لماذا تُخزَّن سجلات التدقيق خارج تطبيق الخادم المنزلي الذي تراقبه؟

ينبغي أن تُخزَّن سجلات التدقيق خارج تطبيق الخادم المنزلي الخاضع للمراقبة، لأن العملية المخترقة قد تتمكن غالبًا من تعديل أدلتها المحلية أو حذفها أو إيقاف تسجيلها.

قد تسجل سجلات التطبيق إجراءات المسؤولين، وفشل تسجيل الدخول، والوصول إلى الملفات، واستخدام الرموز، وعمليات التشغيل الآلي، واستدعاءات أدوات الذكاء الاصطناعي، وتغييرات الأذونات، وعمليات الحذف. وتكون هذه السجلات ذات قيمة أكبر بعد تعطل التطبيق أو سيطرة مهاجم عليه؛ وهي اللحظة نفسها التي تكون فيها السجلات المخزنة في قاعدة بياناته أو وحدة التخزين القابلة للكتابة أقل موثوقية. ينشئ الجمع الخارجي حدًا منفصلًا للفشل والصلاحيات. توضّح الأقسام أدناه إعادة التوجيه عن بُعد، والتخزين بنمط الإضافة فقط، والربط بين الأحداث، والاحتفاظ، والخصوصية، والاختبارات المطلوبة لإثبات بقاء الأدلة.

تشترك السجلات المحلية مع التطبيق في حدود الفشل والصلاحيات

يحتاج التطبيق عادةً إلى إذن لإنشاء سجلاته المحلية وتدويرها. فإذا حصل مهاجم على هوية التطبيق أو دور مسؤول قاعدة البيانات، فقد تتيح له الأذونات نفسها حذفًا انتقائيًا أو تغييرًا للطوابع الزمنية أو محوًا كاملًا للسجلات.

تتطلب ورقة الغش الخاصة بالتسجيل من OWASP الحماية من العبث بالسجلات أثناء النقل وبعد التخزين. إن الاحتفاظ بالنسخة الوحيدة داخل العملية الخاضعة للمراقبة يضع الأدلة تحت سلطة المكوّن المشتبه به.

قد تتمكن لقطات نظام الملفات من استعادة بعض السجلات المحلية المحذوفة، لكنها قد تُنشأ على فترات متباعدة جدًا، وقد تظل قابلة للكتابة من خلال حساب المسؤول أو حساب التخزين المخترق نفسه.

تجبر إعادة التوجيه عن بُعد المهاجم على عبور حد آخر

يرسل مُعيد توجيه السجلات الأحداث إلى خدمة أو جهاز آخر فور وقوعها. وبعد استلامها، ينبغي ألا يمتلك التطبيق الخاضع للمراقبة أي إذن عبر واجهة برمجة التطبيقات أو نظام الملفات لإعادة كتابة الإدخالات القديمة.

يجمع التسجيل المركزي السجلات في مستودع منفصل يمكن فيه البحث معًا في الأحداث الصادرة من أنظمة متعددة. ولم تعد السيطرة على التطبيق المصدر تمنح تلقائيًا صلاحية التحكم في سجل التدقيق المخزن.

يمكن أن تكون الوجهة خادمًا آخر منخفض استهلاك الطاقة، أو جهازًا أمنيًا، أو خدمة تسجيل مُدارة، أو مجموعة بيانات معزولة على جهاز NAS بهوية منفصلة. فالاستقلالية أهم من المسافة المادية.

خزّن الأحداث مؤقتًا محليًا أثناء الانقطاعات المؤقتة، لكن اجعل حجم المخزن المؤقت محدودًا وأعد توجيهه بعد التعافي. وإلا فقد يؤدي تعطل خادم السجلات إلى امتلاء وحدة تخزين التطبيق أو إنشاء فجوة في الأدلة دون تنبيه.

يحمي التخزين بنمط الإضافة فقط والكشف عن العبث السجل التاريخي

لا يكفي الموقع البعيد عندما يستطيع المسؤولون أو بيانات اعتماد الإدخال تحديث أي صفوف تاريخية عشوائيًا. وينبغي أن يفضّل نموذج التخزين إضافة أحداث جديدة بدلًا من تعديل الأحداث الموجودة.

يحافظ سجل الإضافة فقط على السجلات المتسلسلة من دون تحديثات أو عمليات حذف عادية في مكانها. ويمكن للاحتفاظ بالكائنات غير القابلة للتغيير، وسياسات الكتابة لمرة واحدة، وسلاسل التجزئة، ونقاط التحقق الموقعة أن تجعل التغييرات غير المصرح بها قابلة للكشف بدرجة أكبر.

لا يوجد تصميم محصّن تمامًا ضد العبث عندما يسيطر مسؤول واحد على كل الأنظمة ومفاتيح الاسترداد. والهدف العملي هو مقاومة العبث وتوفير دليل على التغيير عبر هويات مستقلة وضوابط تخزين منفصلة.

-15% OFF

ZimaBoard 2 - خادم منزلي صغير لأفكارك الكبيرة

Single board computer zimaboard2

$339.00 - $519.00

Buy Now

تربط السجلات الخارجية الإجراءات عبر حدود الخدمات

قد تمر عملية منزلية واحدة عبر وكيل عكسي، وموفّر هوية، وتطبيق، وقاعدة بيانات، وخدمة تخزين، ومحرك تشغيل آلي، وواجهة برمجة تطبيقات خارجية. ولا يرى سجل التطبيق المحلي سوى جزء من التسلسل.

تحدد OWASP نقص القياس عن بُعد للتدقيق بوصفه مشكلة في الرؤية بالنسبة إلى الأنظمة التي تسترد البيانات وتنفذ الأدوات. وتتيح معرّفات الطلبات المشتركة، ومعرّفات المستخدمين، ومعرّفات الأحداث، وعناوين المصدر، والطوابع الزمنية لمخزن السجلات الخارجي إعادة بناء الخدمة التي نفذت كل خطوة.

وتُعد مزامنة الوقت جزءًا من هذه الأدلة. فقد تجعل الفروق الكبيرة بين الساعات تسلسلًا صحيحًا متعدد الخدمات يبدو خارج الترتيب.

كما تمنع إرشادات ZimaSpace بشأن فصل سجلات الحاويات نمو السجلات التشغيلية وتدويرها من التشابك مع حالة التطبيق التي لا يمكن تعويضها.

يحافظ الاحتفاظ وضوابط الوصول على فائدة الأدلة وخصوصيتها

قد تحتوي سجلات التدقيق على أسماء المستخدمين، وعناوين IP، وأسماء الملفات، وعبارات البحث، وهويات الأجهزة، وبيانات الاعتماد الفاشلة، وأنماط الحياة المنزلية. ويؤدي نقلها خارج التطبيق إلى تركيز بيانات وصفية حساسة في مكان جديد.

تتعامل إرشادات التسجيل الحديثة المقاومة للعبث مع ضوابط سلامة السجلات بوصفها مزيجًا من خيارات الجمع والنقل والتخزين والوصول والمراجعة. استخدم نقلًا مشفرًا، وهوية مخصصة للإدخال، ووصولًا للقراءة فقط للمحللين، وسياسة احتفاظ موثقة، وتنبيهات عند وجود فجوات في إعادة التوجيه.

اختبر النظام بإنشاء حدث إداري معروف، والتأكد من وصوله خارجيًا، وحذف التطبيق أو إعادة إنشائه، ثم التحقق من بقاء السجل التاريخي قابلًا للاستعلام. بعد ذلك افصل المُجمِّع وتأكد من أن النظام يبلّغ عن الفجوة بدلًا من التظاهر بأن التسجيل مكتمل.

تنجح بنية السجلات عندما يستطيع اختراق التطبيق مقاطعة الإبلاغ عن الأحداث المستقبلية، لكنه لا يستطيع إعادة كتابة الأدلة التي سبق أن قبلها المخزن المستقل بصمت.