توحيد سجلات FortiGate و Sophos و Kaspersky في لوحة Wazuh واحدة

ادارة الراية ماركت كان عندها ثلاث طبقات حماية تعمل كلها: جدار حماية FortiGate على حدود الشبكة، و Sophos و Kaspersky على الأجهزة والسيرفرات. ثلاثتها تشتغل، وثلاثتها تسجل ما تراه — كل واحدة في لوحتها هي.

وهنا المشكلة التي لا تظهر الا حين تحتاجها: من يفتح ثلاث لوحات كل صباح؟ ولا واحدة منها ترى ما تراه الأخرى، فمحاولة دخول يوقفها الجدار ثم تتكرر على جهاز من الداخل تظل حدثين منفصلين في مكانين، ولا أحد يربط بينهما. الحماية كانت موجودة؛ الناقص كان الطبقة التي تقرأ الثلاثة معا.

ركبنا منصة Wazuh على سيرفر مخصص لها في الادارة، ثم وجهنا اليها المصادر الثلاثة: سجلات FortiGate، وأحداث Sophos و Kaspersky من كونسول كل منهما — كل مصدر بالطريقة التي يخرج بها أحداثه، عبر Syslog أو مخرج الأحداث الخاص بالمنتج.

وفوق ذلك نشرنا وكيل Wazuh على أكثر من سيرفر وأكثر من جهاز، لأن السجل الذي يأتي من منتج الحماية يحكي ما رآه ذلك المنتج، والوكيل على الجهاز نفسه يحكي ما جرى على الجهاز: من دخل، وأي ملف تغير، وأي حساب أضيف، وأي خدمة توقفت.

ثم الشغل الذي يأخذ الوقت فعلا: ضبط القواعد. Wazuh بعد التثبيت مباشرة يرسل تنبيهات كثيرة أغلبها لا يعني أحدا، ومن يترك الاعدادات الافتراضية يتوقف عن قراءة اللوحة خلال أسبوع. بنينا القواعد على ما هو طبيعي في هذه الادارة تحديدا، وما خرج عن ذلك هو ما ينبه.

وساعدنا أننا كنا قد نفذنا الشبكة نفسها من قبل: التمديدات مرقمة من الطرفين والراكات مرتبة، فتوصيل المصادر كان قراءة في مخطط معروف لا رحلة اكتشاف.

ما صار متاحا في الادارة بعد التشغيل:

• لوحة واحدة تقرأ فيها ما يراه الجدار وما تراه الحماية وما يجري على السيرفرات، بدل ثلاث لوحات لا تتكلم مع بعضها
• حدث على حدود الشبكة وحدث على جهاز بالداخل يظهران في مكان واحد مرتبين بالوقت، فيقرآن كحكاية واحدة
• محاولات الدخول الفاشلة المتكررة تظهر وهي تحدث، لا بعدها
• تغير ملف على السيرفرات التي تهم يرصد ويسجل من غيره ومتى
• سجل يمكن الرجوع اليه وقت الحاجة، بدل سجلات يمسح كل جهاز أقدمها حين يمتلئ

واللوحة سلمت بحساب باسم الشركة لا باسمنا، ومعها ورقة بكل قاعدة تنبيه فعلت ولماذا فعلت — لأن قاعدة لا يعرف أحد سبب وجودها هي قاعدة ستطفأ أول مرة تزعج أحدا.