‏التحقق من سلامة الملفات

خط الأساس هو سجل لشكل الملفات الصحيح: بصمة تشفيرية لمحتوى كل ملف، مع حجمه وصلاحياته ومالكه وطوابعه الزمنية. وكل فحص لاحق يقارن الحالة الحالية بهذا السجل. فالسؤال ليس هل يبدو الملف مشبوهاً، بل هل ما زال يطابق خط الأساس.

تُعرف الفكرة نفسها باسم مراقبة سلامة الملفات (FIM) عندما تعمل باستمرار على مجموعة من الخوادم ومحطات العمل. الفحص واحد في الحالتين، والفرق في تكرار التشغيل وفي من يقرأ النتائج.

المقارنة دقيقة. فالتجزئة التشفيرية تتغير تماماً عند تغيّر بايت واحد، فلا توجد مطابقة جزئية ولا شك في تطابق المحتوى.

تمر الطريقة بخمس مراحل، وتعتمد كل مرحلة على التي قبلها.

1. 1

   إنشاء خط الأساس

   تُفهرس الملفات المراد حمايتها، ويُحفظ لكل ملف تجزئة لمحتواه مع بيانات وصفية: الحجم والصلاحيات والمالك والطوابع الزمنية.

2. 2

   التحقق

   وفق جدول زمني أو استجابةً لأحداث، تُعاد حساب القيم وتُقارن بخط الأساس.

3. 3

   الإبلاغ

   تُسجَّل الفروق بوصفها أحداث تغيير، مع بيان ما الذي تغيّر ومتى.

4. 4

   الفرز

   يُقابَل كل تغيير بالنشاط المتوقع: تحديث أمني معتمد، أو نشر إعدادات، أو تحديث تطبيق، أو تغيير غير مفسَّر.

5. 5

   تحديث خط الأساس

   تُدمج التغييرات المشروعة في خط أساس جديد، فيبقى المرجع محدَّثاً.

يمر الفحص المجدول على المجموعة المحمية في فترات ثابتة. وهو بسيط ويمكن التنبؤ باستهلاكه للموارد، لكنه أعمى بين عمليتين: يمكن تغيير الملف واستخدامه ثم استعادته قبل الفحص التالي.

يعتمد الفحص في الوقت الفعلي على أحداث نظام الملفات، ويبلّغ عن التغيير لحظة وقوعه. فيقصر زمن الاكتشاف ويضيف هوية العملية والمستخدم المسؤولين. وثمن ذلك نشاط مستمر للعميل وضجيج أكبر يحتاج إلى تصفية.

تحمي الفرق عادةً قائمة قصيرة من الأهداف، تُختار حسب الضرر الذي قد يسببه تغيير صامت.

تخدم الآلية نفسها أغراضاً عدة. فهي تكشف التغييرات غير المصرّح بها (الاستخدام الأمني)، وتؤكد أن التغييرات المعتمدة نُفذت كما هو مخطط لها (الاستخدام التشغيلي)، وتؤكد أن الأرشيفات المخزّنة لم تتدهور بسبب أعطال الوسائط (استخدام الحفظ)، وتبيّن أن السجلات لم تُعدَّل بعد وقوع الحدث (الاستخدام الإثباتي). ويكون الأخير أهم ما يكون في البيانات الحساسة الخاضعة لالتزامات الاحتفاظ.

فحص برنامج منزَّل مقابل تجزئة منشورة يطبق الفكرة نفسها على ملف واحد في لحظة واحدة.

تحتفظ وحدة تحكم المسؤول في Anexet بـ hash banks ضمن ملف تعريف الوكيل. وتعرض علامة التبويب File system البنوك المطبّقة على مراقبة نظام الملفات، مع عدد الملفات والتجزئات في كل بنك. وتعرض نافذة الإحصاءات تاريخ آخر تحديث للبنك وتاريخ آخر فحص له.

1 / 2

• 
• 

للطريقة خمسة قيود عملية. فالتغيير الذي يجريه تهديد داخلي بصلاحية مشروعة يبدو كأي تغيير معتمد، لذلك لا يكفي الفحص وحده. وتتوقف قيمته على أن يفرز شخص ما كل تقرير في وقته.

• حجم التغييرات: من دون نطاق محكم يطمر الضجيج التقارير، فتتوقف قراءتها.
• الكشف لا المنع: يُظهر التقرير التغيير لكنه لا يوقفه. ويجب أن يأتي المنع من ضابط منفصل، مثل حل منع فقدان البيانات (DLP).
• الثقة في خط الأساس: خط الأساس المأخوذ من نظام مخترق يعامل الاختراق على أنه حالة طبيعية.
• العمى عن المحتوى: يُظهر الفحص أن الملف مختلف، لا إن كان الاختلاف مهماً.
• الهجمات في الذاكرة وأثناء التشغيل: الهجمات التي لا تمس ملفاً مراقباً على القرص تقع خارج النطاق.

رغم هذه القيود، تشترط معظم أطر الأمان والمعايير المالية والقطاعية فحص السلامة، وهو عنصر شائع في مراقبة الامتثال.

تكلفته منخفضة ويقدّم أدلة لا لبس فيها. وهو من الضوابط القليلة القادرة على إثبات النفي: أن ملفاً حساساً لم يتغير منذ آخر حالة مُتحقَّق منها.

للمزيد من القراءة: آليات ضمان أمن نظم المعلومات; التشفير والترميز والتجزئة – ما الفرق بينها؟.