المدرب: في هذا الدرس،
سنستكشف بعض ميزات
الأمان داخل BIOS وUEFI.
بالإضافة إلى توفير الحماية على شبكتنا
وفي بيئة نظام التشغيل لدينا، نحتاج
أيضًا إلى مراعاة أمان بيئة
نظام ما قبل التشغيل لدينا.
هذه هي منطقة الكمبيوتر
التي يمكن مهاجمتها أثناء مرحلة التمهيد،
وبالتالي، يجب مراعاة وسائل حماية أداة
تحميل التشغيل، بما في ذلك كلمات مرور BIOS وUEFI، وعملية التمهيد
الآمنة، وإعداد الأذونات على منافذ USB باللوحة
الأم.
تذكر أن BIOS وUEFI هما نوعان مختلفان من البرامج
الثابتة المستخدمة في أجهزة الكمبيوتر لدينا لمساعدتنا
أثناء تحميل نظام التشغيل الخاص بنا وتشغيله.
يمكن أن يحتوي كل كمبيوتر على BIOS أو UEFI،
ولكن ليس كليهما.
BIOS هو نظام الإدخال / الإخراج الأساسي وهو
عبارة عن واجهة للبرامج الثابتة التي تقوم بتهيئة
الأجهزة لنظام التشغيل حتى يتم تشغيله.
ستستخدم أجهزة الكمبيوتر التي تعتمد على BIOS
سجل التمهيد الرئيسي، أو MBR، للاحتفاظ بمعلومات التمهيد الخاصة بها
وتحديد أقسام محرك الأقراص الثابتة المحدد الذي يحتوي
على نظام التشغيل المراد تحميله.
BIOS هو النوع الأقدم والأكثر تراثًا من البرامج الثابتة.
من ناحية أخرى، تعد UEFI، أو مبادرة البرامج الثابتة القابلة
للتوسيع الموحدة، نوعًا أحدث من البرامج الثابتة.
UEFI هو نوع من البرامج الثابتة للنظام التي توفر
الدعم لعمليات وحدة المعالجة المركزية 64 بت في وقت التمهيد،
وواجهة مستخدم رسومية كاملة وعمليات الماوس عند التمهيد
وأمان أفضل للتمهيد.
ستستخدم أجهزة الكمبيوتر التي تعتمد على UEFI
جدول أقسام GUID المعروف باسم GPT للاحتفاظ بمعلومات التمهيد الخاصة بها.
يوفر UEFI القدرة على الوصول والتمهيد
من الأقراص التي يزيد حجمها عن 2 تيرابايت ويوفر بنية
وبرامج تشغيل مستقلة عن وحدة المعالجة المركزية، بالإضافة
إلى بيئة ما قبل نظام التشغيل التي يمكن أن تتضمن
إمكانية الشبكة والوصول إلى تصفح الويب.
بشكل عام، يعد UEFI أحدث وأكثر تقدمًا من BIOS
ويوفر فحوصات أمان وتكامل إضافية
أثناء عملية التمهيد، بما في ذلك التمهيد الآمن.
والآن، يمكن حماية BIOS وUEFI باستخدام بضعة
أنواع مختلفة من كلمات المرور أيضًا.
يتضمن ذلك كلمة مرور المشرف أو المسؤول
أو الإعداد، وكلمة مرور المستخدم أو النظام، وكلمة مرور
التخزين أو محرك الأقراص الثابتة.
كلمة مرور المشرف أو المسؤول أو الإعداد
هي النوع الأول من كلمة المرور التي ستجدها
عند استخدام BIOS أو UEFI.
تُستخدم كلمة المرور هذه لحماية الوصول
إلى برنامج تكوين BIOS أو UEFI وتمنع المستخدمين
غير المصرح لهم من الوصول إلى أداة
التكوين الحساسة هذه.
إذا قمت بإعداد كلمة المرور هذه، في أي وقت يحاول
شخص ما الدخول إلى BIOS أو UEFI، فسوف يطلب
منهم إدخال كلمة المرور قبل منح الوصول،
ولكن ذلك لن يمنع أي شخص من تشغيل الكمبيوتر والتمهيد
إلى التشغيل العادي بيئة النظام.
سيتم دائمًا إعداد كلمة المرور هذه على أجهزة الكمبيوتر
في شبكة شركة أو مؤسسة بحيث لا يتمكن المستخدمون
النهائيون لديك من الوصول إلى BIOS أو UEFI ولكن يمكن لمسؤولي
النظام والفنيين لديك ذلك إذا كانت لديهم كلمة
المرور الصحيحة.
كلمة مرور المستخدم أو النظام هي النوع
الثاني من كلمات المرور التي يمكن تهيئتها في BIOS أو UEFI.
يتم استخدام كلمة المرور هذه لتأمين الوصول إلى الكمبيوتر بأكمله.
عندما يتم تشغيل الكمبيوتر،
فإنه سيتوقف ويطلب كلمة المرور.
إذا قام المستخدم النهائي بإدخال كلمة المرور الصحيحة،
فسيستمر الكمبيوتر في تحميل نظام التشغيل والتمهيد.
على الرغم من أن هذه طريقة آمنة جدًا لحماية الكمبيوتر،
إلا أنها لا تُستخدم أبدًا في شبكات الشركات أو المؤسسات، لأنه
يجب مشاركة كلمة المرور هذه مع جميع المستخدمين
الذين يصلون إلى هذا الكمبيوتر، ثم تلغي كلمة المرور
المشتركة بعضًا من هذا الأمان الذي نحن نحاول الحصول
على.
بدلاً من ذلك، ستشاهد عادةً كلمة مرور المستخدم أو النظام المستخدمة
فقط على جهاز الكمبيوتر الخاص بشخص ما
عندما يكون المستخدم الوحيد عليه.
هذه كلمة مرور منفصلة ومختلفة عن كلمة
مرور المستخدم التي سيتم استخدامها
للوصول إلى نظام Windows أو Linux أو نظام MacOS، وبدلاً من
ذلك تمنح المستخدم حق الوصول إلى النظام
في بيئة نظام التشغيل المسبق تلك.
يُعرف النوع الثالث من كلمة المرور بكلمة
مرور التخزين أو القرص الصلب.
كان هذا النوع من كلمات المرور يحظى بشعبية
كبيرة قبل تضمين وحدة النظام الأساسي الموثوق به
أو وحدة أمان الأجهزة في أجهزة الكمبيوتر الحديثة.
ستؤدي كلمة المرور هذه إلى قفل الوصول إلى محرك
الأقراص الثابتة المتصل بنظام ما وستتطلب من المستخدم
النهائي إدخال كلمة المرور حتى تتم قراءة هذا
القرص الصلب وتحميل نظام التشغيل.
على عكس كلمة مرور المستخدم أو النظام التي تمنع المستخدم من
الدخول إلى النظام بأكمله حتى يتم إدخال كلمة المرور
الصحيحة، فإن كلمة مرور التخزين أو محرك الأقراص الثابتة
لن تؤدي إلا إلى قفله خارج محرك الأقراص الثابتة
والقدرة على تشغيل نظام التشغيل هذا منه.
تُعرف ميزة الأمان التالية التي نحتاج إلى
تغطيتها باسم التمهيد الآمن.
يمكن تمكين التمهيد الآمن في واجهة
UEFI وإعداداته ولا يدعمه BIOS.
إذا تم تمكينه، فسيتم إجراء ثلاث عمليات تحقق مختلفة أثناء
عملية التمهيد لنظام التشغيل Windows أو أنظمة
التشغيل الأخرى التي تدعم هذه الإمكانية لضمان عدم تعرض الكمبيوتر
للاختراق بواسطة نوع ما من التعليمات البرمجية الضارة
التي تم إدخالها في نظام التشغيل.
دعونا نلقي نظرة على عملية التمهيد الكاملة
على نظام Windows العادي.
تحدث الخطوة الأولى من العملية عند بدء تشغيل جهاز كمبيوتر
يعمل بنظام Windows، ويتم تحميل مكونات تمهيد البرنامج الثابت،
وبدء تشغيل مدير التمهيد.
بعد ذلك، سيبدأ برنامج تحميل Windows،
وسيبدأ تشغيل Windows kernel،
وستتم عمليات تثبيت برامج التشغيل
المهمة للتمهيد.
الآن، سيتم إجراء أي عمليات تهيئة إضافية
لنظام التشغيل، وأخيرًا، ستظهر للمستخدم
شاشة تسجيل الدخول إلى Windows.
الآن، عندما يتم تحميل مكونات تمهيد البرنامج
الثابت أثناء التمهيد الآمن، سيتحقق البرنامج الثابت
أولاً من أن جميع ملفات UV القابلة للتنفيذ ومحمل نظام التشغيل نفسه
سليمان ولم يتم اختراقهما بواسطة أي نوع
من البرامج الضارة.
وهذا يعني أنها ستكون آمنة للتحميل.
بعد ذلك، ستقوم مكونات تمهيد Windows
بالتحقق من التوقيع الرقمي لكل
مكون قبل تحميلها.
إذا فشل أي مكون في التحقق من التوقيع،
فلن يتم تحميله وسيقوم بتشغيل تنبيه
للمستخدم النهائي.
أخيرًا، سيتم فحص برامج التشغيل المهمة للتمهيد
مقابل التجزئات الجيدة المعروفة الخاصة بها،
وإذا اجتازت هذا الفحص، فسيتم تحميلها كجزء أخير
من عملية التمهيد الآمن.
الآن، عندما يتعلق الأمر بالتمهيد الآمن، أريدك
أن تتذكر أن هذا الإجراء سيتم استخدامه للتأكد
من أن نظام التشغيل الخاص بنا نفسه يمكن الوثوق به وأنه
لن يقع ضحية لنوع خاص من البرامج الضارة المعروفة باسم
مجموعة الجذر .
لكي يعمل التمهيد الآمن، يجب تمكينه
داخل نظام UEFI لديك، ويجب أن يدعمه نظام التشغيل
لديك أيضًا.
ميزة الأمان الأخيرة التي نحتاج إلى تغطيتها
داخل BIOS أو UEFI هي إعداد أذونات لمنافذ USB على
اللوحة الأم.
الآن، يمكن تكوين معظم الأنظمة الحديثة لتمكين
أو تعطيل منافذ USB على اللوحة الأم، وبعضها
سيسمح لك بتقييد منافذ USB بحيث لا تدعم أنواعًا
معينة من أجهزة USB، بينما
تسمح للآخرين بأن يكونوا كذلك. مستخدم.
الآن، سيكون القلق الأكبر هنا عادةً
هو البرامج الضارة وفقدان البيانات.
فيما يتعلق بالبرامج الضارة، يمكن أن توفر منافذ USB
وسيلة رائعة للهجوم لأي
شخص يحاول اقتحام نظامك.
على سبيل المثال، إذا قمت بتحميل محرك أقراص
USB صغير به بعض البرامج الضارة، فيمكنني إسقاطه
في موقف للسيارات خارج مبنى المكاتب، وإذا كان
شخص ما مهتمًا بالتقاطه وتوصيله بجهازه،
فيمكنه تثبيت البرامج الضارة عليه أنظمتك.
لذلك نريد منع ذلك عن طريق تعطيل قدرة USB على
القراءة والكتابة من أجهزة التخزين كبيرة السعة.
يمكنك القيام بذلك إما عن طريق حظر USB تمامًا، ولكن بعد
ذلك لن تتمكن من استخدام أشياء مثل سماعات الرأس وكاميرات
الويب والفأرة ولوحات المفاتيح وأشياء من هذا القبيل.
لذا بدلاً من ذلك، قد نرغب فقط في تقييد القدرة على استخدامها
كأجهزة تخزين كبيرة السعة، وهذا من شأنه أن يمنع أي شيء مثل محركات
أقراص USB المصغرة أو محركات الأقراص المحمولة أو محركات
الأقراص الصلبة الخارجية من الاتصال بالنظام.
يمكن أن يساعدنا هذا في منع
إدخال البرامج الضارة إلى نظامنا.
ولكن بالإضافة إلى ذلك، يمكن أن يساعدنا أيضًا في
منع خروج البيانات من نظامنا.
على سبيل المثال، لنفترض أنك تعمل في منظمة
سرية للغاية داخل الحكومة.
لن ترغب في أن يتمكن شخص ما من الدخول
باستخدام محرك أقراص USB صغير، وتوصيله بالكمبيوتر،
وتنزيل جميع معلوماتك ثم الخروج
من الباب الأمامي به.
لذا، لمنع ذلك، يمكنك فعليًا تكوين UEFI الخاص بك لحظر منافذ
USB تلك أو لمنع استخدامها لأجهزة التخزين كبيرة السعة، ومرة أخرى،
حظر القدرة على استخدام محركات الأقراص المصغرة ومحركات
الأقراص الصلبة الخارجية، مما سيجعل الأشخاص قادرين
على ذلك لا يمكنك الخروج من الباب الأمامي
حاملاً معلوماتك المهمة.
لذا تذكر، عندما يتعلق الأمر بالأمان، هناك ثلاثة
أشياء رئيسية يمكن أن يوفرها لك BIOS أو UEFI.
الأول هو القدرة على تعيين كلمات المرور للتحكم
في الوصول المختلف إلى أجزاء مختلفة من نظامك.
والثاني هو القدرة على تمكين التمهيد
الآمن لضمان عدم اختراق نظام التشغيل الخاص
بك قبل تحميله.
والثالث هو القدرة على تقييد أو تعطيل منافذ USB على
اللوحة الأم لمنع إدخال
البرامج الضارة إلى النظام،
أو سحب البيانات من نظامك.