Verificación de Integridad de Archivos

Una línea base es el registro de cómo deben verse los archivos: un hash criptográfico del contenido de cada archivo, junto con su tamaño, permisos, propietario y marcas de tiempo. Cada verificación posterior compara el estado actual con ese registro. La pregunta no es si un archivo parece sospechoso, sino si todavía coincide con la línea base.

La misma idea se conoce como monitoreo de integridad de archivos (FIM) cuando se ejecuta de forma continua en un conjunto de servidores y estaciones de trabajo. La comprobación es la misma. Cambian la frecuencia y quién revisa los resultados.

La comparación es exacta. Un hash cambia por completo cuando cambia un solo byte, así que no hay coincidencias parciales ni dudas sobre si el contenido es idéntico.

El método tiene cinco etapas, y cada una se apoya en la anterior.

1. 1

   Creación de la línea base

   Se catalogan los archivos a proteger. De cada uno se guarda un hash del contenido junto con metadatos: tamaño, permisos, propietario y marcas de tiempo.

2. 2

   Verificación

   Según una programación o en respuesta a eventos, los valores se recalculan y se comparan con la línea base.

3. 3

   Reporte

   Las diferencias se informan como eventos de cambio, con lo que cambió y cuándo.

4. 4

   Clasificación

   Cada cambio se compara con la actividad esperada: un parche aprobado, un despliegue de configuración, una actualización de aplicación o algo sin explicación.

5. 5

   Actualización de la línea base

   Los cambios legítimos se incorporan a una nueva línea base, para que la referencia siga vigente.

La verificación programada recorre el conjunto protegido a intervalos fijos. Es simple y predecible en el uso de recursos, pero es ciega entre una ejecución y otra: un archivo puede modificarse, usarse y restaurarse antes de la siguiente pasada.

La verificación en tiempo real usa eventos del sistema de archivos y reporta el cambio en el momento en que ocurre. Esto acorta el tiempo de detección y añade la identidad del proceso y del usuario responsables. El costo es una actividad constante del agente y más ruido que filtrar.

Por lo general, se protege una lista corta de objetivos, elegidos por el daño que causaría un cambio silencioso.

El mismo mecanismo cumple varios propósitos. Detecta cambios no autorizados (uso de seguridad), confirma que los cambios aprobados se desplegaron como estaba previsto (uso operativo), confirma que los archivos almacenados no se han degradado por fallas del medio (uso de conservación) y demuestra que los registros no se modificaron después de los hechos (uso probatorio). Este último pesa más en datos sensibles con obligaciones de retención.

Verificar un programa descargado contra un hash publicado aplica la misma idea a un solo archivo en un solo momento.

En la consola de administración de Anexet, los hash banks se asignan al perfil del agente. La pestaña File system enumera los bancos aplicados al monitoreo del sistema de archivos, con la cantidad de archivos y de hashes de cada uno. La ventana de estadísticas muestra cuándo se actualizó el banco por última vez y cuándo se verificó por última vez.

1 / 2

• 
• 

El método tiene cinco límites prácticos. Una amenaza interna con acceso legítimo hace cambios que parecen autorizados, así que la verificación por sí sola no basta. Su valor depende de que alguien clasifique cada reporte a tiempo.

• Volumen de cambios: sin un alcance estricto, el ruido entierra los reportes y dejan de leerse.
• Detección, no prevención: el reporte muestra un cambio, pero no lo detiene. El bloqueo debe venir de un control aparte, como una solución de prevención de pérdida de datos (DLP).
• Confianza en la línea base: una línea base tomada de un sistema comprometido trata el compromiso como algo normal.
• Ceguera al contenido: la verificación muestra que un archivo difiere, no si la diferencia importa.
• Ataques en memoria y en tiempo de ejecución: los ataques que nunca tocan un archivo monitoreado en disco quedan fuera del alcance.

A pesar de estos límites, la mayoría de los marcos de seguridad y de los estándares de pagos y sectoriales exige la verificación de integridad, que es un elemento habitual del monitoreo de cumplimiento.

Es barata de ejecutar y da evidencia inequívoca. Es uno de los pocos controles que pueden demostrar una ausencia: que un archivo crítico no ha cambiado desde el último estado verificado.

Lectura recomendada: Mecanismos para garantizar la seguridad de los sistemas de información; Cifrado, codificación y hashing: ¿cuál es la diferencia?.