"اتخذت AFRINIC إجراءات وأبقت أصحاب المصلحة على علم بالوضع. تم تنفيذ تحسينات البنية التحتية في قاعدة البيانات الخاصة به وتمت مراجعة قواعد وإجراءات العمل التشغيلية ، بما في ذلك على سبيل المثال لا الحصر مراجعة وصول مستخدمي البنية التحتية."
المُقدّمة
قامت AFRINIC بمراجعة حسابات الجميع IPv4 عدد الموارد ، والتي تكونت من التحقق من الوصاية الشرعية على تلك الموارد. تحقق التدقيق من العمليات المعتمدة لتخصيص IPv4 عدد الموارد التي غطت كل من الموارد القديمة وغير القديمة التي تقع ضمن منطقة خدمة AFRINIC.
اتخذت AFRINIC إجراءات وأبقت أصحاب المصلحة على اطلاع على الوضع ، وأدخلت تحسينات على البنية التحتية في قاعدة بياناتها ، وراجعت قواعد وإجراءات العمل التشغيلية ، بما في ذلك على سبيل المثال لا الحصر مراجعة وصول مستخدمي البنية التحتية.
أخيرًا ، قدم التقرير بعض التوصيات التي ستساعد AFRINIC في ضمان دقة WHOIS قاعدة البيانات.
ما حدث
اختلاس موارد أرقام IP في AFRINIC WHOIS قاعدة البيانات تم تسليط الضوء عليه في منتصف عام 2019 تقريبًا. بعد تحقيق داخلي ، تبين أن موظفًا سابقًا قد اختلس موارد رقم IP التي تشكل جزءًا من مجموعة موارد AFRINIC. تم إبلاغ هذه المسألة إلى شعبة التحقيقات الجنائية المركزية في موريشيوس ، ولا يزال التحقيق جاريا في الوقت الحالي.
ما وجدناه
التدقيق يكشف ذلك 2,371,584 IPv4 تم الاستيلاء على العناوين من مجموعة موارد AFRINIC ونسبت إلى المنظمات دون مبرر.
ما مجموعه 1,060,864 IPv4 تم استرداد الموارد ، أي تم إلغاء تسجيلها من AFRINIC WHOIS قاعدة البيانات وهي حاليًا في "الحجر الصحي" لمدة 12 شهرًا. بعد فترة "الحجر الصحي" ، يمكن إضافة الموارد إلى مجموعة موارد AFRINIC المتاحة للتخصيصات الجديدة.
ما مجموعه 1,310,720 IPv4 الموارد ، المتعلقة بمنظمتين منفصلتين ، لم يتم استعادتها بعد بسبب العناية الواجبة المستمرة.
فيما يتعلق بالتملك غير المشروع IPv4 مساحة تراثية ، 1,799,168 IPv4 يبدو أنه تم اختراق العناوين ، التي تم اعتبارها مساحة عنوان قديمة ، وتم اتخاذ إجراءات للاتصال بأصحاب المصدر:
- 394,496 إرث IPv4 تم توحيد العناوين لاحقًا بناءً على طلب الشركة القابضة للمنظمات التي تم تسجيل الموارد لديها ؛
- تغييرات لا أساس لها في 467,968 إرث IPv4 تم عكس العناوين ؛
- 936,704 إرث IPv4 العناوين قيد النزاع حاليًا وفي انتظار تحديد الوصاية الشرعية.
ما الذي يتم فعله لمنع حدوث ذلك مرة أخرى؟
بعد نتائج التدقيق ، اتخذت AFRINIC العديد من الإجراءات العلاجية مثل تعزيز العمليات الداخلية والخارجية وإضافة طبقات متعددة من التحقق إلى عمليات تخصيص IP وقاعدة البيانات الخاصة بنا. هذا ما تم إنجازه حتى الآن بواسطة AFRINIC.
- لقد تواصلنا بانتظام من خلال تحديثات البريد الإلكتروني ومقالات المدونات لإبقاء أصحاب المصلحة لدينا على اطلاع بالموقف. تم إبلاغ جميع المنظمات المعنية باتخاذ الإجراءات المناسبة لحماية الوصاية على الموارد التي تمتلكها.
- أجرت AFRINIC مراجعة لعملياتها الحالية المتعلقة بوظيفتها الأساسية وأدخلت تحسينات مختلفة على آليات التحكم لإدارة موارد أرقام الإنترنت. وقد شمل ذلك اعتماد سياسة الاحتيال والفساد ، وإدخال آلية الإبلاغ عن المخالفات وغيرها الكثير.
- توفر قواعد العمل الحالية لدينا الآن دعمًا أفضل لأصحاب الموارد القديمة بحيث يتم إجراء التحقق المناسب لأصحاب الموارد القديمة قبل إجراء أي تحديثات على السجلات في AFRINIC WHOIS
- يتعين على أعضاء الموارد تلبية فحوصات جديدة للتوافق مع إجراءات وسياسات الأعمال الداخلية لـ AFRINIC: يُسمح فقط لجهات الاتصال المسجلة بطلب دعم الخدمة ، والتحقق من معلومات تسجيل أسماء النطاقات ، والتحقق من معلومات تسجيل الشركة عند توفر هذه الخدمات.
- تعمل AFRINIC على تعزيز قدرتها الداخلية وشرعت في برنامج تدريبي للموظفين في خدمات التسجيل. هذا مستمر للتأكد من أن جميع أعضاء الفريق قادرون على تقييم الطلبات بجد وأيضًا القدرة على تحديد أي مخاطر تنطوي عليها.
- منظمة WHOIS تمت ترقية قاعدة البيانات بآليات المصادقة مع ميزات أمان إضافية. الموظفين المصرح لهم بإجراء تغييرات على السجلات في MyAfrinic و WHOIS تقوم قواعد البيانات بمصادقة مثل هذه التغييرات باستخدام مفتاح PGP الخاص بهم. تستخدم جهات صيانة الطاقة مصادقة PGP فقط. كما تم توجيه جميع حاملي الموارد بتبني آليات كلمة مرور آمنة.
- تم تنفيذ طبقات إضافية للتحكم في امتيازات الأنظمة للموظفين في إدارة خدمات التسجيل.
- AFRINIC لديها آلية في مكانها تضمن جميع الأشياء الموجودة في WHOIS قاعدة البيانات محمية بواسطة مشرف (يتم إنشاؤها تلقائيًا لكائنات الشخص والأدوار).
- كما ترصد AFRINIC بانتظام التناقضات في قواعد بياناتها من خلال التقارير التي يتم إنشاؤها يوميًا. يتم إبلاغ فريق خدمات التسجيل عند اكتشاف عدم تناسق بين إدخالات ملف الموارد وقاعدة بيانات التسجيل.
كيف يمكننا المساهمة في تحسين الأمور
نتيجة للتدقيق الذي تم على دقة AFRINIC WHOIS قاعدة البيانات ، تم تقديم التوصيات التالية:
- يوصي التقرير بأن يحافظ جميع أعضاء الموارد على تحديث معلومات الاتصال الخاصة بهم.
- ويوصي التقرير المنظمات بضمان ظهور تفاصيلها على موقع AFRINIC WHOIS يتم تحديث قاعدة البيانات في جميع الأوقات.
- يوصي التقرير بأن تخصص AFRINIC الموارد لضمان تلبية طلبات أصحاب الموارد القديمة ضمن الجداول الزمنية للخدمة.
- يوصي التقرير بأن يقوم مجتمع AFRINIC بتقييم نقدي لكيفية تحسين دقة المعلومات المتعلقة بحاملي الموارد القديمة ويأخذ في الاعتبار ما إذا كان ينبغي ترك الموارد القديمة غير المستخدمة في وضع الخمول بينما تستنفد AFRINIC مجموعتها المتبقية من IPv4 عناوين.
- ويوصي التقرير أيضًا بأن السياسات التي قد تساعد AFRINIC في ضمان دقة WHOIS تطوير قاعدة البيانات.
ماذا بعد
تلتزم AFRINIC بالتنفيذ الفعال للتوصيات الموضحة في التقرير. كسجل إنترنت إقليمي (RIR) بالنسبة لإفريقيا ومنطقة المحيط الهندي ، تعتمد AFRINIC على دعم ومدخلات مجتمعها لتنفيذ تلك التوصيات وتحسين دقة وأمن WHOIS قاعدة البيانات.
بينما نمضي قدمًا ، ستبقي AFRINIC مجتمعها على اطلاع دائم بأي تحسينات تجلبها على WHOIS قاعدة البيانات.
