سجلات التطبيق: معلومات تكفي للتشخيص دون كشف الأسرار
السجل المفيد يجيب عن ماذا حدث ومتى وأين، دون جمع كل شيء يمر عبر النظام. تسجيل كامل الطلب قد يكشف كلمة مرور أو رمز وصول أو بيانات عميل لا يحتاجها من…
السجل المفيد يجيب عن ماذا حدث ومتى وأين، دون جمع كل شيء يمر عبر النظام. تسجيل كامل الطلب قد يكشف كلمة مرور أو رمز وصول أو بيانات عميل لا يحتاجها من يراجع العطل.
اختر بيانات التشخيص
سجل نوع العملية ووقتها ونتيجتها ومعرفًا داخليًا يربط الأحداث عند الحاجة. أخفِ الأسرار، وحدد ما يمكن حفظه من المدخلات. لا تجعل رسالة الخطأ العامة تحتوي سجل الاتصال أو استعلامًا كاملًا يتضمن البيانات.
اضبط الوصول والاحتفاظ
احفظ السجلات في موقع محمي، وحدد من يقرأها ومتى تحذف أو تؤرشف. راجع المساحة والتدوير حتى لا يوقف نموها الخادم. بيانات التشخيص تحتاج سياسة وصول مثل باقي بيانات النظام.
مثال لعطل بريد
يمكن تسجيل أن إشعار الطلب فشل مع وقت المحاولة ورقم مرجعي وتصنيف الخطأ. لا تحتاج طباعة كلمة مرور SMTP أو نص الرسالة الكامل. هذا يكفي لبدء التحقيق وربطه بالطلب دون توزيع معلوماته على كل من لديه صلاحية مراجعة التشغيل.
- اختبر أن قيم كلمات المرور والرموز لا تظهر.
- راجع سلوك التطبيق عند فشل كتابة السجل.
- ميز الخطأ المتكرر عن حدث طبيعي.
- امنع تنزيل ملفات السجل عبر المتصفح.
راجع دليل تسجيل الأحداث في OWASP. صمم السجل لخدمة سؤال تشخيص محدد، ثم راجع محتواه الفعلي في بيئة اختبار قبل اعتماده في الإنتاج.
اقرأ أيضًا
وليد الفليحي
برمجيات واكثر - عضو الهيئة السعودية للمهندسينأحوّل الأفكار إلى حلول رقمية متكاملة، وأطوّر مواقع وأنظمة ويب حديثة تساعد الجهات والأفراد على تحقيق أهدافهم بكفاءة عالية، مع خبرة في تطوير الأنظمة، إدارة الخوادم وحلول البنية التح…
▢ التعليقات (0)