هذه مقالة غير مراجعة. ينبغي أن يزال هذا القالب بعد أن يراجعها محرر؛ إذا لزم الأمر فيجب أن توسم المقالة بقوالب الصيانة المناسبة. يمكن أيضاً تقديم طلب لمراجعة المقالة في الصفحة المخصصة لذلك. (أكتوبر 2024)

حلول إدارة المعلومات والأحداث الأمنية (سيم سليوشن-SIEM) أداة برمجية تجمع البيانات والتنبيهات الأمنية من أنظمة مختلفة لتمكين تحليلها في الوقت الفعلي لضمان الأمان مما يسمح للمؤسسات بتلبية متطلبات الامتثال والحماية من التهديدات، تشكل أنظمة SIEM عنصرًا أساسيًا في تشغيل مراكز العمليات الأمنية (SOCs)، وهي تجمع بين إدارة معلومات الأمان (SIM) وإدارة الأحداث الأمنية (SEM) . ^{[1] [2]}

يمكن استخدام أدوات SIEM على شكل برامج، أجهزة، أو خدمات مُدارة. [1] تقوم أنظمة SIEM بتسجيل الأحداث الأمنية وإعداد التقارير للامتثال للأطر التنظيمية، مثل قانون نقل التأمين الصحي والمساءلة (HIPAA) ومعيار أمان بيانات بطاقات الدفع (PCI DSS). يتيح دمج وظائف إدارة معلومات الأمان (SIM) ومراقبة الأحداث الأمنية (SEM) في SIEM للمؤسسات مراقبة الأحداث الأمنية بشكل مركزي والاستجابة للتهديدات في الوقت الفعلي.

ظهر مصطلح SIEM لأول مرة في عام 2005 على يد المحللين مارك نيكوليت وأمريت ويليامز من شركة Gartner، وتطور لاحقًا ليشمل ميزات متقدمة مثل استخبارات التهديدات والتحليلات السلوكية. تُمكِّن هذه الميزات حلول SIEM من التعامل مع التهديدات السيبرانية المعقدة، بما في ذلك الثغرات غير المكتشفة والبرمجيات الضارة متعددة الأشكال.

في الآونة الأخيرة، تم دمج SIEM بشكل متزايد في مبادرات الأمن السيبراني الوطنية. على سبيل المثال، يوجه الأمر التنفيذي رقم 14028، الذي وقعه الرئيس الأمريكي جوزيف بايدن في عام 2021، نحو اعتماد تقنيات SIEM لتعزيز اكتشاف الحوادث والإبلاغ عنها ضمن الأنظمة الفيدرالية. ويُدعم الامتثال لهذه المتطلبات عبر أطر مثل NIST SP 800-92، التي توضح أفضل الممارسات لإدارة سجلات أمن المعلومات.^[1]

في البداية، كان يتم استخدام تسجيل النظام بشكل أساسي لاستكشاف الأخطاء وإصلاحها. ومع ذلك، مع تزايد تعقيد أنظمة التشغيل والشبكات، ازدادت أيضًا عملية إنشاء سجلات النظام. أصبحت مراقبة سجلات النظام أيضًا شائعة بشكل متزايد بسبب ارتفاع عدد الهجمات الإلكترونية المعقدة والحاجة إلى الامتثال للأطر التنظيمية، التي تفرض ضوابط أمان التسجيل ضمن أطر إدارة المخاطر (RMF).

منذ أواخر سبعينيات القرن العشرين، بدأت فرق العمل بوضع معايير لإدارة برامج التدقيق والمراقبة، مما مهد الطريق لممارسات الأمن السيبراني الحديثة مثل اكتشاف التهديدات الداخلية والاستجابة للحوادث. وكان من أبرز الإصدارات في تلك الفترة المنشور الخاص رقم 500-19 الصادر عن المعهد الوطني للمعايير والتكنولوجيا (NIST).^[1]

في عام 2005، تم تقديم مصطلح "SIEM" (إدارة المعلومات الأمنية والأحداث) من قبل المحللين في شركة Gartner مارك نيكوليت وأمريت ويليامز. توفر أنظمة SIEM واجهة واحدة لجمع بيانات الأمان من أنظمة المعلومات وتقديمها كمعلومات استخباراتية قابلة للتنفيذ. ^[3] يقدم المعهد الوطني للمعايير والتكنولوجيا التعريف التالي لـ SIEM: "تطبيق يوفر القدرة على جمع بيانات الأمان من مكونات نظام المعلومات وتقديم تلك البيانات كمعلومات قابلة للتنفيذ عبر واجهة واحدة." ^[4] بالإضافة إلى ذلك، صمم المعهد الوطني للمعايير والتكنولوجيا ونفذ إطار عمل إدارة المخاطر الفيدرالي.

مع تبني إطار عمل إدارة المخاطر عالميًا، أصبح التدقيق والمراقبة عنصرين أساسيين لضمان أمن المعلومات. يعتمد متخصصو الأمن السيبراني الآن على تسجيل البيانات لتنفيذ وظائف الأمان في الوقت الفعلي، بفضل نماذج الحوكمة التي تدمج هذه العمليات في التحليلات. ومع تطور ضمان المعلومات من أواخر التسعينيات إلى أوائل القرن الحادي والعشرين، برزت الحاجة إلى مركزية سجلات النظام. تسهّل إدارة السجلات المركزية الإشراف والتنسيق عبر الأنظمة المرتبطة بالشبكة بشكل أكثر كفاءة.

في 17 مايو 2021، وقع الرئيس الأمريكي جوزيف بايدن الأمر التنفيذي رقم 14028، بعنوان "تحسين الأمن السيبراني في البلاد"، الذي أقر متطلبات إضافية للتسجيل، بما في ذلك تسجيل التدقيق وحماية نقاط النهاية، لتعزيز قدرات الاستجابة للحوادث.^[1] جاء هذا القرار استجابة لتزايد هجمات برامج الفدية التي تستهدف البنية التحتية الحيوية. يهدف الأمر إلى تعزيز ضوابط ضمان المعلومات ضمن مؤسسات إدارة المخاطر، مع التركيز على تعزيز الامتثال وتأمين التمويل لمبادرات الأمن السيبراني.

تم نشر دليل NIST SP 800-92 لإدارة سجلات أمان الكمبيوتر في سبتمبر 2006، وهو بمثابة وثيقة أساسية ضمن إطار إدارة المخاطر NIST لتوجيه ما يجب أن يكون قابلاً للتدقيق. وكما يشير غياب مصطلح "SIEM"، فقد تم إصدار الوثيقة قبل التبني الواسع النطاق لتقنيات SIEM. ^{[5] [6]} ورغم أن الدليل ليس شاملاً بسبب التغيرات السريعة في التكنولوجيا منذ نشره، فإنه يظل ذا أهمية من خلال توقع نمو الصناعة. لا يعد المعهد الوطني للمعايير والتكنولوجيا المصدر الوحيد للتوجيه بشأن الآليات التنظيمية للتدقيق والمراقبة، ويتم تشجيع العديد من المنظمات على اعتماد حلول SIEM بدلاً من الاعتماد فقط على عمليات التحقق القائمة على المضيف.

تشير العديد من اللوائح والمعايير إلى إرشادات التسجيل الخاصة بالمعهد الوطني للمعايير والتكنولوجيا، بما في ذلك قانون إدارة أمن المعلومات الفيدرالي (FISMA)، ^[7] وقانون جرام-ليتش-بليلي (GLBA)، ^[8] وقانون قابلية نقل التأمين الصحي والمساءلة (HIPAA)، ^[9] وقانون ساربينز أوكسلي (SOX) لعام 2002، ^[10] ومعيار أمان بيانات صناعة بطاقات الدفع (PCI DSS)، ^[11] وISO 27001. ^[12] غالبًا ما تشير المؤسسات العامة والخاصة إلى مستندات NIST في سياساتها الأمنية.

يُعد NIST SP 800-53 AU-2 Event Monitoring عنصر تحكم أمني أساسي يدعم تدقيق النظام ويضمن المراقبة المستمرة لعمليات ضمان المعلومات والأمن السيبراني. غالبًا ما تُستخدم حلول SIEM كأدوات مركزية لتحقيق هذه الأهداف. تحتوي الأنظمة الفيدرالية، المصنفة وفقًا لتأثيرها على السرية والنزاهة والتوافر (CIA)، على خمسة متطلبات تسجيل محددة (AU-2 ae) يجب الالتزام بها.^[13] ورغم أن تسجيل جميع الإجراءات ممكن، إلا أن ذلك غير مستحسن عمومًا بسبب الحجم الكبير للسجلات وصعوبة استخراج بيانات أمان قابلة للتنفيذ. يوفر التحكم AU-2 الأساس لبناء استراتيجية تسجيل متوافقة مع عناصر التحكم الأخرى.

تسلط معيار NIST SP 800-53 SI-4 لمراقبة النظام الضوء على متطلبات أنظمة المراقبة، بما في ذلك اكتشاف الوصول غير المصرح به وتتبع الشذوذ والبرامج الضارة والهجمات المحتملة. تحدد عناصر التحكم الأمنية هذه متطلبات الأجهزة والبرامج اللازمة للكشف عن الأنشطة المشبوهة. ^[14] وعلى نحو مماثل، يؤكد معيار NIST SP 800-53 RA-10 Threat Hunting، الذي تمت إضافته في المراجعة 5، على الدفاع الاستباقي عن الشبكة من خلال تحديد التهديدات التي تتجنب الضوابط التقليدية. تلعب حلول SIEM دورًا حاسمًا في تجميع معلومات الأمان لفرق البحث عن التهديدات. ^[15]

معًا، يُظهر AU-2 وSI-4 وRA-10 كيفية تكامل عناصر التحكم الخاصة بـ NIST في استراتيجية أمنية شاملة. تساعد هذه العناصر، المدعومة بحلول SIEM، في ضمان المراقبة المستمرة، وتقييم المخاطر، وتوفير آليات دفاع متعمقة عبر الشبكات الفيدرالية والخاصة.^[16]

في بعض الأحيان، يتم استخدام الاختصارات SEM و SIM و SIEM بالتبادل، ^[17] ولكنها تشير عمومًا إلى التركيز الأساسي المختلف للمنتجات:

• إدارة السجلات : التركيز على التجميع البسيط وتخزين رسائل السجلات ومسارات التدقيق . ^[18]
• إدارة معلومات الأمان ( SIM ): التخزين طويل الأمد بالإضافة إلى تحليل بيانات السجل وإعداد التقارير عنها. ^[19]
• مدير الأحداث الأمنية ( SEM ): مراقبة في الوقت الفعلي، وربط الأحداث، والإشعارات، وعروض وحدة التحكم.
• إدارة معلومات الأمان والأحداث (SIEM): تجمع بين SIM وSEM وتوفر تحليلاً في الوقت الفعلي للتنبيهات الأمنية التي تولدها أجهزة الشبكة والتطبيقات. ^{[20][بحاجة لمصدر]}</link>^{[ بحاجة لمصدر ]}
• خدمة الأمان المُدارة: ( MSS ) أو موفر خدمة الأمان المُدارة: (MSSP): يبدو أن الخدمات المُدارة الأكثر شيوعًا تتطور حول الاتصال وعرض النطاق الترددي ومراقبة الشبكة والأمان والافتراض واسترداد البيانات بعد الكوارث.
• الأمان كخدمة ( SECaaS ) : غالبًا ما تتضمن خدمات الأمان هذه المصادقة ومكافحة الفيروسات ومكافحة البرامج الضارة /برامج التجسس واكتشاف التطفل واختبار الاختراق وإدارة الأحداث الأمنية، من بين أمور أخرى.

عمليًا، تحتوي العديد من المنتجات في هذا المجال على مزيج من هذه الوظائف، مما يؤدي غالبًا إلى بعض التداخل، بالإضافة إلى قيام العديد من البائعين التجاريين بالترويج لمصطلحاتهم الخاصة..^[21] غالبًا ما يقدم البائعون مجموعات متنوعة من هذه الوظائف بهدف تحسين أداء SIEM بشكل عام. لا توفر إدارة السجلات وحدها رؤى فورية حول أمان الشبكة، كما أن SEM بمفرده لا يقدم بيانات شاملة لتحليل التهديدات بعمق. ولكن عند دمج SEM مع إدارة السجلات، يحصل SIEM على معلومات أكثر شمولاً للمراقبة والتحليل.

يركز SIEM بشكل أساسي على مراقبة وإدارة امتيازات المستخدمين والخدمات، وخدمات الدليل، وتغييرات تكوين النظام. كما يشمل توفير تدقيق السجلات، وإجراء المراجعات، والاستجابة للحوادث.^[22]

• تجميع البيانات: تعمل إدارة السجلات على تجميع البيانات من العديد من المصادر، بما في ذلك الشبكات والأمان والخوادم وقواعد البيانات والتطبيقات، مما يوفر القدرة على دمج البيانات التي تتم مراقبتها للمساعدة في تجنب تفويت الأحداث الحاسمة.
• الارتباط: يبحث عن السمات المشتركة ويربط الأحداث معًا في حزم ذات معنى. توفر هذه التقنية القدرة على إجراء مجموعة متنوعة من تقنيات الارتباط لدمج المصادر المختلفة، من أجل تحويل البيانات إلى معلومات مفيدة. الارتباط هو عادةً وظيفة لجزء إدارة الأحداث الأمنية في حل SIEM الكامل. ^[23]
• تنبيه: التحليل التلقائي للأحداث المترابطة.
• لوحات المعلومات: يمكن للأدوات أخذ بيانات الحدث وتحويلها إلى مخططات معلوماتية للمساعدة في رؤية الأنماط أو تحديد النشاط الذي لا يشكل نمطًا قياسيًا.
• الامتثال: يمكن استخدام التطبيقات لأتمتة جمع بيانات الامتثال، وإنتاج التقارير التي تتكيف مع عمليات الأمن والحوكمة والتدقيق الحالية. ^[24]
• الاحتفاظ: استخدام التخزين طويل الأمد للبيانات التاريخية لتسهيل ربط البيانات بمرور الوقت، وتوفير الاحتفاظ اللازم لمتطلبات الامتثال. يعد الاحتفاظ ببيانات السجل على المدى الطويل أمرًا بالغ الأهمية في التحقيقات الجنائية لأنه من غير المرجح أن يتم اكتشاف خرق الشبكة في وقت حدوث الخرق. ^[25]
• التحليل الجنائي: القدرة على البحث عبر السجلات الموجودة على عقد مختلفة وفي فترة زمنية مختلفة استنادًا إلى معايير محددة. يخفف هذا من الحاجة إلى تجميع معلومات السجل في رأسك أو الحاجة إلى البحث بين آلاف وآلاف السجلات. ^[24]

قد تختلف بنية SIEM حسب البائع؛ ولكنها عمومًا، تتكون من:

• جامع بيانات: يقوم بإعادة توجيه سجلات التدقيق المحددة من المضيف (بث السجلات المستندة إلى الوكيل أو المضيف إلى الفهرس ونقطة التجميع) ^{[26] [27]}
• نقطة تجميع: نقطة الاستيعاب والفهرسة للتحليل والارتباط وتطبيع البيانات ^[28]
• عقدة بحث: تُستخدم للتصور والاستعلامات والتقارير والتنبيهات (يتم إجراء التحليل على عقدة بحث) ^[29]

تظهر البنية التحتية الأساسية لـ SIEM في الصورة الموجودة على اليمين.

قام باحث أمن الكمبيوتر كريس كوبيكا بتحديد حالات استخدام SIEM التالية، والتي تم تقديمها في مؤتمر القرصنة 28C3 ( مؤتمر Chaos Communication ). ^[30]

• قد تساعد رؤية SIEM واكتشاف الشذوذ في اكتشاف الأيام الصفرية أو الكود المتعدد الأشكال . يرجع ذلك في المقام الأول إلى انخفاض معدلات اكتشاف برامج مكافحة الفيروسات ضد هذا النوع من البرامج الضارة سريعة التغير.
• يمكن أن تتم عملية التحليل وتطبيع السجل وتصنيفه تلقائيًا، بغض النظر عن نوع الكمبيوتر أو جهاز الشبكة، طالما أنه يمكنه إرسال سجل.
• يمكن أن يساعد التصور باستخدام SIEM باستخدام أحداث الأمان وأخطاء السجل في اكتشاف الأنماط.
• يمكن تحديد تشوهات البروتوكول التي يمكن أن تشير إلى سوء التكوين أو مشكلة أمنية باستخدام SIEM باستخدام اكتشاف الأنماط والتنبيهات والخط الأساسي ولوحات المعلومات.
• يمكن لـ SIEMS اكتشاف الاتصالات السرية والضارة والقنوات المشفرة.
• يمكن اكتشاف الحرب السيبرانية بواسطة أنظمة SIEM بدقة، مما يتيح اكتشاف المهاجمين والضحايا على حد سواء.

قد تحتوي أنظمة SIEM على مئات أو آلاف من قواعد الارتباط، بعضها بسيط والآخر أكثر تعقيدًا. عند تفعيل إحدى هذه القواعد، يمكن للنظام اتخاذ الإجراءات المناسبة للتخفيف من الهجوم السيبراني، مثل إرسال إشعار للمستخدم، وتقييد الوصول، أو حتى إيقاف تشغيل النظام بالكامل.

يُعتبر اكتشاف القوة الغاشمة أمرًا بسيطًا نسبيًا، حيث يتعلق بمحاولة تخمين متغير بشكل مستمر. غالبًا ما يشير هذا المصطلح إلى شخص يحاول باستمرار تخمين كلمة المرور الخاصة بك، سواء يدويًا أو باستخدام أداة معينة. لكن يمكن أن يشمل أيضًا محاولات تخمين عناوين URL أو مواقع الملفات المهمة على نظامك.

من السهل اكتشاف القوة الغاشمة الآلية، حيث إن محاولة شخص إدخال كلمة المرور الخاصة به 60 مرة في الدقيقة تعتبر أمرًا غير ممكن. هذه الأنشطة المتكررة تثير الإنذار لدى أنظمة الأمان، مما يجعل من السهل تحديد محاولات الاختراق الآلي.

عند تسجيل دخول المستخدم إلى النظام، يتم عادةً إنشاء علامة زمنية للحدث. بالإضافة إلى الوقت، قد يسجل النظام معلومات مفيدة أخرى مثل الجهاز المستخدم، والموقع الجغرافي، وعنوان IP، ومحاولات تسجيل الدخول غير الصحيحة. كلما زادت البيانات المجمعة، زادت الفائدة الممكن الحصول عليها. بالنسبة لمراقبة السفر المستحيل، ينظر النظام إلى تاريخ ووقت تسجيل الدخول الحالي والأخير، وكذلك الفرق بين المسافات المسجلة. إذا اعتبر النظام أن السفر غير ممكن، مثل قطع مئات الأميال في دقيقة واحدة، فسيقوم بإطلاق تحذير.

يستخدم العديد من الموظفين والمستخدمين حاليًا خدمات VPN، مما قد يخفي موقعهم الفعلي. يجب مراعاة هذا الأمر عند إعداد قواعد المراقبة، لأن استخدام VPN يمكن أن يؤثر على دقة تقييمات السفر المستحيل أو تحديد المواقع الجغرافية.

عادةً لا يقوم المستخدم العادي بنسخ أو نقل الملفات بشكل متكرر على النظام. أي نسخ زائد للملفات قد يُعزى إلى محاولة مهاجم إلحاق الضرر بالمؤسسة. وقد يكون أخطر، حيث قد يعني أن شخصًا تمكن من الوصول إلى شبكتك بطريقة غير قانونية ويرغب في سرقة معلومات سرية. من الممكن أيضًا أن يكون موظفًا يتطلع لبيع معلومات الشركة، أو ربما يرغب فقط في أخذ بعض الملفات إلى المنزل لقضاء عطلة نهاية الأسبوع.

يمكن أن يتسبب هجوم DDoS (الحرمان من الخدمة) في أضرار جسيمة لشركة أو مؤسسة. لا يمكن لهجوم DDoS أن يؤدي إلى إيقاف تشغيل موقع ويب فقط، بل يمكنه أيضًا إضعاف النظام. مع وجود قواعد ارتباط مناسبة، يجب أن يقوم SIEM بإطلاق تنبيه في بداية الهجوم حتى تتمكن الشركة من اتخاذ التدابير الاحترازية اللازمة لحماية الأنظمة الحيوية.

مراقبة سلامة الملفات والتغييرات (FIM) عملية تتعلق بمراقبة الملفات الموجودة على نظامك. أي تغييرات غير متوقعة في ملفات النظام تؤدي إلى إرسال تنبيه، حيث تعتبر هذه التغييرات مؤشرًا محتملاً على حدوث هجوم إلكتروني.

تشمل بعض الأمثلة على القواعد المخصصة للتنبيه حول ظروف الحدث قواعد مصادقة المستخدم، والهجمات المكتشفة، وكذلك العدوى التي تم اكتشافها.^[31]

• إدارة حوادث أمن الكمبيوتر
• نموذج جوردون-لوب للاستثمارات في مجال الأمن السيبراني
• مخاطر تكنولوجيا المعلومات
• إدارة السجلات
• كشف الشبكة والاستجابة لها
• تنسيق الأمن والأتمتة والاستجابة

• قواعد الارتباط الأساسية لـ SIEM للإمتثال .

جزء من سلسلة مقالات حول
أمن المعلومات
مفاهيم رئيسة أمن الإنترنت الشبكات الحاسوب الهاتف المحمول المعلومات المركبات حرب رقمية عبر الإنترنت حرب المعلومات جريمة رقمية عبر الإنترنت تجارة الجنس احتيال بواسطة الحاسوب إرهاب رقمي عبر الإنترنت إدارة الحقوق الرقمية
التهديدات باب خلفي في العتاد [الإنجليزية]‏ التهديد المستمر المتقدم [الإنجليزية]‏ تنفيذ النصوص البرمجية العشوائي [الإنجليزية]‏ حقن النصوص البرمجية للغة الاستعلامات المهيكلة سرقة العملات المعماة نقطة ضعف هندسة اجتماعية متعدد الأشكال [الإنجليزية]‏ خرق البيانات هجمات الحرمان من الخدمات تصيد احتيالي التنصت برمجية إعلانات برمجية إجرامية برمجية خبيثة أدوات التأصيل حصان طروادة في العتاد [الإنجليزية]‏ الفيروسات راصد لوحة مفاتيح دودة حاسوبية برمجية ابتزاز برمجية استغلال برمجية تخويف تصعيد الصلاحيات برمجية تجسس برمجية الأمن الاحتيالية البرمجة العابرة للمواقع حمولة شبكة البوتات استخلاص البيانات البريد الإلكتروني الانتحال الاحتيال الرسائل المزعجة هجمات قنابل منطقية زمنية [الإنجليزية]‏ تضاعف [الإنجليزية]‏ مضغوطة الأخطاء البرمجية حاسوب مخترق نص واجهة الأوامر البرمجي واجهة أوامر الويب [الإنجليزية]‏ تشويش (برمجة)
الحماية تنزيل غير مصرح به أداة مساعدة المتصفح [الإنجليزية] أمن التطبيقات الكتابة الآمنة للنصوص البرمجية [الإنجليزية]‏ آمن افتراضياً [الإنجليزية] تصميم آمن حالة الاستخدام العكسية [الإنجليزية]‏ التحكم بالوصول التحكم بالوصول إلى الحاسوب المصادقة ثنائية العوامل [الفرنسية]‏ متعددة العوامل تفويض برمجيات أمن الحاسوب مضاد فيروسات نظام تشغيل موجه أمنياً [الإنجليزية]‏ الأمن المرتكز على البيانات [الإنجليزية]‏ إخفاء النص البرمجي [الإنجليزية] تقنيع البيانات [الإنجليزية]‏ التعمية جدار حماية نظام منع التسلل نظام كشف التسلل المُرتكِز على المُضيف [الإنجليزية]‏ (HIDS) اكتشاف الشذوذ إدارة المعلومات والأحداث الأمنية (SIEM) بوابة الهاتف المحمول الآمنة [الإنجليزية] حماية التطبيق الذاتية في زمن التشغيل [الإنجليزية]‏ الحماية من النسخ
بوابة أمن المعلومات
ع ن ت