تحليل السجلات

في مجال إدارة سجلات الحاسوب وتحليلها ، يُعد تحليل السجلات (أو تحليل سجلات النظام والشبكة ) فنًا وعلمًا يسعى إلى فهم السجلات التي يُنشئها الحاسوب (وتُسمى أيضًا سجلات النظام أو سجلات التدقيق ). وتُسمى عملية إنشاء هذه السجلات بتسجيل البيانات .

الأسباب الشائعة التي تدفع الناس إلى إجراء تحليل السجلات هي:

• الامتثال لسياسات الأمن
• الامتثال لمتطلبات التدقيق أو اللوائح
• استكشاف أخطاء النظام وإصلاحها
• الطب الشرعي (أثناء التحقيقات أو استجابةً لأمر استدعاء )
• الاستجابة للحوادث الأمنية
• فهم سلوك المستخدمين عبر الإنترنت

تُصدر أجهزة الشبكة وأنظمة التشغيل والتطبيقات وجميع أنواع الأجهزة الذكية أو القابلة للبرمجة سجلات البيانات. غالبًا ما يتألف سجل البيانات من سلسلة من الرسائل مرتبة زمنيًا. يمكن توجيه سجلات البيانات إلى ملفات وتخزينها على القرص، أو توجيهها كتدفق بيانات شبكي إلى جامع سجلات البيانات.

يجب عادةً تفسير رسائل السجل فيما يتعلق بالحالة الداخلية لمصدرها (مثل التطبيق) والإعلان عن أحداث ذات صلة بالأمان أو العمليات (مثل تسجيل دخول المستخدم أو خطأ في النظام).

يُنشئ مطورو البرامج عادةً سجلات النظام للمساعدة في تصحيح أخطاء تشغيل التطبيق أو فهم كيفية تفاعل المستخدمين مع النظام، مثل محرك البحث. ويختلف تركيب ودلالات البيانات في رسائل السجل عادةً باختلاف التطبيق أو المورّد. كما قد تختلف المصطلحات؛ فعلى سبيل المثال، قد يُوصف توثيق المستخدم في تطبيق ما بتسجيل الدخول، أو تسجيل الدخول، أو اتصال المستخدم، أو حدث التوثيق. لذا، يجب أن يُفسّر تحليل السجلات الرسائل في سياق التطبيق أو المورّد أو النظام أو التكوين لإجراء مقارنات مفيدة مع الرسائل من مصادر سجلات مختلفة.

قد لا يكون تنسيق أو محتوى رسائل السجل موثقًا بالكامل دائمًا. ومن مهام محلل السجلات حث النظام على إصدار النطاق الكامل للرسائل لفهم المجال الكامل الذي يجب تفسير الرسائل من خلاله.

قد يقوم محلل السجلات بربط المصطلحات المتباينة من مصادر السجلات المختلفة بمصطلحات موحدة ومعيارية، بحيث يمكن استخلاص التقارير والإحصائيات من بيئة غير متجانسة. على سبيل المثال، يمكن تجميع رسائل السجلات من أنظمة ويندوز ويونكس وجدران الحماية الشبكية وقواعد البيانات في تقرير "موحد" للمدقق. قد تشير الأنظمة المختلفة إلى أولويات رسائل مختلفة باستخدام مصطلحات مختلفة، مثل "خطأ" و"تحذير" مقابل "خطأ" و"تحذير" و"حرج".

وبالتالي، فإن ممارسات تحليل السجلات موجودة على سلسلة متصلة من استرجاع النصوص إلى الهندسة العكسية للبرمجيات.

التعرف على الأنماط هو وظيفة اختيار الرسائل الواردة ومقارنتها بكتاب الأنماط لتصفية الرسائل أو التعامل معها بطرق مختلفة.

التطبيع هو وظيفة تحويل أجزاء الرسالة إلى نفس التنسيق (مثل تنسيق التاريخ الشائع أو عنوان IP الموحد).

التصنيف والوسم هما ترتيب الرسائل في فئات مختلفة أو وسمها بكلمات مفتاحية مختلفة لاستخدامها لاحقًا (مثل التصفية أو العرض).

تحليل الارتباط هو تقنية لجمع الرسائل من أنظمة مختلفة وتحديد جميع الرسائل التي تنتمي إلى حدث واحد (مثل الرسائل الناتجة عن نشاط ضار على أنظمة مختلفة: أجهزة الشبكة، وجدران الحماية، والخوادم، وما إلى ذلك). وعادةً ما يرتبط بأنظمة الإنذار.

التجاهل الاصطناعي هو نوع من أنواع التعلم الآلي ، وهو عملية تجاهل سجلات النظام التي تُعرف بأنها غير مهمة. يُستخدم التجاهل الاصطناعي للكشف عن الحالات الشاذة في النظام العامل. في تحليل السجلات، يعني هذا التعرف على رسائل السجل العادية والشائعة الناتجة عن التشغيل الطبيعي للنظام، وبالتالي فهي غير مهمة، وتجاهلها. مع ذلك، قد تشير الرسائل الجديدة التي لم تظهر في السجلات من قبل إلى أحداث مهمة، ولذا يجب التحقق منها. ^{[ 1 ] [ 2 ]} بالإضافة إلى الحالات الشاذة، ستحدد الخوارزمية الأحداث الشائعة التي لم تحدث. على سبيل المثال، فشل تحديث النظام الذي يُنفذ أسبوعيًا.

غالبًا ما تُقارن عملية تحليل السجلات بأدوات تحليلية أخرى مثل إدارة أداء التطبيقات (APM) ومراقبة الأخطاء. ورغم وجود تداخل واضح في وظائفها، إلا أن الاختلاف يكمن في طريقة العمل. تركز إدارة أداء التطبيقات على الأداء، وتُستخدم غالبًا في بيئات الإنتاج. أما مراقبة الأخطاء، فيُشرف عليها المطورون وليس فريق العمليات، وتُدمج في التعليمات البرمجية ضمن وحدات معالجة الاستثناءات .

• سجل التدقيق
• مسجل البيانات
• مراقب السجلات
• سجل الخادم
• مراقب النظام
• برنامج تحليل سجلات الويب
• قائمة برامج تحليل المواقع الإلكترونية