النتائج 1 إلى 6 من 6

الموضوع: كيف تكتب سياسة أمنية لشبكتك

  1. #1
    مخالف للقوانين
    تاريخ التسجيل
    Sep 2007
    المشاركات
    4,716
    معدل تقييم المستوى
    0

    كيف تكتب سياسة أمنية لشبكتك



    السلام عليكم ورحمة الله وبركاته

    كيف تكتب سياسة أمنية لشبكتك

    المقال منقول ... الكاتب فادي عمروش

    مقدمة :
    في الماضي كانت الحواسب مستقلة عن بعضها البعض و كان يتم وضعها في مراكز كبيرة تدعى مراكز معلومات وكان يتم حماية هذه المركز من هجمات العالم الخارجي بواسطة قفل الأبواب, و مع انتشار الشبكات انتشارا واسعا أصبح إغلاق الأبواب و وضع الأقفال غير كافيا لحماية الحاسبو معلوماته من الاختراق لأن الهجمات ستأتي الآن من الشبكة أي من أي حاسب آخر و قد يكون حتى من دولة أخرى.إن تحقيق الأمن لشبكة خاصة في ظل انتشارو توسع الانترنت أمر صعب و خاصة أن الانترنت الآن تعج بالمواقع و خاصة مواقع الهاكرز و أدواتهم بشكل مجاني.

    الحاجة لسياسة أمن :

    لا أحد يغفل ضرورة الأمن و خاصة في مجال الشبكات و سنتحدث عن ذلك بالتفصيل في الجزء الثاني من المحاضرة.

    قبل أن نبدأ:

    إن أول خطوة في كتابة أي سياسة أمنية هو تحليل المخاطر و دراستها, إن تحليل المخاطر يعني دراسة ماذا تريد أن تحمي ضمن شبكتك و من ماذا تريد حمايته و كيف ستتم حمايته, وهذا يعني تحديد المخاطر و وضعها ضمن مستويات و درجات و طرق تجنبها و مواجهتها عند حدوثها .

    أسس أي سياسة أمنية :

    كلنا يعلم أن كتابة سياسة أمن للشبكات لها خصوصيتها و لكن لا يخلو الأمر من بعض الأساسيات التي لا بد أن تشترك بها كل سياسة أمنية بغض النظر كانت السياسة تهدف لحماية المعلومات أو حماية الشبكات.





    الحماية الفيزيائية :

    هناك تداخل كبير بين حماية الشبكة و الحماية الفيزيائية لان هيكلية شبكة مؤسسة ما قد تمتد لتشمل بناء كامل, مدينة , دولة و حتى العالم كله و عليه فإننا نحتاج لحماية فيزيائية لمحتويات الشبكة الفيزيائية من كابلات و موجهات …الخ و بدون الحماية الفيزيائية لن يكون هناك أي معنى للكلام عن مبادئ سرية الشبكات مثل التكاملية و الموثوقية .عندما نتحدث عن الحماية الفيزيائية هذا يعني أن نكتب و نوجد طرق حماية الموارد الفيزيائية من قطع هاردوير و تحديد الأشخاص المسؤولين عن الحماية و الأشخاص المسؤولين عن منح السماحيات للأشخاص الذين يدخلون غرف السيرفر و غرف تمديد الأسلاك .

    حماية الشبكة :

    تعنى حماية الشبكة بحماية تمديدات الشبكة و أسلاكها و يشمل هذا القسم وجود أدوات قياس و مراقبة للوصول و مثل على تلك الأدوات وجود جدار ناري, مراقبة الشبكة, تقييد خدمات مثل الوصول عن بعد , خدمات مشاركة الملفات, خدمات الانترنت .

    التحكم بالوصول :

    يهتم هذا القسم بتحديد هوية من يدخل الشبكة و إلى أين يدخل و ما هو سبب دخوله و يجب أن توجد إجرائية واضحة للتأكد من أن الأشخاص الحقيقيين هم الذين يمتلكون حق الوصول للخدمات و المعلومات الخاصة بهم دون غيرهم و بالتالي يجب أن تكون السياسة قادرة على منح المديرين المرونة الكافية لمنح الصلاحيات للمستخدمين و التحكم بها منعا لحدوث أخطاء .

    التأكد من الهوية :

    يعنى التأكد من الهوية بكيفية اختبار المستخدمين فيما إذا أنهم فعلا المستخدمين الحقيقيين , إن طرق التحقق من الهوية تتراوح من وجود رقم معرف و كلمة سر خاصة بكل مستخدم إلى طرق التأكد التي تعتمد على معدات هاردويرية مثل التأكد عن طريق بطاقات ممغنطة أو التأكد من البصمة و حدقة العين و طبعا يتراوح استخدام هذه التقنيات حسب الأهمية و الحاجة .



    التشفير :

    يعتبر التشفير أحد الأمور الهامة لتحقيق تكامل المعطيات و يقصد بتكامل المعطيات حماية المعطيات المرسلة عبر الشبكةو من التعديل و التزوير و غالباًما يكون التشفير ضروريا عندما يتم نقل المعلومات لمستخدمين بعيدين أو عند دخول أحد المستخدمين عن بعد لجهاز ما و خاصة في ظل وجود شبكة انترانت .

    إدارة المفتاح :

    إن كل عملية تشفير تتطلب وجود مفتاح و لذلك يجب أن تحدد عدة أمور هامة عند اختيار المفتاح : ·ما هو طول المفتاح . ·كل متى ستغير المفتاح . ·متى و كيف يتم توليد المفتاح . ·من و كيف بتم توزيع المفتاح .

    المراقبة و المراجعة :

    ماإن تقوم بوضع سياستك الأمنية لشبكتك و تنفذها عليك بعد فترة التأكد من أن المكونات و الموظفون يطبقون و يلتزمون هذه السياسة و يتم ذلك بمراقبة تطبيق هذه السياسة, تفيد السياسة في التعرف على المشاكل و التنبؤ بها قبل حدوثها و يجب مراجعة السياسة باستمرار للتأكد من استمرار فعاليتها .

    خطة طوارئ :

    يجب أن تحتوي سياستك على قسم يشرح الاجرائيات الواجب اتخاذها في حال حدوث كارثة و بالتالي عليك تحديد كيفية و توقيت استراجاع البيانات عند حدوث هجوم يؤدي لضررها و تحديد كيفية صد هجوم و كيفية حفظ النسخ الاحتياطية و مكانها و المسؤولون عليها .





    السياسة الشخصية :

    يحدد هذا القسم السياسة الشخصية لكل مستخدم لديك على الشبكة و ما هي السماحيات التي يملكها على موارد الشبكة مثل الطابعة و الانترنت و يجب تحديد السماحيات بدقة مثل سماحيات استخدام الألعاب , استخدام البريد الاكتروني, تصفح الانترنت و استخدام ما سبق للفائدة الشخصية .

    سرية البرامج :

    يجب تحديد نوعية البرامج التي تم تنزيلها على السيرفر و هل هي تجارية أو غير تجارية , موثوقة أم غير موثوقة بالإضافة لتقييد تحميل البرامج من الانترنت و تنصيبها على السيرفر مباشرة.

    خطوات كتابة سياسة أمنية :

    الهدف :

    قبل الشروع بكتابة سياستك الأمنية يجب أن يكون لديك فكرة واضحة عن أهداف هذه السياسة .

    المدى :

    و هو ما ستقوم بحمايته بواسطة سياستك الأمنية و هذا يشمل ذكر كل المجالات اللازمة للحماية انطلاقا من الحماية الفيزيائية حتى الشخصية و مدى شمولية هذه السياسة من مدراء و مستخدمين و حتى زوار .

    المناقشة و دعم الادارة العليا :

    بعد كتابة الهدف و أفق السياسة يجب إطلاع الادارة العليا في مؤسستك عليها و أخذ الموافقة و النقاش معهم حول طرق تحقيق هذه السياسة .





    الإطلاع على سياسات أخرى :

    ينصح قبل الشروع بكتابة السياسة الأمنية الخاصة بك أن تطلع على سياسات عامة لشركات أخرى و تجارب الشركات الأخرى في هذا المجال .

    تقدير المخاطر :

    قبل كتابة السياسة يجب عليك تحديد المخاطر المتوقعة و طرق مواجهتها .

    تحديد مكونات السياسة و كتابتها :

    يعتمد ذلك على دراسة المخاطرة و ليس من الضروري وضع كل المكونات السابقة عند كتابة سياسة أمنية .

    التقييم :

    بعد أن تكتب السياسة عليك القيام بتقييمها ,و تساعدك الأسئلة التالية في تقييم سياستك: ·هل تتوافق سياستك مع القانون . ·هل تقيد نفوذ موظفيك . ·هل هي قابلة للتطبيق العملي . ·هل تعرف كل الأشكال المختلفة للاتصالات .

    الخلاصة :

    إن القيام بكتابة سياسة أمنية للشبكة أمر أكبر من أن يتم إنجازه ب يوم أو اثنين و هو يعتمد على مفاهيم إدارية و تقنية في آن ما .لا تحسب أنك ستكتب سياسة لمرة واحدة و كفى, فالسياسات تتطور و تتغير مع الزمن لان المفاهيم تتغير و أساليب الهجوم تتطور مع الوقت

  2. #2
    عضو
    تاريخ التسجيل
    Dec 2005
    المشاركات
    82
    معدل تقييم المستوى
    13

    رد: كيف تكتب سياسة أمنية لشبكتك

    بسم الله الرحمن الرحيم


    جزاك الله خيرا ..
    معلومات قيمة جداَ .... واشكرك على جهدك

    وكم تمنيت لو وضعت مثال عملي تم العمل به ..
    حنستفيد اكثر

  3. #3
    مسئول الإعلام الإلكتروني الصورة الرمزية Iraq IT
    تاريخ التسجيل
    Oct 2005
    المشاركات
    5,797
    الدولة: Iraq
    معدل تقييم المستوى
    20

    رد: كيف تكتب سياسة أمنية لشبكتك

    اخي الكريم ...

    هل هذه المقالة لك ... اذا نعم اكتب اسمك بانك الكاتب ...

    اذا لا ... ساقفل الموضوع في حالة عدم توفير المصدر ...

    شكرا على التعاون ...

    Iraq IT
    .
    " وخذ من حياتك لموتك "

    لا ترسل لي رسالة خاصة ... اذا لديك أي سؤال ضعه هنا


  4. #4

  5. #5
    مسئول الإعلام الإلكتروني الصورة الرمزية Iraq IT
    تاريخ التسجيل
    Oct 2005
    المشاركات
    5,797
    الدولة: Iraq
    معدل تقييم المستوى
    20

    رد: كيف تكتب سياسة أمنية لشبكتك

    اخي Admin2008

    في حالة تكرار نقل المواضيع بدون اسم المصدر سيتم اعطائك مخالفة، هذا جهد غيرك وليس جهدك ...

    اخي الاسمر ...

    بارك الله فيك على التوضيح ...

    تحياتي
    Iraq IT
    .
    " وخذ من حياتك لموتك "

    لا ترسل لي رسالة خاصة ... اذا لديك أي سؤال ضعه هنا


  6. #6
    عضو
    تاريخ التسجيل
    Sep 2005
    المشاركات
    238
    معدل تقييم المستوى
    13

    رد: كيف تكتب سياسة أمنية لشبكتك



    السلام عليكم..

    موضوع جيد .. شكرا لكاتبه وناقله..

    وهذا مثال على السياسة الأمنية لجامعة تورنتو

    ---------------------------------------------------
    Preamble

    This document establishes the network security policy for the University of Toronto .

    The network security policy is intended to protect the integrity of campus networks and to mitigate the risks and losses associated with security threats to campus networks and network resources.

    Like many other universities, the University of Toronto has experienced and will continue to experience security incidents encompassing a broad scope of severity. These incidents range from individual virus infections to loss of network connectivity for entire departmental zones due to denial of service attacks. The management of these incidents is a responsibility of the University. Failure to meet that responsibility could result in a tarnished reputation as well as potential legal liability.

    Attacks and security incidents constitute a risk to the University's academic mission. The loss or corruption of data or unauthorized disclosure of information on research and instructional computers, student records, and financial systems could greatly hinder the legitimate activities of University staff, faculty and students. The University also has a legal responsibility to secure its computers and networks from misuse. Failure to exercise due diligence may lead to financial liability for damage done by persons accessing the network from or through the University. Moreover, an unprotected University network open to abuse might be shunned by parts of the larger network community. This policy will allow the University of Toronto to handle network security effectively.

    This policy is subject to revision and will be evaluated as the University gains experience with this policy. All revisions are reviewed and approved by the Technical Operations Committee. Procedures and guidelines associated with this policy will be posted on the Computer Security Administration web page.



    Goals

    The goals of this network security policy are:

    to establish University wide policies to protect the University's networks and computer systems from abuse and inappropriate use.
    to establish mechanisms that will aid in the identification and prevention of abuse of University networks and computer systems.
    to provide an effective mechanism for responding to external complaints and queries about real or perceived abuses of University networks and computer systems.
    to establish mechanisms that will protect the reputation of the University and will allow the University to satisfy its legal and ethical responsibilities with regard to its networks' and computer systems' connectivity to the worldwide Internet.
    to establish mechanisms that will support the goals of other existing policies, e.g.
    Appropriate Use of Information Technology
    Student Code of Conduct
    Note: Any violation of the network security policy will also be deemed a violation of the above listed policies, as appropriate.



    Policy Statement

    The University of Toronto provides network resources to its divisions, faculties and departments in support of its Academic Mission. This policy puts in place measures to prevent or at least minimize the number of security incidents on the campus network without impacting the academic mission or the integrity of the University's many different computing communities.

    The responsibility for the security of the University's computing resources rests with the system administrators who manage those resources. Computing & Networking Services (CNS) and the Computer Security Administration (CSA) group will help system administrators to carry out these responsibilities according to this policy.

    The Provost has overall responsibility for this policy.

    The Technical Operations Committee of the Computer Management Board will review and respond to formal complaints resulting from the implementation of this policy. Computing & Networking Services (CNS) will prepare an annual report for the Committee relating experience with this policy and the Committee will recommend improvements to the Provost.

    Departments which administer LANs connected to the backbone will:

    provide Computing & Networking Services (CNS) with the names, email addresses and telephone numbers for at least two different contacts: a management contact; and a primary technical contact (usually the System Administrator). An alternate contact should be provided in situations where both the management contact and the primary technical contact are one and the same person.
    assign to an individual, the authority to connect systems to the departmental network(s).
    ensure this information is kept accurate and up to date.
    when implementing wireless and/or wired docking infrastructure, ensure that guidelines (see Appendix 1) maintained by CNS are strictly adhered to.
    Computing & Networking Services will:

    monitor in real-time, backbone network traffic, as necessary and appropriate, for the detection of unauthorized activity, intrusion attempts and compromised equipment.
    such monitoring will be carried out in compliance with the University's statement on Personal Privacy in the Appropriate Use of Information Technology;
    when a security problem (or potential security problem) is identified CNS will seek the co-operation of the appropriate contacts for the systems and networks involved in order to resolve such problems, but in the absence or unavailability of such individuals may need to act unilaterally to contain the problem, up to and including temporary isolation of systems or devices from the network, and notify the responsible system administrator when this is done;
    publish security alerts, vulnerability notices and patches, and other pertinent information in an effort to prevent security breaches.
    carry out and review the results of automated network-based vulnerability, compromise assessment and guideline compliance scans of the systems and devices on University networks in order to detect known vulnerabilities, compromised hosts, and guideline compliance failures,
    CNS will inform the departmental system administrators of planned scan activity providing detailed information about the scans, including time of scan, originating machine, and test and vulnerabilities tested for. The security, operation or functionality of the scanned machines should not be endangered by the scan;
    CNS will provide tools to departments so they may run their own testing.
    CNS will report the results of scans that identify security vulnerabilities only to the departmental system administrator contact responsible for those systems;
    CNS will report recurring vulnerabilities over multiple scans to departmental management;
    if identified security vulnerabilities, compromises or guideline compliance failures deemed to be a significant risk to others and which have been reported to the relevant system administrators, are not addressed in a timely manner, CNS may take steps to disable network access to those systems and/or devices until the problems have been rectified.
    test campus wireless network access to ensure compliance to published guidelines.
    prepare summary reports of its network security activities for the Technical Operations Committee on a quarterly basis,
    prepare recommendations and guidelines for network and system administrators, to be posted at the Computer Security Administration Web Page,
    provide assistance and advice to system administrators to the extent possible with available resources,
    issue semi-annual requests to verify the accuracy of departmental contact information.
    The Computer Security Administration group within CNS will:

    co-ordinate all CNS network security efforts and act as the primary administrative contact for all related activities,
    co-ordinate investigations into any alleged computer or network security compromises, incidents and/or problems. To ensure that this co-ordination is effective, security compromises should be reported to Computer Security Administration - Email: security.admin@utoronto.ca or telephone 416-978-1354,
    co-operate in the identification and prosecution of activities contrary to University policies and the law. Actions will be taken in accordance with relevant University Policies, Codes and Procedures with, as appropriate, the involvement of the Campus Police and/or other law enforcement agencies,
    in consultation with system administrators, develop procedures for handling and tracking a suspected intrusion, and deploy those procedures in the resolution of security incidents.
    System Administrators will:

    protect the networks and systems for which they are responsible,
    employ CNS recommended practice and guidelines where appropriate and practical,
    co-operate with CNS in addressing security problems identified by network monitoring,
    address security vulnerabilities identified by CNS scans deemed to be a significant risk to others,
    report significant computer security compromises to Computer Security Administration.
    Network users will:

    abide by the Appropriate Use of Information Technology policy of the University,
    abide by departmental policies governing connection to departmental networks.


    Definitions

    Network Resources: Network resources include any networks connected to the University of Toronto backbone, any devices attached to these networks and any services made available over these networks. Devices and services include network servers, peripheral equipment, workstations and personal computers (PCs), UTORdial, UTORmail, etc.

    Departments: Department is used as a generic term to signify an academic or administration unit.

    System Administrator: refers to the individual who is responsible for system and network support for computing devices in a local computing group. In some instances, this may be a single person while in others the responsibility may be shared by several individuals some of whom may be at different organizational levels.



    Contact

    For information about this policy or for clarification of any of the provisions of this policy, please contact the Manager of Computer Security Administration at security.admin@utoronto.ca



    References

    Appropriate Use of Information Technology:

    http://www.utoronto.ca/welcome.html/...al/appuse.html

    Computer Security Administration Web Page:


    http://www.utoronto.ca/security

    Student Code of Conduct


    http://www.campuslife.utoronto.ca/po...ofconduct.html





    Appendix 1: Guidelines for the Implementation of Wireless and Wired Docking Infrastructure


    The Network Security Policy specifies that University departments planning to implement wired and wireless network connectivity must adhere to the guidelines specified in this document.



    Before configuring frequency spectrum settings in wireless access points, Departments must consult with CNS. CNS maintains campus frequency spectrum mappings to ensure that spectrum collision does not occur.


    Departments must ensure that all access to wireless and wired docking area network connectivity is controlled by an authentication system. This system must be designed such that network connectivity can be traced to an identifiable end user. Under special circumstances, for periods of limited duration, it may be sufficient that all network connectivity sessions be traced to the responsible departmental representative. An example of such a situation would be a meeting led by a departmental representative making use of network connectivity for non-University users.


    Departments must recognize that eavesdropping is possible with wireless communications, and thus ensure that sensitive data being transmitted is protected from potential eavesdroppers via suitably strong encryption.


    Departments must take steps to prohibit unauthorized wireless access point installations by their users.


    Any person implementing a wireless access point or wired docking station will be responsible for the network traffic through it.
    -----------------------------------------

    مع التحية

    يا غارة الله لا تبقــي ولا تــذري***مـن الأعـادي لنـا عيــن ولا أثــر
    يا غارة الله شدي القوس والوتر***وأرم الأعـادي لنـا بالنـار والشرر
    يا غارة الله غـيـثـيـنـا فـإن لنــــا***ظناً جميلا بأخذ الثـأر من الأثــر
    يا غارة الله خذيهم في منازلهم***أخذاً عزيزاً بأيدي البطش والبتر
    يا غارة الله صبــي فـوقـهم نقما***من السمـاء بليـل حالـك الغـدر

المواضيع المتشابهه

  1. صمم بنفسك خطوة بخطوة Domin Controller لشبكتك ( شرح بالصور )
    بواسطة aley_mcsd.NET في المنتدى الأرشيف
    مشاركات: 129
    آخر مشاركة: 15-12-2009, 21:38
  2. قبل ان تكتب عن مشكلتك ادخل هنا
    بواسطة shaker3 في المنتدى مشاكل الحاسب وحلولها
    مشاركات: 3
    آخر مشاركة: 03-11-2009, 12:04
  3. ماذا تكتب من مقالات ؟
    بواسطة أسامة في المنتدى الأرشيف
    مشاركات: 3
    آخر مشاركة: 11-11-2003, 21:29
  4. عن ماذا تكتب هنا؟
    بواسطة Mubarak في المنتدى الأرشيف
    مشاركات: 0
    آخر مشاركة: 28-06-2002, 20:25

الكلمات الدلالية لهذا الموضوع

المفضلات

ضوابط المشاركة

  • لا تستطيع إضافة مواضيع جديدة
  • لا تستطيع الرد على المواضيع
  • لا تستطيع إرفاق ملفات
  • لا تستطيع تعديل مشاركاتك
  •