Überwachung versus Prüfung
Die meisten Produktunterlagen verwenden beide Begriffe synonym. Die nützliche Unterscheidung ist betrieblich, nicht definitorisch. Die Dateiintegritätsprüfung ist der Prüfvorgang selbst: ein Vergleich mit einer Basislinie, oft nach Zeitplan ausgeführt. FIM bezeichnet meist die fortlaufende Praxis rund um diese Prüfung: ereignisgesteuerte Erkennung, Zuordnung der Änderung zu einem Prozess und einem Benutzer, Alarmierung, ein Triage-Workflow und auditfähige Berichte. In der Praxis umfasst ein FIM-Einsatz die geplante Prüfung als einen seiner Modi.
Was eine FIM-Maßnahme beobachtet
Der Umfang ist bewusst eng gefasst. FIM wirkt im Verhältnis dazu, wie sorgfältig die geschützte Menge gewählt ist, und diese Menge beginnt meist bei der Datenklassifizierung. Alles zu überwachen erzeugt einen Änderungsstrom, den niemand lesen kann.
| Objekt | Warum es überwacht wird |
|---|---|
| Systemprogramme und Bibliotheken | Austausch oder Patchen zentraler Komponenten. |
| Konfigurationsdateien | Eine einzige geänderte Zeile kann Protokollierung abschalten oder Zugriffe erweitern. |
| Anwendungscode und veröffentlichte Webinhalte | Hier gelangt eingeschleuster Code zu den Nutzern. |
| Persistenzorte | Geplante Aufgaben, Dienste, Autostart-Einträge und cron-Definitionen. |
| Speicher für Zugangsdaten und Schlüssel | Änderungen hier bedeuten oft geänderte Zugriffsrechte. |
| Sicherheitsagenten und ihre Konfiguration | Das Abschalten des Monitors ist ein üblicher früher Schritt. |
| Unveränderliche Aufzeichnungen | Logs und Archive sind nur wertvoll, wenn sie unverändert bleiben. |
Wo FIM zwischen den Maßnahmen steht
FIM erkennt Änderungen an Dateien. Es verhindert sie nicht, beurteilt nicht, ob neuer Inhalt schädlich ist, und sieht keine Aktivität, die nie eine überwachte Datei berührt, etwa speicherbasierte Techniken, Missbrauch von Zugangsdaten oder Daten, die kopiert werden, ohne etwas zu verändern.
Deshalb wird es ergänzt durch Zugriffskontrollen und Rechteverwaltung, Endpunkterkennung für das Laufzeitverhalten, zentrale Protokollierung, damit Integritätsereignisse auf einem System erhalten bleiben, das der Verursacher nicht kontrolliert, sowie durch Backup und Wiederherstellung, damit eine erkannte Änderung rückgängig gemacht werden kann.
Was ein Änderungsereignis enthalten sollte
Ein brauchbares Ereignis beantwortet mehr als die Frage, ob sich eine Datei unterscheidet. Es erfasst vier Dinge.
Die Zurechnung macht die Integritätsüberwachung zu einem Ermittlungswerkzeug. Sie beantwortet dieselbe Frage, die Benutzeraktivitätsüberwachung für Personen stellt. Eine Konfigurationsänderung in einem genehmigten Wartungsfenster durch das Deployment-Konto ist grundsätzlich etwas anderes als dieselbe Änderung nachts aus einer interaktiven Sitzung.
| Frage | Was das Ereignis erfasst | Warum es zählt |
|---|---|---|
| Was sich geändert hatInhalt, Rechte, Eigentümer oder Zeitstempel | Idealerweise der Diff selbst, nicht nur ein Flag | Ein Prüfer kann die Änderung beurteilen, nicht nur ihre Existenz |
| WannZeitpunkt des Schreibvorgangs | Der Zeitpunkt der Änderung, nicht nur der Erkennung | Verzögerte Erkennung kann die echte Reihenfolge verbergen |
| Wer und wieKonto und Prozess | Das Benutzerkonto und der Prozess, der den Schreibvorgang ausgeführt hat | Trennt ein Deployment von einer interaktiven Sitzung |
| Erwartet oder nichtÄnderungskontext | Abgleich mit Änderungstickets, Patchfenstern und Deployments | Macht aus dem Alarm eine geschlossene Frage |
Treiber aus der Regulierung
FIM wird in den meisten Sicherheitsrahmenwerken ausdrücklich oder sinngemäß genannt, ebenso in Anforderungen aus Zahlungsverkehr, Gesundheitswesen und öffentlichem Sektor. Meist verlangen sie zwei Dinge: Kritische Dateien werden auf Änderungen überwacht, und eine Person prüft die Alarme und schließt sie ab. Prüfer fordern typischerweise das Inventar der geschützten Dateien, Nachweise der Überprüfung und Belege, wie jede erkannte Änderung behandelt wurde. Der dokumentierte Ablauf zählt ebenso viel wie das Werkzeug. Diese Nachweise aktuell zu halten, ist der Kern der Compliance-Überwachung.
Einführung und Feinabstimmung
Der größte Aufwand eines FIM-Programms liegt in der Feinabstimmung. Ein Einsatz, der die Lernphase überspringt, wird fast immer ignoriert. Die Basislinie ist eine Menge aus Fingerabdrücken eines als gut bekannten Zustands, und jeder Alarm entsteht aus dem Vergleich mit ihr.
- 1
Basislinie erstellen
Vom bekannten, guten Zustand ausgehen.
- 2
Im reinen Berichtsmodus laufen lassen
Lange genug bleiben, um normale Änderungen zu erkennen.
- 3
Flüchtige Pfade ausschließen
Caches, temporäre Verzeichnisse, Logs und Paketdatenbanken.
- 4
Alarme einem Verantwortlichen zuweisen
Jemand sichtet die verbleibenden Alarme.
- 5
Basislinie im Änderungsmanagement aktualisieren
Genehmigte Deployments sollten nicht als Vorfälle auftauchen.
Typische Fehler
Die meisten gescheiterten Programme scheitern an denselben wenigen Stellen.
Alles vom ersten Tag an zu überwachen ist der schnellste Weg, FIM abschalten zu lassen.
- Die Basislinie wird nie aktualisiert, sodass jeder genehmigte Patch wie ein Vorfall aussieht.
- Flüchtige Pfade wie Caches und Logs bleiben im Umfang, und der Alarmstrom füllt sich mit Rauschen.
- Alarme haben keinen benannten Verantwortlichen, deshalb prüft sie niemand.
Wo man anfängt
Beginnen Sie mit den Dateien, deren Änderung den größten Schaden anrichten würde: Systemprogramme, Sicherheitseinstellungen und die Logs, die belegen, was passiert ist. Nehmen Sie den Rest erst hinzu, wenn die ersten Alarme einen Verantwortlichen haben. Eine unerklärte Änderung ist eines von vielen Signalen, deshalb lesen Sie sie zusammen mit den Indikatoren für Insider-Bedrohungen.
Weiterlesen: Mechanismen zur Sicherheit von Informationssystemen; Was sind SIEM-Systeme für die Verwaltung der Informationssicherheit?.
Eine geänderte Datei ist erst dann ein Beleg, wenn jemand sagen kann, wer sie geändert hat und warum.
Anexet Team