لماذا تُخفي سجلات التدقيق الافتراضية في M365 مشاركةً خارجيةً خطيرة؟

By Mirko Peters · 2026-08-11

مرحبًا بعودتكم إلى المدونة! إذا كنتم تديرون مستأجر Microsoft 365، فمن المرجح أنكم تنامون مطمئنين ليلًا وأنتم تعتقدون أن سجلات التدقيق المدمجة تحميكم. بعد كل شيء، ألا توفر Microsoft ميزات أمان وامتثال قوية جاهزة للاستخدام؟ للأسف، عندما يتعلق الأمر بالمشاركة الخارجية في SharePoint وOneDrive، فإن الاعتماد على الإعدادات الافتراضية وصفة لكارثة…

Automatically translated with AI from the original post. Read the English original

مرحبًا بعودتكم إلى المدونة! إذا كنتم تديرون مستأجر Microsoft 365، فمن المرجح أنكم تنامون مطمئنين ليلًا وأنتم تعتقدون أن سجلات التدقيق المدمجة تحميكم. بعد كل شيء، ألا توفر Microsoft ميزات أمان وامتثال قوية جاهزة للاستخدام؟ للأسف، عندما يتعلق الأمر بالمشاركة الخارجية في SharePoint وOneDrive، فإن الاعتماد على الإعدادات الافتراضية وصفة لكارثة. تفترض المؤسسات باستمرار أنه بما أن التدقيق مُفعّل، فإن كل حركة للملفات وكل تسجيل دخول لضيف وكل إنشاء لرابط يُتتبع بأمان ويسهل مراجعته. في الواقع، من المرجح أن سجلات التدقيق الافتراضية في M365 تُخفي أنشطة المشاركة الخارجية الخطيرة أمام الأعين مباشرةً.

في هذا الدليل الشامل، سنكشف النقاب عن نقاط العمى في تدقيق Microsoft 365، ونستكشف لماذا لم يعد الاحتفاظ بالسجلات لمدة 90 يومًا كافيًا للامتثال الحديث، وسنرشدكم خطوةً بخطوة عبر المخطط التقني الدقيق اللازم لتحويل تدفق البيانات الخام وغير القابل للإدارة إلى معلومات أمنية دقيقة وقابلة للتنفيذ. دعونا نتعمق في كيفية التوقف عن العمل بلا رؤية، واستعادة السيطرة الكاملة على بيئة التعاون لديكم.

لماذا تُخفي سجلات التدقيق الافتراضية في M365 مشاركةً خارجيةً خطيرة؟

أكبر فخ في إدارة Microsoft 365 هو افتراض أن حالة "التدقيق مُفعّل" تعني رؤية كاملة. الأمر ليس كذلك. فبشكل افتراضي، تُغفل إعدادات المستأجر القياسية أحداثًا دقيقة وحاسمة، لا سيما ما يتعلق بإنشاء الروابط المجهولة، واستخدام روابط المستخدمين الضيوف، وتفاعلات الوصول إلى ملفات محددة. إذا أنشأ مستخدم إذنًا مجهولًا بعنوان "أي شخص لديه الرابط" على جدول مالي حساس، وقام جهة خارجية بتنزيله، فقد يفوت استعلام التدقيق الجاهز القياسي لديكم حدث الاستخدام تمامًا.

علاوةً على ذلك، فإن الاحتفاظ الافتراضي بسجلات التدقيق القياسية محدد بـ 90 يومًا فقط. بالنسبة لمعظم التحقيقات الداخلية وعمليات تدقيق الامتثال، أو الهجمات السيبرانية المتطورة التي تتجاوز فيها مدة البقاء داخل النظام ثلاثة أشهر، تختفي هذه السجلات ببساطة في العدم. وإذا لم تُسجَّل البيانات أصلًا، فلن يتمكن أي نظام SIEM، أو أي نص برمجي آلي، أو أي محقق جنائي من إنقاذكم. يجب عليكم تصحيح تغطية التدقيق الأساسية قبل محاولة أي أتمتة لاحقة أو تنسيق للأمن.

إصلاح أساس التدقيق (إعدادات إلزامية)

قبل كتابة أي سطر من PowerShell أو إعداد التنبيهات، تحتاجون إلى تقوية الإعدادات الأساسية لمستأجركم. إليكم الخطوات الإلزامية التي يجب تنفيذها فورًا:

• فعّلوا التدقيق المحسّن لـ SharePoint وOneDrive على مستوى المستأجر، وذلك باستخدام Exchange Online PowerShell أو بوابة الامتثال في Microsoft Purview.
• تأكدوا صراحةً من أن التسجيل نشط لكل من إنشاء الروابط واستخدامها، مع إيلاء اهتمام خاص للروابط المجهولة وروابط الضيوف.
• مدّدوا نهج الاحتفاظ بسجلات التدقيق إلى ما بعد 90 يومًا الافتراضية بكثير، لتلبية أطر الامتثال الحديثة ومتطلبات التحقيقات الداخلية (يُوصى بمدة تتراوح بين 180 و365 يومًا).
• وحّدوا نهج توفير المواقع لضمان أن تكتسب مواقع SharePoint ومجموعات Microsoft 365 الجديدة هذه الإعدادات المُقوّاة للتدقيق تلقائيًا، ودون تدخل يدوي.

تحويل الضوضاء إلى إشارات مفيدة (PowerShell بالطريقة الصحيحة)

بمجرد أن تبدأ سجلات التدقيق لديكم في التقاط البيانات الصحيحة، ستدركون سريعًا أمرًا آخر: تدفق التدقيق الخام مُصمٌّ للصمّ. فسحب السجلات الخام ينتج آلاف الأحداث الروتينية التي تسبب إرهاقًا تشغيليًا هائلًا. ولجعل هذه البيانات مفيدة، تحتاجون إلى الاستعلام بقصد، وإثراء كل صف من صفوف البيانات.

ركّزوا استعلاماتكم على الأحداث عالية المخاطر مثل SharingCreated وSharingSet وAnonymousLinkCreated وAnonymousLinkUsed وAccessRequestApproved. ثم أثروا كل صف بالسياق الحاسم:

• تصنيف النطاق الوجهة: صنّفوا النطاقات تلقائيًا إلى شركاء مؤسسيين، أو نطاقات داخلية، أو نطاقات شخصية/استهلاكية (مثل gmail.com أو yahoo.com أو outlook.com).
• سياق حساسية الملف والحاوية: اربطوا تسمية الحساسية في Microsoft Purview الخاصة بالملف المتأثر، وكذلك الموقع الأصلي أو حاوية OneDrive التابعة له.
• سياق مخاطر الجهة الفاعلة: قارنوا المستخدم الذي يُنفّذ الإجراء بأنظمة الموارد البشرية أو الهوية، للإبلاغ عن الموظفين المغادرين، والشخصيات المهمة، أو الحسابات المخترقة.

بدلًا من الاعتماد على تخمينات ذاتية، طبّق قواعد صارمة: التقاء تسمية حساسية على ملف مع نطاق بريد شخصي خارجي يعني مخاطر عالية فورًا. أخرِج نتائجك في مخرجين منفصلين: "قائمة إجراءات" تضم من 10 إلى 50 صفًا تتطلب مراجعة بشرية، و"سجل أدلة" مُطبَّع بالكامل لأدوات SIEM أو BI لديك.

تنبيهات فورية تعمل فعلًا

ودّع استراتيجية "التنبيه على كل المشاركات الخارجية"، لأنها تدرّب فريق عمليات الأمن على تجاهل التنبيهات بسبب كثرتها. بدلًا من ذلك، ابنِ مصفوفة نهج تنبيه متعددة الطبقات:

• أطلق تنبيهًا فوريًا إلى فريق SecOps كلما شُورك ملف موسوم بالحساسية مع مستلم خارجي خارج قائمة الشركاء المعتمدين مسبقًا لديك.
• إذا أُنشئ رابط مجهول على ملف حساس، فأطلق تنبيهًا مع نشر نص برمجي آلي في الوقت نفسه لإنهاء صلاحية ذلك الرابط.
• راقب السرعة غير المعتادة، مثل تنفيذ عدد كبير من المشاركات الخارجية من مستخدم واحد خلال فترة قصيرة، وأطلق تقييدًا مؤقتًا للمعدل مقرونًا بإشعار.

أدرج دائمًا فترات تهدئة وآليات إزالة التكرار لمنع إرهاق التنبيهات. وجّه تنبيهاتك مباشرة إلى قائمة تذاكر مركّزة أو قناة SecOps مخصصة، مع مالكين واضحين وأدلة إجراءات (playbooks) وروابط تراجع بنقرة واحدة.

التوسع إلى المؤسسات الكبيرة

ستنهار النصوص البرمجية اليدوية وتصديرات CSV الأسبوعية بسرعة عندما يتجاوز مؤسستك بضع مئات من المستخدمين. لبناء محرك مراقبة مؤسسي مرن، تحتاج إلى عمود فقري أتمتة قوي يعمل على Azure Automation أو Azure Logic Apps، يجري فروقات متحركة لمدة 7 أيام إلى جانب عمليات استكمال شهرية للبيانات الناقصة.

طبّق ترقيم صفحات صارمًا ونقاط تحقق (checkpointing) لاستئناف العمل بسلاسة من آخر مؤشر، وتعامل مع تقييد استدعاءات واجهة البرمجة (أخطاء HTTP 429) بشكل سليم. تأكد من أن أتمتتك تكتشف باستمرار المواقع المُنشأة حديثًا وتطبّق قواعد التدقيق والتسمية الأساسية لديك تلقائيًا. وأخيرًا، راقب سلامة خط المعالجة لديك: اضبط تنبيهات آلية إذا انخفض حجم الأحداث المتوقع فجأة، مما يشير إلى تعطل خط استيعاب سجلات التدقيق.

مكاسب سريعة هذا الأسبوع

إذا كنت تحتاج إلى إظهار انخفاض فوري في المخاطر أمام فريق القيادة لديك، فنفّذ هذه المكاسب السريعة خلال الأيام القليلة القادمة:

• فعّل تسجيل استخدام الروابط المجهولة ومدّد فترة الاستبقاء لديك في بوابة Purview.
• أنشئ قائمة رفض أساسية لـ "النطاقات الشخصية" لتمييز مزودي البريد المجاني مثل Gmail وYahoo وHotmail.
• طبّق تسميات الحساسية على مكتبات مستندات المالية والموارد البشرية لديك، وامنع إنشاء الروابط المجهولة عبر النهج.
• أرسل ملخصًا أسبوعيًا بعنوان "أهم 10 مشاركات محفوفة بالمخاطر" إلى إدارة تقنية المعلومات، مع مالكي الملفات وروابط إلغاء الصلاحية بنقرة واحدة.
• أنشئ قاعدة كشف للنشاط المفاجئ للمستخدمين الذين ينفذون خمس مشاركات خارجية أو أكثر خلال فترة 10 دقائق.

خطة نشر مدتها 30 يومًا (مخطط عام)

للحفاظ على تنفيذ منظم وقابل للإدارة، اتبع خارطة الطريق المرحلية هذه لنشر مدتها 30 يومًا:

• الأسبوع 1: تقوية نهج التدقيق، ومد فترة الاستبقاء، وإنشاء تصديرات أساسية، وتحديد قوائم السماح والرفض للنطاقات.
• الأسبوع 2: تنفيذ نصوص PowerShell للإثراء الخاصة بتسميات الحساسية والنطاقات، وبناء مصفوفات تقييم المخاطر، وإنشاء قائمة إجراءات الفرز.
• الأسبوع 3: نشر قواعد التنبيه الفورية مكتملة مع إزالة التكرار وفترات التهدئة وإنهاء الروابط تلقائيًا للتعرضات عالية الخطورة.
• الأسبوع 4: توسيع الأتمتة عبر Azure Automation أو Logic Apps، وبناء لوحات معلومات Power BI تنفيذية، وإنهاء أدلة الإجراءات التشغيلية.

مؤشرات الأداء الرئيسية للإدارة والعمليات

لقياس النجاح المستمر لبرنامج حوكمة المشاركة الخارجية، تتبّع مؤشرات الأداء الرئيسية التالية:

• سرعة التعرض الخارجي: عدد الروابط الخارجية الجديدة المُنشأة يوميًا، مصنّفة حسب الموقع وتسمية الحساسية ونطاق الوجهة.
• معدل تسرب المحتوى الحساس: مدى تكرار مشاركة الملفات الموسومة بالحساسية مع نطاقات غير معتمدة وغير تابعة لشركاء.
• الزمن حتى الإلغاء: متوسط المدة الفاصلة بين وقوع مشاركة محفوفة بالمخاطر ولحظة إلغاء الوصول بنجاح.
• الاستثناءات السلوكية للمشاركة: مدى تكرار تجاوز المستخدمين لعتبات المشاركة المحددة.
• تغطية المعالجة التلقائية: نسبة الروابط محفوفة المخاطر التي تنتهي صلاحيتها تلقائيًا أو تُحظر بواسطة النهج.

الأخطاء الشائعة التي ينبغي تجنّبها

أثناء بناء استراتيجية التدقيق والمعالجة، تأكد من تجنّب هذه الأخطاء الشائعة عن وعي:

• الاعتماد بشكل أعمى على إعدادات التدقيق الافتراضية ونافذة الاستبقاء القياسية البالغة 90 يومًا.
• نشر سكربتات "تصدير كل شيء" دون إثراء كافٍ للسياق أو قوائم فرز للحوادث.
• إنشاء قواعد "تنبيه على كل شيء" واسعة جدًا، ما يُدرّب فريق الأمن على تجاهل الإشعارات.
• ترميز قوائم المواقع يدويًا بدلًا من اكتشاف مساحات التعاون الجديدة ديناميكيًا.
• التعامل مع الحوكمة كمشروع تنظيف لمرة واحدة بدلًا من كونها عملية آلية مستمرة.

أدلة إجراءات جاهزة للاستخدام

زوّد فريق مكتب المساعدة وفريق الأمن بأدلة إجراءات واضحة وقابلة للتكرار للاستجابة للحوادث:

• إلغاء المشاركة وإشعار الجهات الخارجية: إلغاء رابط المشاركة المشبوه فورًا، وإبلاغ مالك الملف عبر إشعار آلي، وفرض إعادة المشاركة حصريًا عبر نطاقات الشركاء المعتمدة.
• مسح حسابات الموظفين المغادرين: حصر جميع مشاركات OneDrive المرتبطة بالمستخدم قيد إنهاء الخدمة، وإلغاء الوصول الممنوح لنطاقات البريد الاستهلاكية الشخصية تلقائيًا، ونقل الملكية إلى المدير المباشر.
• مراقبة كبار المسؤولين: تطبيق عتبات أشد لرصد الحالات الشاذة، وروابط ذات صلاحية أقصر، وتنبيه فوري عند أي نشاط يمس المحتوى على مستوى الإدارة التنفيذية.

الخلاصة

رصد، تقييم، ثم إيقاف. يجب أن تعالج أسس التدقيق أولًا، وأن تُثري الأحداث الخام بسياق تجاري ذي معنى، وأن تُطلق التنبيهات بذكاء دون إحداث ضوضاء، وأن تُؤتمت كل شيء لتحقيق نطاق حقيقي على مستوى المؤسسة. بهذه الطريقة تحافظ على تعاون الأعمال سريعًا وسلسًا وآمنًا، وتبقي بياناتك المؤسسية الحساسة في أمان داخل حدودك.

لمعرفة المزيد عن تأمين المستأجر الخاص بك واكتشاف المخاطر قبل وقوع الكارثة، تأكد من مشاهدة الحلقة البودكاست ذات الصلة: Detect Risky SharePoint and OneDrive External Sharing. نستعرض هذه الاستراتيجيات بتفصيل أكبر لمساعدتك على إتقان أمان M365!