كيف تدير عملية الـ Patch Management في مؤسستك؟

السلام عليكم ورحمة الله وبركاته

أحدى متطلبات الـ PCI Compliance إنك لا تستعمل Auto Update على الخوادم التي لديك … بل تقوم بتحميل التحديثات سواءاً أمنية أو غير أمنية على خوادم غير … أي تقوم بعمل بيئة خاصة للتجربة Testing Environment … تقوم بتركيب التحديثات Patches وتجربتها عليهم هناك ومن ثم إن لم تجد مشكلة؟ تقوم بعمل تطبيق لها على الخوادم الأصلية الـ Production … طبعاً جميع هذه الخطوات تكون موثقة ومسجلة Documented و Logged …

طيب المشكلة الآن التي ربما مرت عليكم أم لا هي حين تقوم بعمل التقرير الشهري … ووصلت مثلا في التقرير الى مرحلة تحديث الخوادم وقمت بالتحديث والترقيع في بيئة التجربة ومن ثم نقلتها بعدما تأكدت من سلامتها على الخوادم وعلى عملك الى البيئة الأصلية هي في مسألة التسجيل والتحديثات نفسها …

يعني بعدما قمت بتحديث الخوادم ظهرت تحديثات جديدة فيها خلل أمني جديد … ماذا ستفعل؟ هل ستعود وتقوم بعملية التحديث وتعدل على المستندات والسجلات لعمليات التحديث؟ وإن فعلت، ألا تعتقد بإنك ربما تدخل في دوامة Loop مستمر في التحديث والتسجيل ومن ثم يظهر مشكلة وتحديث وتسجيل وتظهر مشكلة وتحديث وتسجيل الى آخره (طبعا على فرض إنه كلما انهيت تحديث وإلا حظك العاثر يظهر خلل أمني جديد ويتطلب تحديث جديد ) … هنا ماذا ستفعل؟

لمن يقوم بعملية تحديث وتسجيل في بيئات منفصلة عن البيئة الأصلية + يقوم بتسجيل كل هذه الأمور + يكون بيئة العمل لديه كبيرة (عدد كبير من الخوادم) يعرف جيداً عن ماذا أتكلم الآن وكم هي حجم المعانات التي ستواجهها بسبب ذلك

الموضوع بالنهاية للنقاش ولأعرف ماذا لديكم من أفكار … ولنتناقش حولها … حيث إني بدأت هذا النقاش مع الأخ باحث وأحببنا أن نضعه هنا ونكمله هنا معكم …

لمن يريد معرفة ما هي PCI Compliance يمكنه مراجعة هذه … كما أتمنى أن تشاركونا الحوار هنا

ودمتم بود …

PCI Compliance Standards

السلام عليكم ورحمة الله وبركاته

أعرف بإن لي فترة طويلة غائب عن الكتابة سواءاً في المدونة، أو في مجتمع لينوكس العربي ولكن السبب هو إنشغالي بالعمل بشكل كبير جداً … حالياً يجب أن أقوم بتسليم التقارير الأمنية سواءاً الخاصة بالـ Vulnerability Assessment أو الخاصة بالـ PenTest أو غيرها … كل ذلك مطلوب من أجل الـ PCI Compliance التي سأتحدث عنه …

طيب ما هو هذا الـ PCI Compliance؟
هي عبارة عن مجموعة من القواعد والقوانين الدولية المختصة في أمن المعلومات، أنشأتها Payment Card Industry Security Standards Council أو بإختصار PCI SSC. هذه القوانين تم عملها لمساعدة المنظمات/الشركات التي تقوم بمعالجة عمليات الدفع بواسطة البطاقات المصرفية ومنع حصول عمليات الإحتيال عليها من خلال زيادة السيطرة على البيانات ومنعها من التعرض للمساومة … هذه القوانين تنطبق على جميع المنظمات/الشركات التي تحمل، تعالج، أو تمرر بيانات صاحب البطاقة التي عليها علامة Visa أو MasterCard أو American Express أو Discover وأخيراً JCB والذين هم حسب ما فهمت الشركات التي قامت بتأسيس هذه المنظمة …
(تم وضع هذا التعريف من خلال ترجمة ما هو موجود في الويكيبيديا) …

هذه القوانين تتظمن التالي:

Continue reading