Was die Prüfung vergleicht
Eine Baseline ist die Aufzeichnung, wie Dateien aussehen sollen: ein kryptografischer Fingerabdruck des Inhalts jeder Datei, zusammen mit Größe, Berechtigungen, Eigentümer und Zeitstempeln. Jede spätere Prüfung vergleicht den aktuellen Zustand mit diesem Eintrag. Die Frage lautet also nicht, ob eine Datei verdächtig wirkt, sondern ob sie noch zur Baseline passt.
Dieselbe Idee heißt File Integrity Monitoring (FIM), wenn sie fortlaufend auf einer Gruppe von Servern und Arbeitsplätzen läuft. Die Prüfung selbst ist dieselbe. Unterschiedlich sind die Häufigkeit und die Frage, wer die Ergebnisse auswertet.
So arbeitet die Methode
Der Vergleich ist exakt. Ein Hash ändert sich vollständig, sobald ein einziges Byte sich ändert. Daher gibt es keine Teilübereinstimmung und keinen Zweifel, ob der Inhalt identisch ist.
Die Methode läuft in fünf Stufen, und jede baut auf der vorherigen auf.
- 1
Erstellung der Baseline
Die zu schützenden Dateien werden erfasst. Für jede Datei wird ein Hash des Inhalts zusammen mit Metadaten gespeichert: Größe, Berechtigungen, Eigentümer und Zeitstempel.
- 2
Verifizierung
Nach Zeitplan oder als Reaktion auf Ereignisse werden die Werte neu berechnet und mit der Baseline verglichen.
- 3
Berichterstattung
Abweichungen werden als Änderungsereignisse gemeldet, mit Angabe, was sich wann geändert hat.
- 4
Bewertung
Jede Änderung wird mit der erwarteten Aktivität abgeglichen: ein genehmigter Patch, eine Konfigurationsverteilung, ein Anwendungsupdate oder etwas Ungeklärtes.
- 5
Aktualisierung der Baseline
Legitime Änderungen fließen in eine neue Baseline ein, damit der Referenzstand aktuell bleibt.
Geplante oder Echtzeitprüfung
Die geplante Prüfung durchläuft den geschützten Bestand in festen Intervallen. Sie ist einfach und in der Ressourcennutzung gut vorhersagbar, bleibt aber zwischen den Läufen blind: Eine Datei kann geändert, genutzt und vor dem nächsten Durchlauf wiederhergestellt werden.
Die Echtzeitprüfung nutzt Ereignisse des Dateisystems und meldet eine Änderung in dem Moment, in dem sie passiert. Das verkürzt die Erkennungszeit und liefert die Identität des verantwortlichen Prozesses und Benutzers. Der Preis sind eine ständige Aktivität des Agenten und mehr Rauschen, das gefiltert werden muss.
Was üblicherweise geschützt wird
Meist wird eine kurze Liste von Zielen geschützt, ausgewählt nach dem Schaden, den eine unbemerkte Änderung anrichten würde.
| Ziel | Warum es überwacht wird |
|---|---|
| Betriebssystem-Binärdateien und Bibliotheken | Komponenten, die ein Angreifer austauschen würde, um sich festzusetzen |
| Konfigurationsdateien | Eine geänderte Zeile kann eine Kontrolle abschalten oder Zugriff öffnen |
| Anwendungscode und Webinhalte | Eingeschleuster Code erreicht die Nutzer direkt |
| Geplante Aufgaben, Dienste und Autostart-Einträge | Typische Stellen für dauerhafte Präsenz |
| Sicherheitswerkzeuge und ihre Konfiguration | Das Abschalten der Überwachung ist ein Standardschritt |
| Aufzeichnungen, die sich nicht ändern dürfen | Protokolle, Archive sowie Finanz- oder Beweisdokumente |
Nutzen über die Angriffserkennung hinaus
Derselbe Mechanismus dient mehreren Zwecken. Er erkennt unautorisierte Änderungen (Sicherheitsnutzen), bestätigt, dass genehmigte Änderungen wie vorgesehen eingespielt wurden (Betriebsnutzen), bestätigt, dass gespeicherte Archive nicht durch Medienfehler beschädigt wurden (Erhaltungsnutzen), und zeigt, dass Aufzeichnungen nicht nachträglich verändert wurden (Beweisnutzen). Der letzte Punkt wiegt bei sensiblen Daten mit Aufbewahrungspflichten besonders schwer.
Die Prüfung eines heruntergeladenen Programms gegen einen veröffentlichten Hash wendet dieselbe Idee auf eine einzelne Datei zu einem einzelnen Zeitpunkt an.
So sieht es in Anexet aus
In der Administratorkonsole von Anexet werden hash banks dem Agentenprofil zugeordnet. Der Reiter File system listet die Banken, die für die Überwachung des Dateisystems gelten, mit Anzahl der Dateien und Hashes je Bank. Das Statistikfenster zeigt, wann eine Bank zuletzt aktualisiert und wann sie zuletzt geprüft wurde.
1 / 2
Grenzen und praktische Probleme
Die Methode hat fünf praktische Grenzen. Eine Änderung durch eine Insider-Bedrohung mit legitimen Rechten sieht aus wie jede genehmigte Änderung, daher reicht die Prüfung allein nicht aus. Ihr Wert hängt davon ab, dass jemand jede Meldung zeitnah bewertet.
- Menge der Änderungen: Ohne enge Abgrenzung verschüttet das Rauschen die Meldungen, und sie werden nicht mehr gelesen.
- Erkennung statt Verhinderung: Eine Meldung zeigt die Änderung, stoppt sie aber nicht. Das Blockieren muss durch eine separate Kontrolle erfolgen, etwa eine Lösung für Data Loss Prevention (DLP).
- Vertrauen in die Baseline: Eine Baseline von einem kompromittierten System behandelt die Kompromittierung als Normalzustand.
- Inhaltsblindheit: Die Prüfung zeigt, dass eine Datei abweicht, nicht ob die Abweichung von Bedeutung ist.
- Angriffe im Arbeitsspeicher und zur Laufzeit: Angriffe, die nie eine überwachte Datei auf dem Datenträger berühren, liegen außerhalb des Umfangs.
Warum sie Standard bleibt
Trotz dieser Grenzen verlangen die meisten Sicherheitsrahmen sowie Zahlungs- und Branchenstandards eine Integritätsprüfung. Sie ist ein üblicher Bestandteil der Compliance-Überwachung.
Sie ist günstig im Betrieb und liefert eindeutige Nachweise. Sie gehört zu den wenigen Kontrollen, die eine Negativaussage belegen können: dass eine kritische Datei sich seit dem letzten verifizierten Zustand nicht verändert hat.
Weiterlesen: Mechanismen zur Sicherheit von Informationssystemen; Verschlüsselung, Kodierung und Hashing – was ist der Unterschied?.
Eine veränderte Datei meldet sich selten von selbst. Die Baseline macht aus Stille eine Aussage.
Anexet Team