الخادم غير المراقب ليس خادمًا آمنًا: فبدون جمع السجلات وتحليلها قد تمر محاولة اختراق أو عطل أسابيع دون أن يلاحظها أحد. يوضح هذا الدليل منهجية الأمن السيبراني والمراقبة التي نطبقها باستخدام Wazuh: التدقيق، ومنصة SIEM، والتنبيهات، والتحصين، والتشغيل اليومي.
1. تحديد نطاق التدقيق
قبل تثبيت أي أداة يجب معرفة ما نحميه: قائمة الخوادم والأجهزة الافتراضية، والخدمات المكشوفة على الإنترنت، والحسابات ذات الامتيازات، وتدفقات الشبكة الصادرة والواردة، والبيانات الحساسة والتزامات الاحتفاظ بها. ويسجل التدقيق أيضًا السجلات المتوفرة حاليًا والناقصة والتحديثات الأمنية المتأخرة. والنتيجة خريطة مخاطر مرتبة حسب الأولوية تُستخدم أساسًا لما يليها.
2. نشر منصة Wazuh
Wazuh نظام SIEM مفتوح المصدر يتكون من خادم إدارة (manager)، ومحرك فهرسة، ولوحة تحكم، ووكيل (agent) يُثبَّت على كل خادم. يطبق خادم الإدارة قواعد الكشف ويجمع الأحداث، ويخزّن محرك الفهرسة الأحداث ويتيح البحث فيها، وتعرض لوحة التحكم حالة الأسطول. تُستضاف المنصة على خادم مخصص، وتعمل الوكلاء على الأنظمة المراقبة، والاتصال مشفّر. وترفع الوكلاء سجلات النظام والمصادقة والويب والتطبيقات.
3. كتابة قواعد مفيدة وتقليل الضجيج
لا قيمة لقاعدة كشف لا تُفهم ولا يمكن التصرف بناءً عليها. فإلى جانب القواعد الجاهزة (فشل المصادقة، ورفع الامتيازات، وتعديل الملفات الحساسة، وأخطاء الخدمات)، يُعاد ضبط فك ترميز السجلات وفق ما يُنتج فعليًا، وتُضاف قواعد مخصصة لخدمات الأسطول. كما تُستثنى الإيجابيات الكاذبة المعروفة؛ فبدون هذا العمل تتحول التنبيهات إلى ضجيج خلفي لا يقرأه أحد.
4. تنظيم التنبيهات والفرز
ليست كل التنبيهات متساوية. تُحدد المستويات والقنوات: توقف خدمة أو نجاح تسجيل دخول من بلد غير متوقع يستدعي إشعارًا فوريًا، بينما تذهب موجة من فشل SSH إلى المراجعة اليومية. ولكل قناة مستلم وزمن استجابة محددان، ولكل تنبيه حرج إجراء معروف. ويسجل جدول مشترك الأحداث المعالجة والقرارات المتخذة.
5. تحصين الخوادم والتحقق
المراقبة لا تعوّض التحصين، بل تقيسه. تُطبق الأساسيات: الوصول إلى SSH بالمفاتيح، وتقييد الحسابات ذات الامتيازات، وجدار ناري بقائمة سماح، ومتابعة التحديثات والتصحيحات، وشهادات TLS صالحة، وإبعاد الأسرار عن السكربتات، ونسخ احتياطية تُختبر باستعادة فعلية. ثم يقدّم Wazuh الدليل على صمود هذه الإجراءات: التحقق من سلامة الملفات، وجرد الحزم، وكشف الخدمات غير المتوقعة.
systemctl status wazuh-agent tail -n 20 /var/ossec/logs/ossec.log
يكفي هذان الأمران للتأكد من أن الوكيل يعمل ويتواصل مع خادم الإدارة.
6. التشغيل وإعداد التقارير
تأتي القيمة من الانتظام: مراجعة أسبوعية للتنبيهات المفتوحة، ومراجعة شهرية للاتجاهات، وتقرير تجميعي (الحوادث، والتصحيحات المطبقة، والنقاط المفتوحة)، وتمرين سنوي للاستجابة للحوادث يعرف فيه كل طرف دوره والمهلة المطلوبة. بعد ذلك تُعدّل القواعد والحدود، وتُوسَّع التغطية لتشمل الخوادم الجديدة.
