Dateiintegritätsüberwachung

Die Integritätsüberwachung von Dateien beantwortet eine Frage: Wurde eine Datei verändert, die sich nicht verändern sollte? Das Kontrollelement hält einen vertrauenswürdigen Zustand ausgewählter Dateien, Verzeichnisse und Einstellungen fest und meldet danach jede spätere Abweichung samt Zeitpunkt und verantwortlichem Konto. Der Wert liegt weniger in der Erkennung selbst als darin, dass eine ungeklärte Änderung zu einem Eintrag wird, den jemand schließen muss, statt einer stillen Bearbeitung, die niemand bemerkt.

FIM baut auf der Prüfung der Dateiintegrität auf, also dem Prüfvorgang selbst. Der Unterschied liegt in der Kontinuität: Eine einmalige Prüfung beantwortet die Frage einmal, FIM stellt sie fortlaufend und bewahrt den Verlauf jeder Antwort. Diesen Verlauf braucht ein Ermittler, wenn eine Konfigurationsdatei Wochen vor ihrer Entdeckung verändert wurde.

Jeder überwachte Pfad durchläuft denselben Ablauf. Aus einem bekannt guten Zustand wird eine Basislinie aus Hashwerten und Attributen erstellt. Jedes spätere Ereignis wird mit dieser Basislinie verglichen, sodass der Alarm den tatsächlichen Unterschied abbildet und Datei, Änderung, Konto und Zeitpunkt nennt. Die Qualität des Kontrollelements hängt vor allem von der Basislinie und der Sorgfalt des Alarmverantwortlichen ab, nicht von der Erkennungs-Engine.

Der geplante Vergleich prüft die Basislinie in festen Intervallen erneut und meldet Abweichungen. Er ist günstig und leicht zu prüfen, doch eine Änderung direkt nach einem Scan bleibt bis zum nächsten verborgen. Die Echtzeitüberwachung reagiert auf Schreib-, Verschiebe- und Löschvorgänge in dem Moment, in dem sie passieren. Deshalb wollen SOC-Teams sie meist für Systemdateien, Startskripte und Zugriffsregeln.

Der Echtzeitbetrieb kostet mehr. Er braucht einen Agenten auf dem Host, erzeugt mehr Ereignisse und verlangt vom ersten Tag an Feinabstimmung. Viele Teams setzen beides ein: Echtzeit für die wenigen wichtigsten Pfade und geplanten Vergleich für den übrigen Bestand, damit ein vom Agenten übersehenes Ereignis beim nächsten vollständigen Durchlauf auffällt. Zur breiteren Praxis siehe kontinuierliche Überwachung.

Ein einzelner Alarm über eine geänderte Datei ist dürftig. Er sagt, dass ein Pfad von der Basislinie abweicht, aber nichts über die Absicht. FIM gewinnt an Wert, wenn der Alarm im selben Strom landet wie alle anderen Signale, sodass ein Analyst ihn neben Anmeldungen, Prozessen und dem Ticket liest, das die Änderung erklären sollte. Teams, die Ereignisse ohnehin an eine SIEM-Integration senden, können die Dateiänderung auf dieselbe Zeitachse wie Anmeldungen und Verbindungen legen.

FIM gehört zu den am häufigsten genannten Kontrollen in Sicherheitsrahmen, deshalb setzen SOC-Teams es auch dann ein, wenn kein Vorfall eingetreten ist. Die meisten Prüfer verlangen dieselben Nachweise: eine definierte Liste kritischer Dateien, Alarme bei unautorisierten Änderungen und den Beleg, dass eine Person jeden Alarm geprüft und mit einer Entscheidung geschlossen hat.

• PCI DSS verlangt einen Mechanismus zur Änderungserkennung auf Systemen, die Kartendaten verarbeiten, wobei kritische Dateien mindestens wöchentlich verglichen werden.
• NIST SP 800-53, Kontrolle SI-7, umfasst die Integrität von Software, Firmware und Informationen.
• Der Integritätsschutz nach HIPAA erwartet von den betroffenen Stellen elektronische Mechanismen, die bestätigen, dass elektronische Gesundheitsinformationen nicht unbefugt verändert oder zerstört wurden.
• ISO/IEC 27001, Anhang A, enthält Kontrollen für Änderungsmanagement und Systemintegrität, die ein dokumentierter FIM-Prozess belegen hilft.
• Prüfer fragen meist nach dem Inventar der geschützten Dateien, Alarmstichproben und einem Prüfpfad, der zeigt, dass jeder Alarm mit einer Entscheidung geschlossen und nicht nur erzeugt wurde.

Anexet legt keine Basislinie für beliebige Systempfade an und berechnet nicht für jede Datei auf einem Server einen Hashwert. Deshalb ist es keine klassische FIM-Engine. Die Konsole protokolliert Dateioperationen auf Arbeitsplätzen und Netzwerkfreigaben: für Dateien Erstellen, Lesen, Schreiben, Löschen, Umbenennen, Ausführen und Ändern von Berechtigungen, für Ordner einen engeren Satz. Jedes Agentenprofil legt fest, welche Operationen erfasst werden. Netzwerkfreigaben deckt die Überwachung von Dateiübertragungen und Netzwerkfreigaben ab.

Das größte operative Risiko von FIM ist nicht, eine echte Änderung zu übersehen. Es ist, das SOC in Rauschen zu ertränken, bis jeder Alarm ungelesen verworfen wird. Container verändern das Bild: Images werden neu gebaut statt im laufenden Betrieb gepatcht, daher wandert die Basislinie in die Image-Pipeline. Die Abstimmung folgt einer vorhersehbaren Reihenfolge:

1. 1

   Basislinie erfassen

   Sie wird aus einem bekannt guten Build des Systems erstellt.

2. 2

   Im reinen Berichtsmodus laufen lassen

   So erfahren Sie, was auf dieser Systemklasse normalerweise wechselt.

3. 3

   Volatile Pfade ausschließen

   Legitim wechselnde Pfade wie Caches, Logs und Paketmanager-Metadaten bleiben außen vor.

4. 4

   Alarme an einen Verantwortlichen leiten

   Der Verantwortliche schließt jeden Alarm mit einer dokumentierten Begründung.

FIM erkennt, dass sich eine überwachte Datei verändert hat. Es bewertet nicht, ob der neue Inhalt schädlich ist, und es verhindert die Änderung nicht. Es sieht nichts von Aktivitäten, die nie einen überwachten Pfad berühren, etwa Ausführung im Arbeitsspeicher, Missbrauch von Zugangsdaten oder Daten, die kopiert werden, ohne dass eine Datei verändert wird.

Ein ausgereiftes SOC behandelt FIM deshalb als eine detektive Kontrolle unter mehreren. Es kombiniert FIM mit Zugriffskontrollen, die begrenzen, wer in geschützte Pfade schreiben darf, mit der Integritätsprüfung von Protokolldateien, damit Integritätsereignisse auf einer Infrastruktur erhalten bleiben, die der Angreifer nicht kontrolliert, und mit Backup und Wiederherstellung, damit eine bestätigte unautorisierte Änderung rückgängig gemacht werden kann.

Beginnen Sie mit den wenigen Dateien, deren stille Änderung den größten Schaden anrichten würde: Systemdateien auf Servern, die Konfiguration der Sicherheitswerkzeuge und die Pfade, in denen geschützte Daten liegen. Weitere Pfade kommen erst hinzu, wenn der Verantwortliche jeden Alarm der ersten Gruppe erklärt hat.

Weiterlesen: Mechanismen zur Sicherheit von Informationssystemen; Was sind SIEM-Systeme für die Verwaltung der Informationssicherheit?.