Logs vs Monitoring
🧠 إذا كان النظام يعمل بشكل طبيعي، فكيف يعرف فريق الأمن ما الذي يحدث داخله؟
هنا تظهر أهمية مفهومين أساسيين:
📋 Logs
📊 Monitoring
قد يبدوان متشابهين، لكن لكل واحد منهما دور مختلف.
📋 Logs
هي سجلات للأحداث التي تحدث داخل النظام.
قد يسجل النظام:
تسجيل الدخول.
محاولة تسجيل دخول فاشلة.
إنشاء مستخدم.
تعديل إعداد.
طلب API.
حدوث خطأ.
تشغيل خدمة.
هذه المعلومات يمكن الرجوع إليها لاحقًا للتحليل والتحقيق.
أما:
📊 Monitoring
فهو مراقبة حالة النظام والأداء والأحداث ، غالبًا بهدف اكتشاف المشاكل والتعامل معها بسرعة.
مثال:
إذا ارتفع استخدام CPU إلى 95%، يمكن لنظام Monitoring اكتشاف ذلك وإرسال تنبيه.
أما Logs فقد تحتوي على تفاصيل العمليات التي حدثت داخل التطبيق والتي ساهمت في الوصول إلى هذه الحالة.
بمعنى مبسط:
📋 Logs = ماذا حدث؟
📊 Monitoring = ماذا يحدث الآن؟ وكيف تبدو حالة النظام؟
لكن الواقع أكثر تعقيدًا، ويمكن أن تتداخل الأدوات والوظائف بينهما.
، تصبح Logs مهمة جدًا عند التحقيق.
تخيل أن حسابًا تعرض لنشاط غير معتاد.
قد يحتاج الفريق إلى معرفة:
متى حدث تسجيل الدخول؟
من أي عنوان IP؟
ما الإجراءات التي تمت بعد الدخول؟
ما الملفات التي تم الوصول إليها؟
ما التغييرات التي حدثت؟
بدون سجلات مناسبة، قد يصبح التحقيق أصعب بكثير.
لكن جمع Logs وحده لا يكفي.
إذا كان لديك ملايين السجلات ، فقد يكون من الصعب اكتشاف الأحداث المهمة.
ولهذا تستخدم المؤسسات أدوات تساعد على التجميع والتحليل والتنبيه وربط الأحداث.
والدرس المهم هنا:
الأمن لا يعتمد فقط على منع الهجوم.
يجب أيضًا أن تكون قادرًا على رؤية ما يحدث داخل البيئة واكتشاف السلوك غير المعتاد والتحقيق فيه.
لذلك:
📋 Logs تساعدك على معرفة ما حدث.
📊 Monitoring يساعدك على مراقبة حالة البيئة.
🔔 Alerts تساعدك على لفت الانتباه إلى أحداث تحتاج إلى مراجعة.
فهم هذه السلسلة هو خطوة أساسية لفهم كيفية عمل فرق SOC الحديثة.