التحقق من سلامة ملفات السجلّ

يحمي التحقق العام من سلامة الملفات ملفات يُفترض ألا تتغير إلا نادرًا. أما ملفات السجلات فتتغير باستمرار بحكم طبيعتها، إذ تضيف كل دقيقة من التشغيل إدخالات جديدة. فمقارنة بسيطة بخط الأساس ليوم أمس تُبلغ عن آلاف الفروق المتوقعة وتطمس الفرق المهم. لذلك يطرح التحقق الخاص بالسجلات سؤالًا أضيق: هل تغيّر الملف بطريقة لا تفسرها الإضافة وحدها؟

السبب الثاني إثباتي. فعند التحقيق في حادثة، يكون السجلّ المصدر الأساسي لإعادة بناء التسلسل الزمني: من سجّل الدخول، وما الذي فُتح، وما الذي نُسخ. من يتحكم بالسجلّ يتحكم بسرد الأحداث، وكثيرًا ما يستطيع المستخدم ذو الصلاحيات كتابة السجلات التي تصف أفعاله هو.

تعمل عدة ضوابط معًا، وأهمها:

يتخذ العبث أشكالًا يمكن التعرف عليها، ومعرفتها نصف عملية الاكتشاف:

• تعديل الإدخال: إعادة كتابة سجل (اسم مستخدم أو إجراء أو نتيجة) مع الإبقاء على الطوابع الزمنية المحيطة به.
• الاقتطاع: حذف نهاية الملف، حيث توجد أحدث الإدخالات وأكثرها إدانة.
• الحذف الانتقائي: إزالة إدخالات فردية وسد الفجوات، أو حذف ملفات كاملة وإلقاء اللوم على التدوير الروتيني.
• إساءة استخدام التدوير: فرض تدوير سريع لكي تخرج السجلات المزعجة من فترة الاحتفاظ قبل موعدها.
• تعطيل التسجيل: إيقاف تسجيل التدقيق ثم التصرف ثم إعادة تفعيله. الفجوة نفسها دليل.
• التلاعب بالطابع الزمني: تغيير ساعة النظام أو إدراج إدخالات خارج ترتيبها لتشويه تسلسل الأحداث.

التحقق من سلامة ملفات السجلات تطبيق متخصص للتحقق من سلامة الملفات ولـ FIM. يستخدم الفكرة نفسها القائمة على الهاش وخط الأساس، موجَّهة إلى ملفات السجلات، والفرق في التركيز لا في المبدأ.

تتعامل أطر الأمان مع سجلات التدقيق بوصفها سجلات محمية. يشترط معيار PCI DSS حماية بيانات السجل من التعديل، وتتوقع عائلة ISO 27000 ضوابط للتسجيل والمراقبة، وتفحص عمليات تدقيق SOC 2 سلامة السجلات. والتوقع المشترك أن يمكن إثبات أن السجلات كاملة وغير معدَّلة طوال فترة احتفاظها.

في الاستجابة للحوادث، تعتمد قيمة السجل على الثقة به. فالمحقق الذي لا يستطيع استبعاد العبث يجب أن يعامل التسلسل الزمني على أنه غير موثوق، وأن يؤكده من مصادر مستقلة. وضوابط السلامة هي ما يجعل السجل مدخلًا موثوقًا لا مجرد قرينة.

داخل وحدة التحكم الخاصة بها، تحتفظ Anexet بالنوع نفسه من السجلات. يوضح سجل التحقيقات متى أُنشئ كل ملف تحقيق ومن فتحه، فيبقى العمل على كل ملف قابلًا للإسناد إلى صاحبه. كما يمكن تضييق سجل الأحداث حسب التاريخ ودرجة الخطورة قبل المراجعة.

1 / 2

• 
• 

تتشارك عمليات النشر الناجحة بعض الصفات. تغادر السجلات النظام المصدر بسرعة إلى تخزين لا يستطيع مسؤولو المصدر أنفسهم الكتابة فيه. وتكون الساعات متزامنة عبر البنية التحتية كلها، لأن السلامة بلا وقت دقيق تنتج تسلسلًا زمنيًا مكسورًا. وتراقب الأنظمة الغياب كما تراقب التغيير، فالخادم الذي تتوقف سجلاته عن الوصول يستحق تنبيهًا.

ويجري التحقق عند الاستيعاب وبعد التخزين. وتُحسم فترة الاحتفاظ والسلامة معًا، لأن الاحتفاظ لسنوات يتطلب القدرة نفسها على إثبات أن السجل لم يتغير طوال تلك السنوات.

للمزيد من القراءة: ما هي أنظمة SIEM لإدارة أمن المعلومات؟.