كشف رؤية Microsoft 365: لماذا تُبقيك موصلات SIEM الافتراضية في العمى

By Mirko Peters · 2026-08-11

أهلاً بكم مجدداً في المدونة! إذا كنتم تتولّون إدارة العمليات الأمنية لمؤسسة تعتمد على Microsoft 365، فمن المرجّح أنكم تشعرون بإحساس زائف بالأمان. لقد نقرتم على "en…"

Automatically translated with AI from the original post. Read the English original

مرحبًا بعودتكم إلى المدونة! إذا كنتم تدير عمليات الأمن لمؤسسة تعتمد على Microsoft 365، فمن المرجح أنكم تشعرون بإحساس زائف بالأمان. فقد نقرتم على "تمكين" في موصل M365 الافتراضي في SIEM الخاص بكم، وتحققتم من تدفق السجلات، ووضعتم علامة الامتثال. لكن هل أنتم محميون فعلًا؟ الحقيقة غير المريحة هي أن موصلات SIEM الجاهزة غالبًا ما تترك ثغرات رؤية كبيرة، إذ تغفل تمامًا أحمال العمل السحابية المتقدمة التي يحب المهاجمون العمل فيها. ولتفصيل هذا الموضوع المهم، تأكدوا من الاستماع إلى حلقتنا البودكاست المرافقة، Send Critical Microsoft 365 Logs to Your SIEM، حيث نشرح هذه الفجوات بالتفصيل.

في هذه المقالة، سنتعمق في سبب فشل الإعدادات الافتراضية، وأين تكمن نقاط العمى الخفية، وكيف يمكنكم بناء مسار إدخال مرن وفعّال من حيث التكلفة، يُظهر اكتشافات عالية الإشارة يمكن للمحللين الاستفادة منها فعلًا.

نقاط العمى في Microsoft 365 عبر أشهر منصات SIEM

سواء كنتم تستخدمون Microsoft Sentinel أو Splunk أو QRadar، فإن قوالب الإدخال الافتراضية تركز عادةً على تسجيلات دخول Azure Active Directory الأساسية وسجلات نشاط Office 365 المحدودة. ورغم أن هذا يغطي الأساسيات، فإنه يترك أحمال العمل الحرجة مكشوفة تمامًا. وعبر منصات SIEM الشائعة، تظهر باستمرار عدة نقاط عمى رئيسية:

• Exchange: غالبًا ما تغفل الموصلات الافتراضية الوصول إلى صناديق البريد من غير المالكين، وإنشاء قواعد وإعادة توجيه مشبوهة، وأنشطة SendAs أو SendOnBehalf، وتغييرات الأذونات المفاجئة على صناديق البريد.
• SharePoint وOneDrive: قد ترون عمليات تنزيل الملفات، لكن هل ترون إنشاء روابط خارجية وروابط مجهولة واستخدامها، وإعادة مشاركة الملفات، أو تغييرات الأذونات المميزة على المواقع؟
• Teams: يحب المهاجمون التعاون في العلن. نادرًا ما تلتقط الإعدادات الافتراضية المشاركة الخارجية عبر القنوات المدعومة بـ SharePoint، أو حذف الرسائل وتعديلها، أو تغييرات نهج الاجتماعات، أو التثبيت الجانبي غير المصرح به للتطبيقات.
• Power Platform: يحمل انتشار بيئات التطوير منخفضة الشيفرة وعديمة الشيفرة مخاطر خفية. فغالبًا ما يتم إغفال الارتفاعات المفاجئة في إنشاء التدفقات والتطبيقات، واستخدام الموصلات عالية الخطورة (مثل Outlook وTeams أو موصلات HTTP العامة)، وتجاوزات نهج منع فقدان البيانات (DLP).
• Sensitivity and DLP: غالبًا ما تكون أحداث تطبيق تسميات الحساسية وإزالتها، وحالات تطابق النهج، والتجاوزات اليدوية مفقودةً تمامًا ما لم يتم استهدافها صراحةً.
• سياق Azure AD: غالبًا ما يتم حذف السياق الحاسم المتعلق بتسجيلات الدخول عالية الخطورة، ونتائج الوصول المشروط، والشذوذ في الأجهزة أو المواقع الجغرافية من الاستعلامات القياسية.

الأسباب الجذرية: لماذا تفوتكم الأحداث الحرجة

لماذا تختفي تدفقات القياس الحرجة هذه؟ نادرًا ما يحدث ذلك بالصدفة، بل هو نتيجة خيارات معمارية وتجارية يتخذها مزودو المنصات والمشترون المؤسسيون على حد سواء.

أولًا، تلعب قيود التراخيص دورًا كبيرًا. فالتدقيق المتقدم، وقياس Exchange التفصيلي، وتسجيل أحداث SharePoint الغني، كثيرًا ما تكون مرتبطة بتراخيص أعلى مثل Microsoft 365 E5 أو إضافات التدقيق المتقدم. وإذا كان المستأجر لديكم بمستوى E3، فإن هذه الأحداث ببساطة لا يتم توليدها أو الاحتفاظ بها من الأساس.

ثانيًا، تحدّ نطاقات الموصلات من جمع البيانات. فالموصلات القياسية عادةً ما تسحب تدفقات "OfficeActivity" الأساسية، وتتجاهل أحمال العمل المتقدمة. ثالثًا، قد تُرهق قيود معدل واجهات برمجة التطبيقات وتأخيرات التجميع المجمّعات الأصلية خلال ساعات الذروة، مما يؤدي إلى فقدان السجلات. رابعًا، تعني فجوات المحللات أنه حتى لو وصلت كتل JSON الخام إلى SIEM الخاص بكم، فإن الحقول غير المعيّنة وتغييرات المخطط الصامتة تجعلها تبدو غير مفهومة. وأخيرًا، فإن ضوابط التكلفة التي تطبقها الفرق الحريصة على الميزانية تستبعد بهدوء الفئات الصاخبة دون فهم آثارها الأمنية.

موازنة التحكم في التكلفة دون أن تصبحوا في العمى

من أكبر الاعتراضات على إدخال رؤية Microsoft 365 "الكاملة" هي التكلفة. فإدخال كل سجل يُولَّد من مستأجر M365 كبير قد يستنزف ميزانية تخزين الأمان لديكم. ومع ذلك، ليس عليكم الاختيار بين الإفلاس والبقاء في العمى. عليكم التصفية بذكاء، لا التقليص فقط.

ابدأ بالتصفية في المراحل الأولى من مسار البيانات. اضبط آليات الاستيعاب لتشمل فقط العمليات عالية القيمة للكشف، مثل New-InboxRule أو Add-MailboxPermission أو أحداث إنشاء الروابط المجهولة واستخدامها. أزِل التكرار وادمج الأحداث الكثيرة ومنخفضة القيمة، مثل عمليات حفظ إصدارات SharePoint في الخلفية، قبل أن تصل إلى SIEM الخاص بك.

نفّذ استراتيجيات تخزين متدرجة. احتفظ بالتخزين الساخن لمدة قصيرة (من 30 إلى 60 يومًا) للتحقيقات النشطة، ووجّه التخزين البارد أو الأرشيفي إلى مخازن كائنات أرخص لتلبية متطلبات الامتثال. وقبل تفعيل أي مصدر بيانات جديد، ضع نموذجًا لحجم البيانات. توقّع الغيغابايتات اليومية لكل مصدر، ثم ضاعف هذه التقديرات لاستيعاب ذروات العمل، أو التدقيقات الفصلية، أو فترات الاكتشاف القانوني.

تصميم مسار استيعاب مرن

الاعتماد على موصلات الاستطلاع المباشر الهشة وصفة مضمونة لفقدان التنبيهات أثناء الحوادث الأمنية الحرجة. بدلًا من ذلك، صمّم مسارًا مرنًا يراعي حدود المعدل. يبدو النمط القوي كما يلي:

• المصدر: اسحب البيانات من سجل التدقيق الموحد في Microsoft 365 والتدقيق المتقدم وسجلات تسجيل الدخول والمخاطر في Azure AD، وMicrosoft Information Protection (MIP)، وتنبيهات DLP، وتنبيهات الأمان من Microsoft Defender.
• النقل: وجّه البيانات من Graph أو Management API إلى Azure Event Hub، الذي يعمل كمخزن مؤقت وآلية لإعادة التشغيل، قبل إعادة توجيهها إلى SIEM الخاص بك.
• المعالجة: طبّع البيانات وأثرِها مباشرةً في منطقة الاستقبال، وأضف سياق المستخدم، وعلامات الإدارات، وتصنيفات كبار الشخصيات، وحالات الأجهزة، والبيانات الجغرافية.
• الحوكمة: نفّذ فحوصات اكتمال يومية، ومعالجات تراجع لأخطاء تجاوز حد المعدل (429)، ومراقبة لتغييرات المخطط، وتنبيهات لطابور الرسائل غير المسلَّمة.

التطبيع والإثراء للحصول على بيانات جاهزة للمحللين

سجلات Microsoft 365 الخام فوضوية بشكل معروف، فهي مليئة بكائنات JSON متداخلة وبأسماء حقول غير متسقة عبر الخدمات المختلفة. إذا سلّمت البيانات الخام إلى محلل من المستوى الأول، فسيقضي نصف مناوبته في فك تشفير الحمولات بدلًا من فرز التهديدات.

سَطِّح الحقول الأساسية عند الاستيعاب: Actor وTarget وAction وResourcePath وLinkType (مجهول أو تنظيمي أو أشخاص محددون) وExternalRecipient وLabelName. ثم ارسم هذه الحقول إلى مخطط موحد، مثل Azure Monitor Common Security Incident Model (ASIM) أو Elastic Common Schema (ECS)، بحيث تمتد هندسة الكشف لديك عبر الخدمات بسلاسة. وأخيرًا، أثرِ هذه الأحداث ببيانات الموارد البشرية (الدور ونوع التوظيف والإدارة)، وقوائم كبار الشخصيات، وقوائم الشركاء المسموح بهم، وحالات امتثال الأجهزة، وتصنيفات الحساسية.

اكتشافات عالية القيمة يجب نشرها الآن

بمجرد أن يعمل مسارك وتصبح بياناتك مطبّعة، يمكنك نشر اكتشافات عالية القيمة تلتقط فعليًا سلوك المهاجمين المتطورين. فيما يلي ثمانية اكتشافات أساسية ينبغي تفعيلها فورًا:

• تسريب صندوق البريد: رصد قاعدة صندوق وارد جديدة تعيد التوجيه إلى جهة خارجية أو تنقل الرسائل إلى RSS/Junk، وتحدث خلال ساعة من تسجيل دخول من موقع جغرافي جديد أو جهاز غير معروف.
• الوصول الخفي: وضع علامة على وصول غير المالك إلى صندوق بريد لشخصية مهمة (VIP) عندما يقترن ذلك بحدث Add-MailboxPermission خلال الـ 24 ساعة السابقة.
• تسريب SharePoint: إصدار تنبيه عند إنشاء روابط مشاركة مجهولة أو روابط "أشخاص محددون" على ملفات مصنّفة بأنها سرية أو مقيّدة.
• إساءة استخدام الروابط: رصد حجم كبير من عمليات التنزيل الخارجية خلال نافذة مدتها 15 دقيقة، صادرة من رابط مشاركة أُنشئ حديثًا من عنوان IP أو ASN جديد.
• المحور عبر Teams: رصد الحالات التي يُشارَك فيها ملف مع جهة خارجية، ويضيف المستخدم نفسه ضيفًا خارجيًا إلى الفريق خلال ساعتين.
• إساءة استخدام Power Automate: وضع علامة على ارتفاع مفاجئ في إنشاء ثلاثة تدفقات يوميًا أو أكثر بواسطة حساب غير مطوّر، لا سيما باستخدام موصلات HTTP أو Outlook.
• تراكم الصلاحيات: تتبع عمليات الإضافة والإزالة المتكررة لأدوار العضو أو المسؤول على مساحة العمل أو الموقع الحساس نفسه خلال نافذة مدتها 24 ساعة.
• الحقيقة المتقادمة: رصد حالات فشل مجموعات بيانات محتوى الإدارة العليا أو المالية في التحديث لدورتين أو أكثر، لحماية القيادة من اتخاذ قرارات استنادًا إلى بيانات قديمة.

خطة التنفيذ لسد الفجوات خلال 30 يومًا

لا يحتاج إصلاح وضع الرؤية في Microsoft 365 إلى عام كامل. يمكنك سد فجوات الرؤية بصورة منهجية خلال 30 يومًا فقط:

• الأسبوع 1: فعّل التدقيق المتقدم حيثما لزم الأمر، وافرز موصلات SIEM الحالية، وحدد فئات الأحداث المفقودة.
• الأسبوع 2: أنشئ خط أنابيب Event Hub الخاص بك. وجّه سجلات Unified Audit Logs وAdvanced Audit وAzure AD وتليمترية Defender، ونفّذ عوامل التصفية في المراحل الأولى من المسار.
• الأسبوع 3: وحّد تنسيق تدفقات البيانات وأثرِها بالسياق، واسترجع سجلات الأيام الثلاثين الأخيرة الحرجة، ونفّذ الكشوفات الأوفر إشارةً السبعة المذكورة أعلاه مع نوافذ كبت مناسبة.
• الأسبوع 4: اضبط تكاليفك بإسقاط الضوضاء المتبقية وتعديل مستويات الاستبقاء. أضف مراقبات الاكتمال، ونفّذ تمرين طاولة للفريق الأرجواني يختبر قواعد صناديق البريد، والمشاركة الخارجية، وارتفاعات حركة التدفقات.

مؤشرات الأداء الرئيسية للإدارة العليا لإثبات النجاح

عندما يسأل صانعو القرار عمّا إذا كانت ميزانية الأمان التي أُنفقت على تحسينات خط الأنابيب تستحق العناء، تحتاج إلى مقاييس تُثبت نجاحك. تتبّع مؤشرات الأداء الرئيسية التالية للإدارة العليا:

• التغطية: نسبة فئات أحداث M365 المستهدفة التي جرى استيعابها وتحليلها بنجاح (الهدف 95% أو أعلى).
• السرعة: متوسط الوقت حتى الإقرار (MTTA) ومتوسط الوقت حتى الحل (MTTR) للحوادث المرتبطة بـ M365 (في اتجاه تنازلي).
• الضوضاء: نسبة التنبيهات إلى الإيجابيات الحقيقية (في اتجاه تصاعدي من حيث جودة الإشارة).
• التكلفة: تكلفة كل غيغابايت يتم استيعابه (في اتجاه تنازلي بنحو 40% بفضل التصفية في المراحل الأولى).
• الموثوقية: عدد الأيام التي حدثت فيها فجوات في الاستيعاب (الهدف: صفر)، واتفاقيات مستوى الخدمة لتغييرات المخطط (تحديثات المحلل خلال سبعة أيام من أي تعديل في مخطط Microsoft).

المزالق الشائعة وطرق معالجتها

حتى أفضل الخطط قد تصطدم بعقبات. احذر من هذه المزالق الشائعة:

كثيراً ما تقول الفرق: «لقد فعّلناه»، لكن السجلات لا تظهر فعلياً لأن تراخيص Advanced Audit أو خطوط أساس تدقيق صناديق البريد لم يجرِ التحقق منها بشكل صحيح. ومن المشكلات الشائعة الأخرى أن تبقى قواعد SIEM صامتة تماماً أثناء الهجمات لأنها تُقيّم الأحداث بمعزل عن بعضها بدلاً من ربط إنشاء القواعد والتحولات الجغرافية والمشاركة الخارجية ببعضها.

تقع فواتير مفاجئة عندما يجري تخطي عوامل التصفية الأولية. صفِّ العمليات الصاخبة مسبقاً دائماً، واستبعد أحداث المزامنة في الخلفية. يُعد تآكل المحلل الصامت خطراً آخر؛ أجرِ روتيناً شهرياً لمقارنة المخططات، ونفّذ اختبارات الوحدة على عينات من الحمولات. وأخيراً، يتسلل الإرهاق إلى المحللين بسرعة عندما تفتقر التنبيهات إلى السياق. تأكد دائماً من أن تنبيهاتك تتضمن من، وماذا، وأين، وتسميات الحساسية، مع روابط مباشرة إلى Microsoft Compliance Center للتعمق في التحليل.

الخلاصة: كفّ عن الاعتماد على الامتثال للحماية

الخلاصة بسيطة: موصلات SIEM الافتراضية تُبقيك ممتثلاً، لكنها لا تُبقيك محمياً. فبسحب سجلات Microsoft 365 المناسبة، وتوحيد تنسيقها في مخطط موحّد، وإثرائها بالسياق التجاري الحاسم، والبحث عن التهديدات بكشوفات مضبوطة وفق سلوك المهاجمين في الواقع، يمكنك القضاء على نقاط العمى تماماً. هكذا يتوقف SIEM الخاص بك عن إغفال القصة، ويبدأ في كتابتها. وللتعمق أكثر في هذه الاستراتيجية، استمع إلى الحلقة كاملة على إرسال سجلات Microsoft 365 الحرجة إلى SIEM الخاص بك وابدأ في سدّ فجوات الرؤية لديك اليوم!