طلبوا منك سجلات آخر ستة شهور ولم تجدها: ما هو Wazuh ومتى تحتاجه

جاءك بريد من عميل كبير، أو من مدقق، أو من ادارتك: نريد سجل الدخول على الأنظمة لآخر ستة شهور. تفتح السيرفر فتجد سجلا يبدأ من الأسبوع الماضي — لأن الجهاز يمسح أقدم سجلاته حين يمتلئ، وهو يفعل ذلك منذ سنوات بلا أن يخبر أحدا.

هذه هي اللحظة التي يكتشف فيها معظم الناس أن عندهم حماية ولا عندهم ذاكرة.

الفرق بين أن تمنع وأن تعرف

جدار الحماية يمنع. الانتي فيروس يوقف الملف الخبيث. الاثنان يشتغلان، والاثنان يسجلان ما رأياه — كل واحد في لوحته هو. فاذا وقع شيء، عندك ثلاث نوافذ لا تتكلم مع بعضها، وسؤال لا تجيب عنه أي واحدة منها منفردة: هل ما أوقفه الجدار على الحدود هو نفسه ما ظهر على جهاز المحاسبة بعده بساعة؟

هذه الطبقة الثالثة — التي تجمع وتقرأ وتربط — اسمها في السوق SIEM. و Wazuh منصة مفتوحة المصدر تفعل هذا، بلا ترخيص يشترى وبلا حد على عدد الأجهزة.

ما الذي يراه فعلا

ليس كلاما عاما. هذه أمثلة لما يظهر على اللوحة في أول أسبوع عند أي شركة تقريبا:

• محاولات دخول فاشلة متكررة على RDP أو SSH — من عنوان واحد على عشرات الحسابات، أو من عشرات العناوين على حساب واحد. وهذه هي الطريقة التي يدخل منها أغلب ما يصيب الشركات الصغيرة.
• حساب جديد ظهر على الدومين ولم ينشئه من كان يفترض أن ينشئه.
• ملف تغير على سيرفر المحاسبة — مع من غيره ومتى.
• خدمة توقفت أو أوقفت، وهذا ما تفعله الفدية أول ما تدخل: تطفئ النسخ الاحتياطي.
• أجهزة عليها ثغرات معروفة ولم تحدث منذ شهور، بالاسم لا بالتخمين.

وما الذي لا يفعله

هو يراقب ولا يمنع. لا يوقف ملفا ولا يقفل منفذا ولا يغني عن جدار الحماية ولا عن حماية الأجهزة ولا عن النسخ الاحتياطي. من يبيعه لك بديلا عنهم يبيعك وهما.

مجاني — وهذه أنصاف الحقيقة

المنصة فعلا مفتوحة المصدر ولا ترخيص لها. والتكلفة الحقيقية في ثلاثة، ومن لا يقولها لك لن يسلمك شيئا يعمل:

• سيرفر مخصص لها. وحجمه يحدده شيئان: عدد الأجهزة، والمدة التي تريد الاحتفاظ بالسجلات فيها. المدة هي التي تأكل القرص، لأن السجلات تتراكم كل يوم ولا تنقص.
• وقت الضبط. وهذا هو البند الأكبر، وشرحه في القسم التالي.
• من يقرأ. لوحة لا يفتحها أحد ليست مراقبة، هي سيرفر يستهلك كهرباء.

لماذا الضبط هو الشغل كله

Wazuh بعد التثبيت مباشرة يرسل تنبيهات كثيرة جدا، وأغلبها لا يعنيك: خدمة تعيد التشغيل كل ليلة بالجدول، ومزامنة تفتح اتصالا في نفس الموعد، ومستخدم يخطئ في كلمة مروره صباحا لأنه للتو عاد من اجازة. من يترك الاعدادات الافتراضية يفتح اللوحة ثلاثة أيام ثم لا يفتحها أبدا.

والشغل الحقيقي هو تعليم المنصة ما هو طبيعي في شبكتك أنت: أي خادم يفتح أي منفذ، ومن يدخل على ماذا ومتى، وأي تغير في الملفات جزء من العمل اليومي وأيه ليس كذلك. وما خرج عن ذلك هو وحده ما ينبه. هذه ليست خطوة في التركيب، هي التركيب.

ومن يقرأ التنبيهات بعد ذلك؟

سؤال أهم من كل ما سبق، ولا اجابة تقنية له. ان كان عندك فريق تقني، اللوحة تسلم لهم ويتدربون عليها. وان لم يكن — وهذا حال أغلب الشركات المتوسطة — فالخيار الواقعي هو عقد متابعة نقرأها فيه نحن ونخبرك بما يستحق. والخيار الثالث، وهو الأسوأ وأكثرها شيوعا، أن يركب النظام ولا يقرأه أحد.

هل يناسب شركة صغيرة؟

يناسبها اذا كان عندها ما يستحق أن يسجل: سيرفر يحمل بيانات تهم، أو التزام أمام عميل أو جهة، أو مساءلة عن بيانات شخصية. ولا يناسبها اذا كان كل ما عندها خمسة أجهزة وراوتر — فهذه تحتاج نسخا احتياطيا جيدا وحماية أجهزة، لا لوحة مراقبة.

القاعدة العملية: ان كان تعطل السيرفر يوقف العمل، فأنت تستحق أن تعرف ما يجري عليه.

زيمافو تكنولوجي تركب المنصة وتنشر الوكلاء وتضبط القواعد وتسلمك لوحة تقرأها بنفسك — تفاصيل الخدمة هنا، وهنا مشروع نفذناه جمعنا فيه سجلات FortiGate و Sophos و Kaspersky في لوحة واحدة.