مراقبة سلامة الملفات

مراقبة سلامة الملفات تجيب عن سؤال واحد: هل تغيّر ملف كان يجب ألا يتغير؟ يسجّل الضابط حالةً موثوقة لملفات ومجلدات وإعدادات مختارة، ثم يبلّغ عن كل فرق لاحق مع الوقت والحساب المسؤول عنه. وتكمن القيمة في تحويل التغيير غير المفسَّر إلى سجلّ يجب على أحدهم إغلاقه، بدلًا من تعديل صامت لا يلاحظه أحد، وليس في الاكتشاف نفسه فقط.

يقوم FIM على التحقق من سلامة الملفات، وهو فعل التحقق ذاته. والفرق في الاستمرارية: الفحص لمرة واحدة يجيب عن السؤال مرة واحدة، بينما يواصل FIM طرحه ويحتفظ بسجلّ كل إجابة. وهذا السجلّ ما يحتاجه المحقق حين يتغير ملف إعدادات قبل أسابيع من أن يلاحظه أحد.

يمرّ كل مسار مراقَب بالحلقة نفسها. تُؤخذ خط أساس من التجزئات والخصائص من حالة معروفة بأنها سليمة. تُقارَن كل حادثة لاحقة بخط الأساس، فيعكس التنبيه ما اختلف فعلًا، ويذكر الملف والتغيير والحساب والوقت. وتعتمد جودة الضابط أساسًا على خط الأساس وانضباط مالك التنبيهات، لا على محرك الاكتشاف.

تعيد المقارنة المجدولة فحص خط الأساس على فترات ثابتة وتُبلغ عن الانحرافات. وهي رخيصة وسهلة التدقيق، لكن التغيير الذي يحدث بعد فحص مباشرة يبقى مخفيًا حتى الفحص التالي. أما المراقبة الفورية فتستجيب للكتابة والنقل والحذف لحظة وقوعها، ولهذا يريدها مركز العمليات عادةً للملفات التنفيذية للنظام وسكربتات بدء التشغيل وقواعد الوصول.

وضع الوقت الفعلي أغلى. يحتاج إلى عميل على الجهاز، ويولّد أحداثًا أكثر، ويتطلب ضبطًا من اليوم الأول. ويستخدم كثير من الفرق الاثنين معًا: الوقت الفعلي لأهم المسارات القليلة، والمقارنة المجدولة لبقية البيئة، حتى يلتقط الفحص الكامل التالي حدثًا فاته العميل. وللممارسة الأوسع انظر المراقبة المستمرة.

التنبيه عن ملف متغيّر وحده فقير المعنى. يقول إن مسارًا يختلف عن خط الأساس، لكنه لا يقول شيئًا عن القصد. يكتسب FIM قيمته حين يصل التنبيه إلى المسار نفسه الذي تصل إليه بقية الإشارات، فيقرؤه المحلل بجوار تسجيلات الدخول والعمليات والبلاغ الذي كان ينبغي أن يفسّر التغيير. والفرق التي ترسل الأحداث فعلًا إلى تكامل SIEM تستطيع وضع تغيير الملف على الخط الزمني نفسه لتسجيلات الدخول والاتصالات.

يُعد FIM من أكثر الضوابط ذكرًا في أطر الأمان، ولهذا تنشره فرق مركز العمليات حتى حين لا يقع حادث. ويطلب معظم المدققين الأدلة نفسها: قائمة محددة بالملفات الحرجة، وتنبيهات عن التغيير غير المصرّح به، ودليلًا على أن شخصًا راجع كل تنبيه وأغلقه بقرار.

• يشترط PCI DSS آلية لكشف التغييرات على الأنظمة التي تعالج بيانات البطاقات، مع مقارنة الملفات الحرجة مرة واحدة على الأقل أسبوعيًا.
• يشمل الضابط SI-7 في NIST SP 800-53 سلامة البرمجيات والبرامج الثابتة والمعلومات.
• يتوقع ضابط السلامة في HIPAA من الجهات المشمولة آليات إلكترونية تؤكد أن المعلومات الصحية الإلكترونية لم تُعدَّل أو تُتلَف دون تفويض.
• يتضمن الملحق A من ISO/IEC 27001 ضوابط لإدارة التغيير وسلامة الأنظمة، يساعد مسار FIM الموثّق على إثباتها.
• يطلب المدققون عادةً جرد الملفات المحمية وعينات من التنبيهات وسجل مراجعة يُظهر إغلاق كل تنبيه بقرار، لا مجرد توليده.

لا يُنشئ Anexet خط أساس لمسارات النظام العشوائية، ولا يحسب تجزئة كل ملف على الخادم، لذلك ليس محرك FIM كلاسيكيًا. تسجّل وحدة التحكم الإدارية عمليات الملفات على محطات العمل ومشاركات الشبكة: للملفات الإنشاء والقراءة والكتابة والحذف وإعادة التسمية والتنفيذ وتغيير الصلاحيات، وللمجلدات مجموعة أضيق. ويختار كل ملف تعريف للوكيل العمليات التي تُسجَّل. وتغطي مشاركات الشبكة مراقبة نقل الملفات ومشاركات الشبكة.

أكبر خطر تشغيلي في FIM ليس فوات تغيير حقيقي، بل إغراق مركز العمليات بالضوضاء حتى تُرفض كل التنبيهات دون قراءة. وتغيّر الحاويات الصورة: تُعاد بناء الصور بدلًا من تصحيحها في مكانها، فينتقل خط الأساس إلى مسار بناء الصور. ويتبع الضبط تسلسلًا متوقعًا:

1. 1

   التقاط خط الأساس

   سجّله من نسخة معروفة بسلامتها للنظام.

2. 2

   التشغيل في وضع التقرير فقط

   تعرّف على ما يتغير عادةً في هذه الفئة من الأنظمة.

3. 3

   استبعاد المسارات المتقلبة

   اترك خارج المراقبة المسارات التي تتغير بشكل مشروع، مثل الذاكرات المؤقتة والسجلات وبيانات مدير الحزم.

4. 4

   توجيه التنبيهات إلى مالك

   يغلق المالك كل تنبيه مع سبب مسجّل.

يكتشف FIM أن ملفًا مراقَبًا تغيّر. لكنه لا يحكم على ما إذا كان المحتوى الجديد خبيثًا، ولا يمنع التغيير. ولا يرى شيئًا من النشاط الذي لا يمس مسارًا مراقَبًا أبدًا، مثل التنفيذ في الذاكرة أو إساءة استخدام بيانات الاعتماد أو نسخ البيانات دون تغيير أي ملف.

لذلك يتعامل مركز العمليات الناضج مع FIM كضابط كشف من بين ضوابط عدة. يقرنه بضوابط وصول تحدّ من يستطيع الكتابة في المسارات المحمية، والتحقق من سلامة سجلات الملفات لتبقى أحداث السلامة على بنية لا يتحكم بها المهاجم، والنسخ الاحتياطي والاستعادة حتى يمكن التراجع عن تغيير غير مصرّح به ثبت وقوعه.

ابدأ بالملفات القليلة التي يسبب تغيرها الصامت أكبر ضرر: الملفات التنفيذية للنظام على الخوادم، وإعدادات أدوات الأمان، والمسارات التي تحفظ بيانات محمية. أضف مسارات أخرى فقط بعد أن يشرح المالك كل تنبيه أنتجته المجموعة الأولى.

للمزيد من القراءة: آليات ضمان أمن نظم المعلومات; ما هي أنظمة SIEM لإدارة أمن المعلومات؟.