عرض مصدر إدارة المعلومات والأحداث الأمنية

{{مقالة غير مراجعة|تاريخ =أكتوبر 2024}}
'''حلول إدارة المعلومات والأحداث الأمنية (سيم سليوشن-SIEM)''' أداة برمجية تجمع البيانات والتنبيهات الأمنية من أنظمة مختلفة لتمكين تحليلها في الوقت الفعلي لضمان [[أمن الحاسوب|الأمان]] مما يسمح للمؤسسات بتلبية متطلبات الامتثال والحماية من التهديدات، تشكل أنظمة SIEM عنصرًا أساسيًا في تشغيل [[مركز العمليات الأمنية|مراكز العمليات الأمنية]] (SOCs)، وهي تجمع بين [[إدارة المعلومات الأمنية|إدارة معلومات الأمان]] (SIM) [[إدارة الأحداث الأمنية|وإدارة الأحداث الأمنية]] (SEM) .<ref name="WIS_1">{{استشهاد بويب|عنوان=What is SIEM|مسار= https://www.ibm.com/topics/siem|ناشر=[[آي بي إم]]|تاريخ الوصول=25 January 2024|تاريخ=2024|مسار أرشيف= http://web.archive.org/web/20241119132429/https://www.ibm.com/topics/siem|تاريخ أرشيف=2024-11-19}}</ref><ref name="GSF_1">{{استشهاد بويب|عنوان=Guide for Security-Focused Configuration Management of Information Systems|مسار= https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-128.pdf|ناشر=[[المعهد الوطني للمعايير والتقانة]]|تاريخ الوصول=23 January 2024|تاريخ=10 October 2019|مؤلف=Johnson|الأول=Arnold|مؤلف2=Dempsey|مؤلف3=Ross|مؤلف4=Gupta|مؤلف5=Bailey|الأول2=Kelley|الأول3=Ron|الأول4=Sarbari|الأول5=Dennis|s2cid=63907907|دوي=10.6028/nist.sp.800-128|مسار أرشيف= http://web.archive.org/web/20241127185857/https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-128.pdf|تاريخ أرشيف=2024-11-27}}</ref>
يمكن استخدام أدوات SIEM على شكل برامج، أجهزة، أو خدمات مُدارة. [1] تقوم أنظمة SIEM بتسجيل الأحداث الأمنية وإعداد التقارير للامتثال للأطر التنظيمية، مثل [[قانون نقل التأمين الصحي والمساءلة]] (HIPAA) [[معيار أمان بيانات بطاقات الدفع|ومعيار أمان بيانات بطاقات الدفع]] (PCI DSS). يتيح دمج وظائف إدارة معلومات الأمان (SIM) ومراقبة الأحداث الأمنية (SEM) في SIEM للمؤسسات مراقبة الأحداث الأمنية بشكل مركزي والاستجابة للتهديدات في الوقت الفعلي.
ظهر مصطلح SIEM لأول مرة في عام 2005 على يد المحللين مارك نيكوليت وأمريت ويليامز من [[شركة Gartner|شركة Gartner،]] وتطور لاحقًا ليشمل ميزات متقدمة مثل استخبارات التهديدات والتحليلات السلوكية. تُمكِّن هذه الميزات حلول SIEM من التعامل مع التهديدات السيبرانية المعقدة، بما في ذلك الثغرات غير المكتشفة و<nowiki/>[[برمجية خبيثة|البرمجيات الضارة]] متعددة الأشكال.
في الآونة الأخيرة، تم دمج SIEM بشكل متزايد في مبادرات الأمن السيبراني الوطنية. على سبيل المثال، يوجه الأمر التنفيذي رقم 14028، الذي وقعه الرئيس الأمريكي جوزيف بايدن في عام 2021، نحو اعتماد تقنيات SIEM لتعزيز اكتشاف الحوادث والإبلاغ عنها ضمن الأنظمة الفيدرالية. ويُدعم الامتثال لهذه المتطلبات عبر أطر مثل NIST SP 800-92، التي توضح أفضل الممارسات لإدارة سجلات أمن المعلومات.<ref name="WIS_1" />
== تاريخ ==
في البداية، كان يتم استخدام تسجيل النظام بشكل أساسي لاستكشاف الأخطاء وإصلاحها. ومع ذلك، مع تزايد تعقيد أنظمة التشغيل والشبكات، ازدادت أيضًا عملية إنشاء سجلات النظام. أصبحت مراقبة سجلات النظام أيضًا شائعة بشكل متزايد بسبب ارتفاع عدد [[هجوم سيبراني|الهجمات الإلكترونية]] المعقدة والحاجة إلى الامتثال للأطر التنظيمية، التي تفرض ضوابط أمان التسجيل ضمن أطر إدارة المخاطر (RMF).
منذ أواخر سبعينيات القرن العشرين، بدأت فرق العمل بوضع معايير لإدارة برامج التدقيق والمراقبة، مما مهد الطريق لممارسات الأمن السيبراني الحديثة مثل اكتشاف التهديدات الداخلية والاستجابة للحوادث. وكان من أبرز الإصدارات في تلك الفترة المنشور الخاص رقم 500-19 الصادر عن المعهد الوطني للمعايير والتكنولوجيا (NIST).<ref name="WIS_1" />
في عام 2005، تم تقديم مصطلح "SIEM" (إدارة المعلومات الأمنية والأحداث) من قبل المحللين في شركة Gartner مارك نيكوليت وأمريت ويليامز. توفر أنظمة SIEM واجهة واحدة لجمع بيانات الأمان من أنظمة المعلومات وتقديمها كمعلومات استخباراتية قابلة للتنفيذ.<ref>
{{استشهاد بويب|عنوان=Improve IT Security With Vulnerability Management|مسار= https://www.gartner.com/doc/480703/improve-it-security-vulnerability-management|تاريخ الوصول=2016-04-09|تاريخ=2005-05-02|مؤلف=Williams|الأول=Amrit|اقتباس=Security information and event management (SIEM)|مسار أرشيف= https://archive.today/20160521181708/https://www.gartner.com/doc/480703/improve-it-security-vulnerability-management|تاريخ أرشيف=2016-05-21}}
</ref> يقدم [[المعهد الوطني للمعايير والتقانة|المعهد الوطني للمعايير والتكنولوجيا]] التعريف التالي لـ SIEM: "تطبيق يوفر القدرة على جمع بيانات الأمان من مكونات نظام المعلومات وتقديم تلك البيانات كمعلومات قابلة للتنفيذ عبر واجهة واحدة." <ref name="مولد تلقائيا1">{{استشهاد بويب|عنوان=Guide for Security-Focused Configuration Management of Information Systems|مسار= https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-128.pdf|ناشر=[[المعهد الوطني للمعايير والتقانة]]|تاريخ الوصول=23 January 2024|تاريخ=10 October 2019|مؤلف=Johnson|الأول=Arnold|مؤلف2=Dempsey|مؤلف3=Ross|مؤلف4=Gupta|مؤلف5=Bailey|الأول2=Kelley|الأول3=Ron|الأول4=Sarbari|الأول5=Dennis|s2cid=63907907|دوي=10.6028/nist.sp.800-128|مسار أرشيف= http://web.archive.org/web/20241127185857/https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-128.pdf|تاريخ أرشيف=2024-11-27}}<cite class="citation web cs1" data-ve-ignore="true" id="CITEREFJohnsonDempseyRossGupta2019">Johnson, Arnold; Dempsey, Kelley; Ross, Ron; Gupta, Sarbari; Bailey, Dennis (10 October 2019). [https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-128.pdf "Guide for Security-Focused Configuration Management of Information Systems"] <span class="cs1-format">(PDF)</span>. [[المعهد الوطني للمعايير والتقانة|National Institute of Standards and Technology]]. [[معرف الغرض الرقمي|doi]]:[[doi:10.6028/nist.sp.800-128|10.6028/nist.sp.800-128]]. [[سيمانتك سكولر|S2CID]]&nbsp;[https://api.semanticscholar.org/CorpusID:63907907 63907907]<span class="reference-accessdate">. Retrieved <span class="nowrap">23 January</span> 2024</span>.</cite></ref> بالإضافة إلى ذلك، صمم المعهد الوطني للمعايير والتكنولوجيا ونفذ إطار عمل إدارة المخاطر الفيدرالي.
مع تبني إطار عمل إدارة المخاطر عالميًا، أصبح التدقيق والمراقبة عنصرين أساسيين لضمان أمن المعلومات. يعتمد متخصصو الأمن السيبراني الآن على تسجيل البيانات لتنفيذ وظائف الأمان في الوقت الفعلي، بفضل نماذج الحوكمة التي تدمج هذه العمليات في التحليلات. ومع تطور ضمان المعلومات من أواخر التسعينيات إلى أوائل القرن الحادي والعشرين، برزت الحاجة إلى مركزية سجلات النظام. تسهّل إدارة السجلات المركزية الإشراف والتنسيق عبر الأنظمة المرتبطة بالشبكة بشكل أكثر كفاءة.
في 17 مايو 2021، وقع الرئيس الأمريكي جوزيف بايدن الأمر التنفيذي رقم 14028، بعنوان "تحسين الأمن السيبراني في البلاد"، الذي أقر متطلبات إضافية للتسجيل، بما في ذلك تسجيل التدقيق وحماية نقاط النهاية، لتعزيز قدرات الاستجابة للحوادث.<ref name="WIS_1" /> جاء هذا القرار استجابة لتزايد هجمات [[برنامج الفدية خدمة|برامج الفدية]] التي تستهدف البنية التحتية الحيوية. يهدف الأمر إلى تعزيز ضوابط ضمان المعلومات ضمن مؤسسات إدارة المخاطر، مع التركيز على تعزيز الامتثال وتأمين التمويل لمبادرات الأمن السيبراني.
== ضمان المعلومات ==
تم نشر دليل NIST SP 800-92 لإدارة سجلات أمان الكمبيوتر في سبتمبر 2006، وهو بمثابة وثيقة أساسية ضمن إطار إدارة المخاطر NIST لتوجيه ما يجب أن يكون قابلاً للتدقيق. وكما يشير غياب مصطلح "SIEM"، فقد تم إصدار الوثيقة قبل التبني الواسع النطاق لتقنيات SIEM.<ref name="GCLM_1">{{استشهاد بويب|عنوان=Guide to Computer Security Log Management|مسار= https://csrc.nist.gov/pubs/sp/800/92/final|ناشر=[[المعهد الوطني للمعايير والتقانة]]|تاريخ الوصول=24 January 2024|تاريخ=13 September 2006|مؤلف=Kent|الأول=Karen|مؤلف2=Souppaya|الأول2=Murugiah|s2cid=221183642|دوي=10.6028/NIST.SP.800-92|مسار أرشيف= http://web.archive.org/web/20241202043258/https://csrc.nist.gov/pubs/sp/800/92/final|تاريخ أرشيف=2024-12-02}}</ref><ref name="Computer Security Division">{{استشهاد بويب|عنوان=NIST Risk Management Framework|مسار= https://csrc.nist.gov/Projects/Risk-Management|ناشر=[[المعهد الوطني للمعايير والتقانة]]|تاريخ الوصول=25 January 2024|تاريخ=7 November 2024|مسار أرشيف= http://web.archive.org/web/20241203222252/https://csrc.nist.gov/Projects/risk-management/|تاريخ أرشيف=2024-12-03}}</ref> ورغم أن الدليل ليس شاملاً بسبب التغيرات السريعة في التكنولوجيا منذ نشره، فإنه يظل ذا أهمية من خلال توقع نمو الصناعة. لا يعد المعهد الوطني للمعايير والتكنولوجيا المصدر الوحيد للتوجيه بشأن الآليات التنظيمية للتدقيق والمراقبة، ويتم تشجيع العديد من المنظمات على اعتماد حلول SIEM بدلاً من الاعتماد فقط على عمليات التحقق القائمة على المضيف.
تشير العديد من اللوائح والمعايير إلى إرشادات التسجيل الخاصة بالمعهد الوطني للمعايير والتكنولوجيا، بما في ذلك قانون إدارة أمن المعلومات الفيدرالي (FISMA)، <ref>{{استشهاد بويب|عنوان=NIST Risk Management Framework {{!}} CSRC {{!}} CSRC|مسار= https://csrc.nist.gov/Projects/Risk-Management|تاريخ الوصول=2021-07-23|صحيفة=CSRC {{!}} NIST|تاريخ=2016-11-30|مؤلف=Computer Security Division|الأول=Information Technology Laboratory|لغة=EN-US|مسار أرشيف= http://web.archive.org/web/20241203222252/https://csrc.nist.gov/Projects/risk-management/|تاريخ أرشيف=2024-12-03}}</ref> وقانون جرام-ليتش-بليلي (GLBA)، <ref>{{استشهاد بويب|عنوان=Understanding the NIST cybersecurity framework|مسار= https://www.ftc.gov/tips-advice/business-center/small-businesses/cybersecurity/nist-framework|تاريخ الوصول=2021-07-23|صحيفة=Federal Trade Commission|تاريخ=2018-10-05|لغة=en|مسار أرشيف= http://web.archive.org/web/20220308062041/https://www.ftc.gov/tips-advice/business-center/small-businesses/cybersecurity/nist-framework|تاريخ أرشيف=2022-03-08}}</ref> وقانون قابلية نقل التأمين الصحي والمساءلة (HIPAA)، <ref>{{استشهاد بويب|عنوان=Summary of the HIPAA Security Rule|مسار= https://www.hhs.gov/hipaa/for-professionals/security/laws-regulations/index.html|تاريخ الوصول=2021-07-23|صحيفة=HHS.gov|تاريخ=2009-11-20|مؤلف=Rights (OCR)|الأول=Office for Civil|لغة=en|مسار أرشيف= http://web.archive.org/web/20241201050326/https://www.hhs.gov/hipaa/for-professionals/security/laws-regulations/index.html|تاريخ أرشيف=2024-12-01}}</ref> وقانون ساربينز أوكسلي (SOX) لعام 2002، <ref>{{استشهاد بدورية محكمة|عنوان=The Role of Information Security in Sarbanes-Oxley Compliance|صحيفة=Issues in Information Systems|تاريخ=2005|issn=1529-7314|دوي=10.48009/2_iis_2005_124-130|doi-access=free}}</ref> ومعيار أمان بيانات صناعة بطاقات الدفع (PCI DSS)، <ref>{{استشهاد بويب|عنوان=Mapping PCI DSS v3_2_1 to the NIST Cybersecurity Framework v1_1|مسار= https://www.pcisecuritystandards.org/pdfs/Mapping-PCI-DSS-to-NIST-Framework.pdf?agreement=true&time=1627059974846|تاريخ=July 2019|مسار أرشيف= http://web.archive.org/web/20220304065804/https://www.pcisecuritystandards.org/pdfs/Mapping-PCI-DSS-to-NIST-Framework.pdf?agreement=true&time=1627059974846|تاريخ أرشيف=2022-03-04}}</ref> وISO 27001.<ref>{{استشهاد بويب|عنوان=NIST SP 800-53, Revision 5 Control Mappings to ISO/IEC 27001|مسار= https://csrc.nist.gov/CSRC/media/Publications/sp/800-53/rev-5/final/documents/sp800-53r5-to-iso-27001-mapping.docx|تاريخ=10 December 2020|مسار أرشيف= http://web.archive.org/web/20230316154734/https://csrc.nist.gov/CSRC/media/Publications/sp/800-53/rev-5/final/documents/sp800-53r5-to-iso-27001-mapping.docx|تاريخ أرشيف=2023-03-16}}</ref> غالبًا ما تشير المؤسسات العامة والخاصة إلى مستندات NIST في سياساتها الأمنية.
يُعد NIST SP 800-53 AU-2 Event Monitoring عنصر تحكم أمني أساسي يدعم تدقيق النظام ويضمن المراقبة المستمرة لعمليات ضمان المعلومات والأمن السيبراني. غالبًا ما تُستخدم حلول SIEM كأدوات مركزية لتحقيق هذه الأهداف. تحتوي الأنظمة الفيدرالية، المصنفة وفقًا لتأثيرها على السرية والنزاهة والتوافر (CIA)، على خمسة متطلبات تسجيل محددة (AU-2 ae) يجب الالتزام بها.<ref name="RM_12">{{استشهاد بويب|doi=10.6028/nist.sp.800-37r2|تاريخ=December 2018|تاريخ الوصول=24 January 2024|عنوان=Risk Management Framework for Information Systems and Organizations|مسار= https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-37r2.pdf|ناشر=[[المعهد الوطني للمعايير والتقانة]]|مسار أرشيف= http://web.archive.org/web/20241201163212/https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-37r2.pdf|تاريخ أرشيف=2024-12-01}}</ref> ورغم أن تسجيل جميع الإجراءات ممكن، إلا أن ذلك غير مستحسن عمومًا بسبب الحجم الكبير للسجلات وصعوبة استخراج بيانات أمان قابلة للتنفيذ. يوفر التحكم AU-2 الأساس لبناء استراتيجية تسجيل متوافقة مع عناصر التحكم الأخرى.
تسلط معيار NIST SP 800-53 SI-4 لمراقبة النظام الضوء على متطلبات أنظمة المراقبة، بما في ذلك اكتشاف الوصول غير المصرح به وتتبع الشذوذ والبرامج الضارة والهجمات المحتملة. تحدد عناصر التحكم الأمنية هذه متطلبات الأجهزة والبرامج اللازمة للكشف عن الأنشطة المشبوهة.<ref name=":1">{{استشهاد بويب|عنوان=Release Search - NIST Risk Management Framework {{!}} CSRC {{!}} CSRC|مسار= https://csrc.nist.gov/Projects/risk-management/sp800-53-controls/release-search|تاريخ الوصول=2021-07-19|صحيفة=CSRC {{!}} NIST|تاريخ=2016-11-30|مؤلف=Computer Security Division|الأول=Information Technology Laboratory|لغة=EN-US|مسار أرشيف= http://web.archive.org/web/20230706221856/https://csrc.nist.gov/projects/risk-management/sp800-53-controls/release-search|تاريخ أرشيف=2023-07-06}}</ref> وعلى نحو مماثل، يؤكد معيار NIST SP 800-53 RA-10 Threat Hunting، الذي تمت إضافته في المراجعة 5، على الدفاع الاستباقي عن الشبكة من خلال تحديد التهديدات التي تتجنب الضوابط التقليدية. تلعب حلول SIEM دورًا حاسمًا في تجميع معلومات الأمان لفرق البحث عن التهديدات.<ref name="SPC_1">{{استشهاد بويب|عنوان=Security and Privacy Controls for Information Systems and Organizations|مسار= https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r5.pdf|ناشر=[[المعهد الوطني للمعايير والتقانة]]|تاريخ الوصول=24 January 2024|تاريخ=12 October 2020|دوي=10.6028/NIST.SP.800-53r5|مسار أرشيف= https://archive.today/20201104193754/https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r5.pdf|تاريخ أرشيف=2020-11-04}}</ref>
معًا، يُظهر AU-2 وSI-4 وRA-10 كيفية تكامل عناصر التحكم الخاصة بـ NIST في استراتيجية أمنية شاملة. تساعد هذه العناصر، المدعومة بحلول SIEM، في ضمان المراقبة المستمرة، وتقييم المخاطر، وتوفير آليات دفاع متعمقة عبر الشبكات الفيدرالية والخاصة.<ref name="SPC_12">{{استشهاد بويب|doi=10.6028/NIST.SP.800-53r5|تاريخ=12 October 2020|تاريخ الوصول=24 January 2024|عنوان=Security and Privacy Controls for Information Systems and Organizations|مسار= https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r5.pdf|ناشر=[[المعهد الوطني للمعايير والتقانة]]|مسار أرشيف= https://archive.today/20201104193754/https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r5.pdf|تاريخ أرشيف=2020-11-04}}</ref>
== مصطلحات ==
في بعض الأحيان، يتم استخدام الاختصارات ''SEM'' و ''SIM'' و ''SIEM'' بالتبادل، <ref name="Generic">{{استشهاد بويب|عنوان=A Practical Application of SIM/SEM/SIEM, Automating Threat Identification|مسار= http://www.sans.org/reading-room/whitepapers/logging/practical-application-sim-sem-siem-automating-threat-identification-1781|تاريخ الوصول=14 May 2014|صحيفة=SANS Institute|تاريخ=26 December 2006|مؤلف=Swift|الأول=David|صيغة=PDF|صفحة=3|اقتباس=...the acronym SIEM will be used generically to refer...|مسار أرشيف= http://web.archive.org/web/20210415153304/https://www.sans.org/reading-room/whitepapers/logging/practical-application-sim-sem-siem-automating-threat-identification-1781|تاريخ أرشيف=2021-04-15}}</ref> ولكنها تشير عمومًا إلى التركيز الأساسي المختلف للمنتجات:
* ''إدارة السجلات'' : التركيز على التجميع البسيط وتخزين [[مسجل بيانات|رسائل السجلات]] [[سجل المراجعة|ومسارات التدقيق]] .<ref name="مولد تلقائيا2">{{استشهاد بويب|عنوان=Guide to Computer Security Log Management|مسار= https://csrc.nist.gov/pubs/sp/800/92/final|ناشر=[[المعهد الوطني للمعايير والتقانة]]|تاريخ الوصول=24 January 2024|تاريخ=13 September 2006|مؤلف=Kent|الأول=Karen|مؤلف2=Souppaya|الأول2=Murugiah|s2cid=221183642|دوي=10.6028/NIST.SP.800-92|مسار أرشيف= http://web.archive.org/web/20241202043258/https://csrc.nist.gov/pubs/sp/800/92/final|تاريخ أرشيف=2024-12-02}}<cite class="citation web cs1" data-ve-ignore="true" id="CITEREFKentSouppaya2006">Kent, Karen; Souppaya, Murugiah (13 September 2006). [https://csrc.nist.gov/pubs/sp/800/92/final "Guide to Computer Security Log Management"]. [[المعهد الوطني للمعايير والتقانة|National Institute of Standards and Technology]]. [[معرف الغرض الرقمي|doi]]:[[doi:10.6028/NIST.SP.800-92|10.6028/NIST.SP.800-92]]. [[سيمانتك سكولر|S2CID]]&nbsp;[https://api.semanticscholar.org/CorpusID:221183642 221183642]<span class="reference-accessdate">. Retrieved <span class="nowrap">24 January</span> 2024</span>.</cite></ref>
* ''إدارة معلومات الأمان'' ( SIM ): التخزين طويل الأمد بالإضافة إلى تحليل بيانات السجل وإعداد التقارير عنها.<ref name="r1">{{استشهاد بويب|عنوان=The difference between SEM, SIM and SIEM|مسار= http://www.gmdit.com/NewsView.aspx?ID=9IfB2Axzeew=|تاريخ=29 March 2010|مؤلف=Jamil, Amir|مسار أرشيف= http://web.archive.org/web/20220121055231/https://www.gmdit.com/NewsView.aspx?ID=9IfB2Axzeew=|تاريخ أرشيف=2022-01-21}}</ref>
* ''مدير الأحداث الأمنية'' ( SEM ): مراقبة في الوقت الفعلي، وربط الأحداث، والإشعارات، وعروض وحدة التحكم.
* ''إدارة معلومات الأمان والأحداث'' (SIEM): تجمع بين SIM وSEM وتوفر تحليلاً في الوقت الفعلي للتنبيهات الأمنية التي تولدها أجهزة الشبكة والتطبيقات.<ref name="drdobbs2007">{{استشهاد بويب|عنوان=SIEM: A Market Snapshot|مسار= http://www.drdobbs.com/197002909|ناشر=Dr.Dobb's Journal|تاريخ=5 February 2007|مسار أرشيف= https://archive.today/20130121233013/http://www.drdobbs.com/197002909|تاريخ أرشيف=2013-01-21}}</ref>{{بحاجة لمصدر|سبب=blog|تاريخ=January 2024}}</link><sup class="noprint Inline-Template Template-Fact" style="white-space:nowrap;">&#x5B; ''[[ويكيبيديا:بحاجة لمصدر|<span title="blog (January 2024)">بحاجة لمصدر</span>]]'' &#x5D;</sup>
* ''خدمة الأمان المُدارة:'' ( MSS ) أو ''موفر خدمة الأمان المُدارة:'' (MSSP): يبدو أن الخدمات المُدارة الأكثر شيوعًا تتطور حول الاتصال وعرض النطاق الترددي ومراقبة الشبكة والأمان [[محاكاة افتراضية|والافتراض]] واسترداد البيانات بعد الكوارث.
* ''الأمان كخدمة ( SECaaS )'' : غالبًا ما تتضمن خدمات الأمان هذه [[مصادقة (حوسبة)|المصادقة]] [[مضاد فيروسات (برمجة)|ومكافحة الفيروسات]] [[مضاد فيروسات (برمجة)|ومكافحة البرامج الضارة]] /برامج التجسس [[نظام كشف التسلل|واكتشاف التطفل]] واختبار الاختراق وإدارة الأحداث الأمنية، من بين أمور أخرى.
عمليًا، تحتوي العديد من المنتجات في هذا المجال على مزيج من هذه الوظائف، مما يؤدي غالبًا إلى بعض التداخل، بالإضافة إلى قيام العديد من البائعين التجاريين بالترويج لمصطلحاتهم الخاصة.<ref>{{استشهاد بدورية محكمة|الأخير1=Bhatt|الأول1=S.|تاريخ=2014|المجلد=12|العدد=5|صفحات=35–41|الأخير2=Manadhata|الأخير3=Zomlot|الأول2=P.K.|الأول3=L.|s2cid=16419710|doi=10.1109/MSP.2014.103|صحيفة=IEEE Security & Privacy|عنوان=The Operational Role of Security Information and Event Management Systems|مسار= https://ieeexplore.ieee.org/document/6924640|مسار أرشيف= http://web.archive.org/web/20241202044820/https://ieeexplore.ieee.org/document/6924640|تاريخ أرشيف=2024-12-02}}</ref> غالبًا ما يقدم البائعون مجموعات متنوعة من هذه الوظائف بهدف تحسين أداء SIEM بشكل عام. لا توفر إدارة السجلات وحدها رؤى فورية حول أمان الشبكة، كما أن SEM بمفرده لا يقدم بيانات شاملة لتحليل التهديدات بعمق. ولكن عند دمج SEM مع إدارة السجلات، يحصل SIEM على معلومات أكثر شمولاً للمراقبة والتحليل.
يركز SIEM بشكل أساسي على مراقبة وإدارة امتيازات المستخدمين والخدمات، وخدمات الدليل، وتغييرات تكوين النظام. كما يشمل توفير تدقيق السجلات، وإجراء المراجعات، والاستجابة للحوادث.<ref name="r12">{{استشهاد بويب|تاريخ=29 March 2010|عنوان=The difference between SEM, SIM and SIEM|مسار= http://www.gmdit.com/NewsView.aspx?ID=9IfB2Axzeew=|مؤلف=Jamil, Amir|مسار أرشيف= http://web.archive.org/web/20220121055231/https://www.gmdit.com/NewsView.aspx?ID=9IfB2Axzeew=|تاريخ أرشيف=2022-01-21}}</ref>
== القدرات ==
* '''تجميع البيانات:''' تعمل إدارة السجلات على تجميع البيانات من العديد من المصادر، بما في ذلك الشبكات والأمان والخوادم وقواعد البيانات والتطبيقات، مما يوفر القدرة على دمج البيانات التي تتم مراقبتها للمساعدة في تجنب تفويت الأحداث الحاسمة.
* '''الارتباط:''' يبحث عن السمات المشتركة ويربط الأحداث معًا في حزم ذات معنى. توفر هذه التقنية القدرة على إجراء مجموعة متنوعة من تقنيات الارتباط لدمج المصادر المختلفة، من أجل تحويل البيانات إلى معلومات مفيدة. الارتباط هو عادةً وظيفة لجزء إدارة الأحداث الأمنية في حل SIEM الكامل.<ref>[http://securityinformationeventmanagement.com/security-event-management.php Correlation] {{Webarchive|url=https://web.archive.org/web/20141019131638/http://securityinformationeventmanagement.com/security-event-management.php|date=2014-10-19}}</ref>
* '''تنبيه:''' التحليل التلقائي للأحداث المترابطة.
* '''لوحات المعلومات:''' يمكن للأدوات أخذ بيانات الحدث وتحويلها إلى مخططات معلوماتية للمساعدة في رؤية الأنماط أو تحديد النشاط الذي لا يشكل نمطًا قياسيًا.
* '''الامتثال:''' يمكن استخدام التطبيقات لأتمتة جمع بيانات الامتثال، وإنتاج التقارير التي تتكيف مع عمليات الأمن والحوكمة والتدقيق الحالية.<ref name="accelops.net">{{استشهاد بويب|عنوان=Compliance Management and Compliance Automation – How and How Efficient, Part 1|مسار=http://www.accelops.net/blog/?p=149|تاريخ الوصول=2018-05-02|صحيفة=accelops.net|مسار أرشيف=https://web.archive.org/web/20110723002943/http://www.accelops.net/blog/?p=149|تاريخ أرشيف=2011-07-23|حالة المسار=dead}}</ref>
* '''الاحتفاظ:''' استخدام التخزين طويل الأمد للبيانات التاريخية لتسهيل ربط البيانات بمرور الوقت، وتوفير الاحتفاظ اللازم لمتطلبات الامتثال. يعد [[الاحتفاظ بالبيانات|الاحتفاظ ببيانات]] السجل على المدى الطويل أمرًا بالغ الأهمية في التحقيقات الجنائية لأنه من غير المرجح أن يتم اكتشاف خرق الشبكة في وقت حدوث الخرق.<ref>{{استشهاد بويب|عنوان=2018 Data Breach Investigations Report {{!}} Verizon Enterprise Solutions|مسار= http://www.verizonbusiness.com/about/events/2012dbir/|تاريخ الوصول=2018-05-02|صحيفة=Verizon Enterprise Solutions|لغة=en-US|مسار أرشيف= https://archive.today/20130205151804/http://www.verizonbusiness.com/about/events/2012dbir/|تاريخ أرشيف=2013-02-05}}</ref>
* '''التحليل الجنائي:''' القدرة على البحث عبر السجلات الموجودة على عقد مختلفة وفي فترة زمنية مختلفة استنادًا إلى معايير محددة. يخفف هذا من الحاجة إلى تجميع معلومات السجل في رأسك أو الحاجة إلى البحث بين آلاف وآلاف السجلات.<ref name="accelops.net" />
== عناصر ==
[[ملف:Basic_SIEM_Infrastructure.png|تصغير|البنية الأساسية لـ SIEM]]
قد تختلف بنية SIEM حسب البائع؛ ولكنها عمومًا، تتكون من:
* جامع بيانات: يقوم بإعادة توجيه سجلات التدقيق المحددة من المضيف (بث السجلات المستندة إلى الوكيل أو المضيف إلى الفهرس ونقطة التجميع) <ref>{{استشهاد بكتاب|مؤلف=Kotenko|الأول=Igor|عنوان=2012 IEEE International Conference on Green Computing and Communications|تاريخ=November 2012|صفحات=94–101|الفصل=Common Framework for Attack Modeling and Security Evaluation in SIEM Systems|مسار الفصل=https://ieeexplore.ieee.org/document/6468300|مؤلف2=Chechulin|الأول2=Andrey|s2cid=15834187|دوي=10.1109/GreenCom.2012.24|isbn=978-1-4673-5146-1}}</ref><ref name=":4">{{استشهاد بويب|عنوان=Eventlog Key - Win32 apps|مسار= https://docs.microsoft.com/en-us/windows/win32/eventlog/eventlog-key|تاريخ الوصول=2021-07-18|صحيفة=docs.microsoft.com|مؤلف=Karl-Bridge-Microsoft|لغة=en-us|مسار أرشيف= https://archive.today/20220321172707/https://docs.microsoft.com/en-us/windows/win32/eventlog/eventlog-key|تاريخ أرشيف=2022-03-21}}</ref>
* نقطة تجميع: نقطة الاستيعاب والفهرسة للتحليل والارتباط وتطبيع البيانات <ref>{{استشهاد بكتاب|مؤلف=Kotenko|الأول=Igor|عنوان=2012 IEEE International Conference on Green Computing and Communications|تاريخ=November 2012|صفحات=761–766|الفصل=The Ontological Approach for SIEM Data Repository Implementation|مسار الفصل=https://ieeexplore.ieee.org/document/6468405|مؤلف2=Polubelova|مؤلف3=Saenko|الأول2=Olga|الأول3=Igor|s2cid=18920083|دوي=10.1109/GreenCom.2012.125|isbn=978-1-4673-5146-1}}</ref>
* عقدة بحث: تُستخدم للتصور والاستعلامات والتقارير والتنبيهات (يتم إجراء التحليل على عقدة بحث) <ref>{{استشهاد بكتاب|مؤلف=Azodi|الأول=Amir|عنوان=2013 International Conference on Advanced Cloud and Big Data|تاريخ=December 2013|صفحات=69–76|الفصل=Pushing the Limits in Event Normalisation to Improve Attack Detection in IDS/SIEM Systems|مسار الفصل=https://ieeexplore.ieee.org/document/6824575|مؤلف2=Jaeger|مؤلف3=Cheng|مؤلف4=Meinel|الأول2=David|الأول3=Feng|الأول4=Christoph|s2cid=1066886|دوي=10.1109/CBD.2013.27|isbn=978-1-4799-3261-0}}</ref>
تظهر البنية التحتية الأساسية لـ SIEM في الصورة الموجودة على اليمين.
== حالات الاستخدام ==
قام باحث أمن الكمبيوتر كريس كوبيكا بتحديد حالات استخدام SIEM التالية، والتي تم تقديمها في مؤتمر القرصنة 28C3 ( [[مؤتمر كايوس للاتصال|مؤتمر Chaos Communication]] ).<ref>{{استشهاد بويب|عنوان=28c3: Security Log Visualization with a Correlation Engine|مسار=https://www.youtube.com/watch?v=j4pF9VUdphc|تاريخ الوصول=November 4, 2017|صحيفة=[[يوتيوب]]|تاريخ=December 29, 2011|مسار أرشيف=https://web.archive.org/web/20240922015909/https://www.youtube.com/watch?v=j4pF9VUdphc|تاريخ أرشيف=22 سبتمبر 2024|حالة المسار=bot: unknown}}</ref>
* قد تساعد رؤية SIEM واكتشاف الشذوذ في اكتشاف [[هجوم دون انتظار|الأيام الصفرية]] أو [[فيروس حاسوب|الكود المتعدد الأشكال]] . يرجع ذلك في المقام الأول إلى انخفاض معدلات اكتشاف [[مضاد فيروسات (برمجة)|برامج مكافحة الفيروسات]] ضد هذا النوع من البرامج الضارة سريعة التغير.
* يمكن أن تتم عملية التحليل وتطبيع السجل وتصنيفه تلقائيًا، بغض النظر عن نوع الكمبيوتر أو جهاز الشبكة، طالما أنه يمكنه إرسال سجل.
* يمكن أن يساعد التصور باستخدام SIEM باستخدام أحداث الأمان وأخطاء السجل في اكتشاف الأنماط.
* يمكن تحديد تشوهات البروتوكول التي يمكن أن تشير إلى سوء التكوين أو مشكلة أمنية باستخدام SIEM باستخدام اكتشاف الأنماط والتنبيهات والخط الأساسي ولوحات المعلومات.
* يمكن لـ SIEMS اكتشاف الاتصالات السرية والضارة والقنوات المشفرة.
* يمكن اكتشاف [[حرب سيبرانية|الحرب السيبرانية]] بواسطة أنظمة SIEM بدقة، مما يتيح اكتشاف المهاجمين والضحايا على حد سواء.
== أمثلة على قواعد الارتباط ==
قد تحتوي أنظمة SIEM على مئات أو آلاف من قواعد الارتباط، بعضها بسيط والآخر أكثر تعقيدًا. عند تفعيل إحدى هذه القواعد، يمكن للنظام اتخاذ الإجراءات المناسبة للتخفيف من الهجوم السيبراني، مثل إرسال إشعار للمستخدم، وتقييد الوصول، أو حتى إيقاف تشغيل النظام بالكامل.
=== اكتشاف القوة الغاشمة ===
يُعتبر اكتشاف القوة الغاشمة أمرًا بسيطًا نسبيًا، حيث يتعلق بمحاولة تخمين متغير بشكل مستمر. غالبًا ما يشير هذا المصطلح إلى شخص يحاول باستمرار تخمين كلمة المرور الخاصة بك، سواء يدويًا أو باستخدام أداة معينة. لكن يمكن أن يشمل أيضًا محاولات تخمين عناوين URL أو مواقع الملفات المهمة على نظامك.
من السهل اكتشاف القوة الغاشمة الآلية، حيث إن محاولة شخص إدخال كلمة المرور الخاصة به 60 مرة في الدقيقة تعتبر أمرًا غير ممكن. هذه الأنشطة المتكررة تثير الإنذار لدى أنظمة الأمان، مما يجعل من السهل تحديد محاولات الاختراق الآلي.
=== السفر المستحيل ===
عند تسجيل دخول المستخدم إلى النظام، يتم عادةً إنشاء علامة زمنية للحدث. بالإضافة إلى الوقت، قد يسجل النظام معلومات مفيدة أخرى مثل الجهاز المستخدم، والموقع الجغرافي، وعنوان IP، ومحاولات تسجيل الدخول غير الصحيحة. كلما زادت البيانات المجمعة، زادت الفائدة الممكن الحصول عليها. بالنسبة لمراقبة السفر المستحيل، ينظر النظام إلى تاريخ ووقت تسجيل الدخول الحالي والأخير، وكذلك الفرق بين المسافات المسجلة. إذا اعتبر النظام أن السفر غير ممكن، مثل قطع مئات الأميال في دقيقة واحدة، فسيقوم بإطلاق تحذير.
يستخدم العديد من الموظفين والمستخدمين حاليًا خدمات VPN، مما قد يخفي موقعهم الفعلي. يجب مراعاة هذا الأمر عند إعداد قواعد المراقبة، لأن استخدام VPN يمكن أن يؤثر على دقة تقييمات السفر المستحيل أو تحديد المواقع الجغرافية.
=== نسخ الملفات بشكل مفرط ===
عادةً لا يقوم المستخدم العادي بنسخ أو نقل الملفات بشكل متكرر على النظام. أي نسخ زائد للملفات قد يُعزى إلى محاولة مهاجم إلحاق الضرر بالمؤسسة. وقد يكون أخطر، حيث قد يعني أن شخصًا تمكن من الوصول إلى شبكتك بطريقة غير قانونية ويرغب في سرقة معلومات سرية. من الممكن أيضًا أن يكون موظفًا يتطلع لبيع معلومات الشركة، أو ربما يرغب فقط في أخذ بعض الملفات إلى المنزل لقضاء عطلة نهاية الأسبوع.
=== هجوم الحرمان من الخدمة الموزعة ===
يمكن أن يتسبب هجوم DDoS ([[هجمات الحرمان من الخدمات|الحرمان من الخدمة]]) في أضرار جسيمة لشركة أو مؤسسة. لا يمكن لهجوم DDoS أن يؤدي إلى إيقاف تشغيل موقع ويب فقط، بل يمكنه أيضًا إضعاف النظام. مع وجود قواعد ارتباط مناسبة، يجب أن يقوم SIEM بإطلاق تنبيه في بداية الهجوم حتى تتمكن الشركة من اتخاذ التدابير الاحترازية اللازمة لحماية الأنظمة الحيوية.
=== تغيير سلامة الملف ===
مراقبة سلامة الملفات والتغييرات (FIM) عملية تتعلق بمراقبة الملفات الموجودة على نظامك. أي تغييرات غير متوقعة في ملفات النظام تؤدي إلى إرسال تنبيه، حيث تعتبر هذه التغييرات مؤشرًا محتملاً على حدوث هجوم إلكتروني.
== أمثلة تنبيهية ==
تشمل بعض الأمثلة على القواعد المخصصة للتنبيه حول ظروف الحدث قواعد مصادقة المستخدم، والهجمات المكتشفة، وكذلك العدوى التي تم اكتشافها.<ref>{{استشهاد بويب|تاريخ=2010|الأخير=Swift|الأول=David|عنوان=Successful SIEM and Log Management Strategies for Audit and Compliance|مسار= https://www.sans.org/reading-room/whitepapers/auditing/successful-siem-log-management-strategies-audit-compliance-33528|موقع=SANS Institute|مسار أرشيف= http://web.archive.org/web/20201111200417/https://www.sans.org/reading-room/whitepapers/auditing/successful-siem-log-management-strategies-audit-compliance-33528|تاريخ أرشيف=2020-11-11}}</ref>
{| class="wikitable"
!قاعدة
! هدف
! مشغل
! مصادر الحدث
|-
| تكرار الهجوم- مصدر تسجيل الدخول
| تحذير مبكر من هجمات القوة الغاشمة، وتخمين كلمة المرور، والتطبيقات التي تم تكوينها بشكل غير صحيح.
| تنبيه عند حدوث 3 أو أكثر من عمليات تسجيل الدخول الفاشلة في دقيقة واحدة من مضيف واحد.
| Active Directory، وSyslog (مضيفات Unix، والمفاتيح، وأجهزة التوجيه، وVPN)، وRADIUS، وTACACS، والتطبيقات التي تتم مراقبتها.
|-
| تكرار الهجوم-جدار الحماية
| الإنذار المبكر للفحوصات وانتشار الديدان وما إلى ذلك.
| تنبيه بشأن 15 أو أكثر من أحداث إسقاط/رفض/إنكار جدار الحماية من عنوان IP واحد في دقيقة واحدة.
| جدران الحماية وأجهزة التوجيه والمفاتيح.
|-
| تكرار الهجوم - نظام منع اختراق الشبكة
| الإنذار المبكر للفحوصات وانتشار الديدان وما إلى ذلك.
| تنبيه بشأن 7 أو أكثر من تنبيهات IDS من عنوان IP واحد في دقيقة واحدة
| أجهزة الكشف عن اختراقات الشبكة والوقاية منها
|-
| تكرار الهجوم - نظام منع اختراق المضيف
| ابحث عن المضيفين الذين قد يكونون مصابين أو معرضين للخطر<br /><br /><br /><br /><nowiki></br></nowiki> (إظهار سلوكيات العدوى)
| تنبيه بشأن 3 أحداث أو أكثر من عنوان IP واحد في 10 دقائق
| تنبيهات نظام منع اختراق المضيف
|-
| الكشف عن الفيروسات وإزالتها
| تنبيه عند اكتشاف فيروس أو برنامج تجسس أو برامج ضارة أخرى على جهاز مضيف
| تنبيه عندما يرى مضيف واحد قطعة قابلة للتعريف من البرامج الضارة
| مكافحة الفيروسات، HIPS، كاشفات الشذوذ السلوكي في الشبكة/النظام
|-
| تم اكتشاف فيروس أو برنامج تجسس ولكن فشل في التنظيف
| تنبيه عند مرور أكثر من ساعة منذ اكتشاف البرامج الضارة على أحد المصادر، دون إزالة أي فيروس مطابق بنجاح
| تنبيه عند فشل مضيف واحد في تنظيف البرامج الضارة تلقائيًا خلال ساعة واحدة من اكتشافها
| جدار الحماية، نظام منع الوصول غير المصرح به، مكافحة الفيروسات، نظام منع الوصول غير المصرح به، أحداث تسجيل الدخول الفاشلة
|}
== انظر أيضا ==
* [[الحادث الأمني|إدارة حوادث أمن الكمبيوتر]]
* [[نموذج جوردون-لوب]] للاستثمارات في مجال الأمن السيبراني
* [[مخاطر تكنولوجيا المعلومات]]
* [[إدارة السجلات]]
* [[كشف الشبكة والاستجابة لها]]
* [[تنسيق الأمن]] والأتمتة والاستجابة
== مراجع ==
{{مراجع|2}}
== روابط خارجية ==
* [https://utmstack.com/siem-correlation-rules/UTMStack قواعد الارتباط الأساسية لـ SIEM للإمتثال] .
{{أمن المعلومات}}
{{شريط بوابات|أمن المعلومات|علم الحاسوب}}
[[تصنيف:أمن البيانات]]
[[تصنيف:شبكات الحاسوب]]
[[تصنيف:أمن الحاسوب]]
[[تصنيف:أمن الإنترنت]]