الوحدة 15: أمان أنظمة التشغيل

1️⃣ أولًا: التهديدات الأمنية والبرمجيات الخبيثة (Intruders & Malware)

يُعد أمان أنظمة التشغيل تحديًا مستمرًا في ظل التطور السريع للتهديدات السيبرانية. فهم هذه التهديدات هو الخطوة الأولى نحو بناء أنظمة آمنة.

🔸 من هو المخترق (Intruder)؟

المخترق هو شخص (أو مجموعة من الأشخاص) يسعى للوصول غير المصرح به إلى نظام حاسوبي أو شبكة، عادةً لأغراض خبيثة مثل سرقة البيانات، التخريب، أو تعطيل الخدمات. يمكن تصنيف المخترقين بناءً على نواياهم وأخلاقياتهم:

• White Hat Hackers (القبعات البيضاء):

  مخترقون أخلاقيون يعملون بشكل قانوني لاختبار الأنظمة الأمنية واكتشاف الثغرات قبل أن يستغلها المخترقون السيئون. يُعرفون أيضًا بـ "مختبري الاختراق" (Penetration Testers).

• Black Hat Hackers (القبعات السوداء):

  مخترقون يهاجمون الأنظمة لأغراض خبيثة وغير قانونية، مثل سرقة المعلومات، نشر البرمجيات الضارة، أو تعطيل الخدمات. هدفهم هو الإضرار أو تحقيق مكاسب شخصية.

• Gray Hat Hackers (القبعات الرمادية):

  يتنقلون بين النوايا الحسنة والسيئة. قد يكتشفون الثغرات دون إذن، ثم يبلغون عنها للمنظمات (أحيانًا مقابل مكافأة)، أو قد يستغلونها بشكل محدود لإثبات نقطة معينة.

🔸 أنواع البرمجيات الخبيثة (Malware):

البرمجيات الخبيثة هي أي برنامج مصمم لإلحاق الضرر بالنظام، سرقة البيانات، أو تعطيل العمليات.

⚠️ كيف نحمي النظام من التهديدات والبرمجيات الخبيثة؟

• مراقبة الاتصالات الخارجية: استخدام جدران الحماية (Firewalls) وأنظمة كشف التسلل (Intrusion Detection Systems - IDS) لمراقبة حركة مرور الشبكة واكتشاف الأنشطة المشبوهة.
• تحديث البرمجيات بانتظام: تطبيق التحديثات الأمنية (Patches) لأنظمة التشغيل والتطبيقات لسد الثغرات المعروفة التي تستغلها البرمجيات الخبيثة.
• استخدام أدوات مكافحة البرمجيات الخبيثة: تثبيت برامج مكافحة الفيروسات (Antivirus) ومكافحة البرمجيات الضارة (Anti-Malware) وتحديثها بانتظام.
• التوعية الأمنية: تدريب المستخدمين على التعرف على هجمات التصيد الاحتيالي (Phishing) والروابط المشبوهة.
• النسخ الاحتياطي المنتظم: الاحتفاظ بنسخ احتياطية من البيانات الهامة في مكان آمن، مما يساعد على استعادة النظام في حالة الإصابة ببرامج الفدية.

2️⃣ ثانيًا: تجاوز سعة الذاكرة المؤقتة (Buffer Overflow)

تُعد ثغرة تجاوز سعة الذاكرة المؤقتة (Buffer Overflow) واحدة من أقدم وأخطر الثغرات الأمنية في البرمجيات، ولا تزال تُستغل حتى اليوم.

🔸 ما هو تجاوز سعة الذاكرة المؤقتة (Buffer Overflow)؟

هي ثغرة أمنية تحدث عندما يحاول برنامج كتابة بيانات في منطقة ذاكرة مؤقتة (تُسمى "Buffer" أو "مخزن مؤقت") بسعة محدودة، ولكن كمية البيانات المراد كتابتها تتجاوز السعة المخصصة لهذا المخزن. نتيجة لذلك، "تفيض" البيانات الزائدة وتنتقل إلى مناطق الذاكرة المجاورة غير المخصصة لها.

🔸 تأثيرها وعواقبها:

• استبدال بيانات حيوية: يمكن للبيانات الزائدة أن تُفسد أو تستبدل بيانات هامة أخرى في الذاكرة، مما يؤدي إلى تعطل البرنامج أو النظام (Crash).
• تنفيذ كود خبيث (Code Execution): في السيناريو الأسوأ، يمكن للمهاجمين استخدام هذه الثغرة لحقن كود خاص بهم (Shellcode) في الذاكرة، ثم التلاعب بمسار تنفيذ البرنامج بحيث يقوم المعالج بتنفيذ هذا الكود الخبيث. هذا يمنح المهاجمين تحكمًا كاملاً بالنظام.
• الحصول على صلاحيات النظام (Privilege Escalation): إذا كان البرنامج الذي يحتوي على الثغرة يعمل بصلاحيات عالية (مثل صلاحيات الجذر - Root)، يمكن للمهاجمين استغلال الثغرة للحصول على نفس هذه الصلاحيات، مما يمنحهم سيطرة كاملة على النظام.

🔸 مثال عملي بلغة C:

لنفترض أن لدينا برنامجًا بسيطًا بلغة C يحاول نسخ سلسلة نصية إلى مخزن مؤقت صغير:

#include <stdio.h>
#include <string.h>

int main() {
    char buffer[10]; // مخزن مؤقت بسعة 10 بايت (لـ 9 أحرف + حرف النهاية '\0')
    char input_string[] = "this string is too long for the buffer"; // سلسلة نصية أطول من السعة

    printf("قبل النسخ: محتوى المخزن (قد يكون عشوائيًا): %s\n", buffer);
    // استخدام strcpy() غير الآمنة
    strcpy(buffer, input_string); // هنا يحدث تجاوز سعة الذاكرة!

    printf("بعد النسخ: محتوى المخزن: %s\n", buffer);

    // قد تظهر سلوكيات غير متوقعة هنا أو يتعطل البرنامج
    return 0;
}
                        

في هذا المثال، `buffer` يمكنه تخزين 9 أحرف بالإضافة إلى حرف النهاية `\0`. عندما نستخدم `strcpy()` لنسخ `input_string` (التي تحتوي على 36 حرفًا) إلى `buffer`، فإن البيانات الزائدة ستُكتب خارج حدود `buffer`، مما يؤدي إلى الكتابة فوق أجزاء أخرى من الذاكرة (مثل مؤشر الإرجاع - Return Address في الـ Stack)، وهذا ما يستغله المهاجمون.

🛡️ كيف نمنع تجاوز سعة الذاكرة المؤقتة؟

• استخدام دوال آمنة (Safe Functions): تجنب الدوال غير الآمنة مثل `strcpy()`, `strcat()`, `gets()`, `sprintf()` واستخدام بدائلها الآمنة التي تتحقق من حدود المخزن المؤقت، مثل `strncpy()`, `strncat()`, `fgets()`, `snprintf()`.
• تفعيل حماية Stack Canaries: هي تقنية دفاعية تُضيف قيمة عشوائية (Canary) قبل مؤشر الإرجاع (Return Address) في الـ Stack. إذا تم تجاوز سعة المخزن المؤقت، فإن هذه القيمة ستتغير. يتحقق النظام من هذه القيمة قبل تنفيذ مؤشر الإرجاع؛ إذا تغيرت، فإنه يفترض وجود هجوم ويُنهي البرنامج.
• تفعيل حماية ASLR (Address Space Layout Randomization): تقوم هذه التقنية بترتيب عشوائي لمواقع الذاكرة التي تُحمل فيها العمليات والمكتبات (مثل Stack, Heap, Libraries) في كل مرة يتم فيها تشغيل البرنامج. هذا يجعل من الصعب على المهاجمين التنبؤ بمواقع الكود الخبيث الذي يحاولون تنفيذه.
• تفعيل حماية DEP/NX (Data Execution Prevention / No-Execute Bit): تمنع هذه التقنية تنفيذ الكود من مناطق الذاكرة المخصصة للبيانات فقط. هذا يُصعب على المهاجمين تنفيذ الكود الخبيث المحقون في مناطق البيانات.
• مراجعة التعليمات البرمجية دوريًا (Regular Code Review): إجراء مراجعات أمنية للكود لاكتشاف الثغرات المحتملة يدويًا أو باستخدام أدوات التحليل الثابت (Static Analysis Tools).

3️⃣ ثالثًا: ضوابط التحكم بالوصول (Access Control)

تُعد ضوابط التحكم بالوصول (Access Control) من الركائز الأساسية لأمان أنظمة التشغيل. تحدد هذه الضوابط من يمكنه الوصول إلى الموارد (مثل الملفات، المجلدات، الأجهزة، العمليات) وما هي الإجراءات التي يمكنه القيام بها (قراءة، كتابة، تنفيذ).

🔸 نماذج التحكم بالوصول الشائعة:

• DAC (Discretionary Access Control) - التحكم بالوصول التقديري:
  • الوصف: في هذا النموذج، يتحكم مالك المورد (مثل ملف أو مجلد) في الصلاحيات الممنوحة للمستخدمين الآخرين. يمكن للمالك تحديد من يمكنه الوصول إلى مورده وما هي الأذونات (Permissions) التي يمتلكونها.
  • المزايا: مرن وسهل الاستخدام للمستخدمين النهائيين.
  • العيوب: قد يكون أقل أمانًا في البيئات عالية المخاطر، حيث يمكن للمالكين غير المسؤولين منح أذونات واسعة جدًا.
  • مثال: نظام الملفات في Windows وLinux يستخدم DAC بشكل أساسي، حيث يمكن لمالك الملف تغيير أذوناته.

  🔍 مثال عملي في Linux (chmod):

  الأمر chmod 640 report.txt يعني:

  • الرقم الأول (6): يمثل أذونات المالك (Owner) = قراءة (4) + كتابة (2) = 6.
  • الرقم الثاني (4): يمثل أذونات المجموعة (Group) = قراءة (4).
  • الرقم الثالث (0): يمثل أذونات الآخرين (Others) = لا شيء.

  لذا، هذا الأمر يمنح مالك الملف صلاحية القراءة والكتابة، ويمنح أعضاء المجموعة صلاحية القراءة فقط، ولا يمنح أي صلاحيات للآخرين.

• MAC (Mandatory Access Control) - التحكم بالوصول الإلزامي:
  • الوصف: في هذا النموذج، يتحكم النظام (عادةً مسؤول الأمن) في الصلاحيات وفقًا لتصنيف أمني صارم (Security Clearance) لكل مستخدم ولكل مورد. لا يمكن لمالك المورد تجاوز هذه السياسات.
  • المزايا: يوفر أعلى مستوى من الأمان والحماية، ويُستخدم في البيئات التي تتطلب سرية عالية (مثل الأنظمة العسكرية والحكومية).
  • العيوب: معقد في الإدارة والتكوين، ويُقلل من مرونة المستخدم.
  • مثال: SELinux (Security-Enhanced Linux) وAppArmor في Linux يمكن تكوينهما لفرض MAC.
• RBAC (Role-Based Access Control) - التحكم بالوصول المستند إلى الدور:
  • الوصف: تُمنح الصلاحيات للمستخدمين بناءً على الدور (Role) الذي يشغلونه داخل المنظمة (مثل: مستخدم عادي، مدير، مسؤول شبكة، محاسب). يتم تجميع الأذونات في أدوار، ثم يتم تعيين الأدوار للمستخدمين.
  • المزايا: سهل الإدارة في البيئات الكبيرة، حيث يمكن إضافة أو إزالة المستخدمين من الأدوار بسهولة دون الحاجة لتغيير أذونات فردية. يُحسن من الاتساق الأمني.
  • العيوب: قد يكون أقل مرونة من DAC في بعض السيناريوهات.
  • مثال: تُستخدم RBAC على نطاق واسع في أنظمة إدارة قواعد البيانات، أنظمة إدارة الموارد البشرية، وأنظمة التشغيل الحديثة (مثل Windows Server).

4️⃣ رابعًا: تشديد نظام التشغيل (System Hardening)

تشديد النظام (System Hardening) هي عملية تقليل سطح الهجوم (Attack Surface) على النظام، بجعله أكثر صلابة ومقاومة ضد التهديدات الأمنية. الهدف هو إزالة أو تعطيل أي نقاط ضعف غير ضرورية يمكن للمهاجمين استغلالها.

🛠️ خطوات عملية لتشديد النظام:

• إزالة التطبيقات والخدمات غير الضرورية:

  أي برنامج أو خدمة غير مستخدمة تُعد نقطة ضعف محتملة. يجب إزالة أو تعطيل كل ما لا يلزم لتقليل فرص الاستغلال. على سبيل المثال، إذا لم يكن الخادم يستخدم خادم FTP، فيجب تعطيل أو إزالة خدمة FTP.

• تعطيل المستخدمين غير النشطين والحسابات الافتراضية:

  يجب تعطيل أو حذف حسابات المستخدمين التي لم تعد قيد الاستخدام. كما يجب تغيير كلمات المرور الافتراضية أو تعطيل الحسابات الافتراضية التي تأتي مع النظام (مثل حسابات "Guest" أو "Administrator" بكلمات مرور ضعيفة).

• إعداد الجدران النارية (Firewalls) بشكل صحيح:

  تكوين جدار الحماية للسماح فقط بحركة المرور الضرورية (Ports and Protocols) ومنع جميع الاتصالات الأخرى. يجب أن يكون هناك جدار حماية على مستوى المضيف (Host-based Firewall) وعلى مستوى الشبكة (Network Firewall).

• حصر الوصول باستخدام SELinux أو AppArmor (في Linux):

  هذه أدوات أمان إلزامية (Mandatory Access Control) تُمكن من فرض سياسات أمنية دقيقة على العمليات والملفات، حتى لو كان المستخدم يمتلك صلاحيات الجذر. تُقلل من تأثير الهجمات في حالة اختراق أحد التطبيقات.

• تمكين التحديثات الأمنية التلقائية:

  ضمان أن نظام التشغيل والتطبيقات يتم تحديثها تلقائيًا بأحدث التصحيحات الأمنية لسد الثغرات المكتشفة حديثًا. هذا يقلل من نافذة التعرض (Window of Vulnerability).

• تحليل السجلات (Logs) بحثًا عن أنشطة غير معتادة:

  مراقبة سجلات النظام (System Logs) وسجلات التطبيقات (Application Logs) بانتظام لاكتشاف أي أنشطة مشبوهة، مثل محاولات تسجيل الدخول الفاشلة المتكررة، أو الوصول إلى ملفات حساسة، أو تغييرات غير مصرح بها في التكوين.

• تطبيق سياسات كلمات مرور قوية:

  فرض استخدام كلمات مرور معقدة وطويلة، وتغييرها بانتظام، وتفعيل المصادقة متعددة العوامل (Multi-Factor Authentication - MFA) حيثما أمكن.

• تعطيل المنافذ والخدمات غير المستخدمة:

  إغلاق أي منافذ شبكة غير ضرورية وتعطيل الخدمات التي لا تُستخدم على النظام (مثل SSH إذا لم يكن ضروريًا، أو خدمات الطباعة إذا لم يكن الجهاز طابعة).

5️⃣ خامسًا: الصيانة الأمنية المستمرة (Continuous Security Maintenance)

أمان النظام ليس عملية تتم لمرة واحدة، بل هو دورة مستمرة تتطلب يقظة وصيانة منتظمة لمواكبة التهديدات المتطورة.

🔸 ممارسات يومية/أسبوعية/شهرية:

• ترقية النظام وبرمجياته (Patch Management):

  التحقق من وجود تحديثات أمنية جديدة لنظام التشغيل والتطبيقات وتثبيتها فورًا. هذا يشمل تحديثات النواة، المكتبات، وبرامج التشغيل.

• فحص السجلات والتحقق من سلامة الأنشطة (Log Monitoring and Integrity Checks):

  مراجعة سجلات النظام بانتظام للبحث عن أي مؤشرات على اختراق أو نشاط مشبوه. استخدام أدوات لمراقبة سلامة الملفات (File Integrity Monitoring - FIM) للكشف عن أي تغييرات غير مصرح بها في ملفات النظام الهامة.

• إجراء اختبار اختراق دوري (Regular Penetration Testing):

  توظيف مختبرين أمنيين (أو استخدام أدوات آلية) لمحاكاة هجمات حقيقية على النظام لاكتشاف الثغرات قبل أن يستغلها المهاجمون. هذا يساعد في تقييم مدى فعالية الضوابط الأمنية.

• استخدام أدوات تدقيق الأمان (Security Auditing Tools):

  استخدام أدوات مثل Lynis (في Linux) أو Microsoft Baseline Security Analyzer (MBSA) (في Windows) لإجراء تدقيقات أمنية شاملة للنظام، والتحقق من التكوينات الأمنية، واكتشاف نقاط الضعف المحتملة.

  📘 أداة: Lynis Security Auditing Tool: هي أداة تدقيق أمنية مفتوحة المصدر لـ Unix/Linux. تقوم بفحص النظام بحثًا عن معلومات التكوين، مشكلات الأمان، معلومات حول التصحيحات، أخطاء التكوين، وأكثر من ذلك. تُقدم توصيات لتحسين أمان النظام.

• إدارة الثغرات (Vulnerability Management):

  عملية مستمرة لتحديد، تقييم، معالجة، والإبلاغ عن الثغرات الأمنية في الأنظمة والتطبيقات.

• إدارة التكوين (Configuration Management):

  ضمان أن جميع الأنظمة مُكونة وفقًا لمعايير أمنية محددة ومُوثقة، وأن أي تغييرات يتم تتبعها ومراجعتها.

6️⃣ سادسًا: أمان Windows

تُقدم أنظمة تشغيل Windows مجموعة واسعة من الميزات والأدوات الأمنية المدمجة لمساعدة المستخدمين والمسؤولين على حماية أنظمتهم.

🛡️ مكونات الأمان الرئيسية في Windows:

• Windows Defender Antivirus (مكافحة الفيروسات):

  هو حل مكافحة البرمجيات الخبيثة المدمج في Windows. يوفر حماية في الوقت الحقيقي ضد الفيروسات، برامج التجسس، برامج الفدية، وغيرها من التهديدات. يتم تحديثه بانتظام من Microsoft.

• BitLocker (تشفير القرص الكامل):

  ميزة تشفير القرص الكامل التي تُستخدم لحماية البيانات عن طريق تشفير محركات الأقراص بأكملها. إذا سُرق الجهاز، فلن يتمكن المخترقون من الوصول إلى البيانات المشفرة.

• UAC (User Account Control) - التحكم في حساب المستخدم:

  آلية أمان تُقلل من صلاحيات المستخدمين الافتراضية. عندما يحاول تطبيق إجراء تغييرات تتطلب صلاحيات إدارية، يطلب UAC من المستخدم تأكيدًا، حتى لو كان المستخدم الحالي يمتلك صلاحيات إدارية. هذا يمنع البرامج الضارة من إجراء تغييرات غير مصرح بها.

• GPO (Group Policy Objects) - كائنات نهج المجموعة:

  أداة قوية لإدارة وتطبيق السياسات الأمنية بشكل مركزي في بيئات الشبكة الكبيرة (مثل بيئات Active Directory). تسمح للمسؤولين بتكوين إعدادات الأمان، كلمات المرور، قيود البرامج، وغيرها عبر مئات أو آلاف الأجهزة.

• Windows Firewall (جدار الحماية):

  جدار حماية مدمج يُراقب ويتحكم في حركة مرور الشبكة الواردة والصادرة، ويسمح للمسؤولين بتحديد القواعد للسماح أو حظر الاتصالات.

• SmartScreen:

  ميزة أمان تُساعد في حماية المستخدمين من مواقع الويب الضارة وعمليات تنزيل الملفات المشبوهة عن طريق فحصها مقابل قائمة من المواقع والملفات المعروفة بأنها خطيرة.

7️⃣ سابعًا: أمان Unix/Linux

تُعرف أنظمة Unix وLinux بمرونتها وقوتها في الأمان، وتوفر مجموعة واسعة من الأدوات والميزات لتعزيز الحماية.

🔸 الأسس الأمنية في Unix/Linux:

• صلاحيات الملفات والمجلدات (File and Directory Permissions):

  نظام قوي لإدارة الأذونات باستخدام الأوامر مثل chmod (لتغيير الأذونات)، chown (لتغيير المالك)، و umask (لتعيين الأذونات الافتراضية للملفات والمجلدات الجديدة). يتم تحديد الأذونات للمالك، المجموعة، والآخرين (Read, Write, Execute).

  مثال عملي:

  
  # تغيير أذونات ملف
  chmod 755 script.sh # المالك: قراءة/كتابة/تنفيذ، المجموعة والآخرون: قراءة/تنفيذ
  
  # تغيير مالك ومجموعة ملف
  chown user1:group1 myfile.txt
  
  # تعيين umask (يؤثر على الأذونات الافتراضية للملفات الجديدة)
  umask 022 # الملفات الجديدة ستكون 644، المجلدات 755
                                  

• عزل التطبيقات (Application Isolation) باستخدام SELinux وAppArmor:

  هذه آليات أمان إلزامية (MAC) تُوفر طبقة إضافية من الحماية عن طريق تحديد ما يمكن للعمليات القيام به، حتى لو تم اختراقها.

  • SELinux (Security-Enhanced Linux): نظام أمان قوي ومرن للغاية يُطبق سياسات أمان دقيقة على مستوى النواة. يُستخدم في توزيعات مثل Red Hat وFedora.
  • AppArmor: بديل لـ SELinux، أسهل في التكوين، ويُستخدم في توزيعات مثل Ubuntu وSUSE.

• إدارة الصلاحيات (Privilege Management) باستخدام sudo:

  يُستخدم الأمر sudo (superuser do) لمنح المستخدمين العاديين صلاحية تنفيذ أوامر معينة بصلاحيات المستخدم الجذر (root) أو مستخدم آخر، دون الحاجة لمعرفة كلمة مرور الجذر. هذا يُقلل من الحاجة لتسجيل الدخول كـ root مباشرة، مما يُحسن الأمان.

  مثال عملي:

  
  # إضافة مستخدم جديد
  sudo adduser trainee
  
  # إضافة المستخدم 'trainee' إلى مجموعة 'sudo' ليتمكن من استخدام sudo
  sudo usermod -aG sudo trainee
                                  

• جدار الحماية (Firewall - iptables/ufw):

  تُستخدم أدوات مثل `iptables` أو `ufw` (Uncomplicated Firewall) لتكوين جدار حماية قوي على مستوى المضيف، والتحكم في حركة مرور الشبكة الواردة والصادرة.

• إدارة المستخدمين والمجموعات:

  نظام قوي لإدارة المستخدمين والمجموعات، مع القدرة على تعيين أذونات دقيقة للملفات والموارد بناءً على الانتماء للمجموعة.

• تشفير القرص (Disk Encryption):

  باستخدام أدوات مثل LUKS (Linux Unified Key Setup) لتشفير الأقراص الكاملة وحماية البيانات المخزنة.