السجلات التي ستتمنى لو احتفظت بها

كل حادثة تبدأ بالسؤال نفسه: ماذا حدث، ومنذ متى؟ بدون سجلات، الإجابة الصادقة «لا نعرف»، وهي أسوأ إجابة تقولها لعميل.

احتفظ على الأقل بهذه:

• محاولات الدخول: الناجحة والفاشلة، مع العنوان والوقت، للبريد والـVPN ولوحات الإدارة والخوادم.
• إجراءات المديرين: من أنشأ مستخدمين، وغيّر صلاحيات، وحذف بيانات.
• سجلات خادم الويب والجدار الناري لكل ما يواجه الإنترنت.
• سجلات التدقيق السحابية. معظم المزوّدين يقدمونها، وبعضها مغلق افتراضيًا.

ثلاث قواعد:

1. أرسلها إلى مكان آخر. المهاجم على الخادم يستطيع حذف السجلات المحلية.
2. احتفظ بها مدة كافية. الاختراقات تُكتشف غالبًا بعد شهور. 90 يومًا حد أدنى، وسنة أفضل.
3. زامن الساعات. سجلات بأوقات خاطئة لا يمكن ربطها ببعضها.

لا تحتاج قراءتها كل يوم. فقط نبّه على أشياء قليلة: محاولات دخول فاشلة كثيرة، ومدير جديد، ودخول من بلد جديد.