سجل أمان ويندوز

سجل الأمان في مايكروسوفت ويندوز، هو سجل يحتوي على أنشطة المُستخدمين (مِن تسجيل الدخول وتسجيل الخروج أو أحداث أخرى متعلقة بالأمان) تحددها سياسة تدقيق النظام. يتيح التدقيق الإمكانية للإداريين تهيئة ويندوز لتسجيل أنشطة تشغيل النظام في السجل الامني. يظهر السجل الامني مع سجلين آخرين في عارض الأحداث . يعد هذا السجل أحد الأدوات الأساسية التي يستخدمها المسؤولون لاكتشاف الأنشطة غير المصرح بها واستكشاف المشكلات وإصلاحها؛ تصفه مايكروسوفت بأنه «أفضل وسيلة دفاع لك» (أي للمُستخدم). يعد السجل وسياسات التدقيق هدف واضح لكشف المُتسللين ومديري الأنظمة المحتالين الذين يسعون إلى تغطية مساراتهم قبل وبعد ارتكاب نشاط غير مصرح به.

أنواع البيانات المسجلة

إذا عُيّن نهج التدقيق لتسجيل عمليات تسجيل الدخول، فسيؤدي تسجيل الدخول الناجح باسم المستخدم المحدد إلى تسجيل اسم المستخدم واسم الحاسب الخاص بالمستخدم بالإضافة إلى اسم المستخدم الذي قاموا بتسجيل الدخول إليه.  اعتمادًا على إصدار ويندوز وطريقة تسجيل الدخول، قد يُسجل او قد لا يُسَّجل عنوان بروتوكول الإنترنت. على سبيل المثال سيرفر الانترنت لويندوز 2000 لا يقوم بتسجيل عناوين بروتوكول الإنترنت لعمليات تسجيل الدخول الناجحة، ولكن ويندوز سيرفر 2003 يتضمن هذه الإمكانية.   فئات الأحداث التي يمكن تسجيلها هي:

• أحداث تسجيل الدخول إلى الحساب
• إدارة الحساب
• الوصول إلى خدمة الدليل
• أحداث تسجيل الدخول
• الوصول إلى الكائنات
• تغيير السياسة
• استخدام الامتياز
• تتبع العملية
• أحداث النظام

يعني العدد الهائل من الأحداث القابلة للتسجيل أن تحليل سجل الأمان يمكن أن يكون مهمة تستغرق وقتًا طويلاً.  تم تطوير مرافق الطرف الثالث للمساعدة في تحديد الاتجاهات المشبوهة. من الممكن أيضًا تصفية السجل باستخدام معايير مخصصة.

الهجمات والتدابير المضادة

يُسمح للمسؤولين بمشاهدة ومسح السجل (لا توجد طريقة لفصل حقوق عرض السجل ومحوه).  بالإضافة إلى ذلك، يمكن للمسؤول استخدام Winzapper لحذف أحداث معينة من السجل. لهذا السبب، بمجرد اختراق حساب المسؤول، لا يمكن الاعتماد على سجل الأحداث كما هو مضمن في سجل الأمان.  الدفاع ضد هذا هو إعداد خادم سجل عن بعد مع إيقاف تشغيل جميع الخدمات، مما يسمح فقط بالوصول إلى وحدة التحكم.

عندما يقترب السجل من الحد الأقصى لحجمه، يمكنه إما الكتابة فوق الأحداث القديمة أو إيقاف تسجيل الأحداث الجديدة. هذا يجعله عرضة للهجمات التي يمكن للمتطفل فيها إغراق السجل عن طريق توليد عدد كبير من الأحداث الجديدة. يتمثل الدفاع الجزئي ضد هذا في زيادة الحد الأقصى لحجم السجل بحيث يتطلب الأمر عددًا أكبر من الأحداث لإغراق السجل. من الممكن ضبط السجل بحيث لا يقوم بالكتابة فوق الأحداث القديمة، ولكن كما يلاحظ كريس بينتون، «المشكلة الوحيدة هي أن سجل الأمان لديها عادة سيئة في الانهيار عندما تمتلئ سجلاتها».

يشير أمان ويندوز المطلق إلى أنه نظرًا لقدرة المسؤولين على التلاعب بسجل الأمان لتغطية النشاط غير المصرح به، وفصل المهام بين العمليات وموظفي تكنولوجيا المعلومات لمراقبة الأمن، جنبًا إلى جنب مع النسخ الاحتياطية المتكررة للسجل إلى خادم يمكن الوصول إليه فقط الأخير، يمكن أن يحسن الأمن.

هناك طريقة أخرى للتغلب على سجل الأمان وهي أن يقوم المستخدم بتسجيل الدخول كمسؤول وتغيير سياسات التدقيق لإيقاف تسجيل النشاط غير المصرح به الذي ينوي القيام به. يمكن تسجيل تغيير السياسة نفسه، اعتمادًا على إعداد «تغيير سياسة التدقيق»، ولكن يمكن حذف هذا الحدث من السجل باستخدام Winzapper ؛ ومن تلك النقطة فصاعدًا، لن يولد النشاط أثرًا في سجل الأمان.

تلاحظ مايكروسوفت أنه «من الممكن اكتشاف محاولات التملص من حل مراقبة الأمان بهذه التقنيات، ولكن من الصعب القيام بذلك لأن العديد من الأحداث نفسها التي يمكن أن تحدث أثناء محاولة تغطية مسارات نشاط تدخلي هي أحداث تحدث بانتظام على أي شبكة أعمال نموذجية».

كما يشير بنتون، فإن إحدى طرق منع الهجمات الناجحة هي الأمن من خلال الغموض. يساعد الحفاظ على سرية الممارسات والأنظمة الأمنية لقسم تكنولوجيا المعلومات في منع المستخدمين من صياغة طرق لتغطية مساراتهم. إذا كان المستخدمون على علم بأن السجل يتم نسخه إلى خادم السجل البعيد عند الساعة 00 من كل ساعة، على سبيل المثال، فقد يتخذون إجراءات لهزيمة هذا النظام من خلال الهجوم على: 10 ثم حذف أحداث السجل ذات الصلة قبل الجزء العلوي من الساعة القادمة.

ليس هناك حاجة للتلاعب في السجل لجميع الهجمات. مجرد إدراك كيفية عمل سجل الأمان يمكن أن يكون كافيًا لاتخاذ الاحتياطات اللازمة ضد الاكتشاف. على سبيل المثال، قد ينتظر المستخدم الذي يرغب في تسجيل الدخول إلى حساب زميل موظف على شبكة شركة حتى بعد ساعات للحصول على وصول مادي غير مراقب إلى جهاز الكمبيوتر في مقصورته؛ استخدام جهاز كيلوجر خلسة للحصول على كلمة المرور الخاصة بهم؛ وبعد ذلك قم بتسجيل الدخول إلى حساب هذا المستخدم من خلال سطح المكتب البعيد من نقطة اتصال واي فاي لا يمكن تتبع عنوان بروتوكول الإنترنت الخاص بها إلى المتسلل.

بعد مسح السجل من خلال عارض الأحداث ، يتم إنشاء إدخال سجل واحد على الفور في السجل الذي تم مسحه حديثًا للإشارة إلى الوقت الذي تم مسحه فيه والمسؤول الذي قام بمحوه. يمكن أن تكون هذه المعلومات نقطة انطلاق في التحقيق في النشاط المشبوه.

بالإضافة إلى سجل أمان ويندوز، يمكن للمسؤولين التحقق من سجل أمان جدار حماية الاتصال بالإنترنت بحثًا عن أدلة.

كتابة أحداث كاذبة في السجل

من الممكن نظريًا كتابة أحداث خاطئة في السجل. تلاحظ مايكروسوفت ، «لتتمكن من الكتابة إلى سجل الأمان، يلزم SeAuditPrivilege. بشكل افتراضي، فقط حسابات النظام المحلي والخدمة لها مثل هذا الامتياز».  تنص مايكروسوفت ويندوز على أن «العمليات التي تستدعي خدمات نظام التدقيق... يجب أن تتمتع بامتياز SeAuditPrivilege لإنشاء سجل تدقيق بنجاح».  تشير الأسئلة الشائعة لـ Winzapper إلى أنه «من الممكن إضافة سجلات أحداث» مكونة «خاصة بك إلى السجل» ولكن لم تتم إضافة هذه الميزة لأنها كانت تعتبر «سيئة للغاية»، في إشارة إلى حقيقة أن شخصًا ما لديه مسؤول الوصول يمكن أن يستخدم هذه الوظيفة لنقل اللوم عن نشاط غير مصرح به إلى طرف بريء.أضاف سيرفر 2003 بعض استدعاءات API بحيث يمكن للتطبيقات التسجيل في سجلات أحداث الأمان وكتابة إدخالات تدقيق الأمان. على وجه التحديد، تقوم الدالة (AuthzInstallSecurityEventSource) بتثبيت المصدر المحدد كمصدر حدث أمان.

المقبولية في المحكمة

تنص النشرة الإخبارية لـEventTracker على أن «إمكانية التلاعب ليست كافية لعدم قبول السجلات، يجب أن يكون هناك دليل محدد على التلاعب حتى يتم اعتبار السجلات غير مقبولة».