عندما يفشل تسجيل الدخول أو يتغير دور مستخدم أو تُرفض عملية رفع ملف، يحتاج الفريق إلى أثر زمني يوضح ما حدث ومن أي جزء في النظام. سجل الأحداث الأمنية الجيد لا يعني حفظ كل شيء؛ بل تسجيل الوقائع المفيدة بصورة متسقة، مع حماية كلمات المرور والرموز والبيانات الحساسة من الظهور داخله.
1. حدّد الأحداث التي تستحق التسجيل
ابدأ بمحاولات الدخول الناجحة والفاشلة، وتغيير الصلاحيات، وإنشاء الحسابات وتعطيلها، ورفع الملفات ورفضها، وتعديل الإعدادات، وأخطاء التكامل والعمليات الحساسة. توصي OWASP بأن تشمل سجلات التطبيق الأحداث الأمنية، لأن سجل خادم الويب وحده لا يشرح دائمًا ما حدث داخل منطق الخدمة.
2. اكتب حقولًا ثابتة تساعد على الربط
سجّل وقت الحدث ومصدره ونوعه ونتيجته، ومعرّف المستخدم أو الجلسة بصورة آمنة، ومعرّف الطلب والجزء المتأثر. استخدم ساعة متزامنة وتعريفات موحدة للحالات حتى يمكن جمع الأحداث ومقارنتها. لا تعتمد على رسالة حرة فقط؛ فالحقول المنظمة تجعل البحث والتنبيه والمراجعة أكثر دقة.
3. لا تحوّل السجل إلى مخزن أسرار
تنبّه OWASP إلى أن كلمات المرور ورموز الوصول ومفاتيح التشفير وسلاسل الاتصال بقواعد البيانات ومعرّفات الجلسات والبيانات الشخصية الحساسة لا ينبغي تسجيلها مباشرة. احذفها أو أخفِ جزءًا منها أو استخدم معرّفًا بديلًا عند الضرورة. وراجع كذلك ما إذا كان جمع بيانات معينة مشروعًا ومتناسبًا مع الغرض.
4. احمِ السجلات من العبث والإغراق
قيّد صلاحية قراءة السجلات وتعديلها، وسجّل الوصول إلى السجلات نفسها. انقل الأحداث الحساسة إلى مخزن مركزي أو محمي عندما تلائم ذلك بنية نظامك، واستخدم وسيلة تكشف الحذف أو التغيير. اختبر امتلاء مساحة التخزين وفشل الاتصال بمخزن السجلات، لأن وظيفة التسجيل لا ينبغي أن توقف الخدمة أو تتحول إلى وسيلة لحجبها.
5. حوّل التسجيل إلى مراجعة وتنبيه
حدّد من يراجع السجلات، وما الحالات التي تستدعي تنبيهًا فوريًا، مثل موجة من محاولات الدخول الفاشلة أو تغيير صلاحيات غير متوقع. يوضح NIST أن إدارة السجلات تشمل البنية والعمليات المستمرة، لا مجرد إنتاج ملفات. ضع مدة احتفاظ ومراجعة تتفق مع الغرض والالتزامات السارية، ثم اختبر إمكانية استرجاع الحدث عند التحقيق.
دور منصة الغرفة
المنصة لا تقدم خدمة لإدارة السجلات الأمنية أو لمراقبة أنظمة المنشآت، ولا تطلب منك إرسال سجلات أنظمتك. والاسترشاد بإرشادات NIST وOWASP المذكورة هنا لا يساوي اعتمادًا أو إثبات امتثال. إذا كانت سجلاتك تحتوي على بيانات عملاء أو موظفين، فراجع في قسم قوانين تهمك ملخص قانون حماية البيانات الشخصية رقم 151 لسنة 2020، وإذا كشفت السجلات دخولًا غير مشروع فراجع قانون مكافحة جرائم تقنية المعلومات رقم 175 لسنة 2018. ولمعرفة الأنظمة التي تحتاج إلى سجل أصلًا ابدأ بـسجل الأصول التقنية، ثم اقرأ مراجعة صلاحيات الحسابات عند انتقال الموظف أو مغادرته.
الخلاصة
السجل المفيد يجيب عن: ماذا حدث، ومتى، وأين، وما النتيجة، من دون أن يكشف السر الذي يحاول حمايته. ابدأ بالأحداث الحرجة والحقول الموحدة، ثم احمِ السجل واختبر فشله، واربطه بمراجعة وتنبيه ومسؤول واضح.