Παρακολούθηση έναντι ελέγχου
Τα περισσότερα εγχειρίδια προϊόντων χρησιμοποιούν τους δύο όρους εναλλακτικά. Η χρήσιμη διάκριση είναι λειτουργική, όχι ορολογική. Ο έλεγχος ακεραιότητας αρχείων είναι η ίδια η πράξη της επαλήθευσης: σύγκριση με μια βάση αναφοράς, συχνά προγραμματισμένη. Το FIM συνήθως δηλώνει τη συνεχή πρακτική γύρω από αυτόν τον έλεγχο: ανίχνευση βάσει γεγονότων, απόδοση της αλλαγής σε διεργασία και χρήστη, ειδοποιήσεις, ροή διαλογής και αναφορές κατάλληλες για έλεγχο. Στην πράξη, μια εγκατάσταση FIM περιλαμβάνει τον προγραμματισμένο έλεγχο ως έναν από τους τρόπους λειτουργίας της.
Τι παρακολουθεί ένας μηχανισμός FIM
Το πεδίο είναι σκόπιμα περιορισμένο. Το FIM λειτουργεί ανάλογα με το πόσο προσεκτικά επιλέγεται το προστατευόμενο σύνολο, και αυτό συνήθως ξεκινά από την ταξινόμηση δεδομένων. Η παρακολούθηση των πάντων παράγει ροή αλλαγών που κανείς δεν μπορεί να διαβάσει.
| Στοιχείο | Γιατί παρακολουθείται |
|---|---|
| Εκτελέσιμα και βιβλιοθήκες συστήματος | Αντικατάσταση ή ενημέρωση βασικών συστατικών. |
| Αρχεία ρυθμίσεων | Μία αλλαγμένη γραμμή μπορεί να απενεργοποιήσει την καταγραφή ή να διευρύνει την πρόσβαση. |
| Κώδικας εφαρμογών και δημοσιευμένο περιεχόμενο web | Το σημείο από όπου ο ενέσιμος κώδικας φτάνει στους χρήστες. |
| Θέσεις διατήρησης | Προγραμματισμένες εργασίες, υπηρεσίες, καταχωρίσεις εκκίνησης και ορισμοί cron. |
| Αποθετήρια διαπιστευτηρίων και κλειδιών | Αλλαγές εδώ συχνά σημαίνουν αλλαγμένα δικαιώματα πρόσβασης. |
| Πράκτορες ασφάλειας και η ρύθμισή τους | Η απενεργοποίηση του παρατηρητή είναι συνηθισμένο πρώτο βήμα. |
| Αμετάβλητες εγγραφές | Τα αρχεία καταγραφής και τα αρχεία έχουν αξία μόνο αν μείνουν αναλλοίωτα. |
Πού τοποθετείται το FIM ανάμεσα στους ελέγχους
Το FIM εντοπίζει αλλαγές σε αρχεία. Δεν εμποδίζει την αλλαγή, δεν κρίνει αν το νέο περιεχόμενο είναι κακόβουλο και δεν βλέπει δραστηριότητα που δεν αγγίζει ποτέ ένα παρακολουθούμενο αρχείο, όπως τεχνικές στη μνήμη, κατάχρηση διαπιστευτηρίων ή δεδομένα που αντιγράφονται χωρίς καμία τροποποίηση.
Γι' αυτό συνδυάζεται με ελέγχους πρόσβασης και διαχείριση προνομίων, ανίχνευση σε τελικά σημεία για τη συμπεριφορά κατά την εκτέλεση, κεντρική καταγραφή ώστε τα συμβάντα ακεραιότητας να επιβιώνουν σε σύστημα που δεν ελέγχει όποιος άλλαξε το αρχείο, και αντίγραφα ασφαλείας με ανάκτηση, ώστε μια εντοπισμένη αλλαγή να μπορεί να αναιρεθεί.
Τι πρέπει να περιέχει ένα συμβάν αλλαγής
Ένα χρήσιμο συμβάν απαντά σε κάτι περισσότερο από το αν ένα αρχείο διαφέρει. Καταγράφει τέσσερα πράγματα.
Η απόδοση ευθύνης είναι αυτό που μετατρέπει την παρακολούθηση ακεραιότητας σε εργαλείο έρευνας. Απαντά στο ίδιο ερώτημα που θέτει η παρακολούθηση δραστηριότητας χρηστών για τα άτομα. Μια αλλαγή ρύθμισης σε εγκεκριμένο παράθυρο συντήρησης, από τον λογαριασμό ανάπτυξης, είναι διαφορετικού είδους από την ίδια αλλαγή τη νύχτα από διαδραστική συνεδρία.
| Ερώτημα | Τι καταγράφει το συμβάν | Γιατί έχει σημασία |
|---|---|---|
| Τι άλλαξεΠεριεχόμενο, δικαιώματα, ιδιοκτησία ή χρονοσημάνσεις | Κατά προτίμηση το ίδιο το diff | Ο ελεγκτής κρίνει την αλλαγή, όχι μόνο την ύπαρξή της |
| ΠότεΧρόνος εγγραφής | Η ώρα της αλλαγής, όχι μόνο η ώρα εντοπισμού | Η καθυστέρηση εντοπισμού μπορεί να κρύψει την πραγματική σειρά |
| Ποιος και πώςΛογαριασμός και διεργασία | Ο λογαριασμός χρήστη και η διεργασία που έκανε την εγγραφή | Διακρίνει μια ανάπτυξη από διαδραστική συνεδρία |
| Αναμενόμενη ή όχιΠλαίσιο αλλαγής | Συσχέτιση με αιτήματα αλλαγής, παράθυρα ενημερώσεων και αναπτύξεις | Μετατρέπει την ειδοποίηση σε κλειστό ερώτημα |
Κανονιστικοί παράγοντες
Το FIM αναφέρεται ρητά ή υπονοείται στα περισσότερα πλαίσια ασφάλειας και στις απαιτήσεις πληρωμών, υγείας και δημόσιου τομέα. Συνήθως απαιτούν δύο πράγματα: ότι τα κρίσιμα αρχεία παρακολουθούνται για αλλαγές και ότι ένα πρόσωπο εξετάζει και κλείνει τις ειδοποιήσεις. Οι ελεγκτές ζητούν συνήθως το απόθεμα των προστατευόμενων αρχείων, αποδείξεις ελέγχου και αρχεία που δείχνουν πώς επιλύθηκε κάθε εντοπισμένη αλλαγή. Η τεκμηριωμένη ροή έχει τόση σημασία όσο το εργαλείο. Η διατήρηση αυτών των αποδείξεων ενημερωμένων είναι ο πυρήνας της παρακολούθησης συμμόρφωσης.
Εγκατάσταση και ρύθμιση
Το μεγαλύτερο μέρος της προσπάθειας σε ένα πρόγραμμα FIM είναι η ρύθμιση. Μια εγκατάσταση που παρακάμπτει την περίοδο εκμάθησης σχεδόν πάντα καταλήγει να αγνοείται. Η βάση αναφοράς είναι ένα σύνολο αποτυπωμάτων μιας κατάστασης γνωστά καλής, και κάθε ειδοποίηση προκύπτει από σύγκριση με αυτήν.
- 1
Δημιουργία βάσης αναφοράς
Ξεκινήστε από μια γνωστά καλή κατάσταση.
- 2
Εκτέλεση μόνο για αναφορά
Μείνετε αρκετό χρόνο ώστε να μάθετε ποιες αλλαγές είναι συνηθισμένες.
- 3
Εξαίρεση μεταβλητών διαδρομών
Προσωρινή μνήμη, προσωρινοί κατάλογοι, αρχεία καταγραφής και βάσεις πακέτων.
- 4
Ανάθεση ειδοποιήσεων σε υπεύθυνο
Κάποιος εξετάζει τις εναπομείνασες ειδοποιήσεις.
- 5
Ενημέρωση της βάσης μέσω ελέγχου αλλαγών
Οι εγκεκριμένες αναπτύξεις δεν πρέπει να εμφανίζονται ως περιστατικά.
Συνηθισμένα λάθη
Τα περισσότερα αποτυχημένα προγράμματα αποτυγχάνουν στα ίδια λίγα σημεία.
Η παρακολούθηση των πάντων από την πρώτη μέρα είναι ο ταχύτερος δρόμος για να απενεργοποιηθεί το FIM.
- Η βάση αναφοράς δεν ενημερώνεται ποτέ, οπότε κάθε εγκεκριμένη ενημέρωση μοιάζει με περιστατικό.
- Μεταβλητές διαδρομές, όπως η προσωρινή μνήμη και τα αρχεία καταγραφής, μένουν στο πεδίο και η ροή ειδοποιήσεων γεμίζει θόρυβο.
- Οι ειδοποιήσεις δεν έχουν ονομαστικό υπεύθυνο, οπότε κανείς δεν τις εξετάζει.
Από πού να ξεκινήσετε
Ξεκινήστε από τα αρχεία των οποίων η αλλαγή θα έβλαπτε περισσότερο: εκτελέσιμα συστήματος, ρυθμίσεις ασφαλείας και τα αρχεία καταγραφής που αποδεικνύουν τι συνέβη. Προσθέστε τα υπόλοιπα μόνο όταν οι πρώτες ειδοποιήσεις έχουν υπεύθυνο. Μια ανεξήγητη αλλαγή είναι ένα σήμα ανάμεσα σε πολλά, γι' αυτό διαβάστε την μαζί με τους δείκτες εσωτερικής απειλής.
Περισσότερα: Μηχανισμοί διασφάλισης της ασφάλειας των συστημάτων πληροφοριών; Τι είναι τα συστήματα SIEM για τη διαχείριση της ασφάλειας πληροφοριών;.
Ένα αλλαγμένο αρχείο γίνεται τεκμήριο μόνο όταν κάποιος μπορεί να πει ποιος το άλλαξε και γιατί.
Anexet Team