‏التجميع

التجميع هو دمج بيانات من سجلات أو أنظمة أو أحداث كثيرة في مجموعة واحدة أو ملخص واحد. فخادم السجلات الذي يستقبل أحداث مئات الأجهزة يقوم بالتجميع. وكذلك التقرير الذي يحوّل آلاف الصفوف إلى مجموع أو متوسط أو عدد.

للكلمة في الأمن وجهان. الأول تقنية: جمع بيانات متفرقة في مكان واحد لتسهل الإحاطة بها بالبحث والعدّ والمقارنة. والثاني خطر: عناصر لا ضرر منها منفردة قد تصبح حساسة حين توضع جنبًا إلى جنب. وللملخص نفسه صفحة مستقلة هي المعلومات المجمَّعة. أما هذه الصفحة فتتناول العملية وأثرها في تصنيف البيانات.

المسار نفسه سواء كان الناتج لوحة متابعة أو تنبيهًا. وتعتمد جودته على الخطوة الثانية: فالسجلات التي لا يمكن ربطها بالمستخدم نفسه أو بالدقيقة نفسها لا يمكن دمجها.

1. 1

   الجمع

   اجمع السجلات أو الأحداث من عدة مصادر، مثل سجلات الأنظمة وقواعد البيانات والعملاء المثبّتين على محطات العمل.

2. 2

   التوحيد

   اجعل الحقول في صيغة مشتركة: المنطقة الزمنية ومعرّف المستخدم وأسماء الحقول.

3. 3

   الدمج

   جمّع السجلات أو اربطها بمفتاح مشترك، مثل المستخدم أو الجهاز أو النافذة الزمنية.

4. 4

   التلخيص

   طبّق دالة على كل مجموعة، مثل العدد أو المجموع أو القيمة العظمى، أو احتفظ بالسجلات المدمجة للبحث فيها.

تجمّع فرق الأمن البيانات لأن الحدث الواحد نادرًا ما يروي القصة كاملة. فمخزن السجلات المركزي وتنبيه الحد الأقصى ودرجة المخاطر تقوم كلها على الفكرة نفسها بمستويات مختلفة. وإرسال الأحداث إلى منصة SIEM شكل شائع، أما تحليل السلوك مثل UEBA فيبني على نشاط يُدمج عبر الزمن.

جانب الخطر في التجميع قديم وبسيط. فكل معلومة في قائمة قد تكون علنية أو قليلة القيمة: اسم أو قسم أو رمز مشروع أو تاريخ سفر. لكنها معًا قد تكشف قائمة عملاء أو صفقة لم تُعلن أو تنقلات شخص ما. وتسمّي إرشادات الأمن هذا مشكلة التجميع، ويصف «أثر الفسيفساء» النمط نفسه.

والنتيجة أن المجموعة المجمَّعة قد تستحق تصنيفًا أعلى من كل مصدر من مصادرها. فمن يعدّ تقريرًا أو ملف تصدير أو مخزن بيانات مشتركًا عليه أن يسأل عمّا تكشفه المجموعة كاملة، لا عمّا يحتويه كل عمود فقط، وأن يعامل الناتج بوصفه معلومات حساسة إذا كان الجواب جديًّا.

تُستخدم هذه المصطلحات الثلاثة بتساهل ويسهل الخلط بينها. فهي تصف خطوات مختلفة، وتحتاج كل خطوة إلى ضابط مختلف.

في Anexet Activity تمثّل القاعدة الأمنية الإحصائية التجميع في أبسط صوره: تعدّ القاعدة أحداثًا من نوع تختاره، مثل الرسائل الإلكترونية أو المحادثات أو طلبات الويب، خلال ساعة أو يوم أو أسبوع أو فترة مخصصة، وتُفعَّل حين يتجاوز العدد حدًّا معيّنًا. وفي التقارير تنشئ وحدة التحكم تقارير موحّدة بأعمدة للمجموع والمتوسط اليومي، وتوصل التقارير الأمنية النتائج إلى من يراجعونها.

1 / 2

• 
• 

تنطلق الضوابط من حقيقة واحدة: مجموعة البيانات المدمجة أصل جديد. وهي تحتاج إلى مسؤول وتصنيف وقاعدة وصول خاصة بها.

• صنّف المجموعة المجمَّعة بحسب ما تكشفه ككل، لا بحسب أقل مصادرها حساسية
• قيّد من يحق له إعداد التقارير المدمجة الكبيرة أو تصديرها أو جدولتها
• أبقِ البيانات المصدرية تحت الحماية نفسها التي تتمتع بها المجموعة المدمجة
• حدّد حدًّا أدنى لحجم المجموعة في الملخصات التي تُشارك على نطاق واسع
• راقب الأحجام غير المعتادة: كثرة الاستعلامات أو عمليات التصدير من مستخدم واحد في وقت قصير قد تكون أول علامة على تهريب البيانات

اكتب قائمة بالأماكن التي تدمج فيها مؤسستك البيانات بالفعل: سجلات مركزية وتقارير مشتركة وملفات تصدير للشركاء ومساحات تحليل. ودوّن لكل منها ما تكشفه المجموعة كاملة ومن يستطيع الاطلاع عليها، ثم قارنه بتصنيف المصادر.

عدّ الأحداث يأتي ثانيًا. فإذا عرفت الحجم المعتاد لفريق ما، أخبرتك قاعدة الحد الأقصى متى يخرج أحدهم عنه.