تجهيز سجلات أحداث الأمان للكشف

ما يُساعد هذا الدليل على تحقيقه

• تحديد الأحداث.
• حماية السجلات.
• ربط الإشارات.
• اختبار الكشف.

فحص سريع

• ما الأنظمة التي تدعم المسارات الحرجة؟
• هل يمكن للساعات والمعرفات إعادة بناء التسلسل الزمني؟
• من يمكنه قراءة السجلات أو تعديلها؟
• ما السيناريو الذي يُطلق التنبيه؟
• هل يعرف أحد ما يجب فعله لاحقًا؟

طريقة خطوة بخطوة

1. 1

   اختيار المصادر.

   البدء من الخدمات وسيناريوهات التهديد: تسجيل الدخول، تغيير الصلاحيات، الوصول إلى البيانات، واجهة برمجة التطبيقات، الشبكة والبنية التحتية. تحديد الأحداث المطلوبة ومالكيها.

   المُخرَج: سياسة تسجيل على مستوى المصدر.

2. 2

   توحيد السياق

   تحديد الساعات، والمناطق الزمنية، ومعرّفات الطلبات، والجهة الفاعلة، والنتيجة، والنظام المُرسِل. تجنب تضمين أي معلومات سرية أو بيانات شخصية غير ضرورية في الرسائل.

   المُخرَج: مخطط الأحداث وقواعد تقليل البيانات.

3. 3

   المركزية والحماية

   اختبار النقل، والتوافر، والأذونات، والاحتفاظ، وكشف التلاعب. يجب ألا يقوم النظام المُخترق بمسح الدليل الوحيد المفيد بصمت.

   المُخرَج: فحص النقل والتكامل.

4. 4

   ربط سيناريو

   محاكاة عملية تسجيل دخول مشبوهة متبوعة باستدعاء واجهة برمجة تطبيقات أو تغيير حساس. التحقق من توافق الأحداث من حيث الوقت والمعرّف.

   المُخرَج: إعادة بناء الجدول الزمني وقائمة الفجوات.

5. 5

   ضبط الكشف

   كتابة قاعدة تتضمن الشرط، والعتبة، والاستثناءات، والمالك، والأولوية. قياس النتائج الإيجابية الخاطئة والأحداث الفائتة باستخدام سيناريوهات مُصرَّح بها. ضبط الكشف كتابة قاعدة تتضمن الشرط، والعتبة، والاستثناءات، والمالك، والأولوية. قياس النتائج الإيجابية الخاطئة والأحداث الفائتة باستخدام سيناريوهات مُصرَّح بها.

   المُخرَج: قاعدة مُختَبَرة وحالات التحقق.

6. 6

   تدريب على الاستجابة.

   توجيه تنبيه إلى الشخص المسؤول، وفتح تحقيق، وحفظ الأدلة، والتحقق من إغلاقه. تحسين المخطط أو القاعدة بعد التمرين.

   المُخرَج: تمرين مؤرّخ وإجراءات المتابعة.

مؤشرات الإدارة

الأخطاء الشائعة

• جمع كل شيء دون تحديد أولويات السيناريوهات
• تسجيل الأسرار أو البيانات الحساسة كنص عادي
• المركزية دون التحقق من التكامل والأذونات
• إضافة تنبيهات دون إجراء معالجة