الإطار والترخيص ومنهجية التدقيق الداخلي

الهدف

أن تفهم لماذا يجب على المسؤول أن يعرف ما الذي تكشفه أجهزته الخاصة، وفي أي إطار قانوني يحق له التحقق من ذلك، وأن تتبع منهجية بسيطة للتدقيق الداخلي (internal audit). ستنتهي بأول فحص… لآلتك الافتراضية نفسها.

أهم النقاط

• Nmap أداة جرد: تخبرك بالمنافذ (ports) التي تستجيب على جهاز ما وبالخدمات الموجودة عليه. بالنسبة للمسؤول، هي بمثابة معاينة لحالة المكان.
• لا نفحص إلا أجهزتنا الخاصة أو شبكة نملك بشأنها ترخيصًا مكتوبًا من المؤسسة. ودونه، يُعدّ ذلك جريمة (القانون الجنائي، الفصول 607-3 وما بعده).
• يُؤطَّر التدقيق قبل بدئه: النطاق الدقيق (العناوين)، والجهة الطالبة، ووثيقة الترخيص، والنافذة الزمنية، وجهة الاتصال في حالة الطوارئ.
• نسجّل كل أمر ننفّذه مع التاريخ والساعة: فهذا دليلك على أنك بقيت داخل النطاق.
• في هذا التكوين، تستهدف جميع التمارين 127.0.0.1، أي آلتك الافتراضية نفسها.

لماذا نجرد أجهزتنا الخاصة؟

لنأخذ مثال سميرة، تقنية في مقاولة صغيرة ومتوسطة للوجستيك في طنجة. ثبّت مزوّد خدمات خادم الملفات لديها قبل ثلاث سنوات، ولا أحد يعرف بالضبط ما الذي يعمل عليه. وذات يوم، تسمح خدمة قديمة ومنسية للإدارة عن بُعد بدخول برنامج فدية (ransomware).

أما المهاجمون، فيجردون أجهزتك في بضع ثوانٍ. والدفاع المعقول الوحيد هو أن تقوم بذلك قبلهم وأن تغلق كل ما لا فائدة منه. وهذا بالضبط دور التدقيق الداخلي:

1. الجرد: ما المنافذ المفتوحة، وما الخدمات، وما الإصدارات؟
2. المقارنة مع ما يُفترض وجوده («القائمة البيضاء»: الموقع الإلكتروني، SSH الخاص بالإدارة…).
3. تصحيح الفارق: إيقاف، تقييد، تصفية، تحديث.
4. التحقق بفحص جديد من أن التصحيح يعمل.
5. التكرار بانتظام، والمقارنة مع الجرد السابق.

هذه المراحل الخمس هي الخيط الناظم للتكوين كله.

ماذا يقول القانون المغربي

أضاف القانون رقم 07-03 إلى القانون الجنائي الفصول من 607-3 إلى 607-11 المتعلقة بالمس بنظم المعالجة الآلية للمعطيات. باختصار، ودون أن يغني ذلك عن رأي قانوني متخصص:

احفظ المنطق: ما يميّز التدقيق عن الهجوم هو الترخيص. الفحص نفسه، إذا أُطلق على خادم جارك، قد يُعدّ محاولة دخول أو عرقلة (خاصة إذا أبطأ جهازًا هشًّا). أما إذا أُطلق على خادمك، بموافقة مكتوبة من إدارتك، فهو عمل مسؤول أنظمة.

نصّان آخران مهمّان في التدقيق الداخلي:

• القانون 09-08 المتعلق بحماية المعطيات الشخصية (CNDP): يجب ألا يحتوي تقرير تدقيق مستشفى على معطيات المرضى؛
• القانون 05-20 المتعلق بالأمن السيبراني والتوجيه الوطني لأمن نظم المعلومات (DNSSI) بالنسبة للإدارات والبنيات التحتية ذات الأهمية الحيوية، وهما يطالبان تحديدًا بمعرفة الأنظمة والتحكم فيها.

الترخيص المكتوب

حتى داخل المؤسسة، وحتى لو كنت «المعلوماتي الوحيد في الدار»، اطلب ترخيصًا موقّعًا من شخص له صلاحية منحه (المدير، مدير نظم المعلومات، مسؤول أمن نظم المعلومات). ويجب أن يحدد:

في المستشفى، كن أكثر حذرًا: بعض الأجهزة الطبية الحيوية أو وحدات التحكم الآلي (PLC) تتفاعل بشكل سيئ مع الفحص العنيف. نستثنيها من النطاق أو نفحصها بسرعة منخفضة، بحضور مصلحة الأجهزة الطبية.

المنهجية، أداة بأداة

يُثبَّت Nmap من مستودعات توزيعتك:

sudo apt install nmap            # Debian, Ubuntu
sudo dnf install nmap            # Rocky, Alma, RHEL
nmap --version                   # Nmap version 7.93 ( https://nmap.org ) على Debian 12

المرحلة 1: التحقق من قائمة الأهداف دون إرسال أي شيء

يعرض فحص القائمة (-sL) العناوين التي سيستهدفها Nmap، دون إرسال أي حزمة إليها. إنها أفضل طريقة لمراجعة النطاق قبل إطلاق أي شيء.

nmap -sL -n 10.20.30.0/29
# Nmap scan report for 10.20.30.0
# Nmap scan report for 10.20.30.1
# ...
# Nmap done: 8 IP addresses (0 hosts up) scanned in 0.01 seconds

الخيار -n يتجنب استعلامات DNS. وعبارة «0 hosts up» طبيعية: فـ Nmap لم يستعلم أي جهاز.

لاستثناء جهاز من النطاق:

nmap -sL -n 10.20.30.0/24 --exclude 10.20.30.50

المرحلة 2: الفحص الأول، على جهازك الخاص

nmap -sT -p 8080 127.0.0.1
# PORT     STATE SERVICE
# 8080/tcp open  http-proxy

• -sT: يفتح Nmap اتصال TCP حقيقيًا، كما يفعل المتصفح. إنه الفحص الأكثر «تهذيبًا» ويعمل دون صلاحيات root.
• -p 8080: منفذ واحد.
• 127.0.0.1: الجهاز نفسه (عنوان الاسترجاع loopback).

عمود SERVICE (http-proxy) ليس سوى الاسم المعتاد لهذا المنفذ، مأخوذًا من جدول: لم ينظر Nmap بعدُ إلى ما يستجيب فعلًا. وسيكون ذلك موضوع الدرس 2.1.

المرحلة 3: الاحتفاظ بأثر

nmap -sT -p 8080 127.0.0.1 -oN /root/audit/premier.txt     # مخرجات محفوظة
echo "$(date '+%F %T') nmap -sT -p 8080 127.0.0.1" >> /root/audit/journal.txt

السطر الأول من ملف -oN يذكّر أصلًا بالأمر والساعة: # Nmap 7.93 scan initiated … as: nmap -sT -p 8080 …. أما السجل، فيجمع كل أوامر التدقيق في ملف واحد يستطيع مسؤولك قراءته.

أخطاء متكررة

• «إنها شبكة المؤسسة وأنا أعمل فيها، إذن يحق لي»: لا. دون ترخيص مكتوب يحدد النطاق، أنت مخطئ، حتى بنوايا حسنة.
• الخطأ في العنوان: خطأ مطبعي واحد (10.20.3.0/24 بدل 10.20.30.0/24) وتجد نفسك تفحص شبكة غيرك. راجع دائمًا بـ -sL أولًا.
• فحص شبكة مزوّد استضافة أو سحابة دون قراءة شروطه: كثير منهم يؤطّرون ذلك، حتى بالنسبة لأجهزتك الخاصة.
• نسيان السجل: إذا وقع حادث خلال نافذة التدقيق، فهو الذي سيثبت ما فعلته (وما لم تفعله).

التطبيق العملي (Lab)

تُعِدّ تدقيقًا مصغّرًا لآلتك الافتراضية: تكتب بطاقة التأطير (الهدف، الجهة الطالبة، الترخيص، النافذة الزمنية)، وتراجع نطاقًا بفحص القائمة دون إرسال أي حزمة، ثم تجري أول فحص TCP للمنفذ 8080 على 127.0.0.1 وتسجّله في سجل التدقيق. ابدأ بالأمر sudo ml demarrer nmap-1-1.

اختبار قصير

1. ما الذي يميّز قانونيًا التدقيق عن الهجوم؟
2. ماذا يفعل الخيار -sL؟ وهل يرسل حزمًا إلى الأهداف؟
3. اذكر أربعة بنود لا غنى عنها في ترخيص التدقيق.
4. لماذا يجب الحذر في المستشفى؟
5. في المخرجات 8080/tcp open http-proxy، هل تحقق Nmap من أن الأمر يتعلق بـ proxy؟

المراجع: الدليل المرجعي لـ Nmap وصفحة الدليل nmap(1)؛ القانون الجنائي المغربي (القانون رقم 07-03). نص أصلي من MasterLinux.