طريقة تطبيقها وكيفية استخدامها واهميتها

السلام عليكم و رحمة الله 

اسرة مجموعة مستخدمي اوراكل العربية

فريق السلامة المعلوماتية يحيكم و يتمني لكم رمضان مبارك

و ان شاء الله غفرت لكم ذنوبكم و كتب الله لكم الجنة 

اللهم امين 

اولا الحمد لله علي العودة لهته الاسرة المباركة بعد غياب دام شهور و ذلك لأسباب خاصة

و أقدم كافة اعتذاراتي لأخي محمد الشرقي و كافة اعضاء المجموعة على هذا اغياب

من ثم اود ان أهنئكم علي البداية العضيمة لفريق السلامة امعلوماتية في هته المجموعة 

و يتمثل الانجاز في الحصول على شهادة شكر و امتنان من قبل شركة LavaSoft و ذلك اثر اكتشاف 

ثغرة امنية في موقع الشركة و التبليغ عنه

هذه صورة الشهادة المتحصل عليها 

اتمني ان يكون قد سركم هذا الخبر و ان شاء اله في انجازات اهم من هذا .

--------------------------------------------------------

مجموعة مستخدمي اوراكل العربية

فريق السلامة و اامن المعلوماتي

فهمي بن خليفة

ArabOUG.pdf

إخوتي عندي اليوم سؤال مهم و ضروري جدا 

ما هي الشروط الامنية الواجب توفيرها لنشر برنامج على النت علما أن البرنامج مصنوع على قاعدة بيانات أوراكل 11 و يتم الإتصال بها عن طريق php أو adf أو apex أو غيرهم من البرامج

و شكرا

   السلام عليكم ورحمة الله وبركاته

تحية طيبة،،

هذا الموضوع عبارة عن تعريف بنضام حماية قواعد بيانات أوراكل أو ما يعرف "Oracle Database Security"

I- مقدمة حول حماية قواعد البيانات :

إن حماية قواعد البيانات تتمثل في التحكم بالنشاطات التي يمكن للمستخدم أن يقوم بها داخل قاعدة البيانات

كما يستعمل نضام أوراكل ما يسمى بالمجلات الأمنية (Security Domains) و المخططات

(Schemas) للتحكم في الوصول للبيانات و استخدام مختلف الموارد

II - المجال الأمني - Security Domain

المجال الأمني هو عبارة عن مجموعة الخصائص التي يتمتع بها كل مستعمل لقاعدة البيانات

منها :

- الإجراءات المتاحة للمستخدم أو ما يعرف بالامتيازات و الأدوار (Privilege & Roles)

-المساحة المتاحة للمستخدم (المساحة المخصصة للمستعمل علي القرص الصلب)

 1 - تعريف الامتيازات :

الامتيازات أو ما يعرف في اللغة الانجليزية ب Privilege وهي عبارة عن الإذن بالقيام بعمل داخل قاعدة البيانات

بطريقة معينة أي التحكم في عبارات الاسكيول SQL التي يمكن لصاحب الامتياز تفعيلها .

مثال - الإذن بحذف البيانات من جدول معين

و لضمان سلامة قاعدة البيانات يجب منح كل مستخدم الامتيازات التي يحتاجها فقط و ذلك لان أي امتيازات إضافية قد تؤدي إلي الإخلال بسلامة البيانات

علي سبيل المثال منح حق حذف البيانات لأحد المستخدمين الذي لا يجب له امتلاك هذه الخاصية قد يؤدي إلي فقدان قاعدة البيانات

يمكن منح الامتيازات بطريقتين :

الأولي أن تمنح الامتياز بصفة مباشرة للمستخدم

الثانية أن تضيف الامتياز لأحد الأدوار و من ثم تمنح هذا الدور للمستخدم

و يمكن تقسيم الامتيازات إلي صنفين و هما كالأتي  :

*امتيازات النظام (System Privileges) : و هي الحق في القيام بمهام او جملة من المهام علي جميع المخططات علي سبيل محو و صنع جداول داخل قاعدة البيانات * امتيازات المخططات (Schema Object Privileges) : و هي الحق في القيام بمهام او جملة من المهام علي مخطط معين

2 -  الأدوار :

 وهي عبارة عن مجموعة من الامتيازات ذات صلة و التي يمكنك منحها للمستخدمين و هي احد الطرق التي استعملتها شركة أوراكل لتسهيل إدارة قاعدة البيانات

3- سياسة امن البيانات - Data Security Policy :

إن سياسة أمن البيانات عبارة عن الآليات التي يستخدمها "نضام أوراكل لقواعد البيانات" حتى يتحكم بالولوج و استخدام قواعد البيانات على مستوي المخططات أي انه علي سبيل المثال

>

و سياسة امن البيانات ترتبط بحساسية المعلومات فان كانت البيانات الموجود حساسة وجب علينا برمجة نضام سياسة امن البيانات وفق الحاجة

4-سياسة امن المستخدم - User Security Policy  :

تنقسم إلى عدة أقسام:

*سياسة امن المستخدم العادي : وهي تشمل جميع المستخدمين و إدارة الامتيازات

إذ يجب إجبار المستخدم من تغير كلمة السر الخاصة من حين إلى أخر وذلك لتقليص إمكانية اختراق قاعدة البيانات

*الحماية من الولوج باستخدام المستخدمين sys & System

*سياسة امن المبرمجين و امتيازاتهم : يجب منح الامتيازات الضرورية للمبرمجين مثل صنع الجداول و غيرها من المهام و ذلك للحماية من منحهم الامتيازات المطلقة

5- سياسة التدقيق و الأبحاث - Auditing Policy :

التدقيق في مجال قواعد البيانات هو عبارة عن مراقبة الأعمال التي يقوم بها كل مستخدم داخل قاعدة البيانات

و هذه السياسة عادة ما تطبق للأسباب التالية:

         *تمكن من تعداد العمليات التي تمت داخل قاعدة البيانات

         *البحث و تحليل النشاطات المشبوهة مثلا تجاوز الامتيازات المسموح بها للمستخدم

         *مراقبة و استخراج المعلومات حول جميع النشاطات

كل مستخدم يمكن إن يقوم بالتدقيق الذي يريد لكن امتيازات التسجيل يتم تفعيلها و تعطيلها من طرف المسئول الأمني لقاعدة البيانات

- أنواع التدقيقات :

 أوراكل تمنح إمكانية أن يكون التدقيق شامل أو خاص , إذ تمكن من التدقيق في :

         *عبارات الاسكيول (SQL) التي تمت بنجاح أو التي فشلت أو كلتاهما معا

         *نشاطات مستخدم معين أو جميع المستخدمين

أما انواع التدقيقات فهي :

*مراقبة العبارات و هي تعتبر ضمن التدقيقات الشاملة

*مراقبة الامتيازات و هي تعتبر ادق من مراقبة العبارات اذ تقوم بمراقبة العبارات التي تستغل الامتياز المراد مراقبته على سبيل المثال عبارة AUDIT DROP TABLE  هته العبارة تمكن من مراقبة جميع النشاطات التي من شئنها تفريغ الجداول

*مراقبة المخططات (Schema Object Audit) : تهتم بمراقبة مخطط معين و هي شديدة الدّقة علي سبيل المثال

AUDIT SELECT ON CLIENT هته العبارة تراقب اي نشاط يطلع علي البيانات المسجلة في الجدول CLIENT

-تسجيلات التدقيق(Audit Records ) و أثار التدقيق(the Audit Trails):

يمكن تسجيل نتائج التدقيق اما في ملفات داخل نضام التشغيل تسمي ب أثار تدقيق نضام التشغيل          (perating system audit trail) او في جداول قاموس البيانات (data dictionary table)

*قاعدة بيانات أثار التدقيق:

و هي عبارة عن جدول يسمي  SYS.AUD$ و يمكن لتسجيلات أثار التدقيق ان تحتوي علي العديد من البيانات  حسب نوع التدقيق لكن دائما ما تحتوي علي :

اسم المستخدم

رقم الطلب

معرف العملية

اسم المخطط الذي تم الولوج إليه

العملية التي تم تنفيذها أو محاولة ذلك

كود الانتهاء من العملية

الوقت و التاريخ

امتيازات النظام التي تم استعمالها

6-ملخص:

في الختام نستنتج أنه لحماية قاعدة بيانات أوراكل يجب علي الدارة أن تمنح لكل مستخدم الامتيازات اللازمة فقط و القيام بمراقبة جميع المستخدمين و فرض سياسة أمان كلمة المرور القاضية بفرض تغير كلمة العبور من فترة زمنية إلي أخري و ذلك للتقليص من إمكانية الولوج الغير مسموح به.

في الختام أتمني أن أكون أفدتكم بهذا الموضوع

و السلام عليكم و رحمة الله

نرجو من سيادتكم أن تفيدونا برأيكم

السلام عليكم و رحمة الله و بركاته 

يسرنا ان نزف لكم انجاز جديد من انجازات الفريق في مجال السلامة المعلوماتية و ذلك وبعد اكتشاف ثغرات قاتلة في منظومة الدفاع الالكتروني التابعة لموقع شركة مضادات الفيروسات , الشركة العالمية ESET

تحصلت المجموعة علي شهادة شكر و امتنان علي المجهود الذي بذلته هته المجموعة لاكتشاف الثغرات التالية 

ثغرة من نوع - XSS - و التي تمكن القراصنة من حقن اكواد JavaScript في صفحة الويب التابعة لموقع الشركة و التسبب بعدة اضرار للزبائن التابعة للشركة (قريبا سنقوم بدورة بالتعاون مع فريق Tunisian WhiteHats لشرح هته الثغرات و كيفية اصلاحها)

ثغرة ن نوع BEAST و POODLE هته الثغراة تعتبر قاتلة اذ تمكن من فك تشفير البيانات المتجهة نحو السرفر

ان شاء الله قريبا نبث لكم مفاجأة مع دخول شهر رمضان المعظم

صورة للشهادة المتحصل عليها

--------------------------------------------------------

مجموعة مستخدمي اوراكل العربية

فريق السلامة و اامن المعلوماتي

فهمي بن خليفة

Acknowledgement - update.pdf

   السلام عليكم ورحمة الله وبركاته

تحية طيبة،،

سنتطرق في هذا الموضوع الي كيفية التأكد من أمن بيئة الانتاج (Production Environment)    الخاص بيك

للتأكد من أمن بيئة الانتاج الخاص بيك يجب عليك اتباع 5 خطوات و هي كالأتي :

1-   حماية ال WebLogic Server Host 

2-   حماية الاتصالات بالشبكة

3-   حماية قاعدة البيانات

4-   حماية WebLogic Security Server

5-   حماية البرمجيات

I - حماية ال  WebLogic Server Host

مستوي الحماية لWebLogic Server الخاصة ببيئة الإنتاج هي بنفس مستوي الحماية الخاصة بالمضيف الذي يشتغل فيه الWebLogic Server

لذلك يجب علينا التأكد من السلامة المادية للآلة التي يشتغل عليها السيرفر و  سلامة نظام التشغيل و جميع البرمجيات الأخرى المثبت علي سيرفر  المضيف

هذه بعض الخطوات التي يمكن إتباعها لحماية الWebLogic Server

·         تأمين السيرفر ماديا : وذلك لمنع آي مستخدم لنظام التشغيل من العبث باتصال السيرفر بالشبكة

·          قطع الاتصال بلوحة التحكم الإدارية قبل زيارة أي موقع و ذلك لتجنب الوقوع في فخ القراصنة

·         استعمال نضام ملفات يمكن من صد الولوج الغير مسموح به للنظام مثال نظامNTFS علي Windows

·         لا تشغل ابدا الويب سيرفر بامتيازات root و هذا الخطأ يقع فيه العديد من الشركات اذ يجب التأكد من ان السيرفر يشتغل بيوزر لا يملك الصلاحيات الكاملة لإدخال برمجيات قد تضر بنظام السيرفر

·         تفعيل ميزة البحث و التدقيق لتتبع اي نشاط مشبوه

II -  حماية الاتصالات بالشبكة

لضمان سلامة الاتصال مع الشبكة هنالك عدة خيارات نذكر منها

·         استخدام معدات سواء كانت برمجية او مادية لصنع جدار ناري (Firewall) :

o       يمكن الجدار الناري من وضع حد للاتصال بين شبكتي اتصال كما يمنح للمبرمج اختيار اما ان يسمح او يرفض مرور الاتصالات وفق نوعها

o       للمزيد من المعلومات زر هذا الرابط http://ar.wikipedia.org/wiki/%D8%AC%D8%AF%D8%A7%D8%B1_%D8%AD%D9%85%D8%A7%D9%8A%D8%A9_(%D8%AD%D9%88%D8%B3%D8%A8%D8%A9)

·         تأمين بورت  LDAP :  لحماية بورت LDAP ضد هجمات التخمين Brute Force  فقط قم بالحد من طلبات الاتصال و ذلك من خلال إعدادات السيرفر

·         تأكد من اعداد التايم اوت – TimeOut message  و ذلك للحماية من هجمات الحرمان من الخدمة المعروفة ب هجوم دو س DOS ATTACKS

III – حماية قاعدة البيانات :

 بالنسبة لهذا العنصر فقد كنا تحدثنا عليه في موضوع سابق يمكنك الاطلاع عليه من هنا

IV- حماية WebLogic Security Server :

ان الويب لوجيغ سكيورتي سيستم –WebLogic Security Server  -  يمنح نظام حماية و ادوات مرنة و قوية لضمان سلامة الانظمة الفرعية و البرمجيات الموجودة بالسيرفر

و هذه بعض النصائح لحماية بيئة الانتاج :

·         استخدم شهدات SSL :  لضمان سلامة تنقل البيانات الحساسة ننصح باستخدام نقل البيانات السلبم HTTPS

·         تأكد من ان التأكد من اسم المضيف شغال و ذلك لتفادي هجمات man-in-the-middle attacks.

·         وضع حد لحجم و الوقت المسموح به لطلبات الاتصال نحو القنوات الخارجية لاجتناب هجمات الحرمان من الخدمة

·         وضع حد لعدد ال Sockets  و ذلك لاجتناب هجمات الدوس

·         إعداد WebLogic   سيرفر لاجتناب Overloads condition

·         تفعيل خاصية الابحاث و التدقيق :

o       ال WebLogic  يقوم بتسجيل جميع النشطات داخل الملف  DefaultAuditRecorder.log

o       يمكنك تفعيل خاصية الابحاث و التدقيق عبر لوحة النحكم بادارة السيرفر عبر Security Realms > RealmName >Providers > Auditing

V – حماية البرمجيات :

هنالك عدة نصائح لضمان سلامة اي برمجية تقوم بصنعها و نذكر منهم :

·         استعمال علامات التعليق التابعة لJSP   بدلا من  HTML  و ذلك لأن بعض التعليقات لا يجب لمستخدم البرمجية الاطلاع عليها . يجب استعمال

o   بدلا من التعليق هنا*/%>

·         إعداد البرمجية لاستعمال SSL

·         تأكد من الاختبارات الأمنية منفذة علي موارد JMS و يكون ذلك بوضع weblogic.jms.securityCheckInterval = 0 

و بذلك نكون قد تأكدنا من إن كل وضيفة تفعل علي موارد JMS  يتم التأكد منها ان كان مسموح بها أم لا

·         قم بالقيام باختبارات امنية للبرمجية اما بتوضيف خبير في السلامة المعلوماتية او استعمال برمجيات مختصة في اختبار البرمجيات

في الختام أتمني أن أكون أفدتكم بهذا الموضوع

ويسرنا أن تفيدونا برأيكم

كما يسرنا أيضا أن تطرحوا أسئلتكم فنجيب عنها ان شاء الله

و السلام عليكم و رحمة الله

نرجو من سيادتكم أن تفيدونا برأيكم

و كما كنا قد وعدناكم تحصلت المجموعة علي رسالة شكر من شركة 

AVIRA لمضادات الفيروسات 

و ذلك بعد التبليغ عن ثغرة بموقع الشركة

هته صورة من رسالة الشركة

ان شاء الله نحو ما هو أهم