كانت منصة الهوية لدى مورّد لتقنيات التجزئة تولّد سجلات مصادقة شاملة؛ إذ كان كل تسجيل دخول ناجح يُسجَّل مع الطابع الزمني والمستخدم وعنوان IP المصدر وطريقة المصادقة. وخلال تحقيق في حادث أعقب اختراقًا لبيانات العملاء، احتاج فريق التحليل الجنائي إلى إعادة بناء نمط وصول المهاجم. كانت المصادقة الناجحة التي سبقت الاختراق موجودة في السجل. أما ما لم يسجله السجل فهو: ثمان وستون محاولة مصادقة فاشلة للحساب نفسه في الساعات الأربع السابقة، كانت ستكشف هجومًا جاريًا بحشو بيانات الاعتماد؛ وتنبيه السفر المستحيل الذي كان ينبغي أن ينطلق عندما جاءت المصادقة الناجحة من سنغافورة بعد أربعين دقيقة من جلسة سابقة نشطة من لندن؛ وحالات رفض التفويض التي تلقاها المهاجم عند محاولته الوصول إلى موارد مقيدة قبل أن يجد مسارًا غير مقيد بما يكفي؛ واستمرار رمز الجلسة الذي أتاح لجلسة المهاجم أن تبقى صالحة لإحدى عشرة ساعة دون إعادة مصادقة. سجّل سجل المصادقة تسجيلات الدخول الناجحة بدقة. أما رواية مخاطر الهوية، أي الهجوم الجاري وحالات الشذوذ وإخفاقات التفويض ومشكلات إدارة الجلسات، فكانت موزعة على أنظمة تسجيل إما غير مضبوطة، أو غير محتفظ بسجلاتها، أو لم تُربط في التحقيق.
ما هي فجوات تسجيل الهوية فعلًا؟
تسجيل الهوية هو التسجيل الشامل لجميع الأحداث المتعلقة بالهوية في بيئة ما: محاولات المصادقة (الناجحة والفاشلة)، وقرارات التفويض (منح الوصول ورفضه)، وأحداث دورة حياة الجلسات (إنشاء الجلسة وتمديدها وانتهاء صلاحيتها وإنهاؤها)، وسجلات الإجراءات ذات الصلاحيات (ما فعله المستخدمون ذوو الصلاحيات خلال الجلسات ذات الصلاحيات)، وإشارات الشذوذ (السفر المستحيل، وأنماط الوصول غير المعتادة، والجلسات المتزامنة من مواقع مختلفة). وتنشأ الفجوة عندما يقتصر نطاق تسجيل الهوية على أحداث المصادقة الناجحة ولا يشمل مشهد الأحداث الأوسع الذي يوفر السياق اللازم لكشف التهديدات والتحقيق في الحوادث وإثبات الامتثال.
تسجيل المصادقة الفاشلة هو الفجوة الأشد أثرًا المباشر. فهجمات حشو بيانات الاعتماد ورش كلمات المرور والقوة الغاشمة تتسم بأعداد كبيرة من محاولات المصادقة الفاشلة قبل محاولة ناجحة. والمؤسسة التي لا تسجل إلا المصادقات الناجحة لا تستطيع كشف أنماط الهجوم هذه أثناء حدوثها؛ إذ لا يظهر الهجوم إلا في سجلات المحاولات الفاشلة غير الموجودة. وبحلول الوقت الذي تظهر فيه مصادقة ناجحة في السجل، يكون الهجوم قد استمر لساعات أو أيام دون أي إشارة كشف. إن غياب تسجيل المصادقة الفاشلة لا يمنع الاختراق؛ بل يمنع كشف نمط الهجوم الذي سبقه.
يوفر تسجيل التفويض، أي تسجيل أحداث رفض الوصول إلى جانب أحداث منحه، طبقة رؤية مختلفة لكنها لا تقل أهمية. فعندما يحاول مهاجم صادق بنجاح الوصول إلى موارد غير مصرّح له بها، تكون أحداث الرفض تلك خريطة استكشاف المهاجم داخل البيئة. والمهاجم الذي يتلقى رفضًا تلو رفض على موارد عالية القيمة قبل أن يجد مسارًا غير مقيد بما يكفي يترك أثرًا يسجّله تسجيل التفويض. ومن دون تسجيل التفويض، لا يرى التحقيق إلا المسار الذي نجح المهاجم في سلوكه، لا المسارات التي حاولها وحُجب عنها، وهو سياق قيّم لفهم نطاق الهجوم وتشديد ضوابط الوصول التي اعترضت طريق المهاجم.
- عدم تسجيل أحداث المصادقة الفاشلة: هجمات حشو بيانات الاعتماد والقوة الغاشمة غير قابلة للكشف
- عدم تسجيل أحداث رفض التفويض: استكشاف المهاجم لحدود الوصول غير مرئي
- عدم تسجيل إشارات شذوذ الجلسات: أحداث السفر المستحيل والجلسات المتزامنة غير مسجلة
- عدم تسجيل أحداث دورة حياة الجلسات: إنشاء الجلسات وتمديدها واستمرار الرموز غير مسجلة
- عدم كفاية الاحتفاظ بالسجلات: الاحتفاظ بسجلات الهوية لفترات أقصر من مدد بقاء المهاجمين في حالات الاختراق، مما يُتلف أدلة التحقيق
لماذا يهم هذا
تكتسب فجوات تسجيل الهوية أهمية في TPRM لأن المورّدين الذين يصلون إلى بيئات العملاء يحتاجون إلى تسجيل شامل للهوية لكشف الهجمات على بيئاتهم قبل أن تصل تلك الهجمات إلى بيانات العملاء. فالمورّد الذي لا يسجل إلا المصادقات الناجحة لا يستطيع كشف هجوم حشو بيانات الاعتماد الذي يجري عبر فئة مستخدميه في الوقت الفعلي؛ إذ يظل الهجوم غير مرئي حتى ينجح، وعندها يوفر الوصول الأولي للمهاجم إلى أنظمة المورّد مسارًا إلى بيئات العملاء.
العاقبة الجنائية هي البُعد الأوثق صلة مباشرة بالالتزامات التنظيمية والتعاقدية. فعند التحقيق في اختراق لدى مورّد، يعتمد نطاق التحقيق ونتائجه اعتمادًا حاسمًا على اكتمال السجلات. والمورّد الذي يستطيع إعادة بناء الخط الزمني الكامل للهجوم، من المحاولات الفاشلة والاختراق الناجح والتنقل داخل البيئة وأحداث الوصول إلى البيانات، يقدّم تقريرًا شاملًا عن الحادث. أما المورّد الذي لم تسجل سجلاته سوى المصادقات الناجحة فيقدّم صورة ناقصة عمّا حدث، وعن البيانات التي جرى الوصول إليها، وعن مدة وجود المهاجم. والإفصاح التنظيمي الذي يصف «نطاقًا غير معروف بسبب عدم كفاية التسجيل» نتيجة مباشرة لفجوات تسجيل الهوية.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو تأكيد وجود «تسجيل شامل للمصادقة» دون تحديد ما إذا كانت المحاولات الفاشلة وقرارات التفويض وحالات شذوذ الجلسات مشمولة. فتسجيل المصادقة الناجحة مكوّن من مكونات تسجيل الهوية. والتعامل معه على أنه تسجيل شامل للهوية يؤكد نوعًا واحدًا من الأحداث ويترك دون معالجة سياق التحقيق الذي يتطلب أنواعًا متعددة من الأحداث.
- تأكيد تسجيل المصادقة دون تحديد نطاق الأحداث
- افتراض إدراج أحداث المصادقة الفاشلة دون تأكيد ذلك تحديدًا
- عدم تقييم أحداث التفويض
- عدم التأكد من مدة الاحتفاظ بالسجلات مقابل متطلبات التحقيق
- عدم تقييم ربط أحداث الهوية في SIEM: هل تُربط السجلات لكشف الشذوذ
كيف تبدو الممارسة الجيدة
تسجّل برامج تسجيل الهوية الناضجة مشهد الأحداث كاملًا، أي المصادقات الفاشلة والناجحة، ومنح التفويض ورفضه، وأحداث دورة حياة الجلسات، وسجلات الإجراءات ذات الصلاحيات، وإشارات الشذوذ، وتحتفظ بها لفترات كافية لدعم التحقيق في الاختراقات التي يطول فيها بقاء المهاجمين، وتربطها في SIEM لتمكين الكشف الآني لأنماط الهجوم.
- تسجيل المصادقة الفاشلة: جميع المحاولات الفاشلة مع الحساب وعنوان IP المصدر والطابع الزمني وسبب الإخفاق
- تسجيل أحداث التفويض: أحداث منح الوصول ورفضه مع المورد والمستخدم وسبب القرار
- تسجيل شذوذ الجلسات: السفر المستحيل، والجلسات المتزامنة، ومدة الجلسة غير المعتادة
- تسجيل الإجراءات ذات الصلاحيات: الأوامر والاستعلامات وتغييرات الإعدادات أثناء الجلسات ذات الصلاحيات
- احتفاظ بالسجلات معايَر وفق مدة بقاء المهاجمين: 90 يومًا على الأقل، ولفترات أطول في البيئات عالية المخاطر
الأدوات
SIEM مع تحليلات الهوية: Microsoft Sentinel، Splunk، Exabeam
تربط منصات SIEM ذات قدرات تحليلات الهوية مشهد أحداث الهوية كاملًا، فتجمع سجلات المحاولات الفاشلة وأحداث المصادقة الناجحة وسجلات التفويض وإشارات شذوذ الجلسات في سطح كشف موحد. ويربط مكوّن UEBA في Microsoft Sentinel تحديدًا أحداث الهوية عبر جميع مصادر السجلات لكشف الأنماط الشاذة التي لا تكشفها تدفقات السجلات الفردية. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان SIEM لدى المورّد يربط أحداث الهوية عبر المحاولات الفاشلة وقرارات التفويض وحالات شذوذ الجلسات يوفر سؤالًا محددًا عن قدرة كشف الهوية.
تسجيل منصات الهوية: سجلات تدقيق Microsoft Entra ID، Okta System Log، سجلات تدقيق Ping Identity
تولّد منصات الهوية الحديثة سجلات أحداث شاملة عند ضبطها بالكامل: محاولات المصادقة، وأحداث MFA، وقرارات التفويض، وأحداث الجلسات، والإجراءات الإدارية. وتحدد إعدادات التسجيل الأحداث التي تُسجَّل وتُحوَّل إلى SIEM. وبالنسبة لممارسي TPRM، فإن السؤال عن أنواع الأحداث المسجلة في سجلات منصة الهوية لدى المورّد، وعمّا إذا كانت جميع أنواع الأحداث تُحوَّل إلى SIEM لديه، يوفر سؤالًا محددًا عن اكتمال السجلات.
تحديات الحوكمة
يتمثل تحدي الحوكمة في اكتمال سجلات الهوية في مشكلة الحجم والتكلفة. فالتسجيل الشامل للهوية يولّد حجمًا كبيرًا من السجلات؛ إذ قد تبلغ محاولات المصادقة الفاشلة وحدها الملايين يوميًا في البيئات الكبيرة الخاضعة لهجوم نشط. وتُنشئ تكاليف تخزين السجلات ومعالجتها ضغطًا لحصر التسجيل في الأحداث الأكثر مراجعةً بدلًا من الأحداث الأشد أهمية للتحقيق. والحل هو الاحتفاظ المتدرج حسب المخاطر بدلًا من التقليص الموحد للنطاق: الاحتفاظ بجميع أنواع الأحداث للحد الأدنى من المدة اللازمة للكشف الآني، والاحتفاظ بالأحداث عالية القيمة (المحاولات الفاشلة، والإجراءات ذات الصلاحيات، وحالات رفض التفويض) لفترات ممتدة، وضمان أن تحظى أدلة التحقيق الأكثر أهمية بأطول مدة احتفاظ.
- تأكد من أنواع الأحداث المحددة المشمولة بالنطاق: المحاولات الفاشلة، وقرارات التفويض، وحالات شذوذ الجلسات
- تأكد من مدة الاحتفاظ بالسجلات مقابل متطلبات التحقيق المرتبطة بمدة بقاء المهاجمين في حالات الاختراق
- قيّم ربط أنواع أحداث الهوية في SIEM لكشف الشذوذ
- اسأل عن كشف السفر المستحيل والجلسات المتزامنة: إشارات شذوذ محددة
- أدرج اكتمال سجلات الهوية في تقييم القدرة على الاستجابة للحوادث
إذا كنت فريقًا صغيرًا
اطرح على أعلى مورّديك مخاطرة ثلاثة أسئلة محددة عن تسجيل الهوية تتجاوز تأكيد المصادقة. الأول: هل تُسجَّل محاولات المصادقة الفاشلة مع عنوان IP المصدر وعدد المحاولات، وهل يُحوَّل ذلك السجل إلى SIEM لديكم مع التنبيه على المحاولات كبيرة العدد؟ والثاني: هل تُسجَّل أحداث رفض التفويض، وتحديدًا، عندما يُرفض وصول مستخدم إلى مورد، هل يُسجَّل حدث الرفض ذلك؟ والثالث: ما مدة الاحتفاظ بسجلات الهوية، وهل تستطيعون إعادة بناء خط زمني كامل لأحداث الهوية لحادث بدأ قبل ستة أشهر؟ تغطي هذه الأسئلة الثلاثة فجوة المحاولات الفاشلة وفجوة التفويض وفجوة الاحتفاظ في محادثة واحدة.
- اسأل عمّا إذا كانت محاولات المصادقة الفاشلة مسجلة ومربوطة في SIEM مع التنبيه
- اسأل عمّا إذا كانت أحداث رفض التفويض مسجلة
- اسأل عمّا إذا كان من الممكن إعادة بناء الخط الزمني لحادث عمره ستة أشهر من السجلات المتاحة
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«هل يسجّل نظام تسجيل الهوية لديكم محاولات المصادقة الفاشلة وأحداث رفض التفويض وحالات شذوذ الجلسات مثل السفر المستحيل، أم يقتصر نطاق تسجيل الهوية لديكم أساسًا على أحداث المصادقة الناجحة؟»
«ما مدة الاحتفاظ بسجلات أحداث الهوية لديكم، وتحديدًا محاولات المصادقة الفاشلة وسجلات التفويض، وهل تستطيعون إعادة بناء خط زمني كامل لأحداث الهوية لحادث بدأ قبل ستة أشهر؟»
ما تتوقعه دليلًا
- توثيق نطاق أحداث سجلات الهوية: أنواع الأحداث المسجلة
- تأكيد تسجيل محاولات المصادقة الفاشلة مع التنبيه عبر SIEM
- تأكيد تسجيل أحداث التفويض
- مدة احتفاظ بالسجلات معايَرة وفق متطلبات التحقيق
ينبغي أن يُسأل المورّد الذي يؤكد وجود «تسجيل شامل للمصادقة» تحديدًا عمّا إذا كان ذلك التسجيل يشمل المحاولات الفاشلة وحالات رفض التفويض. فالمصادقة الناجحة هي الحدث الذي يؤكد منح الوصول. والمحاولات الفاشلة الثماني والستون هي الدليل على أن الهجوم كان جاريًا. ومن دون الاثنين، يروي السجل نصف القصة.
كيف تُثبت ذلك
- توثيق نطاق سجلات الهوية: أنواع الأحداث ومدة الاحتفاظ
- تأكيد التنبيه على المصادقة الفاشلة
- أدلة ربط أحداث الهوية في SIEM
- توثيق مدة الاحتفاظ بالسجلات
الخلاصة الرئيسية
يخبرك حدث المصادقة الناجحة أن المهاجم دخل. وتخبرك المحاولات الفاشلة الثماني والستون التي سبقته أن الهجوم كان جاريًا لساعات قبل أن يتمكن أي أحد من معرفة ذلك. ويخبرك حدث السفر المستحيل بين لندن وسنغافورة أن بيانات الاعتماد كانت تُستخدم في آن واحد من موقعين. وتخبرك أحداث رفض التفويض بما حاوله المهاجم قبل أن يجد مسارًا مفتوحًا. إن تسجيل المصادقة دون سياق الأحداث المحيطة هو الفصل الأخير من قصة تبدأ قبله بفصول. ويسجّل التسجيل الشامل للهوية الرواية كاملة: نمط الهجوم، واختراق بيانات الاعتماد، وحالات شذوذ الجلسات، واستكشاف حدود التفويض. والتحقيق الذي يحتاج إلى فهم ما حدث يتطلب ذلك كله.