من رأى ذلك السر؟ لماذا سجلات التدقيق أهم مما تظن

تستقبل إشعارًا في الساعة 3 صباحًا. شخص ما استخدم بيانات اعتماد قاعدة بيانات إنتاجية لتنفيذ استعلام مدمر. الضرر قد وقع. سؤالك الأول ليس "كيف دخل؟" بل "من كان لديه حق الوصول إلى كلمة المرور تلك؟"

إذا كان فريقك لا يستطيع الإجابة على هذا السؤال في غضون دقائق، فأنت تواجه مشكلة لا يمكن لأي قدر من التشفير أو التدوير حلها. بدون سجلات التدقيق، أنت تطير أعمى. قد يكون السر يتسرب لأسابيع، ولن يكون لديك طريقة لمعرفة ما إذا كان اختراقًا خارجيًا أم أحدًا من فريقك.

كاميرا المراقبة لأسرارك

فكر في سجلات تدقيق الأسرار مثل كاميرا أمنية عند مدخل المبنى. في كل مرة يسترد فيها شخص أو شيء ما سرًا، يسجل الخزانة من قام بالطلب، وأي سر طلبوه، والوقت المحدد، ومن أين جاء الطلب. يُسمى هذا السجل مسار التدقيق.

القاعدة الحاسمة: لا يمكن للمستخدمين العاديين إيقاف تشغيل هذه السجلات أو حذفها. فقط المسؤولون ذوو الصلاحيات الخاصة يمكنهم ذلك. إذا كان بإمكان المستخدمين مسح سجل الوصول الخاص بهم، يصبح نظام التدقيق بأكمله عديم الفائدة. سيكون لديك سجلات تظهر فقط ما يريد الناس أن تراه.

ما يجب أن يلتقطه كل مسار تدقيق

يحتاج مسار التدقيق المفيد إلى أربع قطع من المعلومات على الأقل:

من قام بالوصول. يمكن أن يكون هذا اسم مستخدم، أو حساب خدمة، أو اسم تطبيق. تحتاج إلى معرفة الهوية التي قامت بالطلب بالضبط، وليس فقط "شخص من فريق الباك إند".

أي سر تم الوصول إليه. سجل اسم أو مسار السر، وليس قيمته. لست بحاجة إلى تخزين كلمة المرور الفعلية في السجل. تحتاج فقط إلى معرفة أنه تم استرداد "كلمة مرور قاعدة بيانات الإنتاج".

متى حدث ذلك. تحتاج الطوابع الزمنية إلى دقة على مستوى الثانية. أثناء التحقيق في الحادث، يمكن أن يغير فرق بضع دقائق القصة بأكملها. هل كان الوصول قبل الحادث بخمس دقائق أم بعده بخمس دقائق؟

النتيجة. هل نجح الطلب أم فشل؟ إذا تم رفضه، فلماذا؟ يمكن أن تكون محاولة الوصول الفاشلة بنفس أهمية الناجحة. قد تشير إلى شخص يختبر بيانات اعتماد مسروقة.

توفر الخزائن الحديثة مثل HashiCorp Vault و AWS Secrets Manager و Azure Key Vault هذه السجلات بشكل افتراضي. يمكن إرسال السجلات إلى نظام SIEM أو مخزن سجلات مركزي مثل Elasticsearch. المهم ليس أين تعيش السجلات، بل من يمكنه قراءتها. يجب أن يكون لدى فرق الأمن والمستجيبين للحوادث حق الوصول للقراءة. عادةً لا يحتاج المطورون العاديون إلى تصفح مسار التدقيق.

إليك ما يبدو عليه إدخال سجل تدقيق حقيقي من HashiCorp Vault:

{
  "time": "2025-03-15T02:34:12.847Z",
  "type": "response",
  "auth": {
    "client_token": "hmac-sha256:abc123...",
    "display_name": "deploy-bot",
    "policies": ["deploy", "default"]
  },
  "request": {
    "path": "secret/data/production/db-password",
    "operation": "read",
    "remote_address": "10.0.1.42"
  },
  "response": {
    "data": {
      "data": null
    },
    "warnings": null
  }
}

قراءة السجلات تتطلب ممارسة

سجلات التدقيق ليست فقط للتحقيقات بعد الحوادث. إنها تساعدك على فهم الأنماط الطبيعية حتى تتمكن من اكتشاف الحالات الشاذة.

تأمل هذا السيناريو: يُظهر سجل التدقيق الخاص بك أن حساب "deploy-bot" وصل إلى سر "db-production-password" في الساعة 2:34 صباحًا. هل هذا طبيعي؟ يعتمد الأمر. إذا كان خط أنابيبك يقوم بنشر ليلي، فإن هذا الوصول متوقع. ولكن إذا لم يكن هناك نشر مجدول في تلك الليلة، فأنت بحاجة إلى طرح الأسئلة. ربما قام شخص ما بتشغيل تشغيل يدوي لخط الأنابيب. أو ربما تم اختراق بيانات اعتماد deploy-bot.

إليك بعض الأنماط المشبوهة الشائعة التي تظهر في سجلات التدقيق:

• وصول متكرر إلى نفس السر في إطار زمني قصير
• وصول من عنوان IP لا يتطابق مع النطاق المعتاد لفريقك
• مطور يصل عادةً فقط إلى أسرار الاختبار يقوم فجأة بسحب بيانات اعتماد الإنتاج
• الوصول إلى أسرار في بيئات لا تتطابق مع دور المستخدم

هذا الأخير صعب. أحيانًا يحتاج المطور حقًا إلى وصول الإنتاج لإصلاح عاجل. ولكن إذا حدث ذلك بشكل متكرر دون تفسير، فقد يشير إلى سوء استخدام. يمنحك سجل التدقيق البيانات لإجراء تلك المحادثة.

سجلات التدقيق تساعد في التعافي أيضًا

عندما تشك في أن سرًا ما قد تم اختراقه، تخبرك سجلات التدقيق بمدى الضرر. يمكنك رؤية أي الهويات استردت ذلك السر بالضبط في إطار زمني محدد. يساعدك هذا في تحديد أولويات التدوير. إذا كان حساب خدمة واحد فقط هو الذي وصل إلى السر المخترق، فأنت تحتاج فقط إلى تدوير بيانات الاعتماد لذلك الحساب. إذا قام عشرون مستخدمًا وتطبيقًا مختلفًا بسحبه، فلديك مهمة تنظيف أكبر بكثير.

بدون سجلات التدقيق، عليك افتراض الأسوأ وتدوير كل شيء. هذا يخلق عملًا غير ضروري وتوقفًا. مع سجلات التدقيق، تقوم بتدوير ما يحتاج إلى التدوير فقط.

قائمة تحقق عملية لسجلات تدقيق الأسرار

إذا كنت تقوم بإعداد إدارة الأسرار اليوم، إليك قائمة تحقق سريعة للتحقق من تغطية التدقيق الخاصة بك:

• يتم تسجيل كل وصول إلى سر مع الهوية واسم السر والطابع الزمني والنتيجة
• لا يمكن حذف السجلات أو تعديلها من قبل المستخدمين العاديين
• يتم إرسال سجلات التدقيق إلى موقع مركزي يمكن لفرق الأمن الاستعلام عنه
• لديك عملية لمراجعة السجلات بشكل دوري، وليس فقط أثناء الحوادث
• أنت تعرف كيف تبدو أنماط الوصول الطبيعية لكل بيئة

الخلاصة

سجلات التدقيق لا تمنع تسرب الأسرار. لكنها تمنحك القدرة على الإجابة على أهم سؤال بعد الاختراق: من رأى ماذا، ومتى. بدون تلك الإجابة، أنت تخمن. والتخمين في الأمن هو كيف تتحول الحوادث الصغيرة إلى كوارث كبيرة.