سجلّات التدقيق الأمني: ماذا تسجّل وكم تحتفظ ولماذا

سجلّ التدقيق الأمني هو السجلّ الذي يجيب على سؤال واحد لا غنى عنه وقت أي حادثة: من فعل ماذا، ومتى، ومن أين. بدونه تكتشف الاختراق ولا تعرف كيف دخل المهاجم ولا ماذا لمس ولا متى بدأ، فتتحوّل الحادثة من مشكلة محدودة إلى كارثة مفتوحة. القاعدة العملية: سجّل الأحداث التي تغيّر الحالة أو تكشف بيانات حسّاسة، لا كل نقرة. الأحداث الأساسية التي يجب تسجيلها هي محاولات الدخول الناجحة والفاشلة، وتغيير الصلاحيات والأدوار، والوصول للبيانات الحسّاسة أو تصديرها، وتغيير الإعدادات الأمنية، وحذف السجلّات أو تعديلها. كل سطر مفيد يجيب على أربعة عناصر: من (هوية المستخدم لا مجرد رقم)، ومتى (طابع زمني دقيق بمنطقة زمنية واضحة)، وماذا (الحدث والمورد المتأثّر)، ومن أين (عنوان IP والجهاز). الأهم من التسجيل نفسه حماية السجلّ من العبث، لأن أول ما يفعله مهاجم محترف هو محو أثره، فإن كان السجلّ على نفس السيرفر وبنفس صلاحيات المستخدم فقد ضاعت قيمته. لذلك يُرسَل السجلّ إلى مكان منفصل للقراءة فقط. أما مدة الاحتفاظ فتُحدَّد بأطول زمن قد تحتاج فيه إثباتاً: 90 يوماً حدّ أدنى عملي للتحقيقات، وسنة أو أكثر للجهات الملزَمة تنظيمياً. في هذا الدليل نفصّل ماذا تسجّل بالضبط، وكيف يبدو السطر المفيد، وكيف تحمي السجلّ نفسه، وكيف تربطه بالامتثال السعودي.

أي الأحداث تستحق التسجيل فعلاً

الخطأ الأول الذي يقتل قيمة أي نظام تدقيق هو تسجيل كل شيء بلا تمييز، فينتج ضجيج هائل يخفي الحدث المهم مثل إبرة في كومة قش، ويستهلك القرص بلا فائدة. المعيار بسيط: سجّل ما يغيّر الحالة أو يكشف سرّاً. عملياً هذه هي الفئات التي لا يُتنازل عنها.

• المصادقة: كل دخول ناجح، وكل محاولة فاشلة، وكل تسجيل خروج، وكل قفل حساب بعد محاولات متكررة. المحاولات الفاشلة المتتالية من عنوان واحد أوضح إشارة لهجوم تخمين.
• الصلاحيات: إنشاء مستخدم، تغيير دور، منح صلاحية إدارية، إعادة تعيين كلمة مرور. رفع صلاحية مستخدم عادي إلى مدير هو الحدث الأخطر في أي نظام.
• البيانات الحسّاسة: قراءة أو تصدير أو حذف سجلّات تحتوي بيانات شخصية أو مالية. تصدير جدول عملاء كامل في منتصف الليل يستحق تنبيهاً فورياً.
• الإعدادات الأمنية: تعطيل التشفير، تغيير جدار الحماية، إيقاف المصادقة الثنائية، تعديل قواعد الوصول.
• السجلّ نفسه: أي محاولة لحذف السجلّات أو تعديلها أو إيقاف خدمة التسجيل.

أما ما لا يُسجَّل في التدقيق الأمني فهو التصفّح العادي والاستعلامات الروتينية غير الحسّاسة، فهذه مكانها سجلّ الأداء لا سجلّ الأمن.

كيف يبدو السطر المفيد: من ومتى وماذا ومن أين

سطر السجلّ الذي لا يجيب على العناصر الأربعة عديم الفائدة وقت التحقيق. قارن بين سطر يقول «فشل دخول» وسطر يقول «فشل دخول للمستخدم admin من العنوان 203.0.113.44 في 2026-09-23 الساعة 02:14:07 بتوقيت السعودية عبر متصفّح غير معتاد». الأول ضجيج، والثاني دليل. اجعل كل سطر منظّماً (JSON مثلاً) ليسهل البحث والفلترة لاحقاً.

العنصر	يجيب على	مثال
من	هوية الفاعل	معرّف المستخدم واسمه، لا رقم مجهول
متى	التوقيت الدقيق	طابع زمني بمنطقة زمنية صريحة
ماذا	الحدث والمورد	«حذف فاتورة رقم 1187»
من أين	المصدر	عنوان IP، الجهاز، الجلسة

نصيحة مهمة: لا تسجّل القيم الحسّاسة نفسها داخل السجلّ. سجّل «تم تغيير كلمة المرور» لا كلمة المرور، و«تم الوصول لرقم البطاقة» لا الرقم، لأن سجلّاً يمتلئ بالأسرار يتحوّل إلى هدف بدل أن يكون حارساً.

حماية السجلّ نفسه من العبث

أضعف نقطة في أي نظام تدقيق أن يكون السجلّ في متناول من يُدقَّق عليه. مهاجم يصل للسيرفر بصلاحية عالية سيمحو أثره أولاً، فإن كان السجلّ ملفاً محلياً يملك صلاحية الكتابة عليه ضاع الدليل. الحل بثلاث طبقات. الأولى إرسال السجلّ فور إنشائه إلى سيرفر منفصل مخصّص للسجلّات، بحيث يصل هناك قبل أن يستطيع أحد لمسه. الثانية جعل التخزين للإلحاق فقط (append-only)، فلا يُعدَّل سطر بعد كتابته. الثالثة توقيع السجلّات أو ربطها بسلسلة تجزئة (hash chain) بحيث يكشف أي تعديل لاحق. على خادم سحابي مستقل تتحكم فيه من الجذر، تستطيع بناء سيرفر سجلّات منفصل بسهولة، وهو ما يصعب على الاستضافة المشتركة حيث لا تملك هذا المستوى من التحكم.

كم تحتفظ بالسجلّ ولماذا

مدة الاحتفاظ ليست رقماً عشوائياً، بل تُحسب من أطول فترة قد تحتاج فيها الرجوع للسجلّ. كثير من الاختراقات تُكتشف بعد شهور من وقوعها، فسجلّ يُمحى بعد أسبوع لا يفيد في تحقيق يبدأ بعد ثلاثة أشهر. الحدّ الأدنى العملي 90 يوماً للأحداث التشغيلية، بينما أحداث الأمن الحرجة مثل تغيير الصلاحيات والوصول للبيانات الحسّاسة تُحفظ سنة أو أكثر. الجهات الملزَمة تنظيمياً في القطاع المالي والصحي والحكومي غالباً تُطالَب بمدد أطول محدّدة نظاماً. الموازنة هنا بين قيمة الدليل وتكلفة التخزين، والحل الذكي هو التدرّج: احتفظ بالسجلّات الحديثة قريبة وسريعة الوصول، وانقل القديمة إلى تخزين أرخص مضغوط مع إضافة نسخ احتياطي منظّمة. تذكّر أن السجلّ المضغوط المؤرشف أرخص بكثير من عجزك عن إثبات ما حدث أمام جهة رقابية.

السجلّ كدليل في النزاعات والحوادث

قيمة السجلّ لا تظهر يوم كتابته، بل يوم الأزمة. في نزاع مع عميل يدّعي أنه لم يطلب خدمة، السجلّ يحسم بمن وقّع ومتى ومن أي عنوان. في حادثة تسريب، السجلّ يرسم خط الزمن: متى دخل المهاجم، وأي حسابات استُخدمت، وأي بيانات مُسّت، فتعرف حجم الضرر بدل أن تفترض الأسوأ. في تدقيق تنظيمي، السجلّ هو ما يثبت أنك تتحكم فعلاً في الوصول لبيانات المواطنين لا مجرد ادّعاء. لهذا يجب أن يكون السجلّ دقيقاً وموثوقاً ومحمياً من العبث، لأن سجلّاً يمكن التلاعب به لا يصلح دليلاً أمام أحد. الجهات التي تعالج بيانات حسّاسة داخل المملكة تجد في الاستضافة السعودية أساساً لهذا، إذ تبقى السجلّات والبيانات على أرض سعودية، راجع الاستضافة السحابية للتفاصيل.

من التسجيل إلى التنبيه: لا تكتفِ بالتخزين

سجلّ لا يقرأه أحد إلا بعد وقوع الكارثة نصف حل. القيمة الحقيقية تظهر حين يتحوّل السجلّ من أرشيف ميّت إلى نظام حيّ ينبّهك لحظة حدوث ما يستحق الانتباه. ابنِ قواعد تنبيه بسيطة على الأحداث عالية الخطورة: خمس محاولات دخول فاشلة متتالية لحساب واحد، أو رفع صلاحية مستخدم إلى مدير، أو تصدير جدول كامل خارج ساعات العمل، أو تعطيل المصادقة الثنائية لأي حساب. هذه الأحداث تستحق رسالة فورية لفريقك لا سطراً يُقرأ بعد شهر. المبدأ أن تفصل بين نوعين: أحداث تُسجَّل للمراجعة لاحقاً، وأحداث تُنبّه فوراً لأنها إما هجوم جارٍ أو خطأ خطير. لا تُغرق نفسك بتنبيهات كثيرة تفقد معناها، بل اختر القليل الحرج الذي يستحق أن يوقظك ليلاً. أدوات جمع السجلّات المركزية تسهّل هذا، إذ تجمع سجلّات كل خدماتك في مكان واحد قابل للبحث والفلترة وربط الأحداث ببعضها، فترى الصورة الكاملة بدل قطع متفرّقة على سيرفرات مختلفة.

أخطاء شائعة في التدقيق الأمني

أكثر الأخطاء تكراراً تسجيل كل شيء حتى يغرق المهم في الضجيج، فلا أحد يقرأ ملايين الأسطر. الخطأ الثاني ترك السجلّ على نفس السيرفر بصلاحية كتابة، فيمحوه المهاجم أولاً. الخطأ الثالث تسجيل التوقيت بلا منطقة زمنية واضحة، فتضيع دقّة خط الزمن حين تحقّق عبر سيرفرات في مناطق مختلفة، والحل توحيد التوقيت على معيار واحد صريح. الخطأ الرابع تسجيل الأسرار داخل السجلّ نفسه، فيصبح كنزاً للمهاجم. الخطأ الخامس، والأكثر شيوعاً في الفرق الصغيرة، عدم اختبار البحث في السجلّ إلا وقت الحادثة، فيكتشف الفريق أنه لا يعرف كيف يستخرج ما يحتاجه تحت الضغط. الوقاية بسيطة: أجرِ تمريناً كل بضعة أشهر تسأل فيه سجلّاتك سؤالاً حقيقياً مثل «من وصل لجدول العملاء الأسبوع الماضي؟» وتأكّد أنك تحصل على الجواب في دقائق.

خلاصة عملية

ابدأ بتحديد الأحداث الخمس الأساسية: دخول، صلاحيات، بيانات حسّاسة، إعدادات أمنية، ومساس بالسجلّ نفسه. اجعل كل سطر يجيب على من ومتى وماذا ومن أين، دون تخزين الأسرار داخله. أرسل السجلّ فوراً لمكان منفصل للإلحاق فقط، واحتفظ بالحرج منه سنة على الأقل. الأهم: اختبر أنك تستطيع البحث في سجلّاتك والوصول لحدث معيّن بسرعة، لأن سجلّاً لا تقدر أن تستخرج منه إجابة وقت الحادثة يساوي غيابه. راجع نظام التسجيل عندك اليوم، وابدأ من السؤال: لو حدث تسريب الآن، هل أستطيع أن أعرف من دخل ومتى وماذا أخذ؟