تقديم خدمات اختبار اختراق الشبكات لشركة عالمية رائدة في مجال التعدين

نبذة عن العميل

شركة تعدين لديها مواقع في مختلف أنحاء الولايات المتحدة وأوروبا. وطوال تاريخها الممتد منذ 60 عامًا وحتى اليوم، تُعد شركة العميل واحدة من الشركات العالمية المنافِسة بقوة في قطاع التعدين.

احتياج العميل إلى مُوَرِّد موثوق لإجراء أول اختبار أمان احترافي

نظرًا لانتشار أخبار الاختراقات التخريبية للأمن السيبراني (cybersecurity) في القطاع، قرَّر العميل تقييم أمان بيئة تقنية المعلومات لديه. ولأن عمليات الشركة تعتمد كثيرًا على أنظمة الأتمتة باستخدام أجهزة الحاسوب، تَوَجَّب التأكد من عدم قدرة المخترقين على التسلل وإلحاق الضرر بعملياتها التجارية. أحد الأهداف الأخرى لإجراء اختبارات الأمان كان الكشف عن أي ثغرات أمنية أو نقاط ضعف من شأنها أن تُعَرِّض البيانات والعمليات المالية للعميل لخطر الاختراق. وفي ظل غياب خبراء الاختبارات الأمنية بين مُوَظَّفي تقنية المعلومات لدى العميل، احتاج إلى مُوَرِّد تقني كفء لإجراء أول اختبار اختراق لشبكته المتشعِّبة.

نتائج اختبار الاختراق تكشف عن عدة ثغرات أمنية

بعد اقتناع العميل بمقترح المشروع وعَيِّنَات التقارير التي قدمناها لإجراء اختبارات الاختراق، تعاقدت شركته مع ساينس سوفت لاختبار أمان الشبكة الداخلية لديه، بما في ذلك نقاط الوصول إلى شبكة الواي فاي (Wi-Fi) وخدمات الدليل Active Directory. وقد أوصى فريق ساينس سوفت للاختبار بتطبيق نهج الاختبار محدود المعرفة (Gray Box) نظرًا للنطاق الواسع للاختبارات المطلوبة.

بعد استكشاف الشبكة الداخلية عن طريق فحص نقاط الضعف الأمنية وإجراء اختبارات الاختراق، عثر فريقنا على 9 ثغرات أمنية شديدة الخطورة و6 متوسطة الخطورة. وقد قَيَّم فريق الاختبار مستوى أمان الشبكة بالمنخفض. يعني ذلك وجود ثغرات أمنية كثيرة قد يستغلها المخترقون متوسطو أو محدودو المهارات للتسلل إلى أجهزة العميل وبرمجيات تقنية المعلومات لديه.

معظم الثغرات الأمنية المُكتشفة في الشبكة كان يرجع إلى مشكلتين رئيسيتين:

• ضعف حماية أنظمة التحكم الإشرافي وتحصيل البيانات (SCADA) التي ساعدت على تنسيق وتحسين عمليات التعدين. ولمعالجة ذلك، أوصى خبراء الأمان في ساينس سوفت بعزل خوادم أنظمة سكادا (SCADA) في شبكة مغلقة منفصلة وتقييد للوصول إليها إلا عن طريق خادم الانتقال (jump server).
• وجود أنظمة تشغيل وبرمجيات قديمة وغير مدعومة في أجزاء مختلفة من الشبكة: Microsoft Windows، وMicrosoft SQL، وApache Tomcat، وVMware، وغيرها الكثير. وشَكَّلت جميع هذه المكونات القديمة آلاف الثغرات الأمنية المعروفة. وبذلك يسهُل على المخترِقين المُحتَملين تحديد إصدارات البرمجيات وإيجاد نقاط الضعف بها واستغلالها لإطلاق الهجمات المُوَزَّعة لحجب الخدمة (DDoS)، وهجمات الانتحال (Spoofing)، وهجمات تنفيذ التعليمات البرمجية عن بُعد (remote code execution)، وهجمات الوسيط (Man in the Middle)، وغيرها من أنواع الهجمات. ولمعالجة ذلك، أوصى فريق ساينس سوفت بتحديث الأنظمة بإصداراتها الأخيرة، والاحتفاظ بقائمة تضم جميع البرمجيات المُثَبَّتة لضمان إجراء التحديثات والتصحيحات بانتظام. وفي حال قرر العميل الاستمرار في استخدام الأنظمة القديمة، يجب وضعها في شبكة فرعية مُحايدة (Demilitarized Zone).

قَدَّم خبراء الأمان في ساينس سوفت تقارير مُفَصَّلة تصف نقاط الضعف الأمنية والتدابير التصحيحية اللازمة. وبعد أن عالج اختصاصيو تقنية المعلومات في فريق العميل المشكلات الأمنية الحرجة، أعاد فريق ساينس سوفت اختبارات الاختراق مرة أخرى للتأكد من معالجة جميع الثغرات الأمنية المكتَشَفة في الشبكة. وقد أكدت إعادة الاختبار ارتفاع مستوى الأمان في شبكة العميل.

أوصى خبراء الأمان في ساينس سوفت بإجراء تقييم شامل لأمان تقنية المعلومات، نظرًا لكون اختبارات اختراق الشبكات أول فحص أمني حقيقي يجريه العميل. وكان الهدف من اقتراح التقييم الأمني الشامل توفير رؤية موَسَّعة لنقاط الضعف والثغرات الأمنية في السياسات والعمليات والتقنيات الحالية، لمساعدة العميل على اتخاذ قرارات مبنية على المعلومات لتحسين الأمن السيبراني (cybersecurity).

إلى جانب ذلك، أكد فريق ساينس سوفت على أهمية اختبار الهندسة الاجتماعية (social engineering) نظرًا لفعَّاليته في تحسين المستوى الأمني العام لشركة العميل. ذلك أن محاكاة هجمات التَصَيُّد الاحتيالي (Phishing) والتَصَيُّد الصوتي (Vishing) تُقَيِّم قدرة الموظفين على مواجهة رسائل البريد الإلكتروني والمكالمات الخبيثة، وتساعد على تنمية وعيهم تجاه ذلك.

تجربة تعاون إيجابية وتحسينات أمنية بالغة الأهمية

بفضل اختبارات الاختراق التي أجرتها ساينس سوفت، اكتشف العميل الثغرات الأمنية الخطيرة التي كان يمكن للمخترقين استغلالها للتسلل إلى بيئة تقنية المعلومات لديه وإلحاق الضرر بها. ونتيجة التوجيه الشامل الذي قدمته ساينس سوفت في أثناء تنفيذ المشروع وبعده، تَكَوَّن لدى العميل فهمٌ أفضل لوضع الأمن السيبراني في شركته، وتَمَكَّن من معالجة جميع نقاط الضعف والثغرات الأمنية بكفاءة، وأصبح قادرًا على التخطيط للاستثمار المُجدي في الدفاع السيبراني (cyber defense).

يخطط العميل حاليًا، لإشراك ساينس سوفت في مشروعات أخرى لاختبارات الأمان، نظرًا لرضائه التام عن نتائج التعاون معنا.

التقنيات والأدوات

Nessus, Burp Suite, Acunetix, Nmap, SSLscan, Dirb