Έλεγχος Ακεραιότητας Αρχείων

Η βασική γραμμή (baseline) είναι η καταγραφή του πώς πρέπει να είναι τα αρχεία: ένα κρυπτογραφικό αποτύπωμα του περιεχομένου κάθε αρχείου, μαζί με το μέγεθος, τα δικαιώματα, τον ιδιοκτήτη και τις χρονοσημάνσεις. Κάθε μεταγενέστερος έλεγχος συγκρίνει την τρέχουσα κατάσταση με αυτή την καταγραφή. Το ερώτημα δεν είναι αν ένα αρχείο φαίνεται ύποπτο, αλλά αν εξακολουθεί να ταιριάζει με τη βασική γραμμή.

Η ίδια ιδέα ονομάζεται παρακολούθηση ακεραιότητας αρχείων (FIM) όταν τρέχει συνεχώς σε ένα σύνολο διακομιστών και σταθμών εργασίας. Ο έλεγχος είναι ο ίδιος. Αλλάζουν η συχνότητα και το ποιος διαβάζει τα αποτελέσματα.

Η σύγκριση είναι ακριβής. Ένα hash αλλάζει εντελώς όταν αλλάξει ένα μόνο byte, οπότε δεν υπάρχει μερική αντιστοιχία ούτε αμφιβολία ότι το περιεχόμενο είναι ίδιο.

Η μέθοδος έχει πέντε στάδια, και το καθένα βασίζεται στο προηγούμενο.

1. 1

   Δημιουργία βασικής γραμμής

   Τα αρχεία προς προστασία καταγράφονται. Για καθένα αποθηκεύεται ένα hash του περιεχομένου μαζί με μεταδεδομένα: μέγεθος, δικαιώματα, ιδιοκτήτη και χρονοσημάνσεις.

2. 2

   Επαλήθευση

   Με χρονοπρόγραμμα ή ως απάντηση σε γεγονότα, οι τιμές υπολογίζονται ξανά και συγκρίνονται με τη βασική γραμμή.

3. 3

   Αναφορά

   Οι διαφορές καταγράφονται ως γεγονότα αλλαγής, με το τι άλλαξε και πότε.

4. 4

   Διαλογή

   Κάθε αλλαγή αντιστοιχίζεται με την αναμενόμενη δραστηριότητα: ένα εγκεκριμένο patch, μια ανάπτυξη ρυθμίσεων, μια ενημέρωση εφαρμογής ή κάτι ανεξήγητο.

5. 5

   Ενημέρωση βασικής γραμμής

   Οι νόμιμες αλλαγές ενσωματώνονται σε νέα βασική γραμμή, ώστε η αναφορά να παραμένει επίκαιρη.

Ο προγραμματισμένος έλεγχος διατρέχει το προστατευόμενο σύνολο σε σταθερά διαστήματα. Είναι απλός και προβλέψιμος ως προς τους πόρους, αλλά είναι τυφλός ανάμεσα στις εκτελέσεις: ένα αρχείο μπορεί να αλλαχθεί, να χρησιμοποιηθεί και να επαναφερθεί πριν από το επόμενο πέρασμα.

Ο έλεγχος σε πραγματικό χρόνο χρησιμοποιεί γεγονότα του συστήματος αρχείων και αναφέρει την αλλαγή τη στιγμή που συμβαίνει. Έτσι μειώνεται ο χρόνος εντοπισμού και προστίθεται η ταυτότητα της διεργασίας και του χρήστη που ευθύνονται. Το κόστος είναι η συνεχής δραστηριότητα του agent και περισσότερος θόρυβος προς φιλτράρισμα.

Συνήθως προστατεύεται μια σύντομη λίστα στόχων, επιλεγμένων με βάση τη ζημιά που θα προκαλούσε μια αθόρυβη αλλαγή.

Ο ίδιος μηχανισμός εξυπηρετεί πολλούς σκοπούς. Εντοπίζει μη εξουσιοδοτημένες αλλαγές (χρήση ασφάλειας), επιβεβαιώνει ότι οι εγκεκριμένες αλλαγές εφαρμόστηκαν όπως προβλέπονταν (λειτουργική χρήση), επιβεβαιώνει ότι τα αποθηκευμένα αρχεία δεν υποβαθμίστηκαν από σφάλματα μέσων (χρήση διατήρησης) και δείχνει ότι οι εγγραφές δεν τροποποιήθηκαν εκ των υστέρων (αποδεικτική χρήση). Η τελευταία έχει ιδιαίτερο βάρος για ευαίσθητα δεδομένα που υπόκεινται σε υποχρεώσεις διατήρησης.

Ο έλεγχος ενός κατεβασμένου προγράμματος με δημοσιευμένο hash εφαρμόζει την ίδια ιδέα σε ένα αρχείο, τη συγκεκριμένη στιγμή.

Στην κονσόλα διαχείρισης του Anexet, τα hash banks αντιστοιχίζονται στο προφίλ του agent. Η καρτέλα File system εμφανίζει τα banks που εφαρμόζονται στην παρακολούθηση του συστήματος αρχείων, με το πλήθος αρχείων και hashes του καθενός. Το παράθυρο στατιστικών δείχνει πότε ενημερώθηκε τελευταία φορά το bank και πότε ελέγχθηκε τελευταία φορά.

1 / 2

• 
• 

Η μέθοδος έχει πέντε πρακτικά όρια. Μια αλλαγή από εσωτερική απειλή με νόμιμη πρόσβαση μοιάζει με κάθε εξουσιοδοτημένη αλλαγή, οπότε ο έλεγχος από μόνος του δεν αρκεί. Η αξία του εξαρτάται από το αν κάποιος διαλέγει κάθε αναφορά έγκαιρα.

• Όγκος αλλαγών: χωρίς αυστηρό εύρος, ο θόρυβος θάβει τις αναφορές και παύουν να διαβάζονται.
• Εντοπισμός, όχι πρόληψη: η αναφορά δείχνει μια αλλαγή αλλά δεν την σταματά. Ο αποκλεισμός πρέπει να προέλθει από ξεχωριστό μέτρο, όπως ένα εργαλείο πρόληψης απώλειας δεδομένων (DLP).
• Εμπιστοσύνη στη βασική γραμμή: μια βασική γραμμή από σύστημα που έχει παραβιαστεί θεωρεί την παραβίαση φυσιολογική.
• Τύφλωση στο περιεχόμενο: ο έλεγχος δείχνει ότι ένα αρχείο διαφέρει, όχι αν η διαφορά έχει σημασία.
• Επιθέσεις στη μνήμη και στον χρόνο εκτέλεσης: επιθέσεις που δεν αγγίζουν ποτέ ένα παρακολουθούμενο αρχείο στον δίσκο βρίσκονται εκτός εμβέλειας.

Παρά αυτά τα όρια, τα περισσότερα πλαίσια ασφάλειας και τα πρότυπα πληρωμών και κλάδων απαιτούν έλεγχο ακεραιότητας, που είναι κοινό στοιχείο της παρακολούθησης συμμόρφωσης.

Είναι φθηνός στην εκτέλεση και δίνει σαφή τεκμήρια. Είναι ένας από τους λίγους ελέγχους που μπορούν να αποδείξουν την απουσία αλλαγής: ότι ένα κρίσιμο αρχείο δεν άλλαξε από την τελευταία επαληθευμένη κατάσταση.

Περισσότερα: Μηχανισμοί διασφάλισης της ασφάλειας των συστημάτων πληροφοριών; Κρυπτογράφηση, κωδικοποίηση και κατακερματισμός – ποια είναι η διαφορά;.