-: سنركز في هذا
الدرس على المراقبة والتدقيق.
لنبدأ بالمراقبة أولاً.
عندما نتحدث عن المراقبة،
فإن إحدى الوظائف الرئيسية لمحلل
الأمن هي مراقبة الشبكة.
نحن مثل المحققين.
نحن نحاول استئصال أي
شيء لا يبدو صحيحًا تمامًا
ويمكن القيام بذلك يدويًا أو من خلال وسائل آلية.
الآن، يعد سجل النظام بروتوكولًا لتمكين الأجهزة
والتطبيقات البرمجية المختلفة من إرسال سجلاتها
أو سجلات الأحداث إلى خادم مركزي.
الآن سيتبع سجل النظام نموذج خادم العميل القياسي.
وهذا هو المعيار الفعلي لتسجيل الأحداث
من الأنظمة الموزعة عبر الشبكة.
ستشاهد سجل النظام قيد الاستخدام في العديد من الأنظمة
التي ستعمل عليها يوميًا.
يعمل سجل النظام الآن على معظم أنظمة التشغيل
وعلى معظم معدات الشبكات.
لذا، سواء كنت تستخدم جهاز توجيه Cisco أو كنت تستخدم
جهازًا يعمل بنظام التشغيل Windows أو خادم Linux، فيمكن لجميع
هذه الأجهزة استخدام سجل النظام.
الآن، عندما نرسل هذه الرسائل
مرة أخرى، كيف تبدو رسالة سجل النظام؟
حسنًا، ستحتوي رسالة سجل النظام على شيئين.
أنه يحتوي على رمز PRI، وهو رمز الأولوية.
يحتوي على رأس ويحتوي على جزء من الرسالة.
دعونا نتحدث عن كل من هذه.
أولاً، لدينا رمز PRI هذا، وهذه الأولوية،
وسيتم حسابها بناءً على المنشأة
ومستوى خطورة البيانات.
بعد ذلك، لدينا رأس وسيحتوي
الرأس على الطابع الزمني للحدث
واسم المضيف.
لذلك نحن نعرف من أين جاء وفي أي وقت كان.
وأخيرًا، لدينا جزء الرسالة، الذي يحتوي
على العملية المصدر للحدث والمحتوى ذي
الصلة، ما هي البيانات التي حدثت بشكل أساسي وما الذي تريد
إخبارنا عنه؟
وهذه هي الفكرة هنا مع جزء الرسالة.
هذا هو اللحم والبطاطس لهذه الرسالة.
الآن، عندما تعاملنا مع سجل
النظام، هناك بعض العيوب فيه في الإصدار الأصلي.
يعتمد البروتوكول الأصلي على UDP.
يمكن أن يتسبب هذا الآن في حدوث مشكلات في التسليم مع الشبكات
المزدحمة لأن UDP عبارة عن بروتوكول حريق ونسيان.
يرسلها ولا ينتظر الرد
والاعتراف.
ولذا فهو يفترض أنه وصل إلى هناك.
إذا كانت لديك شبكة
مزدحمة، فقد يتم إسقاط بياناتك
وبالتالي لن تصل معلوماتك إلى خادم السجل
ولن يتم تسجيلها.
في الأيام الأولى، ربما كان هذا أمرًا جيدًا،
لأن الناس افترضوا أن كل
شخص على شبكتك جدير بالثقة، ولكن
في هذه الأيام لا نريد ذلك.
نريد التأكد من وصول بياناتنا إلى هناك.
لذلك سيتعين علينا التوصل إلى حل لهذا الأمر.
والشيء الثاني هو أنه لا يوجد الكثير
من الضوابط الأمنية الأساسية.
لم يكن هناك أي شيء مثل التشفير أو المصادقة المضمن
بشكل افتراضي في سجل النظام.
وكان هذا مرة أخرى عيبًا آخر.
لذلك، في التطبيقات الحديثة لسجل النظام،
قمنا بتصحيح هذه الأشياء.
الآن، وبسبب هذه المشكلات الأمنية،
أضافت تطبيقات سجل النظام الأحدث لدينا الكثير من
الميزات والإمكانيات المختلفة.
وسوف نتحدث عن اثنين منهم هنا.
تستخدم التطبيقات الأحدث الأولى بروتوكول
TCP للتسليم المتسق.
بهذه الطريقة، إذا أصبحت الشبكة مزدحمة ولم تتمكن
هذه الرسالة من الوصول إلى هناك،
فسوف تقوم بإعادة تسليمها مرارًا وتكرارًا
لأنها تستخدم TCP.
التحسين الثاني، وهو التطبيقات الأحدث،
يمكنه استخدام TLS، أو أمان طبقة النقل، لتشفير
رسائلك المرسلة إلى الخوادم.
وبهذه الطريقة لا يمكن لشخص آخر على الشبكة
قراءة البيانات أثناء النقل.
ولا يمكن قراءتها إلا من خلال نقطة النهاية التي
أرسلتها والخادم الذي يستقبلها.
الشيء الثالث
هو أن التطبيقات الأحدث تستخدم أيضًا MD5 وSHA1
لتوفير المصادقة والنزاهة.
بهذه الطريقة يمكن أن تتمتع الرسائل بمصادقة
الرسالة وسلامتها أثناء عبورها لشبكتك
للتأكد من عدم العبث بها من قبل أي شخص آخر.
مرة أخرى، الكثير من الميزات الأخرى.
أنا لا أركز كثيرًا على هذه المجموعة،
لأن العناصر الثلاثة الكبرى التي نهتم بها
هي أننا انتقلنا إلى TCP من أجل تسليم ثابت.
لقد انتقلنا إلى TLS للتشفير،
وبدأنا في استخدام MD5 وSHA1 للمصادقة
والنزاهة.
يُطلق على هذا الإصدار الأحدث
من الخادم الآن اسم syslog-ng، أو rsyslog، أو الجيل
التالي من سجل النظام.
الآن الشيء الأخير الذي أريد أن أذكره حول سجل
النظام هو أن سجل النظام غالبًا ما يستخدم ليعني ثلاثة أشياء.
يمكن أن يشير إلى البروتوكول الذي نرسل البيانات من خلاله.
ويمكن أن يشير إلى الخادم كما هو الحال في خادم سجل النظام، أو
يمكنه الرجوع إلى إدخالات السجل نفسها، كما
هو الحال في بيانات سجل النظام.
غالبًا ما يقول الأشخاص syslog فقط
ويقصدون الثلاثة جميعًا، أو أيًا من هؤلاء الثلاثة،
اعتمادًا على السياق.
لذا كن حذرًا بشأن ذلك
عندما تسمع أشخاصًا يتحدثون
في الصناعة للتأكد من
أنك تفهم أيًا من الثلاثة الذين يتحدثون
عن SNMP هو التالي.
SNMP هو بروتوكول إدارة الشبكة البسيط.
إنه بروتوكول TCP يساعد في مراقبة الأجهزة
وأجهزة الكمبيوتر المتصلة بالشبكة.
تم دمج SNMP في أنظمة إدارة ومراقبة
الشبكة ويستخدم بكثافة في مفهوم
الإدارة والمراقبة.
يتم تقسيم SNMP إلى ثلاثة مكونات.
هناك الأجهزة المُدارة، والوكيل،
وأنظمة إدارة الشبكة نفسها.
نحن نتحدث عن الأجهزة المدارة.
هذه هي أجهزة الكمبيوتر والأجهزة الأخرى المتصلة بالشبكة
والتي يتم مراقبتها من خلال استخدام الوكلاء
بواسطة نظام إدارة الشبكة.
الوكلاء عبارة عن برامج يتم تحميلها على جهاز مُدار.
وهذا يسمح لنا بإعادة توجيه المعلومات
إلى نظام إدارة الشبكة الذي
سيقوم بالمراقبة.
ونظام إدارة الشبكة، أو NMS، هو البرنامج
الذي يتم تشغيله على خادم واحد أو أكثر يتحكم
في مراقبة جميع الأجهزة
وأجهزة الكمبيوتر المتصلة بالشبكة عبر الشبكة.
SNMP هو الغراء الذي يجعل هذه الأجهزة الثلاثة
تتحدث مع بعضها البعض، باستخدام بروتوكول SNMP.
إذًا كيف يبدو كل هذا داخل الشبكة؟
حسنًا، هنا على الشاشة، يمكنك رؤية رسم تخطيطي مختصر.
لدينا على اليسار محطة إدارة الشبكة، أو NMS،
والتي تعد جزءًا من نظام إدارة الشبكة لدينا.
سيكون هذا بمثابة مديرنا وسيقوم بإرسال
واستقبال الرسائل إلى جميع الأجهزة المُدارة
عبر الشبكة، وأجهزة التوجيه الخاصة بك، والمحولات
الخاصة بك، والخوادم الخاصة بك، أليس كذلك؟
الآن، عندما يريد معلومات،
فإنه سيرسل طلب الحصول،
وبعد ذلك سترسل هذه الأجهزة المعلومات مرة أخرى
باستخدام طلب محدد.
الآن هناك أيضًا شيء يسمى طلب الاعتراض،
والذي سيتلقى معلومات غير مرغوب فيها
من أجهزة الإدارة تلك، حيث
يرسلون المعلومات حسب الحاجة
على فترات دورية.
لذلك، عند إجراء كل إدارة الشبكة باستخدام SNMP، يكون لديك
خياران حيث يمكن إرسال البيانات.
يمكنك إرساله عبر الشبكة التي تستخدمها،
والتي تُعرف باسم الاتصال داخل النطاق،
أو يمكنك إرساله خارج النطاق.
الآن، عندما تفعل ذلك
داخل النطاق، فهذا يعني أنك سترسل بيانات
الإدارة هذه عبر نفس الشبكة التي تحمل
معلومات شركتك والبيانات العادية.
وهذا أرخص وأسهل ولكنه أقل أمانًا.
الآن لكي تكون أكثر أمانًا،
يجب عليك إنشاء شبكة خارج النطاق.
هذه شبكة ثانوية حيث تتم كل الإدارة،
ولكن لا يزال لديك تلك الشبكة
الأساسية داخل النطاق حيث ستحدث جميع
البيانات التي سيحصل عليها المستخدمون.
يجب أن تتم الإدارة دائمًا
على شبكة خارج النطاق لأنها تزيد من الأمان وتخرج
وظيفة الإدارة هذه من المكان الذي يمكن للمستخدمين
لمسها أو رؤيتها.