الأنواع الثلاثة للأدلة التقنية

مقدمة

لتنظيم استراتيجية الرؤية الأمنية، يجب تصنيف السجلات إلى ثلاثة أنواع رئيسية تختلف في عمق البيانات التي توفرها ومكان التقاطها، بالإضافة إلى الأدلة الداعمة التي توفر السياق المحيط.

المفهوم الأساسي

تتوزع الأدلة بين ثلاثة مستويات:

1. أدلة التشغيل (Runtime Evidence): توفر أعمق رؤية وتظهر في أدوات مثل Claude Code وCodex OTel. تسجل هذه الأدلة إعدادات الجلسة، والمطالبات، وقرارات الأداة (Tool Decisions)، ونتائج تنفيذ الأوامر لحظة بلحظة.
2. أدلة لوحة التحكم (Control-plane Evidence): تظهر في منصات مثل Cursor وGitHub Copilot وOpenAI. تركز على سجلات التدقيق الإداري، مثل منح الوصول، وتغيير السياسات، وإدارة مفاتيح API، وتكوين المجموعات.
3. أدلة استدعاء الميزات (Feature-invocation Evidence): مثل سجلات Google Workspace Gemini. تثبت هذه السجلات أن المستخدم استدعى ميزة الذكاء الاصطناعي، لكنها غالباً لا تسجل المطالبة أو المصادر التي تم الوصول إليها أو المحتوى الناتج.

مثال عملي

في حالة اختراق حساب مطور، نستخدم "أدلة لوحة التحكم" لمعرفة متى تم إنشاء مفتاح API جديد، ونستخدم "أدلة التشغيل" لمعرفة الأوامر البرمجية التي نفذها المخترق باستخدام ذلك المفتاح، ونستخدم "الأدلة الداعمة" من سجلات Git لمعرفة الكود الذي تم تسريبه.

ماذا يثبت السجل؟

تثبت أدلة التشغيل "كيف" و "لماذا" اتخذ الذكاء الاصطناعي قراراً معيناً، بينما تثبت أدلة لوحة التحكم "من" سمح بذلك.

ماذا لا يثبت؟

لا توفر أدلة استدعاء الميزات رؤية للمحتوى الحساس المتداول، كما لا تثبت أدلة لوحة التحكم بالضرورة سلامة البيانات التي تمت معالجتها.

ماذا تطبق عملياً؟

يجب دمج الأنواع الثلاثة مع "الأدلة الداعمة" (Supporting Evidence) من سجلات نقاط النهاية، والهوية، والشبكة، وCI/CD لبناء صورة كاملة للحادثة.

خلاصة عملية

الرؤية الشاملة تتطلب توازناً بين مراقبة "الوصول" (Control-plane) ومراقبة "السلوك" (Runtime) وربطهما بسياق "الاستخدام" (Feature-invocation).