معيار أمن الخوادم
- الوصول الآمن (Secure Access)
الهدف: ضمان حماية الخوادم ووظائفها من الوصول غير المصرح به.
المخاطر المحتملة: الوصول غير المصرّح به إلى الخوادم يعرض جامعة الإمام محمد بن سعود الإسلامية لمخاطر عالية قد تؤدي إلى تسريب البيانات أو سرقتها أو تعطيل الخدمات أو انتهاكات أمنية تسمح لمنفذيها باستخدامها لشن المزيد من الهجمات السيبرانية ضدها وضد بنيتها التحتية.
الإجراءات المطلوبة:
- حصر الوصول إلى الخوادم على مشرفي الخوادم فقط وذلك من خلال منح حق الوصول لحسابات المشرفين المختلفين وبروتوكول الإنترنت لأجهزة المستخدمين باستخدام قوائم التحكم بالوصول (ACLs).
- تعطيل الحسابات الافتراضية (Default Accounts) أو غير التفاعلية أو غير اللازمة.
- ضبط وإعداد وقت انتهاء الجلسة وحد إغلاق الجلسة عند عدم الاستخدام وفقًا معيار إدارة هويات الدخول والصلاحيات المعتمد لدى جامعة الإمام محمد بن سعود الإسلامية.
- ضبط وإعداد كلمات مرور مُحمِّل تشغيل (Bootloader) نظام الإدخال/الإخراج الأساسي (BIOS).
- تقييد وصول المشرفين والمشغلين إلى الخوادم الحساسة وحصره على أجهزة الحاسب ذات الصلاحيات الهامة والحساسة (PAWs) وتشفير عمليات الوصول الخاصة بهم.
- تقييد الوصول إلى الخوادم وحصره على المشرفين والمشغلين وذلك عن طريق خوادم الوصول إلى المناطق الآمنة (Jump Servers) أو إدارة الصلاحيات الهامة والحسّاسة (PAM).
- استخدام خوادم منفصلة للوصول إلى المناطق الآمنة (Jump Servers) لمشرفي ومستخدمي النظام.
- استخدام التحقّق من الهوية متعدّد العناصر من أجل الوصول عبر خوادم الوصول إلى المناطق الآمنة (Jump Server) المستخدمة من قبل مشرفي النظام وذلك من خلال تطبيق قوائم التحكم بالوصول (ACLs).
- تقييد الوصول إلى خوادم الوصول إلى المناطق الآمنة (Jump Servers) وحصره على المشرفين والمشغلين المصرح لهم فقط.
- تقييد الوصول إلى الشبكة وحصره على خوادم الوصول إلى المناطق الآمنة (Jump Servers) من خلال تطبيق قوائم التحكم بالوصول (ACLs).
- وضع خوادم الوصول إلى المناطق الآمنة (Jump Servers) في منطقة إدارة الشبكة.
- إلغاء تفعيل خاصية الوصول إلى الإنترنت على خوادم الوصول إلى المناطق الآمنة (Jump Servers).
- إلغاء تفعيل الخدمات الخطرة وغير اللازمة (مثل إرسال رسائل البريد الإلكتروني واستلامها) على خوادم الوصول إلى المناطق الآمنة (Jump Servers).
- تفعيل جميع مستويات التسجيل إضافةً إلى سجل التدقيق والسجلات الأمنية محليًا وعلى نظام تسجيل أحداث مركزي.
- حماية الخوادم (Server Protection)
الهدف: ضمان حماية الخوادم من الفيروسات والبرمجيات الضارة والتهديدات المتقدّمة المستمرة والهجمات غير المعروفة مسبقًا وأي نوع آخر من الهجمات الخبيثة.
المخاطر المحتملة: يمكن أن تؤدي الهجمات الخبيثة الناجحة على الخوادم إلى تعريض جامعة الإمام محمد بن سعود الإسلامية لاختراق أمني أو وصول غير مصرح به أو الكشف عن البيانات في حال تركت الخوادم دون حماية.
الإجراءات المطلوبة:
- ضبط وإعداد حد إغلاق نظام التشغيل ووظائف التطبيقات عن طريق الحد الأدنى من الصلاحيات والامتيازات المطلوب للتشغيل في الظروف الاعتيادية، مثل إلغاء تفعيل تغيير وقت النظام يدويًا، والإغلاق/إعادة التشغيل، وتعديل ملفات النظام، وإنشاء/تعديل/حذف الملفات، وغيرها.
- تطبيق خاصية السماح بقائمة محددة من التطبيقات (whitelisting) على الخوادم لتمكين عمل تطبيقات وبرمجيات محددة فقط وفقًا للحاجة.
- إعداد أنظمة السماح بقائمة محددة من التطبيقات بحيث لا يمكن للمستخدمين إلغاء تفعيل الأنظمة باستثناء مديري النظام عند أدائهم لمهام إدارية معينة تقتضي إلغاء تفعيل السماح بقائمة محددة من التطبيقات مؤقتًا.
- تعريف الملفات التنفيذية المعتمدة (exe وcom وpif وغيرها) ومكتبات البرمجيات (dll وocx وغيرها) والنصوص (ps1 وbat وvbs وغيرها) وبرامج التثبيت (msi وmsp وغيرها) واعتمادها بحيث يتم تنفيذها بواسطة مستخدمين معينين حسب الاحتياجات.
- تطبيق خاصية السماح بقائمة محددة من التطبيقات (whitelisting) لاستخدام قواعد التجزئة المشفرة أو قواعد شهادات الناشر أو قواعد المسار للسماح باستخدام التطبيقات أو منعها.
- ضبط وإعداد مجلدات التطبيقات وفقًا لتصاريح نظام الملفات لمنع أي تعديل غير مصرح به على المجلد أو تصاريح الملفات.
- تمكين وظيفة الحماية على الخوادم لاستخدامها في إجراءات الحد من المخاطر على نظام التشغيل وإجراءات الحد من المخاطر لتطبيقات معينة.
- تطبيق نظام الكشف والاستجابة عند النقطة النهائية (Endpoint Detection and Response (EDR))) ونظام كشف الاختراقات القائم على المستضيف (Host-based Intrusion Detection System (HIDS)) ونظام الحماية المتقدمة لاكتشاف ومنع الاختراقات في المستضيف (Host-based Intrusion Prevention System "HIPS") على جميع الخوادم.
- استخدام جدار حماية من البرمجيات المستضافة على جميع الخوادم.
- استخدام برامج مكافحة الفيروسات على جميع الخوادم.
- استخدام حماية الأجهزة الطرفية (Endpoint Protection) على جميع الخوادم.
- استخدام برامج الحماية من التهديدات المتقدمة المستمرة (ِAPT) على جميع الخوادم.
- استخدام برمجيات التحكم بأجهزة النهاية الطرفية على كافة الخوادم لمنع الاستخدام غير المصرح به للأجهزة.
- استخدام تقنية منع تسّرب البيانات (DLP) عند الضرورة وفقًا للمعايير المذكورة في معيار منع تسرب البيانات المعتمد لدى جامعة الإمام محمد بن سعود الإسلامية.
- تطبيق جميع المتطلبات بموجب سياسة الحماية من البرمجيات الضارة المعتمدة في جامعة الإمام محمد بن سعود الإسلامية.
- إدارة الخوادم (Central Management)
الهدف: تحديد المتطلبات الأمنية لإدارة الخوادم لضمان إدارة وتشغيل الخوادم بطريقة آمنة وضمان تطبيق وتنفيذ جميع المتطلبات الأمنية.
المخاطر المحتملة: يؤدي الافتقار إلى الإدارة الآمنة وعدم تطبيق المتطلبات الأمنية على الخوادم إلى زيادة احتمالية التعرض للهجمات ووجود الثغرات ونقاط الضعف في بيئة جامعة الإمام محمد بن سعود الإسلامية، حيث يمكن استغلال هذه الثغرات في الهجمات أو الاختراقات الخبيثة التي تعرض الخوادم والبيانات في جامعة الإمام محمد بن سعود الإسلامية إلى انتهاكات أمنية.
الإجراءات المطلوبة:
- إعداد خادم الإدارة المركزية أو خادم النطاق ليطبق سياسات الإعدادات والتحصين المعتمدة لدى جامعة الإمام محمد بن سعود الإسلامية على جميع الخوادم.
- تثبيت أدوات إدارة إعدادات النظام التي تقوم تلقائيًا بتنفيذ وإعادة تثبيت إعدادات الضبط والتهيئة للأنظمة في فترات زمنية محددة ومنتظمة.
- تطبيق نظام مراقبة الإعدادات المتوافقة مع بروتوكول أتمتة محتوى الأمنSecurity) Content Automation Protocol "SCAP") للتأكد من عناصر الإعدادات الأمنية كافة وجدولة الاستثناءات المعتمدة والإبلاغ عن حدوث أي تغييرات غير مصرّح بها.
- معايير أخرى (Other Standards)
الهدف: تطبيق جميع المعايير والمتطلبات الأمنية للخوادم لضمان أعلى مستويات الحماية.
المخاطر المحتملة: عدم تطبيق جميع المعايير والمتطلبات الأمنية يعرض جامعة الإمام محمد بن سعود الإسلامية إلى زيادة في المخاطر الأمنية للخوادم.
الإجراءات المطلوبة:
- تطبيق المعايير التالية:
- معيار أمن البيئة الافتراضية.
- معيار التعافي من الكوارث والنسخ الاحتياطية.
- معيار التشفير.
- معيار إدارة سجلات الأحداث ومراقبة الأمن السيبراني.
- معيار الأمن المادي.
- معايير الإعدادات الآمنة والتحصين.
