اعرف متى يتغيّر ملف أو مجلد أو إذن مقارنةً بخط أساس تحدده — بما في ذلك التغيير الجماعي الذي يهم كحدث واحد أكثر منه كآلاف الأسطر.
بعض المخاطر تكمن في تغيّر البيانات بينما تبقى في مكانها تماماً. ملف إعدادات يُستبدل خارج نافذة التغيير. عقد يُعدَّل بعد اعتماده. مجلد سجلات يُغيَّر في الثالثة فجراً حين لا يعمل أحد. إذن يُوسَّع بهدوء فيصبح مجلد قابلاً للقراءة عبر المؤسسة كلها.
تراقب مراقبة سلامة الملفات المواقع التي تحددها وتُبلغ عن التغيير مقارنةً بخط أساس تضعه. والهدف ليس تسجيل كل شيء — فالسجلات التي لا يقرأها أحد ليست أدلة. الهدف أن يبقى التغيير المتوقع صامتاً وألا يبقى غير المتوقع كذلك، وأن تتمكن عند مراجعة تغيير لاحقاً من رؤية حالة الملف قبله وبعده.
أربع ثغرات لا تسدّها إلا مراقبة التغيير.
توقف الضوابط ما هي مهيأة لإيقافه. ومراقبة التغيير هي كيف تكتشف ما نفذ منها.
من يملك أذونات صحيحة ويعدّل سجلاً لا يُطلق إنذار وصول، لأن لا شيء في الوصول كان خاطئاً.
تعديل آلاف الملفات في دقائق هو حدث واحد مهم، لكن معظم الأدوات تُبلغ عنه كآلاف الأسطر المنفصلة التي لا يقرأها أحد.
معرفة أن ملفاً تغيّر أقل فائدة بكثير من القدرة على رؤية ما كان يتضمنه قبل أن يغيّره أحد.
ستة مجالات للقدرات مبنية على إبقاء الإشارة قابلة للاستخدام.
تحدد أنت الملفات والمجلدات المهمة. ويُقاس كل شيء مقابل تلك الحالة السليمة المعروفة لا مقابل افتراض عام.
المحتوى هو الأوضح، لكن تغيير الأذونات أو النقل الهادئ غالباً ما يكون الإشارة الأكثر دلالة.
لا ينبغي لنافذة نشر أو مهمة مجدولة أن تُنتج إنذارات. وإعلان ما هو روتيني هو ما يُبقي غير المتوقع مرئياً.
حين تتغير ملفات كثيرة معاً، فإن ذلك النمط هو النتيجة. ويُرفع كحدث واحد يصف شكل ما حدث.
يُحتفظ بحالة الملف المراقَب على جانبي التغيير، فيقرأ التحقيق الفرق بدلاً من استنتاجه.
تستمر المراقبة على مضيف دون اتصال صادر، وتتوافق السجلات مركزياً بمجرد عودة الاتصال.
تُكتب نتائج السلامة كأحداث منظمة في السجل نفسه مع قرارات السياسة، فلا يضطر التحقيق إلى ربط نظامين يدوياً.
الإعداد الذي يتغير خارج نافذة التغيير هو غالباً أول علامة مرئية على خطأ أو اختراق.
إعادة كتابة عدد كبير من الملفات في فترة قصيرة لها شكل مميز، ورفعها كحدث واحد هو ما يجعلها ملحوظة.
اتفاقية موقّعة أو سجل معتمد يتغير لاحقاً، مع الاحتفاظ بالحالة السابقة ليكون الفرق قابلاً للإثبات.
يُبلَّغ عن تغيير الأذونات على مجلد حساس بوصفه تغييراً قائماً بذاته، لا كفارق يظهر في الفحص التالي فقط.
نوافذ التغيير المعلنة والأحداث الجماعية المجمَّعة موجودة ليكون ما يصل من إنذارات جديراً بالقراءة. فالسجل غير المقروء ليس دليلاً.
يستطيع التحقيق قراءة ما تغيّر بدلاً من إعادة تركيبه من طابع زمني وبصمة.
تقع أحداث التغيير بجوار قرارات السياسة في السجل نفسه القابل للبحث، فتُقرأ الحادثة كتسلسل واحد.
يواصل المضيف المراقَب دون اتصال صادر التسجيل، ويتوافق مركزياً عند عودة الاتصال.
هذه هي مشكلة التصميم الرئيسية، وتُعالَج بطريقتين: تعلن أنت نوافذ التغيير والعمليات الروتينية، ويُرفع التغيير الجماعي كحدث واحد لا كآلاف.
يحتفظ بالحالة السابقة لملف وضعته صراحةً تحت المراقبة، للمدة التي تحددها، ليمكن فحص التغيير. ولا يُحتفظ بأي شيء خارج المواقع التي حددتها.
تستمر المراقبة محلياً وتتوافق السجلات مع العرض المركزي بمجرد توفر اتصال مرة أخرى.
كلاهما. تُبلَّغ تغييرات الأذونات والملكية بوصفها تغييرات قائمة بذاتها، وهي غالباً الإشارة الأكثر دلالة.
تتعامل الثلاثة الأخرى مع البيانات المتحركة. ويتعامل هذا مع البيانات المتغيرة في مكانها. وتكتب الأربعة جميعها في سجل الأحداث نفسه، فيغطي التحقيق الأمرين دون ربط أنظمة يدوياً.
صُمّمت المنتجات الأربعة لتسليم العمل فيما بينها. وكل منها أقوى بفضل ما تنتجه البقية.
اعثر على البيانات الحساسة عبر المجلدات المشتركة ونقاط النهاية وصناديق البريد والمخازن السحابية التي تحددها — واعرف من يستطيع الوصول إليها حالياً.
اعرف المزيد ←طبّق فئات مؤسستك الخاصة على البيانات التي عثر عليها الاكتشاف — تلقائياً حين يكون التطابق واضحاً، وبمراجعة بشرية حين لا يكون كذلك.
اعرف المزيد ←قرّر ما الذي يُسمح بخروجه من البيانات المصنّفة، وتصرّف لحظة المحاولة — على نقطة النهاية وفي البريد والمتصفح والوسائط القابلة للإزالة.
اعرف المزيد ←أسهل تقييم لمراقبة السلامة يكون على موقع تعتبره حساساً بالفعل. أخبرنا بأيها وسننشئ له خط أساس خلال الجلسة.
