قراءة السجلات: طلع المهاجم

السجل (log) هو كاميرا المراقبة. أغلب الاختراقات ما تنكشف بالحماية — تنكشف بشخص قرا السجل ولاحظ شي غريب.

10.0.0.5 - GET /index.html          200
10.0.0.5 - GET /login               200
10.0.0.5 - POST /login              401
10.0.0.5 - POST /login              401
10.0.0.5 - POST /login              401
... (240 مرة) ...
10.0.0.5 - POST /login              200   ← نجاح بعد 240 محاولة

أنماط لازم تتعرفها

• 401 ورا بعض = تخمين كلمات سر.
• طلبات لصفحات ما فيها مثل /wp-admin و /phpmyadmin = مسح آلي.
• نص في البارامتر مثل ' OR 1=1 = حقن.
• IP واحد يفتح آلاف الصفحات = زحف (crawl).
• نجاح 200 بعد عشرات 401 = الدخول نجح.