السنوي اإلحصائي التقرير 6102 لعام - الهيئة الوطنية...

السورية العربية الجمهورية الشبكة لخدمات الوطنية الهيئة

National Agency for Network Services المعلومات أمن مركز Information Security Center

1 Tel: +963 11 3937032 (Ext: 2201 – 2200) Fax: +963 11 3937079 E-mail: [email protected] Website:

www.nans.gov.sy

اهليئة الوطنية خلدمات الشبكة

مركز أمن املعلومات

السنوي اإلحصائي التقرير

6102لعام

mailto:[email protected]

http://www.nans.gov.sy/




www.nans.gov.sy

قائمة المحتويات:

3.....................................................تعريف بمركز أمن المعلومات...

4.................................................نظام خدمات مركز أمن المعلومات..

5...................................................6102نشطات المركز خالل العام

2...................................................لعمليات المسح صحاايي اإلبيانات ال

7..................................................مخطط نسب المواقع التي تم مسصحها

8 ............................................نسب التوزع الجغرافي للمخدمات المضيف

8مات المضيف ...............................................نسب أنظم تشغيل المخد

9.................................................................لغات برمج المواقع

9................................................................أنواع مخدمات الويب

01 ............................................................نسب الثغرات المكتشف

00 .................................................نسب أنواع الثغرات عالي الخطورة

06 ..............................................نسب أنواع الثغرات متوسط الخطورة

03 .............................................مقارن الثغرات العالي مع أعوام سابق

04 ....................................................تجاب للطوارئ المعلوماتي االس

05 ................................................. لتترونينسب أسباب الهجمات اإل

02..............................................الاعوبات التي واجهات عمل المركز

07........................................................المستقبلي للمركزالتوجهات






www.nans.gov.sy

:"62المادة " حسب النظام الداخلي للهيئة الوطنية لخدمات الشبكة تعريف بمركز أمن المعلومات

هو الوصحدة التنظيمي المسؤول عن وضع المواافات والمعايير وكاف الوثايق الخاا بأمن وصحماي "اللتزام بها، سن االمعلومات والشبكات بما فيها المواقع االلتتروني على الشابك واإلشراف على صح

نجاز األبصحاث واالختبارات الالزم والممكن في إطار تأمين بيي عمل آمن ومناسب ، ووضع وا واتخاذ يالمعايير الخاا بمواجه صحاالت الطوارئ على الشبك أو غيرها من الشبكات المعلومات

دارة فرق عمل للتادي لها" .ما يمكن من إجراءات وقايي وعالجي وا

جمهوري الى وير واقع أمن المعلومات على مستو ز أمن المعلومات منذ تأسيسه على تطب مركأدلقد الخاا بأمن المعايير والمواافات الوطني السياسات و ضع ، من خالل و العربي السوري

جراء قاف ثاالختبارات األمني للمنظومات المعلوماتي الصحكومي ، والعمل على نشر المعلومات، وا الشبك التي تتعرض لها المعلوماتي واالستجاب لصحاالت الطوارئ مني ،أمن المعلومات والتوعي األ الهجمات اإللتتروني ضدوأدى ذلك إلى رفع سوي األمان المعلوماتي والمنظومات المعلوماتي ،

ات اإلصحاايي ، كما بينت الدراسملصحوظبشكل مصحاوالت االختراقوفيما يتعلق ب في الفضاء السيبرانيالتقرير السنوي لمجمل أعمال ونشاطات المركز سنعرضالتي يعدها المركز سنويا، وفيما يلي

.6102خالل العام






www.nans.gov.sy

نظام خدمات مركز أمن المعلوماتانتهى المركز من تجهيز المخبر الوطني الختبار االختراق والتصحليل الجنايي 6105مع بداي العام

أمن المطورة من قبل شركات عالمي متخاا بللشبكات بأصحدث التجهيزات والتطبيقات البرمجي خبر ثمار المتونوعا، والس كما المعلومات والتي تمكن المركز من تطوير الخدمات التي يقدمها

ادار نظام خاص إكان ال بد من تنظيم عملي تقديم هذه الخدمات من خالل بالشكل األمثلمستهدف والجهات ال، صحيث يقدم هذا النظام توايفا دقيقا للخدمات ات التي يقدمها المركزبالخدم

.المترتب للصحاول عليها من قبل الجهات العام والخاا لألجورباإلضاف

دمها المركز صحسب هذا النظام:يلي الخدمات التي يق ونوجز فيما

:خدمات المسح األمني واختبار االختراق االحترافيةلجميع المواقع لبعند الط الخدم هذه مركزاليقدم العادي : خدم المسح األمني .0

ولمرة واصحدة خالل العام. للجهات العام مجانا وهي ،العام والخاا اإللتتروني ام الع لب للجهاتعند الط الخدم هذه مركزاليقدم االصحترافي :خدم المسح األمني .6

أنواع: والخاا ، وتقسم إلى ثالث .ومخدمات الويب لتترونياإل خدم المسح األمني االصحترافي للمواقع .أ .خدم المسح األمني االصحترافي للبرمجيات .ب

.بكاتخدم المسح األمني االصحترافي للش .ت

،بق اتتضمن خدم المسح األمني االصحترافي الس االصحترافي :خدم اختبار االختراق .3ع تصحاتي هجوم صحقيقي بالتنسيق م بطرق العميل منظوم اختبار اختراق ويضاف إليها

.الجه ااصحب المنظوم

:CERT خدمات االستجابة للطوارئ المعلوماتية

.Data Recovery استعادة بيانات أو معلومات مفقودة .0 .Incident Handlingالتعامل الفوري مع الصحوادث المعلوماتي .6 .Computer Forensics استخراج الدليل الرقمي لجريم معلوماتي أو تقليدي .3






www.nans.gov.sy

6102نشاطات المركز خالل عام ة والشبكات والمنظومات المعلوماتية الحكومية:لتترونيالمسح األمني للمواقع ال

ــوتم إعداد تقارير المسح األمني ل موقعا صحكوميا 051باختبار 6102قام المركز خالل عام رسالها الى الجهات الصحكومي موقعا 42 تم و لتتم معالج الثغرات المكتشف . ااصحب المواقعوا

مخاطب جميع الجهات التي أرسلت لها تقارير المسح لعرض الخدمات االصحترافي التي يقدمها موقعا، 71التي تمت مصحاول مسصحها ولم نتمكن من ذلك صحوالي المركز، بلغ عدد المواقع

أو بسبب استخدام الجهات متوقف عن العمل لتون عدد من هذه المواقع خارج الخدم وذلك، والذي يوقف عمليات WAFالمضيف للمواقع تجهيزات صحماي خاا بتطبيقات الويب مثل

ضاف لدى الجمعي السوري للمعلوماتي والتي المسح األمني، علما بأن معظم هذه المواقع مستتمت مخاطبتها واالتاال بها عدة مرات للسماح بعمليات المسح دون جدوى صحتى تاريخ إعداد

التقرير.

التوعية األمنية: خطار المعلوماتي على الشبك ونشر ثقاف أمن المعلومات في من األطار التصحذير المبكر إفي

بتنفيذ مجموع من النشاطات:القطر قام المركز

في أنظم المكتشفالشهري التي تتضمن أصحدث الثغرات الدوري التنبيهات إادار نشرة - بيث .الخ باإلضاف إلى أخطر البرمجياتالتشغيل والتطبيقات البرمجي

من ني وقضايا تتعلق بأتقديم استشارات أمني للجهات العام صحول معالج الثغرات األم - المعلومات بشكل عام.

في مجاالت أمن المعلومات المختلف .ورشات عمل في المشارك -خاص بالمركز سيتم استخدامه لنشر التوعي األمني إلتترونيتطوير موقع العمل على -

تجاب لصحاالت الطوارئ على الشبك والتعريف بخدمات المركز.واالس






www.nans.gov.sy

االستجابة للطوارئ المعلوماتية:

على الشبك ، برزت الصحاج الطوارئ المعلوماتي نظرا الضطالع المركز بالتادي لصحاالت تخدام برمجيات وتجهيزات اصحترافي يعتمد عليها فريق االستجاب للطوارئ المعلوماتي ، لذلك الس

أعد المركز دفتر شروط خاص باستتمال تجهيز المخبر الوطني الختبار االختراق والتصحليل ، إال أن المركز لتم يتمن من تأمين هذه التجهيزات والبرمجيات بعد، ولذلك للشبكاتالجنايي

جريبي تعمل ضمن فترة ت يعتمد فريق االستجاب صحاليا في عمله على برمجيات غير مرخا أو مفتوصح المادر، وهي غير كافي وذات أداء مصحدود. مؤقت

إلى 6102خالل العام أمن المعلومات مركزلطوارئ المعلوماتي في فريق ااستجاب وقد ااب ببرمجيات خبيث في الجهات الصحكومي تتعلق بصحاالت اختراق طاري / صحال 05/ تم و وا

رسالها الى البوا عداد تقارير واستعادة الخدمات المتأثرة معالجتها تصحليلها و ات المعني .جهها وا

إحصائيات التقرير

ا من مختلف القطاعات إلتترونيموقعا 051 كما ذكر سابقا لتترونيشملت عمليات المسح اإلالتي للمواقع األمني المسح تقاريرالصحكومي من وزارات ومؤسسات وهييات وجامعات وتم إعداد

وسوف اصحترافي،مسح وموقع واصحد ،مسح دوري مجاني موقعا 46وهي فقط هام تصحوي ثغرات جميع نتايج عمليات المسح.من خالل المخططات البياني تاليا نبين

ةلتترونيعن المواقع ال معلومات عامة وري د التي أعد لها تقارير مسح لتترونيالنسب الميوي للمواقع اإل التالييظهر الشكل

لمسح ا ت نتايجأظهر ، أما المواقع التي ااصحب هذه المواقعوأرسلت إلى الجهات )مجاني( تعرضها لخطر االختراق فيجري االصحتفاظ بنتايج المسح الخاص هام عدم وجود ثغرات

بها في المركز للرجوع اليها عند الضرورة.






www.nans.gov.sy

التي اصحتاجت إلعداد تقارير مسح أمني لتترونييظهر المخطط أن نسب المواقع اإلكما

أي هناك تصحسن %36النسب صحيث بلغت هذه 6105بتراجع ملصحوظ عن العام %63بلغت ويعود ذلك الستجاب الجهات ااصحب الموقع لتقارير المسح ومعالج الثغرات %9بنسب

المكتشف .

ضمن التي تم اختبارها تعمل على مخدماتأن معظم المواقع التالي المخططيظهرودات مز أو لدى ااصحب الموقعلدى الجه مصحلي كانت المخدمات ، سواء األراضي السوري

خاا ، ويقوم المركز بمراسل أاصحاب المواقع مزودات خدم أو لدى أخرى صحكومي خدم بالبالغ عمال األراضي السوري لداخل هالنقل األراضي السوري خارج التي تعملالصحكومي

الصحكوم والذي يلزم الجهات الاادر عن رياس 6106-2-7تاريخ 7944/05 رقم للعمل داخل أراضي سوريا.لتترونيمواقعها اإل الصحكومي بنقل

االمواقع التي تم مسحه77%

التقارير التي تم إرسالها

23%

نسبة التقارير المرسلة إلى المواقع التي تم مسحها






www.nans.gov.sy

مخدمات ال تشغيل المخدم المضيف صحيث أن معظم أنظم أنواع التالي المخططيوضح

Windowsمن نظام التشغيل والذي يوفر بيي أتثر أمانا Linuxتعتمد على نظام التشغيل

ن المواقع التي تعمل ضماألراضي السورية

87%

ج المواقع التي تعمل خاراألراضي السورية

13%

توزع مكان المخدمات المضيفة للمواقع اإللكترونية

Linux89%

Windows11%

أنظمة التشغيل المضيفة

Linux Windows






www.nans.gov.sy

بواسطتها: لتترونيلغات البرمج التي تم برمج المواقع اإل

توزع أنواع مخدمات الويب:نسب التالي المخططيبين

PHP87%

ASPX.NET9%

HTML4%

لغات البرمجة الخاصة بالمواقع اإللكترونية

Apache67%

Nginx22%

Microsoft IIS11%

مخدمات الويب






www.nans.gov.sy

رات ـــــــــــــــــــــــــــــــــــــــــــــــــــــالثغ

ثغرات الخطورة و مستوى إلى ثغرات عالي صحسب التانيفات العالمي تانف الثغرات األمني .الخطورة مستوى الخطورة وثغرات منخفض مستوى متوسط

بمستويات الخطورة الثالث :نسب توزع الثغرات المكتشف المخطط التالي يبين

0

10

20

30

40

50

60

70

80

90

100

الثغرات عالية مستوى الخطورة الثغرات متوسطة مستوى الخطورة

الثغرات منخفضة مستوى الخطورة

Series1 94 98 14

45.7%

47.5%

6.8%

توزع نسب الثغرات حسب درجة الخطورة






www.nans.gov.sy

3% 2% 2% 1%1% 1%

34%

4%11%

18%

6%

5%2% 1%1% 1%1%1% 1% 2%

توزع الثغرات عالية الخطورة

CRLF injection/HTTP response splitting DNS zone transfer

PHP Hash Collision denial of service vulnerability The Heartbleed Bug

Joomla! 1.6/1.7/2.5 privilege escalation Proxy accepts CONNECT requests

Cross site scripting HTTP Parameter Pollution

JQuery Cross site Scripting XSS Blind SQL Injection

SQL Injection Vulnerable Javascript Library

FCKeditor spellchecker.php cross site scripting Drupal core 7.x SQL injection vulnerability

Drupal 7 arbitrary PHP code execution and information disclosure WordPress 4.1.2 security release

DOM-based cross site scripting Directory traversal

Script source code disclosure WordPress 4.2 stored cross-site scripting






www.nans.gov.sy

تبرة:مستوى الخطورة في المواقع المخ متوسط الثغرات أنواع التالي نسب توزع المخططيبن

15%

3%

18%

1%1%1%

10%1%6%

2%

10%

3%

1%1%1%

7%

3%1%

2%

11%

توزع الثغرات متوسطة مستوى الخطورة

Slow HTTP Denial of Service Attack WordPress username enumeration

Application error message/Error message on page HTML form without CSRF protection

Multiple PHP vulnerabilities PHPinfo page found

Apache httpd Remote Denial of Service Partial user controllable script source

Basic authentication over HTTP Same site scripting

Directory Listing ASP.NET error message

Unencrypted __VIEWSTATE parameter Apache server-status enabled

URL redirection Source Code Disclosure

Host header attack DNS cache snooping

FCKeditor arbitrary file upload Apache Http-Only Cookie Disclosure






www.nans.gov.sy

6102-6102-6102-6102الخطورة لألعوام مستوى مقارنة نسب الثغرات عالية

ات ذيوضح المخطط البياني التالي مقارن نسب الثغرات عالي مستوى الخطورة إلى نسب الثغرات وذلك بين األعوام المبين تاليا: مستوى الخطورة األقل

54%

44%46% 45.7%

2013 2014 2015 2016

مقارنة نسبة الثغرات العالية






www.nans.gov.sy

االستجابة للطوارئ المعلوماتية

صحال طاري )اختراق + تعطل الخدم (، جميعها في الجهات 05 ـــاالستجاب ل 6102تم خالل العام لافصحات التواال االجتماعي من خالل اختراق الصحواسب اختراق منهاالصحكومي ، ثالث صحاالت

وصحال إلتترونيصحاالت مواقع 01وعن طريق برمجيات خبيث الشخاي لمدراء هذه الافصحاتصحال اختراق مخدم ويب واصحدة كما يوضح المخطط واصحدة اختراق شبك داخلي باإلضاف الى

التالي:

ل صفحات مواقع التواصاالجتماعي

20%

مواقع الكترونية67%

شبكات داخلية6%

مخدمات ويب7%

أنواع الحاالت






www.nans.gov.sy

وقد توزعت أسباب هذه الصحاالت على فيتين رييسيتين هما قيام المهاجمين باستغالل بعض أنواع مواقع ) خبيث أو قيام المهاجمين باستغالل وجود ثغرات ضمن بني البيي المستهدف البرمجيات ال

: (إلتتروني

ةاستخدام برمجيات خبيث20%

استغالل وجود ثغرات80%

آلية الهجمات






www.nans.gov.sy

التي تواجه عمل المركزالصعوبات من الاعوبات والتصحديات: جمل -السابق كما في األعوام – 6102واجهت المركز خالل العام

تم تصحذيرها مسبقا من خالل إرسال عدم وجود تعاون من بعض الجهات العام التي -، دعتقارير مسح لها وتصحوي ثغرات خطيرة، مما أدى إلى اختراق هذه المواقع فيما ب

ضمن بيي المخدم المضيف نفسه. وكانت سببا في اختراق مواقع أخرى آمن بالصحد إلتتروني يقدم خدمات عدم تطبيق سياسات وطني ألمن المعلومات تلزم كل من -

اف وغياب إشر األدنى من معايير أمن المعلومات على مستوى التطبيقات والشبكات،مما يؤدي الى عدم تعاون أمن المعلومات، المركز على تطبيق الصحد األدنى لمعايير

عرض لتل أنواع التي تقدمها لتترونياإليجعل الخدمات هذه الجهات مع المركز و .لتترونيالهجمات اإل

االستجاب للطوارئ باستتمال مشروعتأمين التجهيزات والبرمجيات الخاا عدم - .CERT-SYالمعلوماتي

نقص التادر البشري وتسرب العاملين من المركز نتيج مفرزات األزم التي يعانيها - القطر.

عدم وجود دورات تدريبي تخااي في مجال أمن المعلومات لتطوير التادر البشري - وتصحسين جودة الخدمات، واالتتفاء بالتعلم الذاتي.

نيلتترو يم الخدمات اإلعلى تقد القايميننقص الوعي في مجال أمن المعلومات عند - في معظم الجهات العام .

والتي تتطلب وقتا وجهدا من طاقم تتتفي الجهات العام بتقارير المسح المجاني -وال تطلب خدمات المسح االصحترافي رغم أن أسعار هذه الخدمات رمزي المركز التقني

جدا.






www.nans.gov.sy

التوصيات والتوجهات المستقبلية ركز لتقديم خدماته بالشكل األمثلالبشري الالزم التي يصحتاجها المتأمين الموارد -

ادر التقني في المركز بشكل مستمر.لى العمل على تأهيل وتدريب التإباإلضاف تطبيق سياس خاا بأمن المعلومات على المستوى الوطني ووضع معايير خاا -

ونيلتتر تقديم الخدمات اإلبأمن المعلومات لجميع الجهات العام والخاا المعني ب وعمليات االختراق التي تتعرض لها.لتترونيللصحد من الهجمات اإل

المعلوماتي للقيام بمهامه على أتمل وجه. تفعيل مركز االستجاب للطوارئ -االستمرار بنشر الوعي وثقاف أمن المعلومات، سواء من خالل الدورات التدريبي أو -

الهيي لشريصح واسع من بورشات العمل التي تقوم بها المصحاضرات أو المشارك في الجهات العام ، أو من خالل لتترونين عن تقديم وادارة الخدمات اإلالمسؤولي

التوعي األمني من خالل النشرات الدوري التي يادرها المركز.ار بالتواال مع الجهات العام والخاا لتقديم خدمات المسح االصحترافي وخدم اخت -

ن ومصحاوالت االختراق ملتترونياالختراق االصحترافي لزيادة مناعتها ضد الهجمات اإل خالل كشف مواطن الضعف والثغرات األمني التي ال يتيصحها المسح العادي.

الخالصةصحظ ذلك من خالل و تطورا في الخدمات التي يقدمها كما ونوعا، ول 6102العام شهد المركز في

الصحكومي بشكل خاصلتترونيانخفاض ملموس في صحاالت االختراق والهجمات على المواقع اإل من خالل طلب تترار الصحاوللتترونيتزايد الثق التي يبديها أاصحاب المواقع اإلومن خالل

على خدمات المسح األمني بعد استالم تقارير المسح ومعالج الثغرات المكتشف لديهم وطلب والعون في كثير من الصحاالت المستجدة التي لم يوثقها هذا التقرير ألنها تتم عبر االتاال المشورة

وتطويرها كما ديم خدماتهالمركز، وسيستمر المركز بتقمع فريق العمل التقني في الهاتفي المباشر ي تصحول تالاعوبات التي تمت اإلشارة إليها، كما يأمل المركز تذليل الاعوبات الونوعا رغم كل

دون قيامه بجميع المهام الموكل إليه بالشكل األمثل، وضمن اإلمكانيات المتاصح لجه توفير بيي الصحالي والمستقبلي على الشبك .لتترونيعمل أتثر أمانا لتقديم الخدمات اإل



السنوي اإلحصائي التقرير 6102 لعام - الهيئة الوطنية...

Documents

Transcript of السنوي اإلحصائي التقرير 6102 لعام - الهيئة الوطنية...