إذا ساورك الشك في أن هاتفك تعرض لمحاولة اختراق، فالمشكلة المعتادة ليست فقط في إيقاف النشاط المشبوه، بل في معرفة ما الذي حدث أصلًا ومتى بدأ. هنا تأتي فائدة سجل الاختراق Intrusion Logging في Android، وهي ميزة أمنية تسجل مجموعة من أحداث الجهاز والشبكة بحيث يمكن الرجوع إليها لاحقًا عند التحقيق في نشاط غير طبيعي. الفكرة ليست أن Android يعرض لك تنبيهًا يقول إن الهاتف مخترق، وإنما يوفر سجلًا تقنيًا يمكن أن يساعدك أو يساعد خبيرًا أمنيًا في إعادة بناء تسلسل الأحداث.
الميزة جزء من منظومة الحماية المتقدمة في Android، وتختلف عن برامج مكافحة البرمجيات الضارة أو Google Play Protect. فهي لا تحكم وحدها على النشاط بأنه خبيث، بل تحتفظ بأحداث أمنية واتصالات يمكن تحليلها عند وجود سبب حقيقي للشك في تعرض الجهاز أو الحسابات المرتبطة به للاختراق.
قبل أن تكمل: ما الذي يفعله سجل الاختراق فعلًا؟
أهم ما تحتاج معرفته
- الميزة تسجل أحداثًا أمنية وأنشطة مرتبطة بالشبكة والتطبيقات على الجهاز.
- لا تعني أي واقعة موجودة في السجل أن الجهاز تعرض للاختراق؛ التفسير يحتاج إلى سياق وتحليل.
- تحتاج إلى تفعيل الحماية المتقدمة في Android قبل استخدام Intrusion Logging.
- السجلات تُشفّر من طرف إلى طرف قبل حفظها على خوادم Google.
- يمكن تنزيل السجلات وفك تشفيرها ثم مشاركتها مع خبير أمني موثوق للتحليل.
- بعد فك تشفير الملفات وتنزيلها تصبح مسؤولًا عن حماية محتواها.
ما المعلومات التي يحتفظ بها Intrusion Logging؟
بحسب وثائق مساعدة Android الرسمية الخاصة بتسجيل عمليات التسلل، لا يقتصر السجل على نوع واحد من النشاط. فهو يجمع أحداثًا متعددة يمكن أن تساعد في تحديد ما الذي كان يحدث على الجهاز خلال فترة زمنية معينة.
من الأمثلة المهمة على البيانات المسجلة:
- نشاط التطبيقات، مثل بدء تشغيل عملية مرتبطة بأحد التطبيقات.
- تثبيت التطبيقات أو تحديثها أو إلغاء تثبيتها.
- تشغيل Wi-Fi أو إيقافه وبعض أحداث Bluetooth.
- عمليات البحث في نظام أسماء النطاقات DNS وعناوين IP المرتبطة باتصالات الشبكة.
- نقل ملفات من الجهاز أو إليه عبر اتصال USB.
- التغييرات التي تحدث على شهادات النظام.
- الأوقات التي تم فيها قفل الجهاز أو فتحه.
قيمة هذه البيانات تظهر عند جمع أكثر من حدث في تسلسل واحد. ظهور تطبيق يعمل في الخلفية ليس دليلًا بمفرده على وجود اختراق، وكذلك الاتصال بعنوان IP غير مألوف قد يكون ناتجًا عن خدمة سحابية شرعية أو شبكة إعلانات أو تحديث تطبيق. لكن وجود عدة أحداث مترابطة في وقت حدوث المشكلة قد يمنح المحلل الأمني صورة أوضح بكثير.
كيف تفعّل سجل الاختراق في Android؟
Intrusion Logging مرتبط بإعداد الحماية المتقدمة Advanced Protection. وتوضح صفحة الحماية المتقدمة الرسمية في Android أن تفعيل حماية الجهاز يتطلب وجود قفل شاشة، وقد يحتاج بعض الأجهزة إلى إعادة التشغيل لتطبيق جميع وسائل الحماية.
- افتح تطبيق الإعدادات في الهاتف.
- انتقل إلى الأمان والخصوصية.
- افتح الحماية المتقدمة Advanced Protection. وقد يختلف مسار القائمة قليلًا حسب الشركة المصنعة وإصدار النظام.
- فعّل خيار حماية الجهاز إذا لم يكن مفعّلًا بالفعل.
- أثناء الإعداد، اختر تفعيل Intrusion Logging.
- اختر حساب Google الذي سيُستخدم لحفظ النسخ المشفرة من السجلات.
- أكمل التحقق المطلوب، ثم أعد تشغيل الهاتف إذا طلب النظام ذلك.
يمكن كذلك الوصول إلى إعدادات الحماية المتقدمة في بعض الأجهزة من إعدادات Google ثم جميع الخدمات ثم قسم الأمان الشخصي وأمان الجهاز. لا تفترض أن عدم وجود الخيار في المسار الأول يعني أن جهازك يفتقد الميزة مباشرة، لأن أسماء القوائم ومساراتها قد تختلف.
متى يفيدك السجل عند الاشتباه باختراق؟
أكبر فائدة للسجل تظهر عندما تعرف تقريبًا الفترة التي بدأ عندها السلوك المشبوه. على سبيل المثال، إذا لاحظت تسجيل دخول غير معروف إلى حساب، أو تثبيت تطبيق لم تتذكر تثبيته، أو نشاطًا غريبًا بعد توصيل الهاتف بجهاز كمبيوتر، فإن الفترة الزمنية المحيطة بالحادثة تصبح نقطة البداية في التحليل.
يمكن للخبير مقارنة وقت الواقعة مع نشاط التطبيقات والاتصالات وتغييرات النظام المسجلة. فإذا ظهر تثبيت تطبيق غير معروف ثم بدأت اتصالات شبكة جديدة وتبعها تغيير أمني آخر، يصبح التسلسل أكثر أهمية من مشاهدة كل حدث بصورة منفصلة.
سجل الاختراق أداة للتحقيق وجمع الأدلة التقنية، وليس زرًا يعطي حكمًا تلقائيًا بأن الهاتف آمن أو مخترق.
لهذا لا يُنصح بحذف التطبيقات عشوائيًا أو تغيير عشرات الإعدادات قبل حفظ المعلومات التي قد تحتاج إليها إذا كان الاشتباه جديًا، خصوصًا في الحالات التي تتطلب تحقيقًا مهنيًا.
طريقة تنزيل السجل وفك تشفيره
عندما تحتاج إلى مراجعة البيانات، تتيح Google تنزيل السجل من جهاز Android مسجل عليه حساب Google المرتبط بالميزة. وتشير التعليمات الرسمية إلى أن المسار المعتاد يبدأ من الأمان والخصوصية ثم الحماية المتقدمة ثم Intrusion Logging.
- افتح الإعدادات.
- انتقل إلى الأمان والخصوصية > الحماية المتقدمة > Intrusion Logging.
- اختر Access logs أو خيار الوصول إلى السجلات بحسب لغة الجهاز.
- حدد الجهاز الذي تريد الحصول على سجلاته.
- اختر Download & decrypt لتنزيل السجل وفك تشفيره.
- ابحث عن الملفات الناتجة في مدير الملفات على الجهاز.
بعد هذه المرحلة تصبح الملفات قابلة للاستخدام خارج آلية التخزين المشفرة الخاصة بالخدمة. لا ترسلها إلى شخص أو خدمة غير موثوقة لمجرد الحصول على تفسير سريع، لأنها قد تحتوي على معلومات تكشف جانبًا من نشاط الجهاز والشبكة.
إذا كان الاشتباه مرتبطًا بتجسس مستهدف أو اختراق حسابات مهمة أو حادثة مهنية، فالأفضل تسليم نسخة من السجلات إلى مختص في الاستجابة للحوادث أو التحليل الجنائي الرقمي مع توضيح وقت ظهور المشكلة والأعراض التي لاحظتها.
الخصوصية: أين تُحفظ السجلات ومن يستطيع قراءتها؟
تستخدم الميزة تشفيرًا من طرف إلى طرف قبل رفع بيانات السجل إلى خوادم Google. وتوضح Google أن مفاتيح التشفير محمية ببيانات حسابك وقفل شاشة الجهاز، وأنها لا تعرف كلمة مرور حسابك أو رمز قفل الشاشة بالصورة التي تسمح لها بقراءة محتوى السجل المشفر.
لكن هناك تفصيل مهم: تحتفظ الخدمة بالسجلات المشفرة لمدة 12 شهرًا، ثم تُحذف تلقائيًا. ولا يستطيع المستخدم أو Google حذف سجل محدد يدويًا قبل انتهاء هذه المدة وفق الوثائق الرسمية. وحتى إذا أوقفت Intrusion Logging، يتوقف التسجيل الجديد، بينما تظل البيانات التي جُمعت سابقًا خاضعة لمدة الاحتفاظ المحددة.
أما بعد تنزيل السجلات وفك تشفيرها، فتنتقل مسؤولية حمايتها إليك. لذلك يفضّل عدم ترك النسخة المفكوكة في مساحة مشتركة أو خدمة سحابية غير محمية، وعدم إرسالها عبر قنوات غير موثوقة.
تفصيل مهم حول Chrome ووضع التصفح المتخفي
وجود وضع التصفح المتخفي في Chrome لا يجعل نشاط الشبكة غير مرئي لسجل على مستوى النظام. توضح Google أن Intrusion Logging قد يسجل أحداث الشبكة الناتجة عن علامات تبويب التصفح المتخفي، مثل عمليات DNS والاتصالات بعناوين IP.
هذا لا يعني أن السجل يحتفظ بنسخة من صفحات الويب نفسها، لكنه قد يسمح لمن يحلل البيانات باستنتاج نطاقات أو مواقع تم الاتصال بها. لذلك يجب مراعاة هذا الجانب قبل تفعيل الميزة، خصوصًا إذا كنت تتعامل مع الجهاز على أنه منفصل تمامًا بين الاستخدام العادي والمتخفي.
وهناك حالة أخرى قد تؤثر في اكتمال بعض أحداث Chrome: إذا كان المتصفح يستخدم محلل DNS الداخلي الخاص به، فقد لا تظهر بعض استعلامات DNS بالطريقة المتوقعة في سجلات Android. وتذكر Google إمكانية استخدام إعداد Private DNS في Android بدل Secure DNS داخل Chrome عندما يكون الهدف التقني هو التقاط أحداث DNS في السجل بصورة مناسبة.
لا تفسّر كل حدث غريب على أنه اختراق
السجلات الأمنية بطبيعتها مليئة بأنشطة طبيعية قد تبدو غير مألوفة للمستخدم. التطبيقات تتصل بخوادم متعددة، وخدمات النظام تعمل في الخلفية، وعناوين IP قد تتغير باستمرار بسبب البنية السحابية وشبكات توزيع المحتوى. لذلك فإن البحث عن عنوان IP غير معروف ثم اعتباره دليل اختراق قد يؤدي إلى استنتاج خاطئ.
عند التحليل، ركّز على ثلاثة أمور: التوقيت، وتسلسل الأحداث، وعلاقتها بالأعراض التي لاحظتها. حدث غريب وقع قبل أشهر غالبًا لا يفسر نشاطًا ظهر اليوم. أما مجموعة أحداث غير معتادة حدثت في الدقائق نفسها التي وقع فيها تنبيه أمني أو تغير غير مصرح به، فهي تستحق مراجعة أعمق.
ويجب الانتباه أيضًا إلى أن Google تشير إلى أن الميزة قد تقلل معدل تسجيل الأحداث خلال فترات النشاط الكثيف جدًا. لذلك لا ينبغي اعتبار عدم ظهور حدث معين برهانًا قاطعًا على أنه لم يقع.
كيف تستخدم الميزة بطريقة أكثر أمانًا؟
خطوتك التالية
- فعّل قفل شاشة قويًا وحافظ عليه لأن بيانات القفل تدخل ضمن حماية الوصول إلى السجلات المشفرة.
- استخدم سجل الاختراق لجمع السياق والتحقق، لا للحكم على كل اتصال غير معروف بأنه هجوم.
- عند تنزيل السجل وفك تشفيره، خزّنه في مكان آمن ولا تشاركه إلا مع جهة تثق بها.
- سجّل وقت أي نشاط مشبوه تلاحظه، لأن تحديد الفترة الزمنية يجعل تحليل السجل أكثر فائدة.
الخطوة العملية التالية هي فتح الإعدادات > الأمان والخصوصية > الحماية المتقدمة والتحقق أولًا من وجود Intrusion Logging على جهازك وحالة تفعيله، قبل أن تحتاج إلى السجل بعد وقوع حادث أمني.
قد يهمك:
- كيف تعرف هل Gemini يعمل على الجهاز أم في السحابة؟
- لماذا يخفي Android رموز OTP عن بعض التطبيقات؟
- كيف تعرف إن كان iPhone يدعم ميزات Siri AI الجديدة؟
- iPhone 18 Pro مقابل iPhone 17: جميع الفروق والمميزات
توضيحات إضافية
هل سجل الاختراق يعني أن Android يكتشف الاختراق تلقائيًا؟
لا. الميزة تسجل أحداثًا أمنية وأحداث شبكة يمكن استخدامها في التحقيق، لكنها لا تجعل كل حدث مسجل دليلًا تلقائيًا على وجود اختراق.
هل تستطيع Google قراءة سجلات Intrusion Logging؟
توضح Google أن السجلات تُشفّر من طرف إلى طرف، وأن مفاتيح الوصول محمية ببيانات حساب Google وقفل شاشة الجهاز، لذلك لا تستطيع قراءة محتوى السجلات المشفرة المخزنة بهذه الآلية.
هل يمكن حذف السجلات قبل مرور 12 شهرًا؟
وفق وثائق Google الرسمية، لا يمكن للمستخدم أو Google حذف السجلات المخزنة يدويًا قبل انتهاء مدة الاحتفاظ البالغة 12 شهرًا، وبعدها تُحذف تلقائيًا.
ماذا يحدث إذا أوقفت Intrusion Logging؟
يتوقف تسجيل الأحداث الجديدة مباشرة، ويُرفع ما جُمع ولم يُرسل بعد قبل إيقاف الميزة بالكامل، بينما تبقى السجلات السابقة محفوظة حتى انتهاء مدة الاحتفاظ الخاصة بها.
هل إزالة قفل الشاشة تؤثر في الوصول إلى السجلات؟
نعم، قد تؤثر إزالة قفل الشاشة في عامل استرداد مفاتيح التشفير، وتحذر Google من احتمال فقدان القدرة على فك تشفير السجلات إذا فُقد الجهاز أو تلف بعد إزالة قفل الشاشة.