المصطلحات
ما هو نظام SIEM؟ شرح إدارة المعلومات والأحداث الأمنية
ما هو نظام SIEM؟ هو اختصار Security Information and Event Management، أي إدارة المعلومات والأحداث الأمنية: برنامج يجمع السجلات ذات الصلة بالأمن من أنظمتكم، ويربط بينها بقواعد كشف، ثم يرفع تنبيهات يحقق فيها فريق الأمن ويتصرف وفقها. فهو يحوّل ملفات السجلات المتفرقة إلى قائمة قصيرة من الأحداث التي تستحق انتباه شخص.
Glossary نُشر في 6 دقائق قراءة
الخلاصة
- معنى SIEM: إدارة المعلومات والأحداث الأمنية: حفظ سجلات الأمن، ومتابعتها لحظة وصولها بحثًا عن أحداث مريبة.
- ما الذي يفعله: يجمع السجلات، ويربط بينها، ويكشف الأنماط المريبة، ويساند الاستجابة.
- ما الذي ليس هو: ليس فريقًا. فالنظام يرفع التنبيهات، والذين يقرّرون ما يُعدّ حادثًا هم فريق مركز العمليات الأمنية (SOC)، لديكم أو لدى مزوّد تعيّنونه.
- Cloud SIEM: المهمة نفسها تُقدَّم خدمةً سحابية، فترسلون السجلات بدل تشغيل الخوادم التي تخزّنها وتبحث فيها.
لماذا يهم
ما هو نظام SIEM من حيث الاستخدام، ولماذا يهم
كل نظام تشغّلونه يكتب سجلات، والسجل الواحد لا يقول الكثير. أما الهجوم فيظهر عادةً نمطًا يمتد عبر عدة سجلات: محاولات دخول فاشلة على مزوّد الهوية، ثم محاولة ناجحة من مكان غير معتاد، ثم حساب مسؤول جديد على أحد الخوادم. ولا يستطيع أحد قراءة ملايين الأسطر يوميًا ليلحظ ذلك، وهذه القراءة هي عمل نظام SIEM في الأمن السيبراني.
ويعطيكم النظام أيضًا مكانًا واحدًا تجيبون فيه عن الأسئلة التي تأتي بعد التنبيه، أو بعد طلب مدقق: ماذا حدث، ومتى، وعلى أي نظام، وبأي حساب، بدل عشرات الشاشات التي لكل منها مدة احتفاظ مختلفة.
أمثلة
أمثلة على ما يكشفه نظام SIEM
- محاولات دخول فاشلة كثيرة إلى حساب واحد، تليها محاولة ناجحة من دولة لم يدخل منها المستخدم قبل ذلك.
- إيقاف سجلات التدقيق السحابي في حساب إنتاج خارج نافذة التغيير المعتمدة.
- إنشاء حساب مسؤول جديد على خادم ليلًا، دون تذكرة تغيير تقابله.
- اتصال خادم بعنوان مُدرج في مصدر لمعلومات التهديدات (threat intelligence).
كيف يعمل
كيف يعمل نظام SIEM خطوةً خطوة
-
الجمع.
تنقل الوكلاء (agents) وsyslog والتكاملات السحابية وواجهات API السجلاتِ من الخوادم وأجهزة الشبكة ومزوّدي الهوية والحسابات السحابية والتطبيقات.
-
التحليل والتوحيد.
لكل مصدر صيغته. ويحوّلها النظام إلى حقول مشتركة (المستخدم، وعنوان المصدر، والإجراء، والنتيجة) لتقرأها قاعدة واحدة كلها.
-
الربط والكشف.
تبحث قواعد الكشف عن أنماط تمتد عبر المصادر وعبر الزمن، ويمكنها إثراء الأحداث ببيانات مرجعية مثل قوائم معلومات التهديدات.
-
التنبيه.
يصير كل تطابق تنبيهًا أو إشارة (signal) لها درجة خطورة، فيُرى الأخطر أولًا.
-
التحقيق.
يبحث المحلل في السجلات الأصلية ليؤكد التنبيه أو يستبعده.
-
الاستجابة والتوثيق.
تصير التنبيهات المؤكدة حالات (cases)، ويمكن لمسارات عمل آلية، تُعرف غالبًا باسم SOAR، أن تنفّذ الخطوات الأولى المتفق عليها.
مقارنة
الفرق بين SIEM وSOC وXDR
| SIEM | SOC | XDR | |
|---|---|---|---|
| ما هو | برنامج يجمع السجلات ويربط بينها | فريق له إجراءاته ونوباته | برنامج كشف واستجابة مبني على مستشعرات المورّد نفسه |
| المُدخل الرئيس | سجلات من أي نظام تقريبًا تربطونه به | تنبيهات SIEM والأدوات الأخرى، وبلاغات الموظفين | بيانات من مستشعرات الأجهزة الطرفية والبريد والهوية والشبكة |
| المُخرج الرئيس | تنبيهات، وبحث، وتقارير، وسجلات محفوظة | قرارات: هل هذا حادث، وما العمل | اكتشافات مع إجراءات استجابة مدمجة |
| من يملكه | فريق الأمن أو تقنية المعلومات لديكم، أو مزوّد تعيّنونه | منشأتكم أو مزوّد تعيّنونه | عادةً فريق الأمن الذي يشغّل المستشعرات |
| سؤاله المعتاد | ماذا حدث عبر كل أنظمتنا؟ | هل هذا حادث، ومن يتصرف؟ | هل اختُرق هذا الجهاز أو صندوق البريد؟ |
وهذه ليست بدائل لبعضها. فمركز العمليات الأمنية يستخدم SIEM أداةً رئيسة من أدواته، وكثير من المنشآت تشغّل XDR إلى جانب SIEM: يتعمّق XDR في مستشعراته، ويحفظ SIEM السجل الأوسع، بما فيه التطبيقات المطوّرة داخليًا وأجهزة الشبكة.
المكونات
مكونات نظام SIEM
- أدوات الجمع: وكلاء وتكاملات تُدخل السجلات، مع عرض لحالتها يُظهر متى توقف مصدر عن الإرسال.
- المحلّلات (parsers): قواعد تحوّل الأسطر الخام إلى حقول مسمّاة.
- طبقات التخزين: تخزين سريع قابل للبحث للسجلات الحديثة، وأرشيف أقل كلفة للسجلات التي تُحفظ مدة أطول.
- قواعد الكشف: قواعد جاهزة وأخرى مخصصة، ويحسن أن تُربط بإطار عام مثل MITRE ATT&CK لتعرفوا ما الذي تغطيه.
- البحث ولوحات المتابعة: طاولة عمل المحلل.
- إدارة الحالات ومسارات العمل: حيث يُتابَع التنبيه حتى يُتخذ فيه قرار.
في السياق السعودي
ما الذي تحتاج المنشآت في السعودية إلى تسجيله عادةً
تصدر الهيئة الوطنية للأمن السيبراني (NCA) الضوابط التي تعمل بها الجهات الحكومية وجهات البنية التحتية الحساسة في المملكة. ومن موضوعاتها تسجيل الأحداث الأمنية ومراقبتها. أما أي الضوابط ينطبق عليكم وما الذي تطلبه، فيحدده نص الهيئة الساري، فاقرؤوه في موقعها. وعلى سبيل المعلومة العامة، يشمل النطاق الأول لنظام SIEM في المنشأة السعودية عادةً:
- الهوية: عمليات الدخول الناجحة والفاشلة، وكل تغيير على الحسابات ذات الصلاحيات العالية؛
- سجلات التدقيق السحابي لكل حساب أو اشتراك إنتاج؛
- الجدران النارية والشبكة الافتراضية الخاصة (VPN) وسائر أجهزة الشبكة المتصلة بالإنترنت؛
- الخوادم والأجهزة الطرفية التي تحفظ بيانات حساسة أو تصل إليها؛
- التطبيقات وقواعد البيانات التي يكون سوء استخدامها أشدّ ضررًا على العمل.
اقرأ المزيد
وتحوي سجلات الأمن بيانات شخصية، مثل أسماء المستخدمين والعناوين وأحيانًا أرقام الهوية الوطنية، فحدّدوا مبكرًا أين تُخزَّن. ومع SIEM سحابي يعني ذلك اختيار ما يجوز أن يغادر شبكتكم، وإخفاء الباقي قبل إرساله. ويعرض دليل إقامة بيانات الرصد في المملكة الخيارات المتاحة. ويتولى مهندسون من إنتركي في الرياض يتحدثون العربية هذا العمل مع فريقكم، من حصر المصادر إلى الدعم الفني.
روابط ذات صلةدليل إقامة بيانات الرصد في المملكة
ممارسات جيدة
أخطاء شائعة، وما الذي ينفع أكثر
- إرسال كل السجلات من اليوم الأول. ابدؤوا بقائمة قصيرة، وأضيفوا المصادر بعد أن تنتج الأولى تنبيهات يتصرف فيها أحد.
- ترك كل القواعد مفعّلة. القواعد الكثيرة التنبيه تعوّد الناس تجاهل التنبيهات. راجعوها واضبطوها في الأسابيع الأولى.
- تنبيهات بلا مسؤول مسمّى. حدّدوا قبل التشغيل من يفرز التنبيهات ليلًا، وأي درجات الخطورة توقظ أحدًا.
- مدة احتفاظ واحدة لكل شيء. احفظوا السجلات التي يبحث فيها المحللون كثيرًا في تخزين سريع، وأرشفوا الباقي.
- عدم الانتباه إلى المصادر الصامتة. المصدر الذي يتوقف عن الإرسال يبدو يومًا هادئًا. نبّهوا على غياب السجلات أيضًا.
أين نساعد
أين يناسب Datadog Cloud SIEM، وما دور إنتركي
Datadog Cloud SIEM نظام SIEM سحابي يعمل فوق إدارة السجلات في Datadog. وتوثّق Datadog فيه حزم Content Packs لمصادر الأمن، وقواعد كشف جاهزة ومخصصة، وإشارات مرتبة حسب الخطورة، وCase Management، وعرضًا لتغطية الكشف حسب تكتيكات MITRE ATT&CK. ويناسب الفرق التي تريد مراقبة أمنية على المنصة التي تستخدمها أصلًا في التشغيل. ويقلّ مناسبةً حين يلزم أن تبقى كل سجلات الأمن داخل المملكة، لأن Datadog لا تُدرج حتى نوفمبر 2026 أي موقع لها في الشرق الأوسط.
اقرأ المزيد
وتبيع إنتركي تراخيص Datadog في المملكة، وتربط مصادر السجلات، وتصمّم التخزين لكل صنف من السجلات، وتكتب قواعد الإخفاء وتختبرها، وتراجع قواعد الكشف المفعّلة، وتقدّم الدعم الفني من الرياض. اقرؤوا صفحة نظام SIEM باستخدام Datadog لطريقة الإعداد، وصفحة إدارة السجلات في Datadog لطرق الجمع، والمراقبة الأمنية في Datadog للصورة الأمنية الأوسع.
روابط ذات صلةصفحة نظام SIEM باستخدام Datadogصفحة إدارة السجلات في Datadogالمراقبة الأمنية في Datadog
أسئلة يطرحها العملاء عن SIEM
ما معنى SIEM في الأمن السيبراني؟
إدارة المعلومات والأحداث الأمنية. ويعني ذلك حفظ سجلات الأمن في مكان واحد قابل للبحث، ومتابعتها لحظة وصولها بحثًا عن أنماط مريبة، فيرى فريق الأمن قائمة قصيرة من التنبيهات بدل ملفات سجلات خام.
هل نظام SIEM ومركز العمليات الأمنية SOC شيء واحد؟
لا. نظام SIEM برنامج، أما SOC فهو الفريق الذي يعمل على التنبيهات بنوباته وإجراءاته. ونظام بلا أشخاص يفرزون تنبيهاته ينتج تنبيهات لا يقرؤها أحد، وفريق بلا SIEM لا يجد ما ينظر فيه عبر الأنظمة.
هل تستطيع منشأة سعودية استخدام SIEM سحابي مع مراعاة إقامة البيانات؟
يتوقف ذلك على السجلات التي ترسلونها وعلى ما ينطبق عليكم. حدّدوا أصناف السجلات التي يجوز أن تغادر شبكتكم، وأخفوا البيانات الشخصية أو أسقطوها قبل الإرسال، واطلبوا من المزوّد كتابةً مكان تخزين البيانات. وحتى نوفمبر 2026 لا تُدرج Datadog أي موقع لها في الشرق الأوسط.
ما السجلات التي نبدأ بإدخالها إلى SIEM؟
عمليات الدخول وتغييرات الحسابات ذات الصلاحيات العالية، وسجلات التدقيق السحابي، والجدران النارية وVPN، والخوادم التي تحفظ بيانات حساسة. فهذه تكشف أغلب الخطوات الأولى للهجوم. ثم أضيفوا سجلات التطبيقات وقواعد البيانات بعد أن تنتج المصادر الأولى تنبيهات يتصرف فيها فريقكم.
كيف يُسعَّر ترخيص نظام SIEM عادةً؟
يتبع تسعير أغلب أنظمة SIEM حجم بيانات السجلات المرسلة ومدة إبقائها قابلة للبحث، فالحجم ومدة الاحتفاظ هما ما يحرّك الفاتورة. وتنشر Datadog أسعار منتجاتها في صفحة أسعارها، وتسعّر إنتركي التراخيص مع الإعداد والدعم الفني في المملكة في عرض واحد.
كم يستغرق نظام SIEM حتى يعطي تنبيهات مفيدة؟
لا توجد مدة ثابتة. فالأمر يتوقف على عدد المصادر التي تربطونها، ومدى انتظام سجلاتها، وعدد القواعد التي تحتاج إلى ضبط، وسرعة الاتفاق على المسؤولين. والبدء بقائمة قصيرة من المصادر وضبط القواعد الكثيرة التنبيه مبكرًا هو ما يقصّر المدة.
من مركز المعرفة
تابعوا في مكتبة المصطلحات
مزيد من المصطلحات التقنية
تعريفات قصيرة وواضحة للمصطلحات التي تمر بالمشتري في مشاريع المراقبة والسحابة والبيانات.
مصطلحMTTR
كيف يُقاس وقت التعافي من الحادث، وما الذي يقصّره.
مصطلحهندسة موثوقية المواقع SRE
هندسة موثوقية المواقع، وكيف تعامل التشغيل مسألةً هندسية.
دليلالضوابط الأساسية للأمن السيبراني: السجلات والمراقبة
ما تطلبه الضوابط من سجلات الأحداث والمراقبة، والأدلة التي يطلبها المدققون.
حلDatadog Cloud SIEM في السعودية
مصادر السجلات، وقواعد الكشف، وخيارات التخزين، والتراخيص والدعم.
صفحات ذات صلة
الخطوة التالية
خطّطوا لأول مصادر سجلات SIEM
أخبرونا بالأنظمة التي تشغّلونها، وحجم السجلات التقريبي الذي تنتجه، ومن سيفرز التنبيهات. وسنقترح مجموعة أولى من المصادر، ونسعّر تراخيص Datadog والإعداد والدعم الفني معًا.
أو مباشرةً
+966-11-2180999 [email protected]أبراج التعاونية، البرج الشمالي، الطابق السابع، طريق الملك فهد، العليا، ص.ب. ٥٦٨٣٥، الرياض ١١٥٦٤، المملكة العربية السعودية