مراجعة الحسابات والسجلات غير القابلة للتغيير

مراجعة الحسابات والسجلات غير القابلة للتغيير

1) لماذا تحتاجه

الغرض من المراجعة هو تحديد «من وأين وأين ولماذا» بنزاهة يمكن إثباتها من أجل الحفاظ على الأمن والتحقيقات والإبلاغ المالي والامتثال.
سجل ثابت - تنسيق وتخزين حيث يتم تسجيل الأحداث فقط عن طريق التذييل فقط، والتغيير/الحذف اللاحق إما مستحيل أو قابل للكشف عن طريق وسائل التشفير وسياسات التخزين.

2) نموذج التهديد وأهداف السيطرة

• التحرير المتعمد/حذف الأحداث من قبل أحد المطلعين.
• استبدال الوقت/المصدر (إعادة/تأريخ متأخر).
• إغلاق قطع الأشجار «الهادئ» على العقدة.
• فقدان جزء من السجل أثناء الحوادث/الهجرات.
• جمع PII المفرط والخلاف مع الخصوصية.

1. النزاهة: تثبتها الحماية من التعديلات/الحذف.

2. الاكتمال: إغلاق التدفقات الرئيسية (مستوى التحكم، مستوى البيانات، الوصول، المال).

3. دقة الوقت: وقت قابل للتكرار ومتزامن.

4. إمكانية الوصول: القراءة والبحث داخل SLO.

5. الخصوصية: الحد الأدنى لـ PII، الترميز/التشفير، شرعية الاستخدام.

3) التصنيف وأولويات الأحداث

• مستوى التحكم: المصادقة/الإذن، تغييرات التكوين، العمليات الرئيسية (KMS)، الإدارة السرية، تغييرات السياسة.
• مستوى البيانات: الوصول إلى الأشياء/السجلات/الشيكات/المدفوعات ؛ قراءة/إنشاء/حذف.
• Demin and DevOps: SSH/console، CI/CD، تغييرات البنية التحتية/IaC، تصعيد الحقوق.
• المنتج: المعاملات، الفوترة، عمليات العملاء.
• النظام/الشبكة: نواة/وكلاء/وكلاء/موازين، وسماسرة، وقواعد بيانات.
• الأمن: IDS/IPS/EDR، WAF، مكافحة DDoS، antifraud، DLP.

لكل فئة، نصلح: الحرجية، المخطط، الحقول الإلزامية، العمر الافتراضي، متطلبات الثبات.

4) المجالات والشكل المطلوبان

معرفات الارتباط هي «trace _ id» و «span _ id» و «request _ id» و «actor _ id» (مستخدم/خدمة) و «مستأجر _ معرف» و «مورد _ معرف».
سياق A&A: طريقة التوثيق، الأدوار/السياسات في وقت العمل.
الوقت: RFC3339/UTC، مللي ثانية/نانو ثانية ؛ مصدر التزامن.
الإجراء والنتيجة: نوع العملية والغرض والحالة وعدد الأجسام المتأثرة.
النزاهة: سجلات HMAC المحلية، رقم التسلسل، التجزئة السابقة.
مخطط: JSON مع نموذج مستقر (على سبيل المثال، متوافقة مع قواميس الأحداث الشائعة).

محظورة: أسرار، مفاتيح، رموز، PAN كامل، كلمات مرور، مفاتيح خاصة. PII - فقط عند الضرورة، مع إخفاء/ترميز.

5) الوقت والتزامن

المصدر الزمني: مصدران مستقلان على الأقل (NTP/PTP) + رصد التحيز.
التوقيعات الزمنية الحرجة: استخدم خدمات الطوابع الزمنية الموثوقة (TSA) أو خدمة إغلاق الوقت الداخلية لمجموعات من الأحداث.
القواعد: لا توجد مناطق زمنية محلية، التوقيت العالمي المنسق فقط ؛ السجل والتعويض/نوعية الوقت.

6) بنية تيار السجل

الوكلاء → Buffer → Transport → Landing → Hash Chain/Signature → Cold/Archive → Index to search.

جمع على العقدة: عوامل الضوء (daemonset/sidecar) مع حاجز على القرص (الضغط الخلفي).
النقل: قناة محمية (TLS/mTLS)، تسليم مضمون (مرة واحدة على الأقل)، idempotent-inerst.
منطقة الهبوط: تخزين الأجسام في شكل «خام» (دفعات حسب التاريخ/المستأجر/النوع).
الفهرس: محرك البحث/التحليلات للاستفسارات عبر الإنترنت (الطبقة الساخنة).
الأرشيف (WORM): دلاء/أشرطة غير قابلة للتغيير مع سياسات الاحتفاظ والحيازة القانونية.
المرساة/الختم: «ختم» دوري لعبوات سلاسل التجزئة (انظر أدناه).

7) ثبات التشفير

7. 1 سلاسل من التجزئة (مذيلة فقط)

يحتوي كل إدخال على: «hash _ curr = H (سجل)»، «hash _ سابقًا» من الإدخال السابق، «seq». أي تعديل يكسر السلسلة.

prev = GENESIS for record in stream:
payload = canonical_json(record_without_integrity_fields)
h = H(payload          prev.hash          record.seq)
store(record + {hash_prev: prev.hash, hash_curr: h})
prev = {hash: h}

7. 2 توقيع العبوات وطابع الوقت

كل N ثانية/MB نشكل كتلة: جذر Merkle لجميع «hash _ curr».
نوقع الكتلة بمفتاح التدقيق (مخزن بشكل ثابت في KMS/HSM).
أضف طابع زمني لإدارة أمن المواصلات وانشر «سجل الشفافية».
اختياري: تثبيت تجزئة الجذر بشكل دوري على مساحة خارجية يمكن إثباتها (على سبيل المثال، مجلة مستقلة أو تخزين عام غير قابل للتغيير).

7. 3 إدارة مفاتيح التدقيق

مفاتيح التوقيع - في KMS/HSM، التناوب في الموعد المحدد، الوصول متعدد العوامل، التحكم المزدوج للتصدير.
الإلغاء الرئيسي → فرع استئماني جديد ؛ التوقيعات القديمة لا تزال قابلة للتحقق.

8) سياسات الاستبقاء والإدارة الدودية للديدان

WORM/Illecturability: بما في ذلك الحاويات/الدلاء الثابتة مع الاحتفاظ وسياسات الاحتفاظ القانونية للفئات P0/P1.
إصدار الوثائق: تمكين ؛ الحذف - فقط للإجراءات مع التأخير (حظر التطهير الفوري).
الاحتفاظ: ساخن (7-30 يومًا)، دافئ (3-6 أشهر)، بارد/أرشيف (1-7 سنوات أو أكثر - اعتمادًا على المنظم/العقد).
الاستئجار المتعدد: مساحات/حسابات/مفاتيح تشفير منفصلة لكل مستأجر ؛ الإبلاغ عن الوصول إلى السجل.

9) الخصوصية والتقليل

الجمع وفقًا لمبدأ الضرورة: نحن لا نسجل غير ضروري.
ترميز/تسمية مستعارة للحقول الحساسة، هاش ملح لمعرفات الهوية.
تشفير حقل جانب المنتج (AEAD) عند تخزينه في تخزين كائن مشترك.
الحق في حذف (حيثما ينطبق ذلك): يتم تنفيذه من خلال محو مفاتيح الحقل/الجزء، دون انتهاك ثبات الحاوية (المخطط لها أثناء التصميم).

10) الوصول إلى مراجعة الحسابات نفسها وأدوارها ومراجعتها

الانقسام: المنتجون ≠ القراء ≠ المسؤولين.
قراءة فقط من WORM ؛ تغيير سياسات الاحتفاظ - من خلال أدوار وإجراءات منفصلة مع الموافقة.
يتم تسجيل جميع عمليات القراءة/التصدير في سجل ثانوي (مراجعة فوقية).
التصدير للتحقيق/الامتثال - في شكل مشفر مع دليل كتلة التجزئة وسلسلة ائتمان.

11) إمكانية الرصد و SLO

المقاييس: معدل الحقن، التأخر في المؤشر، ضياع/تكرار٪، جزء بسيط من الوقت غير المتزامن، أخطاء التوقيع/التثبيت، الحشو المؤقت.
SLO: ≥99. 9٪ من الأحداث التي تم تسليمها ≤ X ثانية إلى مؤشر ساخن ؛ 0 «ثقوب» غير مبررة في التسلسل ؛ 100٪ من الكتل موقعة ومختومة بالوقت.
التنبيهات: توقف الحقن مؤقتًا> N دقائق، نمو التجزئة غير الصالح، اختلاف السلسلة، فشل التوقيع/الطابع الزمني، تعويض الوقت بعد العتبة.

12) الاختبار والتحقق

الاختبارات الحمراء/الزرقاء: محاولة لتحرير/حذف سجل في مراحل مختلفة ؛ فحص الكشف.
الفوضى: تعطيل العامل على العقدة، وكسر الشبكة، والفيضان العازل، «انتحال الوقت».
فحوصات التشفير: التحقق المنتظم من السلاسل، والتوفيق بين جذور ميركل والطوابع.
الطب الشرعي: تشغيل نصوص استقصائية من جذوع الأشجار من طرف إلى طرف.

13) التشغيل والإجراءات

كتاب التشغيل «فحص النزاهة» (عند الطلب والمقرر).
إجراءات الاحتجاز القانوني و «التجميد» المؤقت للأطراف.
إجراء الاكتشاف والتصدير مع الحفاظ على سلسلة الثقة.
خطة لتناوب مفاتيح مراجعة الحسابات والاستجابة للحل الوسط (فرع استئماني جديد، إعادة توقيع القطع، الإخطارات).

14) وصفات صغيرة

records = read_partition(ts_window)
leaves = [H(canonical_json(r)) for r in records]
root  = merkle_root(leaves)
sig   = KMS.sign(root          ts_now)
tsa   = TSA.timestamp(sig)
store_block({root, sig, tsa, count=len(leaves), window})
append_transparency_log(H(root          sig          tsa))

for i in 1..N:
assert rec[i].hash_prev == rec[i-1].hash_curr assert rec[i].hash_curr == H(canonical_json(rec[i]_no_hash)          rec[i].hash_prev          rec[i].seq)

• طائرة التحكم/البيانات P0: ساخنة 30 يومًا → دافئة 6 أشهر → أرشيف 7 سنوات (WORM).
• DevOps: أيام 14 الحارة → 3 أشهر دافئة → الأرشيف 1 العام.
• إشارات Securiti: 90 يومًا حارًا (للتحقيقات)، ثم 1-3 سنوات.

15) الأخطاء المتكررة

"السجلات نص بدون مخطط. "بدون مخطط، لا يوجد تكامل وتفتيش قطعيان ؛ مطلوب JSON وحقول ثابتة.
لا علاقة. عدم وجود «تعقب» يعطل التحقيقات.
بالتوقيت المحلي. UTC فقط وتعويض السيطرة.
يكتب إلى مجلدات قابلة للتعديل. بدون WORM، أي ثبات هو خيال.
لا تسجل القراءات. قراءة البيانات الحساسة مهمة لإصلاح ما لا يقل عن الكتابة.
أسرار في السجلات. قم بتشغيل المعقمات قبل إرسال «القوائم الحمراء» للأنماط.
مفتاح واحد لكل شيء. مفاتيح التوقيع والتشفير - بشكل منفصل، مع دور وتناوب.

16) الامتثال والتنظيم

وتتوقف متطلبات مدة الصلاحية/الثبات على المجال (التمويل، الدفع، الاتصالات السلكية واللاسلكية، إلخ).
إمكانية الإثبات: توافر بروتوكولات الإدارة الدودية للديدان/الاحتفاظ بها، وتقارير التحقق من صحة الدوائر، وسجلات الوصول إلى السجلات، وإجراءات الاحتجاز والتصدير القانونية.

17) القوائم المرجعية

قبل البيع

• تصنيف الأحداث والمخطط المعتمد (المجالات المطلوبة).
• العوامل، والمخزونات، والنقل المحمي، والضغط الخلفي المكون.
• تشمل: سلاسل التجزئة، توقيع الكتلة، الطابع الزمني، سجل الشفافية.
• تمكين تخزين WORM/presentation ؛ لعدم القدرة على الكتابة/الحذف.
• إخفاء/ترميز الحقول الحساسة.
• التزامن الزمني والرصد التعويضي.
• خطة التناوب وتخزين مفاتيح مراجعة الحسابات في نظام إدارة كوسوفو/إدارة الموارد البشرية.

عملية

• التحقق الأسبوعي من السلاسل والكتل (+ تقرير).
• تنبيهات استراحة الدائرة/خطأ التوقيع/تعويض الوقت.
• اختبارات استبدال/حذف الفريق الأحمر الدورية.
• استعراض منتظم للمبالغ المحتجزة والتكاليف.

18) الأسئلة الشائعة

س: هل يكفي مجرد «إضافة» على مستوى قاعدة البيانات ؟

لا لا نحن بحاجة إلى ضمانات تشفير (سلاسل من التجزئة، وتوقيعات حظر، وطوابع زمنية) وسياسات WORM.

س: ماذا عن الحق في حذف البيانات ؟

ج: تصميم محو التشفير (إزالة المفتاح) للحقول/الأطراف، مع إبقاء الوسائط غير قابلة للتغيير وإثبات السجلات.

س: هل أحتاج إلى مفتاح منفصل للتوقيع على الكتل ؟

أوه، نعم. مفاتيح توقيع الكتلة المنفصلة عن مفاتيح تشفير التخزين ؛ في KMS/HSM، مع التناوب ومراجعة الحسابات.

س: هل من الممكن «الترسيخ» في مكان عام ؟

ج: اختياري. هذا يعزز إمكانية التحقق وسيقطع «تاريخ إعادة الكتابة» داخل الدائرة.

• «في الراحة التشفير»
• «In Transit Encryption»
• «الإدارة السرية»
• «الإدارة والتناوب الرئيسيان»
• «توقيع الطلبات والتحقق منها»