لماذا يشكّل العبث بالسجلات تهديدًا

تُعد سجلات الأمان الأدلة على ما حدث في بيئتكم. وهي أساس الاكتشاف والتحقيق والامتثال. وإذا تمكن المهاجم من تعديلها أو حذفها، فستفقدون القدرة على معرفة ما حدث، وسيصبح سجل التدقيق بلا قيمة. ولذلك فإن حماية سلامة السجلات تعني حماية الحقيقة نفسها.

يمارس المهاجمون المتطورون مكافحة الأدلة الجنائية الرقمية، أي إخفاء آثارهم بشكل متعمد. بعد الحصول على الوصول، يحاولون تعطيل التسجيل، أو حذف ملفات السجل، أو إيقاف مسارات التتبع حتى لا تُسجَّل أفعالهم اللاحقة. ويُعد إحباط هذه المحاولات جزءًا أساسيًا من الاستعداد للحوادث، لأن المهاجم غير المكتشَف أكثر خطورة بكثير.

تتمثل إحدى الحيل الشائعة في إيقاف مسار CloudTrail أو حذفه باستخدام StopLogging أو DeleteTrail. عند توقف التسجيل، لا تترك الإجراءات اللاحقة أي سجل تدقيق. لذلك من الضروري اكتشاف هذه الاستدعاءات ومنعها، أو ضمان تسجيلها هي نفسها في مكان آخر، للحفاظ على موثوقية مسار التتبع.

حتى مع تفعيل التسجيل، قد يحاول المهاجم حذف ملفات السجل من حاوية S3 التي تُخزَّن فيها. وإذا لم تكن الحاوية محمية، فإن إزالة الكائنات تمحو السجل التاريخي. ولهذا السبب، فإن تأمين حاوية تخزين السجلات لا يقل أهمية عن تفعيل التسجيل من الأساس.

إضافةً إلى الحذف، قد يحاول المهاجم تغيير محتوى السجلات لإخفاء إجراءات محددة أو إلصاق التهمة بشخص آخر. وقد تكون السجلات المعدَّلة أسوأ من السجلات المفقودة، لأنها تضلل المحققين بشكل متعمد. لذلك يُعد اكتشاف العبث هدفًا مستقلًا ومهمًا، وليس مجرد منع الحذف.

تعتمد حماية السجلات على ثلاثة مبادئ: السلامة (إثبات أن السجلات لم تُعدَّل)، والتوافر (ضمان عدم إمكانية حذفها)، والسرية (منع قراءتها دون تصريح). توفر AWS ميزات محددة لكل مبدأ. ويجب أن تعالج الاستراتيجية المتكاملة المبادئ الثلاثة جميعًا بدلًا من التركيز على مبدأ واحد فقط.

من المبادئ الأساسية فصل المسؤوليات، أي ألا يتحكم الأشخاص والحسابات التي تشغّل أعباء العمل في السجلات المتعلقة بهذه الأعباء. فإذا اخترق مهاجم حساب أحد أعباء العمل، فلا ينبغي أن يحصل بذلك على القدرة على محو الأدلة. وهذا ما يدفع إلى تصميم حسابات مخصصة للسجلات.

تُعد محاولات العبث نفسها إشارات عالية القيمة. إذ ينبهك مرشح المقاييس والتنبيه على أحداث CloudTrail مثل StopLogging أو DeleteTrail أو UpdateTrail فور لمس أحدهم إعدادات التسجيل. وغالبًا ما تكون محاولة الإخفاء أوضح علامة على أن هجومًا جارٍ بالفعل.

تتطلب أطر مثل PCI DSS وHIPAA صراحةً حماية سجلات التدقيق من التعديل وضمان الاحتفاظ بها. فالسجلات المحتفظ بها والكاشفة للعبث ليست مجرد ممارسة جيدة، بل متطلب للامتثال. وسيتحقق المدققون من وجود الضوابط التي تثبت أن سجلاتك موثوقة وكاملة.

كل وسيلة دفاع ستدرسها، وهي التحقق من صحة ملفات السجل، والحاويات المقفلة وغير القابلة للتغيير، وحسابات الأرشفة المركزية، تواجه تقنية محددة من تقنيات العبث. إن فهم التهديد أولًا يوضح سبب وجود كل ضابط وكيف تتكامل هذه الضوابط لتشكيل دفاع متعدد الطبقات يصعب على المهاجم التغلب عليه.

تُعد سلامة السجلات موضوعًا متكررًا في الاختبارات لأنها تقع عند تقاطع الاكتشاف والتحقيق الجنائي والحوكمة. توقّع سيناريوهات يكون الهدف فيها ضمان بقاء السجلات بعد حدوث اختراق. وتتمحور الإجابات الصحيحة حول عدم القابلية للتغيير، والتحقق، والعزل، وليس حول الوثوق بحساب واحد ليراقب نفسه.

السجلات هي أدلة، ويستخدم المهاجمون مكافحة الأدلة الجنائية الرقمية لتعطيل مسارات التتبع أو حذف الملفات أو تغيير السجلات. احمِ السلامة والتوافر والسرية، وطبّق فصل المسؤوليات حتى لا تتمكن حسابات أعباء العمل من محو سجلاتها، وأصدر تنبيهًا عند وقوع أحداث مثل StopLogging. وتفرض أطر الامتثال الاحتفاظ بسجلات كاشفة للعبث، ويوضح باقي هذا المقرر كيفية تحقيق ذلك.