سجلات أحداث ملف الوصول الآمن مفقودة من SIEM بعد تغيير الترخيص

مسألة

توقف إستلام سجلات أحداث الملفات بواسطة SIEM من تخزين AWS S3 بينما إستمرت سجلات DNS في التسليم بنجاح. عرضت موصلات بيانات حدث الملف رمز "غير متصل" في واجهة SIEM. تم تعريف السجلات التي توقفت عن الظهور كسجلات أحداث ملفات مرتبطة ب DLP/IPS. ظلت سجلات طبقة DNS تعمل طوال فترة المشكلة.

كانت البيئة تستخدم كل من Umbrella و Secure Access أثناء الترحيل، مع إرسال السجلات إلى نفس مستودع AWS. وقد جرى تدوير المفاتيح وتأكد انها تعمل بشكل صحيح. تمت ملاحظة أن إصدار المخطط موجود في الإصدار 10 أثناء توفر الإصدار 16.

البيئة

• مؤسسة الوصول الآمن من Cisco مع تكوينات الوصول الآمن والممظلة

• تكامل تخزين AWS S3 لتصدير السجل

• النظام الأساسي ل Microsoft Sentinel SIEM

• الإصدار 10 من المخطط قيد الاستخدام (الإصدار 16 متوفر)

• تم تغيير ترخيص Secure Access من Advantage إلى Essentials في 23 يونيو 2026

• آخر مرة تم فيها ملاحظة سجلات حدث الملف في 24 يونيو 2026

قرار

كشف التحقيق عن أن سجلات أحداث الملف كانت مرتبطة بوظيفة DLP/IPS، والتي تتطلب ميزات ترخيص محددة. وقد تم تحديد السبب الجذري من خلال التحليل التالي.

الخطوة 1: تحليل حركة المرور

تحقق من البحث عن النشاط في الوصول الآمن لتأكيد أنماط حركة المرور:

1.- انتقل إلى البحث عن النشاط ومرشح حركة مرور الويب أو أحداث المصير النهائي الضارة. أظهر التحليل وجود حركة مرور DNS ولكن لم تظهر أي أحداث حركة مرور ويب خلال ال 30 يوما الأخيرة، ولم يتم تحديد أي قواعد تم تمكين فحص الملف بها.
2.- تدفق حركة المرور > السجلات الموجودة على تقرير CSA > S3 bucket - SIEM.

الخطوة 2: مراجعة سجل الترخيص

1.- مراجعة سجل الترخيص في Secure Access لتحديد أي تغييرات تتوافق مع توقيت إيقاف سجل حدث الملف.

2.- انتقل إلى Secure Access (الوصول الآمن) > Admin > Subscription لعرض مستوى الترخيص الحالي وملخص الميزات.

أظهر التحقيق أن ترخيص Secure Access تغير من ميزة Secure Access إلى أساسيات Secure Access في 23 يونيو 2026، وهو ما يتوافق مع التوقيت الذي تتوقف فيه سجلات أحداث الملفات عن الظهور.

الخطوة 3: التحقق من الميزة

تحقق من الميزات المضمنة في مستوى الترخيص الحالي. لا يتم تضمين وظائف DLP و IPS، التي تقوم بإنشاء سجلات أحداث الملفات، في طبقة ترخيص Secure Access Essentials.

الخطوة 4: سبب التأكيد والجذر

ويتطابق توقيت تغيير الترخيص تماما عند توقف ظهور سجلات "حدث الملف". ونظرا لأن تسجيل طبقة DNS ظل يعمل وكان المتطلب الأساسي، تم حل الحالة على أساس أن سجلات أحداث الملفات لن تكون متوفرة بموجب ترخيص Essentials الحالي.

السبب

تم إيقاف إنشاء سجلات أحداث الملف بسبب تغيير الترخيص من ميزة Secure Access إلى أساسيات Secure Access في 23 يونيو 2026. تقترن سجلات أحداث الملفات بوظائف DLP و IPS، والتي لا يتم تضمينها في طبقة ترخيص Essentials. قام خفض درجة الترخيص بإزالة الوصول إلى إمكانيات فحص الملفات التي تقوم بإنشاء أنواع السجلات المحددة هذه.

المحتوى ذي الصلة

• الدعم الفني والتنزيلات من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	10-Nov-2026	الإصدار الأولي