جمع أحداث أمان AD ومراجعتها

يعرض تدقيق أحداث أمان AD أحداث المصادقة وتغيير الحسابات والدليل المجمعة من سجلات أمان وحدات تحكم المجال. وهو يختلف عن Platform Operations الذي يسجل عمليات المجال التي ينفذها المسؤول عبر Ping64: تعتمد أحداث الأمان على ما تولده وحدة التحكم وما جُمع منها، بينما تصف سجلات المنصة عملية التنفيذ. لا يحل أحدهما محل الآخر.

التحضير قبل الإعداد

1. تحقق من ترخيص إدارة مجال AD وصلاحية المسؤول لعرض إعدادات الجمع وتعديلها؛ ويتطلب الجمع اليدوي صلاحية التشغيل المناسبة أيضاً. أكمل اتصال المجال أولاً، وتحقق من تفعيل المجال المستهدف وصحة معلومات الاتصال وتوفر بيئة Windows لتشغيل اتصال المجال.
2. تأكد مع مسؤول المجال من إمكانية الوصول إلى وحدات التحكم المستهدفة ومن امتلاك حساب الاتصال صلاحية قراءة سجلات الأمان المعنية. وفق متطلبات تدقيق Windows في المؤسسة، تحقق من تسجيل الأحداث المطلوبة على وحدات التحكم. لا يثبت اختيار نطاق الجمع في Ping64 أن وحدة التحكم أنشأت هذه الأحداث.
3. حدد المجالات وفئات الأحداث وفترة الاحتفاظ ومتطلبات الخصوصية. تُضبط إعدادات الجمع لكل مجال؛ قيّم أثر التغيير في الجمع والتخزين الحاليين. إذا لزم الاحتفاظ ببيانات الأحداث الأصلية، فتحقق أولاً من موافقة المؤسسة ومتطلبات الاحتفاظ؛ ويتطلب عرض الدليل الأصلي صلاحية التشغيل المناسبة أيضاً.

إعداد الجمع

1. في إدارة مجال AD افتح Audit Events > Security Events واختر Collection Config. في المعلومات الأساسية اختر Source Domain مفعلاً وتحقق من Collection Interval (sec) وBatch Size. في المجال الجديد يكون جمع أحداث الأمان معطلاً مبدئياً، والفاصل 300 ثانية وحجم الدفعة 500. قد تختلف المجالات الموجودة؛ تحقق من القيم المعروضة.
2. ضمن Security Event Audit فعّل Enable Security Event Collection واختر نطاقاً واحداً على الأقل يناسب هدف التدقيق. مثلاً اختر Authentication audit لتسجيلات الدخول أو Account change audit لتغييرات المستخدمين. تحدد هذه الخيارات نطاق الجمع ولا تحل محل إعدادات التدقيق في وحدة تحكم المجال نفسها.
3. تحقق حسب الحاجة من خيار Keep original event data ثم احفظ الإعدادات. أعد فتحها وتحقق من المجال المصدر والمفتاح والنطاقات المحددة. لا يعني نجاح الحفظ أن مهمة الجمع نُفذت أو أن السجلات أُنشئت.
4. للتحقق الفوري أكد المجال المصدر في المعلومات الأساسية لإعداد الجمع واختر Run collection. بعد الإرسال راجع الحالة والنتيجة في Collection Runs. قد تنتظر المهمة أو تعمل أو تفشل؛ ولا يعني نجاح الإرسال اكتمال الجمع. لا تكرر الإرسال قبل التأكد من الحالة.

تُحصر فترة الجمع المحفوظة بين 60 و86400 ثانية (دقيقة إلى 24 ساعة)؛ وتُعدّل القيمة المرسلة خارج النطاق إلى الحد المقابل. حجم الدفعة المحفوظ بين 1 و2000؛ إذا أُرسلت قيمة أقل من 1 تُعدّل إلى 500، وإذا زادت على 2000 تُعدّل إلى 2000. قد يختلف النطاق الذي يشير إليه حقل الإدخال عن النتيجة المحفوظة، لذا أعد فتح الإعداد وتحقق منه بعد الحفظ. لا تضمن فترة الجمع وحجم الدفعة ظهور الأحداث في الموعد أو معالجة جميع السجلات المتراكمة في تشغيل واحد.

التحقق والمراجعة

1. في بيئة اختبار مصرح بها نفّذ إجراءً يمكن تمييزه ويناسب النطاق المختار، مثل تسجيل الدخول مرة باستخدام حساب تجريبي. سجّل الوقت الفعلي ووحدة تحكم المجال والحساب. لا تستخدم حسابات الإنتاج لإحداث قفل أو أحداث مدمرة.
2. بعد إنشاء الحدث واكتمال الجمع، اختر التاريخ والمجال والمرشحات المناسبة في Security Events، وابحث وافتح تفاصيل الحدث. قارن الوقت ووحدة التحكم والحساب والفئة والنتيجة بالإجراء الفعلي، وافحص الصفحات الأخرى عند الحاجة.
3. من Audit Events افتح عند الحاجة تقارير مصادقة الدخول أو تغييرات الحسابات أو المجموعات، وحلل نطاق التقرير مع تفاصيل الحدث. تعكس سجلات المصادقة النشاط الذي سجلته وحدات التحكم التي جُمعت بياناتها، ولا تمثل جميع تسجيلات الدخول المحلية على كل الخوادم الأعضاء أو محطات العمل.
4. عند التحقيق أيضاً في تغيير مجال بدأه Ping64، راجع السجل المقابل في Audit Events > Platform Operations وقارن وقت الإرسال والكائن المستهدف ونتيجة التنفيذ بحدث الأمان كلّاً على حدة. لا يثبت نجاح عملية المنصة أن حدث وحدة التحكم قد أُنشئ أو جُمع بالفعل.

مراجعة أحداث المصادقة وكائنات الدليل

تتناول هذه الموضوعات المصادقة ومخاطر الدخول وتغييرات الحسابات وكائنات الدليل. يركز Login Risks على بعض حالات فشل المصادقة ولا يثبت اختراق الحساب. تغييرات عضوية المجموعة وتغييرات المجموعة نفسها موضوعان منفصلان.

1. اضبط جمع أحداث الأمان للنطاق وفق الخطوات أعلاه، واختر النطاقات الموافقة للتحقيق في المصادقة أو مخاطر الدخول أو الحسابات أو كلمات المرور أو حسابات الأجهزة أو عضوية المجموعات أو المجموعات أو OU. تحقق من توليد وحدة تحكم المجال للسجلات ومن صلاحية القراءة لحساب الاتصال؛ احفظ الإعداد وافحص عمليات الجمع.
2. في AD Domain Management > Audit Events اختر Authentication أو Login Risks أو Account Changes أو Password Operations أو Computer Account Changes أو Group Membership Changes أو Group Changes أو OU Changes وفق الهدف.
3. اختر المجال والتاريخ واستخدم المرشحات المتاحة للحساب أو الكائن المستهدف أو وحدة التحكم أو الإجراء أو النتيجة. افتح التفاصيل وطابق الوقت والكائن والنتيجة المتاحة مع الأدلة الأخرى. تختلف المرشحات والتفاصيل حسب الموضوع.
4. عند عدم العثور على حدث، افحص سجلات وحدة التحكم ونطاق الجمع وعملياته والصلاحيات والتواريخ والمرشحات كلّاً على حدة. لا تثبت القائمة الفارغة عدم حدوث إجراء ولا تغطية جميع الوحدات والفترات السابقة. يلزم اعتماد الاختبار؛ لا تغير حسابات الإنتاج أو الدليل لمجرد إنشاء حدث.

مراجعة تغييرات GPO

يجمع تقرير تغييرات GPO بين نتائج مقارنة الدليل وإعدادات السياسة وأحداث الأمان المجمّعة للمساعدة في التحقيق. ولا يثبت تطبيق السياسة على الأجهزة أو شمول جميع الإجراءات السابقة.

1. اتبع إعداد الجمع أعلاه للمجال المستهدف، وفعّل جمع أحداث الأمان واختر GPO change audit. تحقق من إنشاء الأحداث المطلوبة وفق إعدادات التدقيق، ومن صلاحية قراءة حساب الاتصال ونجاح الجمع. لا يعني حفظ الإعداد أن خط المقارنة الأساسي وسجلات التغيير جاهزة.
2. من AD Domain Management > Audit Events اختر GPO Changes. راجع المجال والتواريخ والمرشحات؛ يبدأ نطاق التاريخ المحلي الأولي قبل اليوم بيومين وينتهي اليوم. استخدم الكلمات المفتاحية ووحدة تحكم المجال المصدر ونوع التغيير وحالة التحليل لتضييق النتائج عند الحاجة.
3. راجع Setting changes وScope and permissions وProperties and lifecycle كلًا على حدة. يؤدي تغيير علامة التبويب إلى إعادة تعيين المرشحات، لذا أعد التحقق من المجال والتواريخ والشروط الأخرى. لا تعني قائمة فارغة غياب السجلات في علامات التبويب الأخرى.
4. افتح Details وقارن وقت التغيير والكائن والفروق المتاحة قبل التغيير وبعده والأدلة المرتبطة. استخدم History للإعداد عند توفره. قد لا يُحلل بعض المحتوى أو يُعرض بالكامل؛ قارنه بالأحداث الأصلية وإعداد السياسة الفعلي والأدلة الأخرى.
5. عند ظهور التهيئة أو غياب تغييرات الإعداد، تحقق من الجمع وإنشاء خط المقارنة، ثم نفذ تغييرًا اختباريًا مضبوطًا ومصرحًا به وانتظر جمعه. لا يعيد الخط الأولي بناء جميع التغييرات السابقة؛ وقد تؤثر أخطاء الجمع والصلاحيات ونطاق التاريخ وتنظيف السجلات في النتائج.

إعداد تغييرات DNS ومراجعتها

تستخدم تغييرات DNS مصدراً مستقلاً لسجل DNS Audit وليس مفتاح جمع أحداث الأمان الخاص بوحدات تحكم المجال. تحقّق مع مسؤول المجال من أن خوادم Windows DNS تُنتج سجلات التدقيق المطلوبة، وأن بيئة التشغيل تصل إليها، وأن حساب ربط المجال يملك صلاحية قراءتها. هذه الوظيفة ليست إعداد DNS للثقة المعدومة ولا قائمة كاملة باستعلامات DNS.

1. افتح أحداث الأمان من Audit Events في إدارة مجال AD واختر «Collection Config». اختر المجال المصدر من المعلومات الأساسية، ثم اختر تدقيق DNS وفعّل «Enable DNS Audit log collection».
2. أدخل الخوادم في «DNS servers»، وافصل بين الخوادم المتعددة بفواصل كما في مثال الصفحة. اختر فئة واحدة على الأقل من «DNS event categories»، مثل «Record changes»، وأضف الفئات اللازمة حسب الهدف. احفظ الإعداد وأعد فتحه للتحقق من المجال والمفتاح والخوادم والفئات.
3. اختر «Test source» من إجراءات الخادم وتحقق لكل خادم من إمكانية الوصول وقناة التدقيق وصلاحية القراءة. النجاح يثبت هذه الشروط وقت الاختبار فقط، ولا يثبت إنشاء الأحداث أو جمعها أو الاحتفاظ بها كاملة. للتحقق من الجمع، ابدأ جمعاً يدوياً من المعلومات الأساسية ثم راجع حالة تشغيل الجمع ونتيجته.
4. في بيئة اختبار مصرح بها، عدّل سجل DNS خاضعاً للتحكم وسجّل الوقت والخادم. بعد إنشاء الحدث واكتمال جمعه، افتح «DNS Changes» في Audit Events، وصفّ النتائج حسب المجال والتاريخ والخادم واسم السجل والشروط المناسبة، ثم افحص التفاصيل. إن لم تظهر نتيجة، فتحقق من إنشاء الحدث والخوادم والفئات واختبار المصدر وتشغيل الجمع والاحتفاظ بالسجلات والتصفية. القائمة الفارغة وحدها لا تثبت عدم حدوث تغيير.

لا تعِد ضبط موضع الجمع دون تقييم؛ فهو يغيّر نقطة بدء الجمع اللاحق وقد يؤثر في التغطية التاريخية. قيّم الأثر وفق إجراءات المؤسسة وراجع رسالة التأكيد. لا يغيّر الجمع أو الاستعلام إعدادات DNS؛ استخدم إجراء إدارة DNS المصرح به لتعديل السجلات.

إعداد عمليات الحسابات المميزة ومراجعتها

يطابق هذا التقرير أحداث الإدارة التي جُمعت مع نطاق الأعضاء المميزين وقت وقوع الحدث. وهو ليس مفتاح جمع مستقلاً ولا سجلاً كاملاً لجميع الأنشطة المميزة. اضبط أولاً جمع أحداث أمان المجال كما سبق واختر النطاقات المناسبة للعمليات المطلوبة. يُعد DNS Audit مصدراً مستقلاً؛ لا تفترض ظهور سجلاته في هذا التقرير. اضبط تغييرات DNS واستعلم عنها بصورة منفصلة كما هو موضح أعلاه. تحقق من مزامنة مستخدمي الدليل ومجموعاته، واستخدم حساباً لديه صلاحيات عرض الأحداث وإعداد النطاق والعمليات المطلوبة.

1. ضمن AD Domain Management > Audit Events افتح Privileged Account Operations، واختر المجال ثم افتح Privileged Account Scope. افحص الكيانات المميزة المضمنة وحالة حلها؛ لا يمكن إزالة الكيانات المضمنة.
2. لتوسيع النطاق اختر Add Custom Privileged Principal، وابحث بالاسم أو الحساب عن مجموعات الأمان أو المستخدمين الذين تمت مزامنتهم، ثم حددهم وأكد. راجع النطاق واختر Validate، وبعد نجاحه اختر Save. التحقق وحده لا يحفظ، ويلزم إعادة التحقق بعد تعديل النطاق.
3. ارجع إلى صفحة النطاق وافحص حالة لقطة الأعضاء. لتحديث أعضاء النطاق المحفوظ يمكن لمسؤول لديه صلاحية التشغيل اختيار Refresh Member Snapshot. يستخدم ذلك النطاق المحفوظ ولا يغني عن حفظ التعديلات المعلقة. عند الفشل تحقق من اتصال المجال ومزامنة الدليل وصلاحيات حساب الاتصال ورسالة الصفحة.
4. في بيئة اختبار مصرح بها، اجعل حساباً ضمن النطاق ينفذ عملية إدارية معتمدة وانتظر إنشاء الحدث وجمعه. في التقرير رشّح حسب المجال أو التاريخ أو الحساب أو فئة العملية أو مصدر الامتياز، وافتح التفاصيل. تتم المطابقة مع فترات صلاحية العضوية المسجلة وقت الحدث؛ لا تكفي العضوية الحالية وحدها لتفسير النتائج التاريخية. لا يُضمن استعادة الأحداث السابقة لنشر النطاق أو عند فقد لقطة الأعضاء.
5. إذا غابت نتيجة متوقعة، فتحقق كلّاً على حدة من إنشاء حدث الأمان المعني في وحدة تحكم المجال، ونطاق الجمع وحالة تنفيذه، وعضوية حساب المنفذ الصالحة، واللقطة والتاريخ والمرشحات. لا تثبت النتيجة الفارغة عدم وقوع عمليات أو شمول جميع وحدات التحكم والفترات السابقة.

فحص تغييرات سياسة المجال

تفحص هذه الصفحة أحداث تغيير سياسة المجال المجمعة، مثل إعدادات كلمة المرور وقفل الحساب، ورقم الحدث هو 4739. وهي منفصلة عن تغييرات GPO ولا تثبت تطبيق السياسة على جميع الأجهزة.

1. اضبط جمع أحداث أمان المجال كما سبق واختر النطاق Domain policy change audit. تحقق من إنشاء وحدة التحكم للحدث وصلاحية قراءة حساب الاتصال وراجع نتيجة الجمع بعد الحفظ.
2. افتح Policy Change Audit ضمن أحداث التدقيق في إدارة مجال AD. اختر المجال والتواريخ وأدخل حساب الحدث أو وحدة التحكم أو الشروط المتاحة عند الحاجة، ثم نفّذ الاستعلام.
3. افتح التفاصيل وقارن الوقت والمجال المستهدف وحساب الحدث وقيم السياسة المتاحة بسجل التغيير المعتمد وإعدادات المجال الفعلية. تعرض التفاصيل القيم الموجودة في الحدث فقط؛ لا تفترض توفر جميع القيم قبل التغيير وبعده.
4. إذا لم تجد الحدث، فتحقق من سجل وحدة التحكم ونطاق الجمع وحالة تشغيله والصلاحيات والتواريخ والمرشحات. النتيجة الفارغة لا تثبت عدم حدوث تغيير. تتطلب الاختبارات المضبوطة موافقة مسؤول المجال؛ لا تعدل سياسة الإنتاج لمجرد إنشاء سجل.

فحص أحداث استعادة كائنات AD

تفحص هذه الصفحة أحداث استعادة كائنات الدليل المجمعة ذات الرقم 5138؛ وهي تستعلم عن السجلات فقط ولا تنفذ الاستعادة. لا يثبت حدث واحد استعادة العضويات والصلاحيات وحالة العمل كاملة.

1. اضبط جمع أحداث أمان المجال كما سبق واختر النطاق AD object restore audit. تحقق من إنشاء وحدة التحكم للحدث وصلاحية قراءة حساب الاتصال وراجع نتيجة الجمع بعد الحفظ.
2. افتح Object Restores ضمن أحداث التدقيق في إدارة مجال AD. اختر المجال والتواريخ، وأدخل الكائن المستهدف أو حساب المنفذ أو وحدة التحكم أو الشروط المتاحة عند الحاجة، ثم استعلم.
3. افتح التفاصيل وقارن نوع الكائن وحساب المنفذ والوقت وموقعي الدليل المتاحين قبل الاستعادة وبعدها بسجل العملية المعتمدة وحالة الدليل الحالية. تحقق من العضويات والصلاحيات وتوفر التطبيقات بالإجراءات المصرح بها.
4. إذا لم تجد الحدث، فتحقق من إنشاء سجل وحدة التحكم والاحتفاظ به ونطاق الجمع وحالة تشغيله والصلاحيات والتواريخ والمرشحات. النتيجة الفارغة لا تثبت عدم حدوث استعادة. لا تحذف كائنات الإنتاج أو تستعدها لمجرد الاختبار.

فحص أحداث مسح سجل الأمان

تُستخدم هذه الصفحة لفحص أحداث مسح سجل الأمان المجمعة من وحدات تحكم المجال، وهي منفصلة عن مهام تنظيف بيانات المنصة. رقم الحدث هو 1102. لا يثبت سجل المسح جمع جميع الأحداث السابقة ولا يستعيد سجل وحدة التحكم المحذوف.

1. اضبط جمع أحداث أمان المجال كما سبق، واختر النطاق Security Log Clearing. تحقق من إنشاء وحدة التحكم للحدث وصلاحية قراءة حساب الاتصال، ثم راجع نتيجة تشغيل الجمع بعد الحفظ.
2. افتح Security Log Clearing ضمن أحداث التدقيق في إدارة مجال AD، واختر المجال والتواريخ. عند الحاجة أدخل حساب الحدث أو وحدة التحكم واضغط Enter أو غادر الحقل لتطبيق المرشح. افتح التفاصيل وراجع الوقت ووحدة التحكم ومعلومات الحساب المتاحة.
3. عند وجود نتيجة، تحقق من السبب واحمِ الأدلة الأخرى وفق إجراءات أمن المؤسسة. إذا كانت القائمة فارغة فتحقق من سجل وحدة التحكم ونطاق الجمع وحالة تشغيله والصلاحيات والوقت. لا تمسح سجلات الإنتاج للاختبار، ولا تعتبر النتيجة الفارغة دليلًا على عدم حدوث المسح.

فحص تغييرات أذونات الدليل

تفحص هذه الصفحة أحداث تغيير أذونات كائنات الدليل المجمعة ذات الرقم 5136. ولا تشمل كل تغييرات أذونات الملفات أو التطبيقات أو غيرها، ولا تحسب مباشرة الأذونات الفعلية النهائية للمستخدم على الكائن.

1. اضبط جمع أحداث أمان المجال كما سبق واختر النطاق Directory permission change audit. تحقق من إنشاء وحدة التحكم للأحداث وصلاحية قراءة حساب الاتصال ونتيجة الجمع بعد الحفظ.
2. افتح Permission Changes ضمن أحداث التدقيق في إدارة مجال AD. اختر المجال والتواريخ، وأدخل الكائن المستهدف أو حساب المنفذ أو وحدة التحكم أو الشروط المتاحة عند الحاجة، ثم استعلم.
3. افتح التفاصيل وقارن الوقت والكائن والحساب وحالة الربط وعناصر التحكم بالوصول المضافة أو المزالة المتاحة بالتغييرات المعتمدة وأذونات الدليل الفعلية.
4. إذا نقصت معلومات الربط أو بيانات أحد جانبي التغيير أو تعذر تحليل المحتوى، فقد يكون الفرق المعروض غير مكتمل؛ لا يثبت الفرق الفارغ عدم تغير الأذونات. عند غياب السجل تحقق من سجل وحدة التحكم ونطاق الجمع وتشغيله والصلاحيات والمرشحات. تتطلب الاختبارات موافقة مسؤول المجال؛ لا تغير أذونات الإنتاج لمجرد إنشاء سجل.

فحص تغييرات تكوين AD

تفحص هذه الصفحة الأحداث المجمعة المتعلقة بتكوين الدليل والمخطط والمواقع وأدوار FSMO، وهي منفصلة عن سياسة المجال وGPO وعمليات المنصة. تعكس السجلات الأحداث المجمعة والمتعرف عليها فقط، ولا تثبت اكتمال التاريخ أو مزامنة جميع وحدات التحكم.

1. اضبط جمع أحداث أمان المجال كما سبق واختر AD configuration change audit. تحقق من إنشاء الأحداث وصلاحية قراءة حساب الاتصال ونتيجة الجمع بعد الحفظ.
2. افتح Configuration Change Audit ضمن أحداث التدقيق في إدارة مجال AD. اختر المجال والتواريخ، واستعلم عند الحاجة بمنطقة التكوين أو نوع التغيير أو الكائن أو حساب المنفذ أو الشروط المتاحة.
3. افتح التفاصيل وقارن المنطقة والنوع والكائن والخاصية وموقع الدليل وحالة الربط المتاحة بالتغييرات المعتمدة وحالة الدليل الحالية. قد تنقص الحقول أو معلومات الربط؛ لا يثبت الحقل الفارغ عدم حدوث تغيير.
4. عند غياب السجلات تحقق من سجل وحدة التحكم ونطاق الجمع وتشغيله والصلاحيات والتواريخ والمرشحات. تتطلب الاختبارات موافقة مسؤول المجال؛ لا تغير تكوين الإنتاج لمجرد إنشاء سجل.

عند غياب النتائج

• تحقق من المجال المصدر والتاريخ والمرشحات والصفحة، ثم من مفتاح الجمع والنطاقات المحددة وحالة التشغيل والأخطاء للمجال المستهدف.
• على وحدة التحكم تأكد من حدوث الحدث المتوقع فعلاً وبقائه في السجل، وافحص صلاحية حساب الاتصال وإمكانية الوصول وبيئة التشغيل. قد يؤدي عدم إنشاء الحدث أو حذف السجل أو الكتابة فوقه أو نقص الصلاحيات أو فشل الجمع أو تراكمه إلى نقص البيانات أو تأخرها.
• لا تثبت سجلات الجمع أو أحداث مسح السجل أو الإحصاءات كل منها بمفردها اكتمال السجل التاريخي. لا تخفّض متطلبات تدقيق وحدة التحكم دون موافقة أثناء استكشاف الأخطاء أو تغيير النطاق، ولا تعتبر تنظيف السجلات وسيلة لاستعادة البيانات التاريخية.