سجل التدقيق الموحّد لا يعمل

By Mirko Peters · 2026-04-23 · Updated 2026-07-18

استكشاف أخطاء سجل التدقيق الموحّد في Microsoft 365 وإصلاحها، مع فحوصات للتدقيق والأذونات وعوامل التصفية في البحث والترخيص والتأخيرات.

Automatically translated with AI from the original post. Read the English original

ما من شيء يرفع ضغط العمل في تقنية المعلومات مثل فتح تدقيق Microsoft 365 ثم لا يحدث شيء على الإطلاق. يُفترض أن يمنحك سجل التدقيق الموحّد نافذة كاملة على نشاط المستخدمين والمسؤولين، وهو أمر أساسي للاستجابة للحوادث والامتثال، وللحفاظ على هدوئك أيضًا. وعندما تفتقد البيانات، أو يرفض السجل البحث، أو يبدو زر التصدير معلقًا بشكل دائم، فقد تتوقف عملية الأمان بأكملها.

يغطي هذا الدليل الأسباب الرئيسية التي قد تجعل سجل التدقيق الموحّد يتصرف بشكل غير طبيعي، بدءًا من نقص الأذونات ومرورًا بالبيانات المتأخرة، وصولًا إلى تحديثات Microsoft الخفية. ستجد خطوات عملية لإعادة كل شيء إلى مساره الصحيح، إضافةً إلى نصائح لتجنب المفاجآت مستقبلًا. كما نتناول مسائل لا يتحدث عنها أحد عادةً، مثل ثغرات الترخيص، وتعارضات الإعدادات، وتأخيرات المعالجة في الخلفية التي تبدو كأنها أعطال حقيقية. وبنهاية الدليل، ستعرف ليس فقط كيف تصلح مشكلات التدقيق، بل كيف تحافظ على موثوقية سجلاتك بقدر موثوقية قهوة الصباح.

تفعيل تسجيل التدقيق عبر تطبيقات Microsoft 365

يُعد تفعيل تسجيل التدقيق عبر Exchange Online وSharePoint وOneDrive وTeams الخطوة الأولى للحصول على بيانات تدقيق موحّدة وموثوقة من Microsoft 365، وغالبًا ما تُغفل. ينبغي تنفيذ ذلك في مركز الامتثال في Microsoft 365، الذي أُعيد تسميته إلى Microsoft Purview لدى معظم المؤسسات.

بالنسبة إلى المستأجرات التجارية، انتقل إلى بوابة Microsoft Purview، ثم إلى "التدقيق"، وتحقّق من أن تسجيل التدقيق مفعّل فعلًا. ومما يثير الدهشة أنه ليس تلقائيًا دائمًا، حتى في المستأجرات الحديثة. أما إذا كنت تستخدم بوابة الامتثال الكلاسيكية أو تعمل في مستأجر حكومي (GCC أو DOD)، فقد تختلف واجهة المستخدم قليلًا، لكن الإعدادات تقع في موقع مشابه ضمن "البحث" أو "البحث في سجل التدقيق".

عند تفعيل تسجيل التدقيق الموحّد، لا تفترض أن "الإعداد الافتراضي" يعني "الاكتمال". فبعض تطبيقات Microsoft 365 الجديدة تتطلب إعادة تفعيل لتغطية التدقيق بشكل كامل. فعلى سبيل المثال، قد لا تكون Teams أو مواقع SharePoint الجديدة مشمولة بالكامل إذا تم تشغيل الخدمات الأساسية لاحقًا. ومن الذكاء دائمًا التحقق من حالة التسجيل بعد إضافة خدمات جديدة.

تذكّر: بعض البيئات تحتاج إلى عدة خطوات لتكتمل. يمكن أن يساعدك تدقيق نشاط المستخدمين باستخدام Microsoft Purview في معرفة المستويات المتاحة لديك (Audit Standard مقابل Audit Premium)، وما الذي يُسجَّل، وكيفية التأكد من تغطية كل أعباء العمل السحابية. وتخطّي التحقق هو السبب الأول لغياب السجلات في اللحظة التي تحتاجها فيها أكثر من غيرها.

أذونات أداة التدقيق والوصول إلى بوابة الامتثال

لا يتعلق سجل التدقيق الفعّال بتبديل المفاتيح الصحيحة فحسب، بل يعتمد الكثير على الدور الذي تؤديه في عالم Microsoft 365. للوصول إلى سجلات التدقيق والبحث فيها، يحتاج المسؤولون إلى مجموعة صحيحة من الأذونات تُمنح عبر Microsoft Purview أو مركز الأمان والامتثال.

عادةً ما تكون الأدوار الأساسية هي مسؤول الامتثال (Compliance Administrator)، أو سجلات التدقيق (Audit Logs)، أو قارئ الأمان (Security Reader). وتُمنح هذه الأدوار عبر مجموعات الأدوار في بوابة Microsoft Purview (أو أحيانًا عبر Entra ID). وإذا كنت تحاول سحب السجلات وظهر خطأ أو بقي الخيار معطّلًا، فتحقّق مرة أخرى من أن حسابك ينتمي فعلًا إلى المجموعة الصحيحة، وأن أي تغييرات حديثة قد أتيحت لها فرصة للمزامنة عبر الخلفية الخاصة بـ Microsoft 365.

وأبرز الأخطاء الشائعة: تعيين الأشخاص في مجموعة خاطئة (مثل Global Reader بدلًا من Compliance Administrator)، أو الاعتماد على أدوار Entra ID مع تجاهل إعداد Purview، أو عدم الانتباه إلى أن بعض تغييرات الوصول قد تستغرق حتى 24 ساعة لتصبح فعّالة. كما يمكن أن يؤدي عدم اتساق تعيينات الأدوار، أو استخدام حسابات المسؤول الطارئة (break-glass) التي تتجاوز المراجعات اليدوية، إلى عدم عمل أدوات التدقيق كما هو متوقع.

إدارة الوصول إلى التدقيق بشكل جيد لا تعني فتح الأبواب فحسب، بل تعني أيضًا الحوكمة الرشيدة، وإزالة المستخدمين غير النشطين، والمراجعات الدورية للوصول، وهو ما يُشرح بالتفصيل في دليل حوكمة الوصول إلى بيانات Microsoft 365 وملكيتها. فإبقاء الأذونات محكمة يساعدك على تجنب فجوات التدقيق غير المقصودة، مع ضمان بقائك متوافقًا مع سياسات الأمان الخاصة بمؤسستك.

استكشاف أخطاء فشل سجل التدقيق الموحّد وإصلاحها في Microsoft 365

عندما يبدو سجل التدقيق الموحّد معطّلاً، فيعرض عمليات بحث فارغة أو سجلات مفقودة أو خيارات تصدير غير مستقرة، فغالباً ما يكون ذلك مؤشراً على مشكلة أعمق في الإعدادات أو التراخيص أو تأخّر في الخلفية. وقد تبدو هذه المشكلات متشابهة إلى حد الالتباس، لكن أسبابها الجذرية وحلولها تختلف كثيراً في الغالب.

قبل الاتصال بالدعم أو تصعيد المشكلة، من المفيد معرفة ما يُعدّ السلوك «الطبيعي»، وخطوات استكشاف الأخطاء التي تحدد ما إذا كنت تواجه أحداثاً مفقودة، أو تنظر إلى نطاقات زمنية خاطئة، أو تفتقر إلى الأذونات، أو تصطدم بحدود تفرضها Microsoft. وأحياناً تكون المشكلة بسيطة كتأخّر في استيعاب البيانات، بينما تكون في أحيان أخرى مسألة ترخيص دقيقة أو تغيير في النهج مرّ دون أن يُلاحظ.

في الأقسام التالية ستجد نصائح عملية لتشخيص الفجوات، والتحقق من اكتمال السجلات، والتغلب على المشكلات المتعلقة بPowerShell والتصدير، وتصفية النتائج لتحليل واقعي. فإذا فهمت هذه الخطوات، ستصبح أسرع في التعرّف على أكثر أعطال سجل التدقيق شيوعاً وأصعبها، ثم في معالجتها.

الموثوقية والاكتمال: معالجة سجلات التدقيق المفقودة أو غير المكتملة

• تحقّق من نهج الاستبقاء والترخيص: كثيراً ما تظهر فجوات في البيانات إذا كانت تراخيص Microsoft 365 لديك لا تدعم الاستبقاء الممتد (متاح فقط مع E5 أو الخطط المتميزة)، أو إذا تغيّر ترخيص المستخدم مؤخراً. تحقّق دائماً من أنك تملك فئة الترخيص الصحيحة للسجلات والفترة الزمنية التي تحتاجها.
• راجع تأخيرات الاستيعاب: سجلات التدقيق ليست فورية. قد يكون هناك تأخير مدمج يتراوح بين 15 دقيقة وعدة ساعات، أو في حالات نادرة أطول من ذلك، خاصة في عطلات نهاية الأسبوع أو أثناء اضطرابات خدمات Microsoft. وقد يجعل هذا التأخير السجلات تبدو مفقودة، بينما هي في الحقيقة متأخرة فقط.
• حدّد حالات التقييد وقيود التصدير: قد تواجه المستأجرات الكبيرة تقييداً للمعدل، خاصة إذا كانت عمليات التصدير أو عمليات البحث تعمل بحجم كبير. وقد تفوتك بعض الإجراءات أو تظهر متأخرة إذا تجاوزت حدود المعدل أو حدود الجلسات.
• استبعد النتائج الإيجابية الكاذبة: تأكّد من أن مرشحات المستخدم أو التاريخ أو النشاط ليست ضيقة أكثر من اللازم أو مُعدّة بشكل خاطئ. فالبحث في نافذة زمنية ضيقة جداً، أو اختيار مستخدم أو مجموعة خاطئة، أو تصفية أحداث «الضوضاء» غير الضارة، قد تجعل الأمور تبدو أكثر عطلاً مما هي عليه فعلاً.
• تحقّق من مشكلات الإعدادات على مستوى المستأجر: قد تتداخل إعدادات المستأجر المتعلقة بالوصول المشروط، أو أذونات أسماء الخدمة، أو حتى نهج الحجز القانوني للامتثال، مع إنشاء أحداث التدقيق. راجع الإعدادات والتحديثات الأمنية الأخيرة لاستبعاد الأسباب الخفية.

استخدام الأمر Search-UnifiedAuditLog في Microsoft PowerShell

يُعد الأمر Search-UnifiedAuditLog في PowerShell أداة قوية لاستكشاف الأخطاء المتقدم، إذ يتيح تجاوز بوابة الويب والاستعلام مباشرة عن سجلات التدقيق الموحّدة عبر Microsoft 365. وهو مفيد بشكل خاص للتصدير بكميات كبيرة، وفحص نطاقات بيانات واسعة، أو أتمتة عمليات التحقيق المتكررة.

تشمل مهام المسؤول المعتادة البحث حسب التاريخ أو المستخدم أو النشاط، وتصدير النتائج لتحليل أعمق. احرص فقط على الانتباه إلى القيود المعروفة، مثل حد التصدير البالغ 50,000 سجل، أو التقييد عند تنفيذ عمليات بحث متكررة وكبيرة. وقد تخبرك الأخطاء هنا بما إذا كانت المشكلة في الخلفية، أو في البوابة، أو مجرد مسألة تتعلق بحدود التوسع في جلستك.

ورغم الإمكانات الكبيرة للأتمتة، قد تُعيد بعض المصادر، مثل المقالات المعمّقة حول حوكمة PowerShell، توجيهك إلى مواد أخرى إذا نُقل المحتوى، لكن الوثائق الرسمية والمنتديات تظل ذات قيمة كبيرة لمعرفة أحدث خيارات الأوامر والمحاذير.

التصفية حسب التاريخ والمستخدم، وعرض التفاصيل أثناء تصدير السجلات

• صفِّ النتائج حسب نطاق التاريخ: حدّد دائماً نافذة زمنية محددة، كأسبوع أو بضعة أيام، لتقليص نتائج البحث والحد من الضوضاء. فعمليات البحث الواسعة حسب التاريخ كثيراً ما تفوّت أحداثاً أو تُثقل وظائف التصدير.
• استهدف المستخدمين أو نوع النشاط: استخدم أسماء المستخدمين الرئيسية (UPN) أو كلمات مفتاحية للنشاط لتتأكد من أنك تسترجع الأحداث التي تهمك فقط. وهذا يوفّر عليك فترات انتظار طويلة ويقلل احتمال الوصول إلى حدود الحجم في التصدير.
• عاين تفاصيل الأحداث قبل التصدير: افتح سجلاً واحداً قبل التصدير الجماعي لتتأكد من أن الأحداث تُسجَّل كما هو متوقع، مع البيانات الوصفية الصحيحة.
• صدّر على دفعات قابلة للإدارة: في حالة عمليات التدقيق الكبيرة، قسّم عمليات التصدير إلى فترات أصغر ومتداخلة قليلاً لتجنب انتهاء المهلة أو ملفات CSV الناقصة.

تشغيل عمليات البحث في سجل التدقيق وتصدير بيانات التدقيق الموحّد

لتشغيل بحث في سجل تدقيق Microsoft 365، انتقل إلى بوابة Microsoft Purview واختر قسم التدقيق. حدّد النطاق الزمني والمستخدم أو المستخدمين وأنواع الأنشطة لبناء استعلامك، وتجنّب عمليات البحث الشاملة لجميع المستخدمين أو للمستأجر بأكمله ما لم تكن بحاجة فعلية إليها، لأنها قد تُثقل واجهة المستخدم ومحرّك التصدير.

عند ظهور النتائج، يمكنك معاينتها أو تصديرها إلى ملف CSV من بوابة الويب. تذكّر أن النتائج الكبيرة جدًا قد تفشل أو تنتهي مهلتها، لذا حافظ على استعلامات محددة الهدف. وإذا واجهت أخطاء أثناء التصدير، فجرّب نطاقات زمنية أصغر، أو استخدم PowerShell لاستخراج سجلات التدقيق على دفعات.

راجع دائمًا الملفات المصدّرة للتأكد من اكتمالها، أي الأعمدة والفترات الزمنية، قبل الاعتماد عليها في التحقيقات.

تأخّر سجل التدقيق الموحّد ومشكلات تأخّر البيانات

من أكثر الأسباب التي تُغفل عنها عند غياب بيانات التدقيق؟ التأخير البسيط. فسجلات التدقيق ليست دائمًا في الوقت الفعلي، إذ تعالج Microsoft أحداث الأنشطة على دفعات، وقد يظهر إدخال السجل الفعلي بعد وقت طويل من حدوث إجراء المستخدم.

قد يؤدي ذلك إلى تذاكر دعم عاجلة وإهدار وقت في استكشاف الأخطاء، في حين أن السجلات بطيئة فقط وليست معطوبة. من المهم فهم الجداول الزمنية المعتادة لاستيعاب البيانات، وكيفية التمييز بين تأخّر السجل الطبيعي وفقدان البيانات الحقيقي أو خطأ النظام. يستعرض هذا القسم كيفية عمل هذه التأخيرات، وكيفية متابعة الأحداث المفقودة فعلًا (مقارنةً بتلك التي تتأخر عن موعدها فقط).

فهم تأخيرات معالجة سجلات التدقيق الطبيعية وغير الطبيعية

تعالج سجلات التدقيق الموحّدة في Microsoft 365 عادةً إجراءات المستخدمين والمسؤولين خلال 15 دقيقة إلى ساعة، لكن ليس من غير المألوف ملاحظة تأخيرات تصل إلى 24 ساعة، خاصةً أثناء صيانة الخدمة أو الأعطال الإقليمية، أو بالنسبة إلى أحداث معينة منخفضة الأولوية.

تنص اتفاقية مستوى الخدمة الرسمية من Microsoft على أن الحد الأقصى لتوفّر السجلات هو 24 ساعة في الظروف الاعتيادية، ما يعني أن أي فترة أقصر تقع ضمن التوقعات. أما إذا لاحظت غياب أحداث التدقيق لفترة أطول من ذلك، أو تأخّر عدة أنواع من الأنشطة عن الموعد الطبيعي، فهذه هي المرحلة التي ينبغي عندها بدء مزيد من التحقيق.

كن على علم بأن بعض الخدمات (مثل Teams أو أنشطة التطبيقات التابعة لجهات خارجية) قد تجمّع سجلاتها بطريقة مختلفة عن SharePoint أو Exchange. تحقّق دائمًا من إعلانات Microsoft الحالية قبل افتراض وجود خلل منهجي في السجلات.

كيفية مراقبة اكتمال بيانات السجلات والتحقق منه بمرور الوقت

• تحديد الأنشطة المتوقعة كخط أساس: حدّد إجراءً معروفًا للمستخدم (مثل تسجيل الدخول إلى صندوق البريد أو رفع ملف)، وسجّل طابعه الزمني، ثم تحقّق من المدة التي يستغرقها ظهور أحداث التدقيق المقابلة.
• استخدام نصوص PowerShell: أتمتِ عمليات التحقق اليومية باستخدام نصوص مجدولة تسحب إدخالات السجل الحديثة، وتقارن الطوابع الزمنية، وتُبلغ عن الحالات الشاذة، حتى لا تعتمد على المراجعات اليدوية.
• تتبّع التراكم على مدى أيام: إذا كان عنصر سجل مفقودًا، فتحقّق منه مجددًا بعد 24 و48 ساعة، فقد تحلّ التأخيرات نفسها مع الوقت، وقد تكشف الفجوات المستمرة عن اختناقات في الخلفية.
• المقارنة مع بلاغات المستخدمين: إذا ادّعى المستخدمون أن نشاطًا حرجًا لم يُدقَّق، فقارن تاريخ نشاطهم بالطوابع الزمنية للتصدير لاستبعاد فقدان الاستيعاب قبل فتح تذكرة دعم.

جاهزية سجل التدقيق واستراتيجية الامتثال

الحصول على سجلات تدقيق موثوقة في Microsoft 365 يبدأ قبل وقوع الحادث بوقت طويل. تحتاج المؤسسات إلى خطة تغطي دورة الحياة الكاملة: الترخيص، والاستبقاء، والأتمتة، واستراتيجية الامتثال. وتنبع كثير من إخفاقات السجلات من أخطاء بسيطة، مثل إغفال تفعيل الاشتراكات، أو عدم تعيين الأدوار، أو عدم تطابق إعدادات النهج.

يقدّم هذا القسم جميع العناصر الأساسية: مدة الاحتفاظ بسجلاتك (وكيف تختلف بين خطط E3 وE5 والخطط الحكومية)، وقوائم التحقق التي تضمن متانة الإعداد، ونصائح عملية بشأن التراخيص لتجنّب الانقطاعات الصامتة. كما ستتعرّف على كيفية توافق Microsoft Purview وعناصر التحكم الأمنية ذات الصلة، مثل DLP وتصنيف الحساسية، ضمن الصورة الأكبر للامتثال.

مع التعاون السحابي، لا يكفي مجرد تفعيل سجل التدقيق. ما يصنع الجاهزية الحقيقية والمستدامة هو المراجعات الدورية، والنهج الاستراتيجي، ومواءمة التفاصيل التقنية مع مخاطر العمل والمخاطر التنظيمية. للاطلاع على الجوانب الأكثر تعقيداً في الامتثال والمحتوى المدعوم بالذكاء الاصطناعي، يمكنكم الاطلاع على هذا التحليل حول انحراف الامتثال الخفي وحوكمة Copilot باستخدام Purview، فهما يوضحان لماذا لا تكفي لوحات المعلومات المستقرة لوحدها.

أساسيات الاستبقاء لسجلات التدقيق وقائمة تحقق عملية لتدقيق Microsoft 365

• تعيين أدوار المسؤول الصحيحة: تأكد من تعيين جميع أدوار التدقيق والامتثال والأمان اللازمة، مثل مسؤول الامتثال وسجلات التدقيق، في كل من Purview وEntra ID.
• التحقق من متطلبات الترخيص: مدة الاستبقاء القياسية لسجلات التدقيق هي 90 يوماً لمعظم مستأجري E3 (التجاريين). يتيح E5 أو Audit Premium استبقاءً أطول (سنة أو أكثر)، وإشارات أفضل، وبعض الأحداث عالية القيمة. تحقق مرة أخرى من أن جميع المستخدمين الذين يحتاجون إلى التغطية لديهم ترخيص صحيح، خاصةً بعد التغييرات أو عمليات نشر التراخيص القائمة على المجموعات.
• ضبط إعدادات تدقيق Purview: راجع أن تسجيل التدقيق مفعّل بشكل صريح ويشمل جميع الخدمات الأساسية، أي Exchange وSharePoint وOneDrive وTeams وأي تطبيقات حساسة. لا تتجاوز تهيئة الخدمات الجديدة.
• راجع سياسات الاستبقاء والتصدير: اضبط الاستبقاء بما يتوافق مع متطلبات عملك والمتطلبات التنظيمية. احذر من تعارض سياسات Purview أو عمليات الحجز المتعارضة للاستبقاء، إذ قد تُنشئ تناقضات بين الخدمات.
• اختبر التغطية وراجعها بانتظام: نفّذ عمليات بحث تجريبية في التدقيق، ووثّق نافذة الاستبقاء المتوقعة، وصدّر سجلات نموذجية شهرياً للتأكد من وجود البيانات وإمكانية الوصول إليها عند الحاجة.
• فكّر في إضافات الامتثال: في البيئات عالية المخاطر، وسّع الحوكمة عبر DLP وتسميات الحساسية ومراجعات الوصول والملكية بشكل دوري، لمنع فجوات التدقيق وتمكين الاستجابة الفعالة للحوادث.

إن الفجوات في أي مما سبق، وإغفال أن الاستبقاء ليس غير محدود، هما السببان الأكثر شيوعاً لغياب الأحداث الحرجة عند حان وقت التحقيق. وازن قائمة التحقق مع مخاطرك الدقيقة والتزاماتك التنظيمية لتبقى مستعداً ومغطى.

نصائح متقدمة لتعظيم قيمة سجل التدقيق الموحد

عند العمل مع سجل التدقيق الموحد في Microsoft 365، لا تكفي عمليات البحث السطحية لالتقاط كل شيء. إذا أردت رصد كل شيء، وخاصةً إجراءات صناديق البريد التي ينفذها المستخدمون أو المسؤولون، فستحتاج إلى توظيف مرشحات البحث المتقدمة. ولا تتردد في استخدام PowerShell، فأوامر مثل Search-UnifiedAuditLog تتيح لك التعمق حسب المستخدم أو التاريخ أو النشاط للحصول على دقة عالية.

استفد أيضاً من خيارات التصدير. فتصدير بيانات التدقيق بانتظام إلى ملفات CSV يجعل مطابقة السجلات مع الجداول الزمنية للحوادث أمراً سهلاً. وإذا كنت تريد تحديد من حذف ملفاً حساساً، أو متى مُنحت أذونات غير متوقعة على صندوق بريد، فإن هذه التفاصيل المُصدَّرة تصبح ذات قيمة كبيرة لبناء مسارات التدقيق أو تقارير الحوادث.

انتبه للفجوات الخفية في سجلاتك. يغفل كثيرون عن رصد إخفاقات السجلات المرتبطة بالترخيص أو بالنهج. اجعل من عادتك التحقق من اتساق تغطية التدقيق، خاصةً بعد تغييرات التراخيص أو التحديثات الكبيرة. وكن حذراً من الأحداث المفقودة التي قد تكون ناتجة عن تأخيرات أو تعديلات في نهج المسؤول، لا عن خلل في السجل نفسه.

اعرف متى تُصعّد المسألة. إذا تحققت من المرشحات، وتأكدت من التراخيص والنهج، ولا تزال ترصد فجوات تدقيق غير مفسَّرة، فلم يعد الوقت مناسباً للاستمرار في المحاولة بلا هدى. هذه هي اللحظة المناسبة لترتيب نتائجك وفتح طلب دعم مع Microsoft. فأحياناً ما يبدو خطأً من المستخدم يتضح أنه مشكلة في الخلفية لا يملك إصلاحها سوى Microsoft.

استمع أيضاً إلى هذه الحلقات

إذا كنت تستكشف مشكلة عدم عمل سجل التدقيق الموحد، فإن هذه الحلقات تضيف سياقاً عملياً حول الحوكمة والأمان والأتمتة والعمليات الموثوقة في Microsoft 365.

• Microsoft Purview – Simply Explained — ربط الاستبقاء والامتثال والتدقيق وحوكمة البيانات.
• Microsoft Teams Governance – Simply Explained — تعرّف على سبب أهمية الملكية وقواعد دورة الحياة في التعاون.
• Microsoft Defender XDR – Simply Explained — اربط إشارات التشغيل بالكشف عن التهديدات والاستجابة لها.
• Conditional Access – Simply Explained — افهم ضوابط الهوية والمخاطر التي تقف وراء الوصول الآمن.

تساعد هذه الحلقات على تحويل موضوع المقال إلى قرارات تنفيذية عملية.