كان لدى مورّد تقني يخدم شركة تأمين كبرى برنامج لضوابط الوصول جيد التصميم: أدوار محددة حسب الوظيفة، ووصول يُمنح بعد الموافقة، ومراجعة ربع سنوية، وتوافق مع مبدأ الحد الأدنى من الصلاحيات. وعلى مدى عامين، كان محلل بيانات أول يستخرج سجلات وثائق تأمين العملاء ويصدّرها، من أسماء وتواريخ ميلاد وتفاصيل الوثائق والتاريخ الصحي، عبر منصة التقارير لدى المورّد. كان الوصول مصرّحًا به. فقد كان للمحلل وصول مشروع إلى التقارير ضمن دوره. أما ما لم يكن يملكه فهو تصريح بتصدير السجلات بشكل مجمّع ومشاركتها خارجيًا. ولم يكن لدى المورّد أي تسجيل للوصول إلى البيانات على منصة التقارير. فكان نمط النشاط، أي محلل واحد ينفّذ مئات عمليات التصدير المجمّع على مدى عامين، غير مرئي. واكتُشف الاختراق عندما وجدت شركة التأمين بيانات عملائها معروضة للبيع في منتدى على الويب المظلم. وحاول التحقيق الجنائي الرقمي إعادة بناء ما أُخذ. ومن دون سجلات الوصول تعذّر تحديد النطاق. فوصف إخطار الاختراق نطاقًا غير معروف. وأشارت الجهة التنظيمية إلى غياب الرقابة بوصفه عاملًا مشدِّدًا.
ما حقيقة مشكلة ثغرات تسجيل الوصول إلى البيانات؟
تسجيل الوصول إلى البيانات هو الالتقاط المنهجي لسجلات تبيّن أي مستخدم أو عملية وصل إلى أي بيانات، ومتى، ومن أي موقع، وما العملية التي نُفّذت: قراءة أو كتابة أو تصدير أو حذف أو استعلام. وهو طبقة الرصد لأمن البيانات، فمن دونه تحدد ضوابط الوصول من يستطيع الوصول إلى البيانات لكنها لا تُنتج أي سجل لما فعلته الأطراف المصرّح لها فعلًا بالبيانات التي أمكنها الوصول إليها. والفجوة بين امتلاك ضوابط الوصول وامتلاك الرؤية على الوصول هي الفجوة التي تعمل من خلالها التهديدات الداخلية وبيانات الاعتماد المخترقة وإساءة استخدام الصلاحيات دون أن تُكتشف إلى أن يظهر أثرها عبر اكتشاف خارجي.
نموذج التهديد الذي يعالجه تسجيل الوصول هو تحديدًا تهديد الوصول المصرّح به: سيناريوهات يملك فيها الفاعل بيانات اعتماد مشروعة وتجتاز أفعاله فحوص ضوابط الوصول، لكنها تمثّل إساءة استخدام أو تسريبًا للبيانات أو استغلالًا. أما المهاجمون الخارجيون الذين يخترقون المحيط فتعالجهم أنظمة كشف التسلل وأمن نقاط النهاية. والموظف الداخلي الذي عمل في المؤسسة ثلاث سنوات ولديه وصول مناسب قائم على الأدوار ويصدّر سجلات العملاء بشكل انتقائي على مدى أشهر يظل غير مرئي لكل الضوابط باستثناء التسجيل. والحساب المخترق العائد لمستخدم مشروع لا يظهر إلا من خلال الشذوذ السلوكي الذي لا يمكن كشفه إلا إذا وُجد خط أساس لسلوك الوصول الطبيعي للمقارنة به، وهو خط أساس يتطلب تسجيل الوصول لإنشائه.
يكمن التمييز بين تسجيل الوصول على مستوى طبقة التطبيق والتسجيل على مستوى طبقة البنية التحتية في موضع نشوء معظم فجوات التقييم. فسجلات البنية التحتية (سجلات الوصول إلى الخوادم، وسجلات VPN، وسجلات نشاط API السحابية) تلتقط وقت الوصول إلى الأنظمة، لكنها لا تلتقط عادةً البيانات التي جرى الوصول إليها داخل تلك الأنظمة. وتلتقط سجلات استعلامات قواعد البيانات تعليمات SQL التي نُفذت، لكنها قد لا تلتقط السجلات المحددة التي أُعيدت. أما تسجيل الوصول إلى البيانات على مستوى طبقة التطبيق فيلتقط الحدث ذا الدلالة من منظور الأعمال (المستخدم X اطلع على سجل العميل Y، والمستخدم X صدّر 500 سجل من الاستعلام Z) بمستوى التفصيل اللازم لاكتشاف الأنماط الشاذة. ولدى معظم المؤسسات تسجيل للبنية التحتية. أما تسجيل الوصول إلى البيانات على مستوى طبقة التطبيق، الذي يتيح اكتشاف التهديدات الداخلية، فتطبيقه أقل اتساقًا بكثير.
تتركز فجوات تسجيل الوصول إلى البيانات حول خمسة أنماط إخفاق محددة:
- غياب التسجيل على مستوى طبقة التطبيق: سجلات البنية التحتية تلتقط الوصول إلى الأنظمة، بينما لا تُسجَّل أحداث طبقة التطبيق إطلاقًا (أي السجلات عُرضت، وأي الاستعلامات أعادت أي بيانات)
- عدم تسجيل أحداث التصدير والاستعلامات المجمّعة: يُسجَّل الوصول للقراءة إلى السجلات الفردية بينما تُعامَل عمليات التصدير المجمّع والاستعلامات الواسعة عالية المخاطر معاملة قراءة سجل واحد تمامًا
- عدم مراجعة السجلات أو رصدها: سجلات وصول تُولَّد وتُخزن دون مراجعة فعّالة أو تنبيه أو اكتشاف للحالات الشاذة، فتوفر قدرة جنائية بعد الخروقات دون أي اكتشاف وقائي
- عدم تسجيل وصول المستخدمين ذوي الصلاحيات المميزة بشكل منفصل: مديرو قواعد البيانات ومحللو البيانات وغيرهم من المستخدمين ذوي الصلاحيات العالية يصلون إلى البيانات عبر مسارات تتجاوز التسجيل على مستوى طبقة التطبيقات
- مدة احتفاظ غير كافية للتحقيق: سجلات وصول يُحتفظ بها لفترات أقصر من مدة الكمون المعتادة للاختراق، مما يُتلف الأدلة قبل أن يتيح اكتشاف الاختراق إجراء التحقيق
لماذا يهم هذا
يهمّ تسجيل الوصول إلى البيانات في TPRM لأن التهديد الداخلي، أي موظف المورّد الذي يسيء استخدام وصوله المشروع إلى بيانات العملاء، من أشد فئات التهديد أثرًا وأقلها قابلية للكشف في مشهد مخاطر الأطراف الثالثة. فالمورّد الذي يملك ضوابط وصول قوية دون رقابة على الوصول لديه حاجز يستطيع المستخدمون المصرّح لهم عبوره متى شاؤوا، دون أي سجل لما فعلوه على الجانب الآخر. وبيانات العميل محمية من المهاجمين الخارجيين بضوابط المحيط لدى المورّد. لكنها محمية من موظفي المورّد أنفسهم فقط بضوابط وصول تمنع الوصول غير المصرّح به، وضوابط الوصول لا تستطيع التمييز بين الاستخدام المشروع وإساءة استخدام الوصول المصرّح به.
تبعات ذلك على التحقيق في الاختراق مباشرة. فعندما يُكتشف اختراق لدى المورّد عبر قنوات خارجية، مثل قوائم البيع على الويب المظلم أو أنماط الاحتيال على العملاء أو إخطار تنظيمي من طرف ثالث، يجب أن يعيد التحقيق الجنائي الرقمي بناء ما حدث، والبيانات التي أُخذت، والفترة التي استغرقها ذلك. ومن دون سجلات الوصول تستحيل إعادة البناء هذه. فيصف إخطار الاختراق نطاقًا غير معروف. وتسأل الجهة التنظيمية عن الرقابة التي كانت قائمة. والإجابة، أي ضوابط وصول قوية مع غياب تسجيل الوصول، تصف برنامجًا تحكّم في الدخول لكنه لم يملك أي رؤية لما فعله المستخدمون المصرّح لهم بعد دخولهم.
بالنسبة لممارسي TPRM، يمس سؤال تسجيل الوصول جوهر ما إذا كان المورّد قادرًا على اكتشاف إساءة الاستخدام الداخلية للبيانات قبل أن تبلغ حجم خرق واجب الإبلاغ. فالمورّد الذي يتضمن برنامج تسجيل الوصول لديه اكتشافًا للحالات الشاذة في أحداث التصدير المجمّع وأنماط الاستعلام غير الاعتيادية والوصول خارج ساعات العمل من قِبل فئات محددة من المستخدمين لديه فرصة حقيقية لاكتشاف إساءة الاستخدام الداخلية قبل أن تتحول إلى تسريب يمتد سنوات. أما المورّد الذي تكون ضوابط الوصول لديه ممتازة والتسجيل غائبًا، فقد حمى البيانات على الورق فقط من التهديدات التي كان التسجيل سيكشفها.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو معاملة قوة ضوابط الوصول بديلًا عن رقابة الوصول. فضوابط الوصول القوية تقلّص عدد المستخدمين القادرين على الوصول إلى البيانات. لكنها لا تُنتج أي سجل لما يفعله هؤلاء بالبيانات التي يستطيعون الوصول إليها. فالضابطان يعالجان تهديدات مختلفة، إذ تعالج ضوابط الوصول الوصول غير المصرّح به، ويعالج تسجيل الوصول إساءة الاستخدام المصرّح بها، ولا يمكن لأحدهما أن يحل محل الآخر. وتقييمات TPRM التي توثّق ضوابط وصول قوية وتخلص إلى أن الوصول إلى البيانات محكوم بشكل مناسب لم تقيّم إلا نصف الصورة.
الإخفاق الثاني هو قبول تسجيل البنية التحتية بوصفه مكافئًا لتسجيل الوصول إلى البيانات على مستوى طبقة التطبيقات. فالمورّد الذي يؤكد امتلاكه تسجيلًا شاملًا قد يكون يصف سجلات API السحابية وسجلات الوصول إلى الخوادم وسجلات حركة الشبكة، وكلها قيّمة لأمن البنية التحتية لكنها لا تلتقط الأحداث ذات الدلالة من منظور الأعمال التي يتطلبها كشف التهديدات الداخلية. والفرق بين معرفة أن مستخدمًا قد صادق على خادم التطبيق ومعرفة أن مستخدمًا قد صدّر خمسمئة سجل من سجلات العملاء هو الفرق بين الرؤية على مستوى البنية التحتية والرؤية على مستوى أمن البيانات.
- معاملة قوة ضوابط الوصول بوصفها مكافئة لرقابة الوصول: الضوابط تحدد من يدخل، والتسجيل يوثّق ما يفعلونه
- قبول تسجيل البنية التحتية بديلًا عن تسجيل الوصول إلى البيانات: سجلات الوصول إلى الأنظمة مقابل أحداث الوصول إلى السجلات على مستوى طبقة التطبيقات
- عدم السؤال عن تسجيل التصدير المجمّع والاستعلامات الواسعة، وهي أحداث الوصول الأعلى خطورة في سيناريوهات التهديد الداخلي
- لا تنبيه ولا كشف للشذوذ في سجلات الوصول: السجلات موجودة لكنها لا تخضع لرقابة نشطة بحثًا عن الأنماط المريبة
- عدم تقييم مدة الاحتفاظ: سجلات وصول يُحتفظ بها لفترات أقصر من مدد الكمون المعتادة للاختراقات
كيف تبدو الممارسة الجيدة
تلتقط برامج المورّدين الناضجة لمراقبة الوصول إلى البيانات أحداث الوصول ذات الدلالة من منظور الأعمال على مستوى طبقة التطبيقات، وتطبّق التحليلات السلوكية لكشف الأنماط الشاذة، وتُطلق تنبيهات على الأحداث عالية المخاطر مثل التصدير المجمّع، وتحتفظ بالسجلات لفترات كافية لدعم التحقيق في الاختراقات ذات مدد الكمون الطويلة.
- تسجيل الوصول إلى البيانات على مستوى طبقة التطبيقات: تسجيل هوية المستخدم والسجل الذي جرى الوصول إليه والعملية المنفّذة والطابع الزمني وسياق الوصول لكل حدث وصول إلى البيانات
- التنبيه على التصدير المجمّع والاستعلامات الجماعية: تنبيهات مؤتمتة على أحداث الوصول التي تتجاوز عتبات محددة لعدد السجلات أو نطاق الاستعلام أو تكرار التصدير
- كشف الشذوذ السلوكي: خط أساس لأنماط الوصول الطبيعية لكل دور من أدوار المستخدمين مع تنبيه آلي عند انحراف الوصول عن خط الأساس
- رصد المستخدمين ذوي الصلاحيات المميزة: تسجيل معزز منفصل لمسؤولي قواعد البيانات وغيرهم من المستخدمين ذوي الصلاحيات العالية الذين لديهم وصول مباشر إلى البيانات
- الاحتفاظ بالسجلات مدة 90 يومًا فأكثر: مدد احتفاظ تُحدَّد وفق متطلبات التحقيق لا وفق تحسين تكلفة التخزين
- مراجعة منتظمة للسجلات وتكامل مع SIEM: إدخال سجلات الوصول إلى SIEM مع وتيرة مراجعة محددة وقواعد ربط مؤتمتة
الأدوات
تتطلب المراقبة الفعالة للوصول إلى البيانات أدوات على مستوى طبقتي التطبيقات وقواعد البيانات تلتقط الأحداث ذات الدلالة من منظور الأعمال وتتيح التحليل السلوكي.
مراقبة نشاط قواعد البيانات: Imperva وIBM Guardium وMcAfee DAM
تراقب منصات DAM نشاط الاستعلامات في قواعد البيانات على مستوى الشبكة أو الوكيل، فتلتقط كل استعلام، والمستخدم أو التطبيق الذي نفّذه، والجداول التي جرى الوصول إليها، وعدد السجلات المُعادة. وتوفّر Imperva تحديدًا كشف الشذوذ والتنبيه على أنماط الاستعلام غير المعتادة والوصول المجمّع إلى البيانات ونشاط المستخدمين ذوي الصلاحيات المميزة خارج ساعات العمل. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم DAM على قواعد البيانات التي تحتوي على بيانات العملاء يقدّم سؤالًا محددًا عالي الدلالة عن القدرة على كشف التهديدات الداخلية.
SIEM مع تحليلات سلوك المستخدمين: Microsoft Sentinel، وSplunk SIEM، وExabeam
تضع منصات SIEM المزوّدة بقدرات UBA خطوط أساس سلوكية لكل مستخدم على حدة وتُطلق تنبيهات عند الانحراف عنها، فالمستخدم الذي يصل عادةً إلى خمسين سجلًا يوميًا ثم يصل إلى خمسة آلاف يمثّل حالة شاذة لا تستطيع ضوابط الوصول القائمة على القواعد كشفها، بينما تستطيع التحليلات السلوكية ذلك. وتتخصص Exabeam في تحليلات سلوك المستخدمين والكيانات المطبّقة على أنماط الوصول إلى البيانات. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان SIEM لدى المورّد يتضمن تحليلات سلوك المستخدمين المطبّقة على أحداث الوصول إلى البيانات يكشف ما إذا كان كشف الشذوذ موجودًا بما يتجاوز التنبيه القائم على القواعد.
إدارة الوضع الأمني للبيانات: Cyera وVaronis وLaminar
توفر منصات DSPM رصدًا مستمرًا لأنماط الوصول إلى البيانات عبر بيئات البيانات السحابية، فتكتشف حالات الوصول غير الاعتيادي إلى البيانات الحساسة، أو تغير سياسات الوصول، أو ظهور مسارات وصول جديدة إلى البيانات الحساسة. وتركز Varonis تحديدًا على رصد الوصول إلى الملفات وقواعد البيانات مع تحليلات السلوك. وبالنسبة لممارسي TPRM، فإن السؤال عمّا إذا كان المورّد يستخدم DSPM مع رصد سلوكي للبيانات التي تتضمن سجلات العملاء يمثل سؤالًا شاملًا عن الرؤية على الوصول إلى البيانات.
تحديات الحوكمة
يتمثل تحدي الحوكمة في تسجيل الوصول إلى البيانات في مشكلة الحجم. فالتطبيق المؤسسي الكبير يولّد ملايين أحداث الوصول إلى البيانات يوميًا. وتخزين هذا الحجم ومعالجته ومراجعته يتطلب استثمارًا في البنية التحتية واهتمامًا تشغيليًا يجب تبريرهما مقارنةً بالأولويات الأمنية الأخرى. ويتمثل الحل العملي في التسجيل المتدرج حسب المخاطر: تسجيل شامل لفئات البيانات الأكثر حساسية، وتسجيل قائم على العتبات للوصول المعتاد إلى البيانات، وتهيئات تقتصر على التنبيه في السياقات الأقل حساسية. والهدف ليس تسجيل كل شيء بالقدر نفسه، بل ضمان أن تولّد أنماط الوصول الأعلى مخاطرة (عمليات التصدير المجمّع، والوصول المميز خارج ساعات العمل، وأحجام الاستعلامات غير الاعتيادية) تنبيهات أيًّا كانت فئة البيانات التي تمسها.
بالنسبة لبرامج TPRM، فإن سؤال الحوكمة هو ما إذا كان المورّد قد ربط تسجيل الوصول بكشف الشذوذ، أي ما إذا كانت السجلات المُنشأة تخضع لرقابة نشطة بحثًا عن الأنماط التي تدل على نشاط تهديد داخلي بدلًا من الاكتفاء بالاحتفاظ بها كقدرة للتحقيق الجنائي. فالسجلات الموجودة التي لا تُراجع أبدًا توفّر قدرة على التحقيق بعد الاختراق. أما السجلات التي تغذّي التحليلات السلوكية فتوفّر قدرة على الكشف قبل الاختراق. والفرق بين هذين البرنامجين هو الفرق بين إعادة بناء ما حدث ومنع حدوثه.
- اسأل عن كشف الشذوذ في سجلات الوصول، لا عن وجود السجلات فحسب، بل عمّا إذا كانت تخضع للرقابة بحثًا عن أنماط غير معتادة
- اسأل تحديدًا عن تسجيل عمليات التصدير المجمّع والتنبيه بشأنها، وهي نمط الوصول الأعلى مخاطرة من حيث التهديدات الداخلية
- التحقق من مدة الاحتفاظ بالسجلات مقارنةً بمتطلبات التحقيق: 90 يومًا كحد أدنى للتحقيق في مدة كمون الاختراق
- اسأل عن رصد وصول المستخدمين ذوي الصلاحيات المميزة: تسجيل معزز منفصل للمستخدمين الذين لديهم وصول مباشر إلى قواعد البيانات
- أدرج تسجيل الوصول في تقييم الاستجابة للحوادث: هل دعمت سجلات الوصول آخر تحقيق أمني
إذا كنت فريقًا صغيرًا
اطرح على المورّدين الأعلى خطورة سؤالًا واحدًا يكشف ثغرة الرقابة فورًا: إذا بدأ أحد موظفيكم ممن لديهم وصول مشروع إلى البيانات بتصدير سجلات عملائنا بشكل مجمّع على مدى أسابيع، فما الذي سيكشف ذلك وبأي سرعة؟ إن الإجابة عن هذا السؤال تصف القدرة الفعلية على كشف التهديدات الداخلية أفضل من أي توثيق للضوابط. فالمورّد الذي يستطيع وصف تنبيه آلي على أحداث التصدير المجمّع لديه قدرة على الكشف. أما المورّد الذي يصف قوة ضوابط الوصول لديه ردًا على سؤال عن الرقابة فقد أكّد وجود الثغرة.
- اطرح سؤال سيناريو كشف التهديد الداخلي على كل مورّد لديه وصول كبير إلى سجلات العملاء
- اسأل تحديدًا عمّا إذا كانت عمليات التصدير المجمّع للبيانات تُطلق تنبيهات آلية
- تأكد من مدة الاحتفاظ بالسجلات: هل تغطي متوسط مدة بقاء المهاجم في الخروقات البالغ 200 يوم فأكثر
- اسأل عمّا إذا كانت سجلات الوصول تُغذّي SIEM مزودًا بتحليلات سلوك المستخدمين
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«إذا بدأ أحد موظفيكم ممن لديهم وصول مشروع إلى البيانات بتصدير سجلات العملاء بشكل مجمّع على مدى عدة أسابيع، فما الضابط الذي سيكشف هذا النشاط، وبأي سرعة ستعلمون به؟»
«هل تُسجَّل أحداث الوصول إلى البيانات، وتحديدًا عمليات التصدير المجمّع والاستعلامات الواسعة والوصول خارج ساعات العمل من قِبل المستخدمين ذوي الصلاحيات المميزة، على مستوى طبقة التطبيقات مع هوية المستخدم ونطاق السجلات، وهل تغذّي هذه السجلات التنبيه الآلي أو التحليلات السلوكية؟»
«ما مدة الاحتفاظ بسجلات الوصول إلى البيانات لديكم، وهل ضُبطت لدعم التحقيق في الاختراقات ذات مدد الكمون الطويلة، وتحديدًا، هل يمكنكم التحقيق في حادث بدأ قبل ستة أشهر؟»
ما تتوقعه دليلًا
- وصف القدرة على اكتشاف التهديدات الداخلية: الضابط المحدد الذي سيكشف نشاط التصدير المجمّع
- التحقق من تسجيل الوصول على مستوى طبقة التطبيقات مع التنبيه على التصدير المجمّع
- مدة الاحتفاظ بالسجلات وأساس تحديدها
- التحقق من التكامل مع التحليلات السلوكية أو SIEM UBA
المورّد الذي يرد على سيناريو التهديد الداخلي بعبارة «ضوابط الوصول لدينا تمنع الوصول غير المصرّح به» قد أكّد الضابط الذي لا يعالج هذا السيناريو. فالتصدير المجمّع من قِبل مستخدم مصرّح له هو وصول مصرّح به. اسأل عمّا يكشف إساءة استخدام الوصول المصرّح به. والتردد الذي يسبق الإجابة هو الثغرة.
كيف تُثبت ذلك
يتناول مبدأ المساءلة في GDPR، والمتطلب 10 من PCI-DSS، ومواصفة تنفيذ ضوابط التدقيق في HIPAA، وضوابط AU في NIST SP 800-53 رصدَ الوصول إلى البيانات. ويتطلب إثبات العناية الواجبة أدلةً على تقييم القدرة على رصد الوصول بما يتجاوز توثيق ضوابط الوصول.
- سجلات تقييم المورّدين التي توثّق الأسئلة المتعلقة بتسجيل الوصول والتنبيه على التصدير المجمّع وكشف الشذوذ
- التحقق من القدرة على كشف التهديدات الداخلية لدى المورّدين الأعلى خطورة من حيث الوصول إلى البيانات
- توثيق مدة الاحتفاظ بالسجلات
- التحقق من التكامل مع SIEM أو التحليلات السلوكية
الخلاصة الرئيسية
تحدد ضوابط الوصول من يستطيع الوصول إلى البيانات. ويسجّل تسجيل الوصول ما يفعله المستخدمون المصرّح لهم بالبيانات التي يستطيعون الوصول إليها. والتهديد الداخلي، أي الموظف الذي يملك بيانات اعتماد مشروعة ويسرّب السجلات منذ أشهر، يجتاز كل فحص من فحوص ضوابط الوصول لأن وصوله مصرّح به. والضابط الوحيد الذي يكشف إساءة استخدام الوصول المصرّح به هو الرقابة. والمورّد الذي تكون ضوابط الوصول لديه ممتازة ويغيب لديه تسجيل الوصول يملك برنامجًا مصممًا جيدًا للتهديدات التي ليست الأخطر. فالأخطر موجود في الداخل بالفعل. اسأل عمّا يكشفه.