المراقبة والسجلات: لا تحقيق بلا سجل

ما يسجل أولا

• المصادقة — نجاح وفشل الدخول، ومن أي مصدر، وتغيير كلمات المرور.
• الصلاحيات — منح صلاحية أو رفعها أو إنشاء حساب جديد.
• الوصول للبيانات الحساسة — من قرأ وماذا ومتى.
• تغييرات الإعدادات — على الأنظمة والشبكة والسحابة.
• الوصول عن بعد — كل جلسة بوقتها ومصدرها ووجهتها.

مدة الاحتفاظ

الاختراق يكتشف بعد أسابيع أو أشهر في كثير من الحالات. والسجل المحفوظ سبعة أيام لا يفيد في تحقيق يبدأ بعد شهرين: لن تعرف نقطة الدخول ولا ما وصل إليه المهاجم. واجعل الاحتفاظ بالسجلات الأمنية أشهرا لا أياما، مع مراعاة التزاماتك النظامية.

حماية السجلات نفسها

المهاجم المتمكن يحذف آثاره. ولهذا ترسل السجلات إلى نظام مركزي منفصل بصلاحيات مستقلة، بحيث لا يستطيع من اخترق الخادم حذف سجله. والسجل الذي يمكن للمهاجم تعديله ليس دليلا.

التنبيهات التي تعمل

1. ابدأ بعدد قليل عالي الدقة بدل تفعيل كل شيء ثم تجاهل الكل.
2. لكل تنبيه إجراء مكتوب: ما الذي يفعله المستقبل خطوة بخطوة.
3. راجع دوريا: أي تنبيه لم ينتج إجراء قط يعدل أو يلغى.
4. اضبط الاستثناءات المعروفة بدقة لا بإسكات الفئة كاملة.

أمثلة على تنبيهات عالية القيمة

دخول ناجح من موقع جغرافي جديد لحساب إداري، وإنشاء حساب بصلاحيات عالية خارج الإجراء، وإضافة قاعدة إعادة توجيه في بريد تنفيذي، ومحاولات وصول متكررة لمخزن النسخ الاحتياطي، وتنزيل كبير غير معتاد من مخزن بيانات العملاء. وهذه أنماط تدل على مرحلة ما قبل الضرر لا بعده.

أسئلة شائعة

هل نحتاج نظام إدارة أحداث متكاملا؟

المنشآت الصغيرة تبدأ بتجميع مركزي بسيط للسجلات وعدد قليل من التنبيهات. والنظام المتكامل يبرر نفسه مع تعدد المصادر والحاجة إلى ربط الأحداث وتحليلها معا.

من يراقب التنبيهات خارج الدوام؟

إما مناوبة داخلية أو خدمة مراقبة خارجية. والمهم أن يكون الجواب معروفا ومكتوبا مسبقا، فأكثر الهجمات تنفذ في العطل والليل تحديدا لهذا السبب.

كم تكلف السجلات؟

التكلفة في التخزين والمعالجة وتزداد مع الحجم، ولهذا تصفى السجلات منخفضة القيمة ويحتفظ بالأمنية منها مدة أطول. والتصفية بعناية أوفر من تسجيل كل شيء ثم عدم النظر في شيء.