إعداد السجل يحدد ما يمكن تفسيره بعد الحادث

الخلاصة

• قد يحتفظ السجل بعرض العطل ويستبعد السياق الذي يميز أسبابه، مع أن النظام ينفذ الإعداد بصورة صحيحة. غياب الرسالة ليس وحده دليلاً على غياب الحدث.
• الاختيار والإعداد المستخدم فعلياً والتسليم والاحتفاظ لدى المجمع ادعاءات منفصلة. لا يجمعها RFC 9742 في ضمان لتاريخ كامل للحادث.
• من يستطيع تغيير المرشحات وحدود الاحتفاظ قبل الحادث يؤثر في قابلية التحقق بعده. النموذج المشترك يكشف القرارات، لكنه لا يحدد وحده من يتحمل تكلفتها ومخاطرها.

التحقيق يرث قراراً سابقاً

لنفترض أن الأرشيف البعيد يحتوي على أخطاء مصادقة ثم انقطاع، لكنه لا يحتوي على رسالة أقل إلحاحاً عن تدخل سابق. ربما كانت تلك الرسالة تسمح بالتمييز بين تغيير مشروع وتفسير آخر. هذا مثال افتراضي، وليس حادثاً موثقاً في هذه الدراسة. ولا يشترط تعطل المجمع: قد يكون مرشح المخرج قد استبعد الرسالة كما أُعد له تماماً.

لذلك يبدأ التحقيق بسؤال عن طبيعة التاريخ الذي يبحث فيه. ما الرسائل التي كان يمكن أن تدخل ذلك المخرج؟ وما الذي وصل، وما الذي بقي؟ لا يستعيد توسيع البحث نصاً لم يُلتقط أصلاً.

نُشر RFC 9742 في أبريل 2025 ضمن مسار معايير IETF، وهو يعرف نموذج إعداد YANG المسمى ietf-syslog للمخارج إلى وحدة التحكم والملفات المحلية والمرحلات أو المجمعات البعيدة. نشر المعيار لا يثبت تبني مورد معين أو تطبيقه على جهاز بعينه.

يفيد النموذج في التعبير المشترك عن السياسات ومقارنتها. لكنه لا يثبت أن التطبيق ولد كل الأحداث المهمة، أو أن السياسة طُبقت فعلياً، أو أن الرسائل وصلت، أو أن نسخها حُفظت بصورة دائمة. لكل خطوة أدلتها الخاصة. عبارة «التسجيل مفعّل» لا تجيب عن هذه الأسئلة بمفردها.

الإلحاح عند التوليد لا يساوي القيمة في التحقيق

توجد محددات الاختيار لكل مخرج على حدة: وحدة التحكم، والملف المسمى، والوجهة البعيدة المسماة. وقد ينتج الجهاز تاريخين مختلفين لأنهما يخضعان لسياستين مختلفتين، من دون أن يعني ذلك تلف أحدهما. وجود رسالة محلياً لا يستلزم وجودها في الأرشيف البعيد.

تختار مقارنة severity الافتراضية المستوى المحدد والمستويات الأعلى إلحاحاً، وهي ذات أرقام أصغر في syslog. اختيار error لا يعني المساواة الدقيقة فقط مع هذا المستوى، لكنه قد يستبعد سياقاً أقل إلحاحاً تتضح أهميته لاحقاً. رسالة نجاح إجراء قد لا تكون خطأ، ومع ذلك تميز بين علاج فعال وآخر لم ينجح.

هناك قيمتان صريحتان هما all وnone. وتتيح الوظيفة الاختيارية select-adv-compare المقارنتين equals وequals-or-higher والإجراءات log وblock وstop، حيث يوقف الأخير المعالجة اللاحقة للرسالة. القيمتان الافتراضيتان داخل الحاوية المتقدمة هما equals-or-higher وlog. وصف السياسة بمستوى الخطأ وحده قد يخفي الفرق بين العتبة والمساواة والحجب.

وتحتاج المطابقة بالتعبير النمطي إلى select-match. يصف النموذج المعياري pattern-match بأنه تعبير POSIX على SYSLOG-MSG، أي رسالة syslog الكاملة، لا نص MSG الأخير وحده. إذا أُعد اختيار facility والنمط معاً، وجب أن يطابق كلاهما. وهكذا يمكن أن يضيق شرط ثان نطاق اختيار بدا واسعاً.

وقد يغير تعديل صياغة الرسائل أو تنسيقها نتيجة الاختيار حتى إذا بقي معناها التشغيلي ثابتاً. هذا سؤال يُختبر في التنفيذ المعني. لم تقس هذه الدراسة محرك تعبيرات معيناً، ولم تفترض ترتيباً عاماً لتنفيذ جميع قوائم القواعد. خفض الضجيج قد يخفض أيضاً القدرة على الفصل بين أسباب متنافسة.

حدود الملفات ليست وعداً بمدة تاريخية

بعد الاختيار تأتي مسألة بقاء النسخة. تتيح file-limit-size إعداد أقصى عدد للملفات المحتفظ بها وحجم الملف الأقصى بالميغابايت؛ العدد الافتراضي واحد. وتتيح file-limit-duration إعداد rollover وretention بالدقائق. لا يفرض RFC مدة رقمية إلزامية للاحتفاظ بأدلة الحادث.

يصف rollover إغلاق الملف الجاري عندما تصل أحداث بعد الفترة المحددة. أما retention فتخص الملفات المكتملة أو المغلقة قبل حذفها. ليس ذلك ضماناً بأن كل حدث يمكن استرجاعه طوال تلك المدة ابتداء من وقوعه. وعند عدم توفير حدود الأرشيف، تُستخدم حدود يحددها التنفيذ.

يعرض الملحق B.3 إرشادات معلوماتية للتسمية وإعادة التسمية والإزالة، لا خوارزمية إلزامية ولا أولوية شاملة للقيود المجتمعة. ضرب عدد الملفات في الحجم لا ينتج مدة مضمونة. الضغط وحجم الأحداث وطريقة العد والحدود الأخرى كلها تؤثر.

في مساحة محدودة، قد تستهلك دفعة كثيفة من الرسائل التاريخ المتاح بسرعة أكبر. هذه آلية سعة، لا معادلة احتفاظ مقاسة هنا. ويمكن أن تبقى الإعدادات ثابتة بينما يصبح أقدم حدث قابل للاسترجاع أحدث زمناً. حين تتكاثر الأعراض قد تتقلص، تحديداً، الأدلة التي تشرح ما سبقها.

وقد يشترك الملف المحلي في عطل الجهاز نفسه. تغير الوجهة البعيدة تلك العلاقة، لكنها تضيف مسار التسليم وسياسة حفظ المستلم. لا يثبت إعداد التدوير المحلي أن المجمع حفظ نسخة دائمة أو أنه لن يحذفها لاحقاً.

الاتصال المحمي لا يشهد وحده على الأرشيف

تتطلب كل خانة وجهة بعيدة اختيار UDP أو TLS، مع قوائم عناوين داخل الحالة المختارة. المنفذان الافتراضيان هما 514 و6514. الاختيار يخص تلك الخانة، ولا يفرض توحيد النقل بين وجهات مسماة بصورة منفصلة.

يوضح RFC 5426 أن تسليم UDP غير موثوق، فقد تضيع الرسائل بلا إخطار، وليس ترتيب الوصول تسلسلاً مرجعياً للأحداث. يحمي TLS السرية والسلامة في قفزة النقل عند المصادقة والتفويض المناسبين. لكن RFC 5425، القسم 3، يفصل هوية مرسل النقل المصادق عليها عن حقل HOSTNAME. الثقة باتصال مرحل لا تصدق تلقائياً كل ادعاء منشأ في محتواه.

ويذكر القسم 6.3 عدم وجود إقرار من طبقة التطبيق. عند انقطاع الجلسة قد لا يعرف المرسل أي الرسائل وصلت إلى التطبيق المقابل. الاستلام والحفظ الدائم وصدق المحتوى مسائل أخرى. ولا يعيد التشفير رسالة استبعدها المحدد قبل إرسالها.

كذلك تحتاج وظيفة structured-data الاختيارية في الملفات والمخارج البعيدة إلى قراءة دقيقة. قيمتها الافتراضية false؛ تكتب false قيمة NILVALUE، وتكتب true عنصراً منظماً واحداً أو أكثر. يميز RFC 5424 هذا الحقل القابل للتحليل عن النص الاختياري. تفعيله لا يخلق حقائق ناقصة أو يثبت تفسيرها، وتعطيله قد يحذف سياقاً منظماً يعتمد عليه مستهلك آخر.

اسم مشترك وقدرات تحتاج إلى إثبات

تعرف YANG Library في RFC 8525 مراجعات الوحدات والوظائف المدعومة والانحرافات deviations ومخططات كل datastore. تجعل if-feature العقد مشروطة بدعم الوظيفة. لذلك لا يثبت اسم ietf-syslog وحده دعم التعبيرات النمطية أو الاحتفاظ بحسب المدة. الإفصاح عن اختلاف يجعله قابلاً للفحص، لا يجعل القدرات متكافئة.

وينبه الملحق B.1 في RFC 9742 إلى أن facilities الموسعة قد لا تعمل مع RFC 5424 وتخص تسجيلات محلية شبيهة بـ syslog. التصنيف المحلي ليس بالضرورة قابلاً للنقل. يستبدل facility-override التصنيف المرسل، وتختار واجهة المصدر الاختيارية مخرج الشبكة من دون مصادقة هوية مؤسسة.

ويميز RFC 8342 بين intended، أي الإعداد المحول الذي يحاول النظام تطبيقه، وoperational الذي يتضمن ما يُستخدم فعلياً وحالة النظام، مع تحفظات التنفيذ والإبلاغ. توضح المقارنة فرقاً حاضراً، لكن لقطة بعد الإصلاح لا تثبت وحدها إعداد وقت الحادث.

يوفر RFC 9742 مفردات لهذه الحدود، لا سلسلة حيازة أدلة ولا تدقيقاً تلقائياً ولا تاريخاً شاملاً. قبل تفسير الصمت على أنه عدم وقوع، ينبغي إثبات الاختيار والإعداد الفعلي والتسليم والحفظ. وإلا فإن الصمت يصف الأرشيف المتاح أولاً.