كيف يرسّخ تدقيق الملفات الطبقة الأولى لحماية البيانات

بقلم يزن رحمة، خبير الأمن السيبراني لدى SearchInform

قبل سنوات قليلة، كانت أنظمة التدقيق والحماية المرتكزة على البيانات (DCAP) معروفة أساسًا لدى مجموعة محدودة من المتخصصين المتقدمين في أمن المعلومات. أما اليوم، فأصبح استخدام هذه الحلول أكثر انتشارًا. فمن خلال تصنيف الملفات السرية والتحكم في كيفية التعامل معها، تساعد تقنية DCAP المؤسسات على إنشاء الطبقة الأولى لحماية البيانات.

تتناول هذه المقالة قدرة تتجاوز التدقيق التقليدي للملفات، وهي الحظر. فبدلًا من الاكتفاء بمنع الوصول إلى الملف، تستطيع الحلول الحديثة تقييد إجراءات محددة تتعلق بالمعلومات الحساسة.

نوضح كيفية عمل هذه الضوابط بالاستعانة بحل SearchInform FileAuditor مثالًا عمليًا.

من يستطيع الوصول إلى البيانات؟ وما الإجراءات المسموح له بتنفيذها؟

قد تؤدي صلاحيات الوصول غير المناسبة إلى كشف معلومات بالغة الأهمية وتعطيل العمليات التجارية. لذلك، تحتاج المؤسسات إلى تحديد الموظفين الذين تتطلب مهامهم بالفعل الوصول إلى الملفات السرية، ومعرفة من يمتلك صلاحيات أوسع من اللازم أو صلاحيات لم تُعتمد على النحو الصحيح.

يوفّر SearchInform FileAuditor مجموعة من التقارير لاكتشاف مشكلات صلاحيات الوصول ومعالجتها. يقرأ البرنامج الأذونات المحددة في نظام التشغيل ويعرضها في وضع File View. ويمكنه أيضًا اكتشاف المجلدات المشتركة عبر الشبكة التي أتاحها المستخدمون من أجهزتهم.

يساعد تقريرا Resource Access Rights وResource Owners فرق الأمن على مراجعة نتائج التدقيق وتحديد مالك مستند أو مجلد معين. ويعرضان الصلاحيات ويفحصان كيفية توريث حقوق الوصول. وبذلك يسهل تتبع العناصر الجديدة في نظام الملفات وتعيين الصلاحيات المناسبة لها.

يساعد تقرير Permission Inheritance Audit المسؤولين على فحص الصلاحيات عند إضافة عناصر جديدة إلى مواقع التخزين ووراثتها الأذونات تلقائيًا. فعلى سبيل المثال، يوضح توزيع صلاحيات المستخدمين بين الملفات والمجلدات الفرعية داخل المجلدات الكبيرة. وإذا تعارضت صلاحيات عنصر ما مع القواعد المطبقة على المجلد الأصل، يُخطر FileAuditor فريق الأمن.

وعند الحاجة، يستطيع المسؤول تعديل صلاحيات الوصول مباشرة من وحدة التحكم بنقرة واحدة، دون الانتقال يدويًا بين إعدادات نظام التشغيل. ويمكن ضبط الأذونات لكل عملية على حدة، بما فيها القراءة والتحرير والتشغيل والنقل والنسخ، أو تطبيقها على مجلدات كاملة.

لكن أدوات DCAP التقليدية تواجه قيودًا عند تطبيق ضوابط تراعي السياق. فهي تعتمد غالبًا على سمات الملفات وخصائصها الخارجية لإدارة الصلاحيات، من دون مراعاة التطبيقات التي قد تعالج محتواها. ونتيجة لذلك، قد تظل المعلومات الحساسة في بعض المستندات معرضة للخطر رغم تطبيق ضوابط الوصول المعتادة.

فقد يكتفي أحد الموظفين بتغيير اسم ملف سري ونسخ محتواه إلى مستند جديد ثم نقل المستند إلى مجلد آخر. ويعالج SearchInform FileAuditor هذا الخطر من خلال قواعد وصول تعتمد على المحتوى، بدلًا من الاعتماد فقط على قوائم التحكم في الوصول (ACL).

كيف يعمل الحظر المستند إلى المحتوى؟

ينبغي أن تمنع حلول DCAP الحديثة الإجراءات غير المرغوب فيها على فئات محددة من الملفات. ووفقًا للسياسة المعتمدة، يمكنها حظر نقل الملفات عبر القنوات الداخلية أو الخارجية، أو منع محاولات الوصول غير المصرح بها إلى المستندات.

بخلاف العديد من الأدوات التي تدير الأذونات وفق سمات نظام الملفات، يفحص SearchInform FileAuditor المحتوى الفعلي للمستند، بما في ذلك النصوص المستخرجة باستخدام تقنية التعرف الضوئي على الحروف (OCR). ويجري تطبيق الحظر على مراحل.

أولًا، يستخدم FileAuditor قواعد تصنيف معدّة مسبقًا لتحليل الملفات وتحديد ما يحتاج منها إلى الحماية. ويمكن البحث باستخدام العبارات وتسلسلات الأحرف والقواميس والتعبيرات النمطية ومدى التشابه مع مستندات أخرى، فضلًا عن خصائص الملفات مثل النوع والحجم ومعايير إضافية. ويضم النظام أيضًا أكثر من 450 قاعدة تصنيف مهيأة مسبقًا لأنواع مختلفة من المستندات.

بعد العثور على الملفات المطابقة للمعايير المحددة، يعيّن FileAuditor تسميات التصنيف تلقائيًا. ويُعد تصنيف الملفات وتسميتها من الوظائف الأساسية لتقنية DCAP، لأنه يتيح جمع المستندات ذات الخصائص المشتركة في فئات، مثل السجلات الضريبية أو عقود العملاء.

تتم حماية التسميات من الإزالة. وحتى إذا تعرضت تسمية للتلف، يستعيدها FileAuditor تلقائيًا لتظل سياسات الحظر المرتبطة بها سارية. ويمكن تخصيص مجموعة مستقلة من الإجراءات المسموحة والمحظورة لكل تسمية.

يمكن للسياسة تحديد المستخدمين والأجهزة التي يُسمح لها، أو يُحظر عليها، الوصول إلى ملف مصنّف من خلال تطبيقات معينة. وتشمل هذه التطبيقات برامج المكاتب والبريد الإلكتروني والمراسلة وعمليات النظام والتطبيقات المطورة خصيصًا للمؤسسة.

عند تحقق الشروط المحددة للتطبيق والمستخدم والجهاز، يمنع FileAuditor الوصول إلى الملف المصنّف. فمثلًا، يمكن للمسؤول إنشاء قاعدة تحظر التعامل مع الملفات الموسومة «التقارير المالية» عبر Microsoft Outlook. وبذلك لا يستطيع الموظفون فتح هذا المستند باستخدام Outlook أو إرفاقه برسالة إلكترونية.

ويساعد FileAuditor أيضًا في منع الحوادث غير المقصودة من خلال آلية واضحة تسمح للموظفين بتصنيف مستنداتهم بأنفسهم. وتُظهر التسميات المرئية مستوى سرية المستند للمستخدمين. ولا يحتاج متخصص الأمن إلى إعداد كل تسمية يدويًا؛ إذ يستطيع منشئ المستند المهم اختيار تصنيف السرية المناسب.

بعد ذلك، يطبّق FileAuditor السياسات المرتبطة بالمستند المصنّف، ويزوّد متخصصي الأمن بتقرير واضح يبيّن من أضاف التسمية والإجراءات التي نُفذت على الملف.

إذا نسي الموظف تصنيف مستند، يستطيع FileAuditor تذكيره. وإذا كانت التسمية غير صحيحة أو لم يكن المستخدم مخولًا بالتعامل مع تلك الفئة من المعلومات، يمنع النظام إكمال العملية. وعلى سبيل المثال، تنص رسالة التنبيه الافتراضية على: «لا يُسمح بإرسال هذه الرسالة الإلكترونية وفق سياسة الشركة».

يمكن أيضًا ترجمة التنبيه تلقائيًا إلى لغة أخرى إذا كان نظام تشغيل المستخدم مضبوطًا على تلك اللغة.

DCAP وDLP: حماية أقوى عند الجمع بينهما

يعتمد اختيار الحماية المستندة إلى المحتوى أو السياق على المهمة المطلوبة. لكن الجمع بين تدقيق الملفات (DCAP) ومنع فقدان البيانات (DLP) يوفر حماية أوسع. إذ ينظّم تدقيق الملفات أماكن التخزين ويضع قيودًا أساسية يلتزم بها معظم المستخدمين، بينما تضيف DLP ضوابط للتعامل مع محاولات تجاوز تلك القواعد عمدًا.

يؤدي دمج SearchInform FileAuditor مع قدرات DLP في SearchInform Risk Monitor إلى توسيع نطاق الحظر، من نظام الملفات إلى قنوات نقل المعلومات المختلفة.

الخلاصة

لم تعد أنظمة تدقيق الملفات الحديثة تقتصر على مراجعة أذونات التخزين. فهي تستطيع اكتشاف أخطاء صلاحيات الوصول وتوريث الأذونات وتصحيحها، فضلًا عن حظر الإجراءات غير المناسبة على الملفات الحساسة عند الحاجة. ويعالج SearchInform FileAuditor مهمة أساسية في أمن المعلومات: تنظيم أنظمة ملفات المؤسسة وضبطها، حتى لا تظل المعلومات السرية متاحة لمن لا يحتاجون إليها.

ويضيف التكامل السلس مع أنظمة منع فقدان البيانات إمكانات أخرى لحماية المعلومات ومراقبة انتقالها.

نبذة عن SEARCHINFORM

SearchInform شركة موردة لمنتجات أمن المعلومات وإدارة المخاطر، كما تقدم خدمات MSS. تضم قاعدة عملاء الشركة أكثر من 4000 شركة في أكثر من 20 دولة. واليوم، يقدم الفريق منتجات وخدمات للحماية الشاملة من التهديدات الداخلية على جميع مستويات أنظمة المعلومات المؤسسية: FileAuditor (حل من فئة DCAP) ؛ ونظام DLP بوظائف موسعة؛ و Risk Monitor (منصة متقدمة للحد من التهديدات الداخلية)؛ ونظام SIEM؛ وخدمة الاستعانة بمصادر خارجية في مجال أمن المعلومات.

استكشف المجموعة الكاملة من منتجات SearchInform للأمن السيبراني، بما في ذلك حلول DLP و DCAP وإدارة مخاطر التهديدات الداخلية.