‏FIM (مراقبة سلامة الملفات)

تستخدم معظم أدبيات المنتجات المصطلحين بالتبادل. والفرق المفيد تشغيلي لا تعريفي. التحقق من سلامة الملفات هو فعل التحقق نفسه: مقارنة بخط أساس، وغالباً ما يُجرى وفق جدول زمني. ويعني FIM عادةً الانضباط المستمر حول هذا التحقق: الكشف بناءً على الأحداث، وربط التغيير بعملية ومستخدم، والتنبيه، وسير فرز، وتقارير تصلح للتدقيق. وفي التطبيق العملي يتضمن نشر FIM التحقق المجدول كأحد أنماطه.

النطاق محدود عمداً. يعمل FIM بقدر ما تُختار المجموعة المحمية بعناية، وغالباً ما تبدأ هذه المجموعة من تصنيف البيانات. مراقبة كل شيء تُنتج تدفقاً من التغييرات لا يستطيع أحد قراءته.

يكتشف FIM التغييرات في الملفات. لكنه لا يمنع التغيير، ولا يحكم على ما إذا كان المحتوى الجديد خبيثاً، ولا يرى النشاط الذي لا يمس ملفاً مراقباً أبداً، مثل التقنيات التي تعمل في الذاكرة، وإساءة استخدام بيانات الاعتماد، والبيانات المنسوخة دون أي تعديل.

لذلك يُقرن بضوابط الوصول وإدارة الصلاحيات، وكشف نقاط النهاية لسلوك التشغيل، وتسجيل مركزي يحفظ أحداث السلامة على نظام لا يتحكم فيه من أجرى التغيير، والنسخ الاحتياطي والاستعادة حتى يمكن التراجع عن تغيير اكتُشف.

الحدث المفيد لا يجيب عن سؤال واحد هو هل اختلف الملف. إنه يسجل أربعة أمور.

الإسناد هو ما يحوّل مراقبة السلامة من مولّد ضجيج إلى أداة تحقيق. وهو يجيب عن السؤال نفسه الذي تطرحه مراقبة نشاط المستخدمين عن الأشخاص. فتغيير الإعدادات في نافذة صيانة معتمدة، ينفّذه حساب النشر، يختلف في طبيعته عن التغيير نفسه ليلاً من جلسة تفاعلية.

يرد FIM صراحةً أو ضمناً في معظم أطر الأمن، وفي متطلبات المدفوعات والرعاية الصحية والقطاع العام. وغالباً ما تتطلب شيئين: مراقبة الملفات الحرجة بحثاً عن التغييرات، وأن يراجع شخص التنبيهات ويحسمها. ويطلب المدققون عادةً قائمة الملفات المحمية، وأدلة المراجعة، وسجلات توضح كيف حُسم كل تغيير مكتشف. فالمسار الموثق لا يقل أهمية عن الأداة. والحفاظ على هذه الأدلة محدّثة هو جوهر مراقبة الامتثال.

معظم الجهد في برنامج FIM يذهب إلى الضبط. والنشر الذي يتخطى فترة التعلم ينتهي تقريباً دائماً بالتجاهل. خط الأساس مجموعة من البصمات لحالة معروفة بأنها سليمة، وكل تنبيه ينشأ من المقارنة بها.

1. 1

   بناء خط الأساس

   ابدأ من حالة معروفة بأنها سليمة.

2. 2

   التشغيل في وضع التقرير فقط

   ابقَ فترة كافية لتتعرف على التغييرات المعتادة.

3. 3

   استثناء المسارات المتقلبة

   ذاكرة التخزين المؤقت والمجلدات المؤقتة والسجلات وقواعد بيانات الحزم.

4. 4

   إسناد التنبيهات إلى مسؤول

   يفرز أحدهم التنبيهات المتبقية.

5. 5

   تحديث خط الأساس ضمن إدارة التغيير

   لا ينبغي أن تظهر عمليات النشر المعتمدة كحوادث.

تفشل معظم البرامج الفاشلة في المواضع القليلة نفسها.

• لا يُحدَّث خط الأساس أبداً، فيبدو كل تحديث معتمد كأنه حادث.
• تبقى المسارات المتقلبة، مثل ذاكرة التخزين المؤقت والسجلات، ضمن النطاق فتمتلئ قناة التنبيهات بالضوضاء.
• لا يملك التنبيهات مسؤول مسمّى، فلا يراجعها أحد.

ابدأ بالملفات التي يسبب تغييرها أكبر ضرر: الملفات الثنائية للنظام، وإعدادات الأمان، والسجلات التي تثبت ما جرى. أضف الباقي فقط بعد أن يصبح لأول التنبيهات مسؤول. التغيير غير المفسَّر إشارة واحدة من بين إشارات كثيرة، فاقرأه مع مؤشرات التهديد الداخلي.

للمزيد من القراءة: آليات ضمان أمن نظم المعلومات; ما هي أنظمة SIEM لإدارة أمن المعلومات؟.