Monitorización de la Integridad de Archivos

La monitorización de integridad de archivos responde a una pregunta: ¿un archivo que no debería cambiar fue modificado? El control registra un estado de confianza de archivos, directorios y configuraciones seleccionados y después informa de cada diferencia posterior junto con la hora y la cuenta responsable. El valor está menos en la detección en sí que en convertir un cambio no explicado en un registro que alguien debe cerrar, en lugar de una edición silenciosa que nadie advierte.

El FIM se apoya en la verificación de integridad de archivos, que es el acto de verificar en sí. La diferencia es la continuidad: una comprobación puntual responde la pregunta una sola vez, mientras que el FIM la sigue planteando y conserva el historial de cada respuesta. Ese historial es lo que necesita un investigador cuando un archivo de configuración cambió semanas antes de que alguien lo notara.

Cada ruta vigilada pasa por el mismo ciclo. Se toma una línea base de hashes y atributos a partir de un estado conocido como bueno. Cada evento posterior se compara con esa línea base, de modo que la alerta refleja lo que realmente difiere e indica el archivo, el cambio, la cuenta y la hora. La calidad del control depende sobre todo de la línea base y de la disciplina del responsable de las alertas, no del motor de detección.

La comparación programada revisa la línea base a intervalos fijos e informa de las desviaciones. Es barata y fácil de auditar, pero un cambio hecho justo después de un escaneo queda oculto hasta el siguiente. La monitorización en tiempo real reacciona a escrituras, movimientos y borrados en el momento en que ocurren, por eso un SOC suele quererla para binarios del sistema, scripts de arranque y reglas de acceso.

El modo en tiempo real cuesta más. Necesita un agente en el equipo, genera más eventos y requiere ajuste desde el primer día. Muchos equipos usan ambos: tiempo real para las pocas rutas más importantes y comparación programada para el resto del parque, de modo que un evento que el agente no captó lo detecte el siguiente recorrido completo. La práctica más amplia se describe en monitorización continua.

Por sí sola, una alerta de archivo modificado es pobre. Dice que una ruta difiere de la línea base, pero nada sobre la intención. El FIM gana valor cuando la alerta entra en el mismo flujo que todas las demás señales, de modo que el analista la lee junto a los inicios de sesión, los procesos y el ticket que debería explicar el cambio. Los equipos que ya envían eventos a una integración con SIEM pueden poner el cambio del archivo en la misma línea de tiempo que los inicios de sesión y las conexiones.

El FIM es uno de los controles más mencionados en marcos de seguridad, por eso los equipos de SOC lo despliegan incluso cuando no ha habido ningún incidente. La mayoría de los auditores piden la misma evidencia: una lista definida de archivos críticos, alertas por cambios no autorizados y prueba de que una persona revisó cada alerta y la cerró con una decisión.

• PCI DSS exige un mecanismo de detección de cambios en los sistemas que procesan datos de tarjetas, con comparación de los archivos críticos al menos una vez por semana.
• NIST SP 800-53, control SI-7, cubre la integridad de software, firmware e información.
• La salvaguarda de integridad de HIPAA espera que las entidades cubiertas tengan mecanismos electrónicos que confirmen que la información de salud electrónica no ha sido alterada ni destruida sin autorización.
• ISO/IEC 27001, Anexo A, incluye controles de gestión de cambios e integridad de sistemas que un proceso FIM documentado ayuda a evidenciar.
• Los auditores suelen pedir el inventario de archivos protegidos, muestras de alertas y un registro de revisión que muestre que cada alerta se cerró con una decisión, no solo que se generó.

Anexet no crea una línea base de rutas arbitrarias del sistema ni calcula el hash de cada archivo de un servidor, así que no es un motor FIM clásico. La consola registra las operaciones sobre archivos en estaciones de trabajo y recursos compartidos de red: para archivos, crear, leer, escribir, eliminar, renombrar, ejecutar y cambiar permisos; para carpetas, un conjunto más reducido. Cada perfil de agente elige qué operaciones se registran. Los recursos compartidos de red los cubre el control de transferencia de archivos y de recursos compartidos.

El mayor riesgo operativo del FIM no es perder un cambio real. Es saturar el SOC de ruido hasta que todas las alertas se descartan sin leer. Los contenedores cambian el panorama: las imágenes se reconstruyen en lugar de parchearse en sitio, así que la línea base pasa a la canalización de construcción de imágenes. El ajuste sigue una secuencia previsible:

1. 1

   Capturar la línea base

   Tómela de una versión conocida como buena del sistema.

2. 2

   Ejecutar en modo solo informe

   Aprenda qué cambia normalmente en esa clase de sistema.

3. 3

   Excluir rutas volátiles

   Deje fuera las rutas que cambian legítimamente, como cachés, registros y metadatos del gestor de paquetes.

4. 4

   Enviar las alertas a un responsable

   El responsable cierra cada alerta con un motivo registrado.

El FIM detecta que un archivo monitorizado cambió. No evalúa si el nuevo contenido es malicioso y no impide el cambio. No ve nada de la actividad que nunca toca una ruta vigilada, como la ejecución en memoria, el uso indebido de credenciales o los datos copiados sin alterar ningún archivo.

Por eso un SOC maduro trata el FIM como un control detectivo entre varios. Lo combina con controles de acceso que limitan quién puede escribir en las rutas protegidas, con verificación de integridad de registros para que los eventos de integridad sobrevivan en una infraestructura que el atacante no controla, y con copias de seguridad y recuperación para que un cambio no autorizado confirmado pueda revertirse.

Empiece por los pocos archivos cuyo cambio silencioso causaría más daño: los binarios del sistema en los servidores, la configuración de las herramientas de seguridad y las rutas que guardan datos protegidos. Añada más rutas solo cuando el responsable haya explicado cada alerta que generó el primer conjunto.

Lectura recomendada: Mecanismos para garantizar la seguridad de los sistemas de información; ¿Qué son los sistemas SIEM para la gestión de la seguridad de la información?.