأساليب نفسها التي قد يستخدمها المهاجم. والنتيجة تقرير يذكر كل نقطة ضعف ومدى خطورتها وطريقة إصلاحها.

يحتاج الموقع إلى اختبار اختراق مرة في السنة على الأقل، وبعد أي تغيير كبير مثل ميزة جديدة أو نظام تسجيل دخول جديد أو الانتقال إلى خوادم جديدة. والمواقع التي تتعامل مع المدفوعات أو البيانات الحساسة تختبر غالبا بشكل أكثر تكرارا. والفحص المستمر للثغرات بين الاختبارات يكشف المشكلات المعروفة الجديدة.

فحص الثغرات تحقق آلي من نقاط الضعف المعروفة، أما اختبار الاختراق فجهد يدوي يبذله مختبر ماهر لاستغلالها فعليا. والفحص سريع ويمكن تشغيله كثيرا. أما اختبار الاختراق فيكشف أخطاء المنطق ونقاط الضعف المتسلسلة التي تفوت الأدوات الآلية.

التدقيق الأمني مراجعة منظمة لمدى حماية الشركة لأنظمتها وبياناتها، تشمل الإعدادات وصلاحيات الوصول والسياسات والكود والإجراءات. ويقارن المدقق الوضع الحالي بالمعايير المعتمدة. وينتهي التدقيق بنتائج مرتبة حسب الخطورة وخطة لإصلاحها.

جدار حماية تطبيقات الويب WAF مرشح يقف أمام الموقع ويحجب الطلبات الخبيثة والروبوتات الضارة وموجات الزيارات الكثيفة قبل وصولها إلى التطبيق. ويتعرف على أنماط الهجمات مثل حقن SQL. وهو يضيف طبقة حماية لكنه لا يغني عن الكود الآمن.

المصادقة الثنائية تسجيل دخول يحتاج إلى إثبات ثان للهوية، مثل رمز من تطبيق على الجوال، إضافة إلى كلمة المرور. ويجب أن تستخدمها كل شركة، خاصة للبريد ولوحات التحكم والحسابات البنكية. فلا تعود كلمة المرور المسروقة وحدها كافية للاختراق.

من علامات اختراق الموقع ظهور مستخدمين مديرين مجهولين، وتحويلات غريبة، وملفات غير مألوفة، وصفحات مزعجة في نتائج البحث، وتحذيرات من المتصفح أو محرك البحث. وقد يدل عليه أيضا هبوط مفاجئ في الزيارات أو تنبيه من شركة الاستضافة. والفحص الاحترافي يؤكد المشكلة ويكشف كيف دخل المهاجم.

فور تسرب البيانات يجب على الشركة احتواء الهجوم، والحفاظ على الأدلة، ومعرفة كيف دخل المهاجم وإغلاق تلك الثغرة. ثم تغير كلمات المرور والمفاتيح وتستعاد النسخ الاحتياطية النظيفة عند الحاجة. وكثير من القوانين تشترط أيضا إبلاغ المتضررين والجهات المختصة خلال مدة محددة.

التصيد الاحتيالي خدعة ينتحل فيها المهاجمون صفة شخص أو شركة موثوقة لإيقاع الناس في إعطاء كلمات المرور أو الأموال أو صلاحيات الوصول. ويكتشف الموظفون رسائله بالتحقق من عنوان المرسل الحقيقي، والوقوف بالمؤشر على الروابط قبل الضغط عليها، والشك في أي طلب عاجل للدفع أو لبيانات الدخول. والتدريب القصير المنتظم يجعل خداع الموظفين أصعب بكثير.

برنامج الفدية برمجية خبيثة تشفر ملفات الشركة وتطلب دفع فدية لاستعادتها. وأفضل حماية هي نسخ احتياطية منتظمة ومختبرة محفوظة بعيدا عن الشبكة الرئيسية، مع التحديث الفوري والحذر في التعامل مع البريد. ومع نسخ احتياطية جيدة تستطيع الشركة استعادة بياناتها بدلا من التفاوض مع المهاجمين.

تحديثات البرامج مهمة للأمان لأن كثيرا منها يغلق ثغرات يعرفها المهاجمون ويستغلونها فعلا. والإضافة أو الخادم غير المحدث من أشهر طرق الدخول إلى المواقع. وتطبيق التحديثات فورا يزيل نقاط الدخول السهلة هذه.

شهادة SSL تشفر الاتصال بين متصفح الزائر والموقع، ويظهر ذلك في HTTPS ورمز القفل في شريط العنوان. وهي تحمي البيانات أثناء انتقالها، مثل كلمات المرور وما يكتب في النماذج. لكن شهادة SSL لا تحمي الموقع نفسه من الاختراق، فما زالت هناك حاجة إلى إجراءات أخرى.

يجب حفظ كلمات المرور في تطبيق الويب كقيم تجزئة مملحة فقط بخوارزمية بطيئة مثل bcrypt أو Argon2، ولا تحفظ أبدا كنص صريح. والتجزئة تعني أن صاحب الموقع نفسه لا يستطيع قراءة كلمة المرور الأصلية. وإذا تسربت قاعدة البيانات، يصعب جدا استرجاع كلمات المرور المجزأة بشكل صحيح.

التشفير أثناء النقل يحمي البيانات وهي تنتقل عبر الشبكة، والتشفير أثناء التخزين يحميها وهي محفوظة على الأقراص أو في قواعد البيانات. ومعا يعنيان أن البيانات المعترضة أو المسروقة لا تقرأ دون المفاتيح. وحفظ هذه المفاتيح في خزنة آمنة جزء من الحماية نفسها.

مبدأ أقل الصلاحيات يعني منح كل شخص وكل نظام الوصول الذي يحتاجه لعمله فقط ولا شيء أكثر. فالموظف الذي يتعامل مع الطلبات مثلا لا سبب لديه لرؤية الرواتب. وتقييد الوصول يقلل الضرر سواء من حساب مسروق أو من خطأ غير مقصود.

تحمي النسخ الاحتياطية الشركة من الهجمات الإلكترونية لأنها تتيح استعادة الأنظمة والبيانات بعد برنامج فدية أو حذف أو تعطل خادم. ويجب أن تكون النسخ تلقائية ومشفرة ومحفوظة في أكثر من مكان، وأن تختبر استعادتها بانتظام. فالنسخة غير المختبرة قد تفشل في اللحظة التي تحتاج إليها بالضبط.

هجوم DDoS، أو هجوم حجب الخدمة الموزع، يغرق الموقع أو الخادم بكم هائل من الزيارات من أجهزة كثيرة حتى لا يستطيع الزوار الحقيقيون الوصول إليه. وهو يستهدف توفر الخدمة لا سرقة البيانات. وخدمات التصفية وجدران حماية تطبيقات الويب تمتص معظم هذه الزيارات أو تحجبها.

مراجعة الكود الأمنية قراءة دقيقة للكود المصدري للتطبيق لاكتشاف الثغرات الأمنية، مثل غياب فحوص الصلاحيات أو التعامل غير الآمن مع المدخلات أو الأسرار المكشوفة. وهي تكشف مشكلات لا ترى من خارج التطبيق. والجمع بين مراجعة الكود واختبار الاختراق يعطي الصورة الأكمل.

تدرب الشركة موظفيها على الأمن السيبراني بجلسات قصيرة ومنتظمة عن التصيد وكلمات المرور والتصفح الآمن والإبلاغ عن أي نشاط مريب، مع أمثلة حقيقية. ورسائل التصيد التجريبية توضح من يحتاج إلى مساعدة أكثر. والموظفون الذين يعرفون ما يبحثون عنه يصبحون خط دفاع قويا.

عند اختيار شركة أمن سيبراني ابحث عن تقارير واضحة بلغة بسيطة، وخبرة مع أنظمة تشبه أنظمتك، وسرية صارمة، وقدرة على المساعدة في إصلاح المشكلات لا مجرد سردها. والمراقبة على مدار الساعة والاستجابة السريعة للحوادث مهمة للأنظمة الحساسة. واسأل كيف تشرح النتائج للمديرين غير التقنيين.

نعم، تقدم Linkysoft خدمات الأمن السيبراني للأنظمة التي تبنيها وللمواقع والتطبيقات التي بنتها فرق أخرى. وتشمل الخدمات اختبار الاختراق، وفحص الثغرات، وتقوية الأنظمة، ومراجعة الكود الأمنية، وجدار حماية تطبيقات الويب، والمراقبة على مدار الساعة طوال الأسبوع، والاستجابة للحوادث. والخطوة الأولى فحص أمني واستشارة مجانيان وسريان.