Surveillance et vérification
La plupart des documentations produit emploient les deux termes indifféremment. La distinction utile est opérationnelle, pas définitionnelle. Le contrôle d'intégrité des fichiers est l'acte de vérification lui-même : une comparaison avec une référence, souvent exécutée selon un planning. Le FIM désigne généralement la démarche continue autour de ce contrôle : détection sur événement, attribution de la modification à un processus et à un utilisateur, alertes, flux de tri et rapports exploitables pour l'audit. En pratique, un déploiement FIM inclut le contrôle planifié comme l'un de ses modes.
Ce que surveille un dispositif FIM
Le périmètre est volontairement restreint. Le FIM n'est efficace qu'à la mesure du soin apporté au choix de l'ensemble protégé, et cet ensemble part généralement de la classification des données. Tout surveiller produit un flux de modifications que personne ne peut lire.
| Actif | Pourquoi il est surveillé |
|---|---|
| Binaires et bibliothèques système | Remplacement ou correctif d'éléments essentiels. |
| Fichiers de configuration | Une seule ligne modifiée peut désactiver la journalisation ou élargir les accès. |
| Code applicatif et contenus web publiés | Le point par lequel le code injecté atteint les utilisateurs. |
| Emplacements de persistance | Tâches planifiées, services, entrées de démarrage et définitions cron. |
| Magasins d'identifiants et de clés | Une modification ici signifie souvent des droits d'accès modifiés. |
| Agents de sécurité et leur configuration | Désactiver le moniteur est une étape précoce classique. |
| Enregistrements immuables | Journaux et archives n'ont de valeur que s'ils restent inchangés. |
La place du FIM parmi les contrôles
Le FIM détecte les modifications de fichiers. Il ne les empêche pas, ne juge pas si un nouveau contenu est malveillant et ne voit pas l'activité qui ne touche jamais un fichier surveillé, comme les techniques en mémoire, l'usage abusif d'identifiants ou les données copiées sans être modifiées.
C'est pourquoi il est associé aux contrôles d'accès et à la gestion des privilèges, à la détection sur les postes pour le comportement à l'exécution, à une journalisation centralisée qui préserve les événements d'intégrité sur un système que l'auteur ne contrôle pas, et à la sauvegarde et à la restauration pour pouvoir annuler une modification détectée.
Ce que doit contenir un événement de modification
Un événement exploitable répond à davantage que la question de savoir si un fichier diffère. Il enregistre quatre éléments.
L'attribution fait de la surveillance d'intégrité un outil d'enquête. Elle répond à la même question que la surveillance d'activité des utilisateurs pose à propos des personnes. Une modification de configuration faite pendant une fenêtre de maintenance approuvée, par le compte de déploiement, n'est pas de même nature que la même modification effectuée la nuit depuis une session interactive.
| Question | Ce que l'événement enregistre | Pourquoi c'est important |
|---|---|---|
| Ce qui a changéContenu, droits, propriétaire ou horodatages | Idéalement le diff lui-même, pas seulement un indicateur | Le relecteur peut juger la modification, pas seulement son existence |
| QuandMoment de l'écriture | L'heure de la modification, et pas seulement celle de la détection | Un délai de détection peut masquer l'ordre réel des faits |
| Qui et commentCompte et processus | Le compte utilisateur et le processus qui a effectué l'écriture | Distingue un déploiement d'une session interactive |
| Attendu ou nonContexte de la modification | Corrélation avec les tickets de changement, fenêtres de correctifs et déploiements | Transforme l'alerte en question close |
Facteurs de conformité
Le FIM est cité ou implicite dans la plupart des référentiels de sécurité et dans les exigences des secteurs paiement, santé et public. Ces exigences attendent généralement deux choses : que les fichiers critiques soient surveillés en cas de modification, et qu'une personne examine et traite les alertes. Les auditeurs demandent en général l'inventaire des fichiers protégés, des preuves de revue et des traces montrant comment chaque modification détectée a été traitée. Le processus documenté compte autant que l'outil. Maintenir ces preuves à jour est le cœur de la surveillance de conformité.
Déploiement et réglage
L'essentiel de l'effort d'un programme FIM porte sur le réglage. Un déploiement qui saute la période d'apprentissage finit presque toujours ignoré. La référence est un ensemble d'empreintes d'un état considéré comme sain, et chaque alerte naît de la comparaison avec elle.
- 1
Constituer la référence
Partir d'un état connu comme sain.
- 2
Exécuter en mode rapport seul
Rester assez longtemps pour apprendre quelles modifications sont normales.
- 3
Exclure les chemins volatils
Caches, répertoires temporaires, journaux et bases de paquets.
- 4
Confier les alertes à un responsable
Quelqu'un trie les alertes restantes.
- 5
Mettre la référence à jour via la gestion des changements
Les déploiements approuvés ne doivent pas apparaître comme des incidents.
Erreurs courantes
La plupart des programmes qui échouent échouent aux mêmes endroits.
Tout surveiller dès le premier jour est le moyen le plus rapide de faire désactiver le FIM.
- La référence n'est jamais mise à jour, si bien que chaque correctif approuvé ressemble à un incident.
- Les chemins volatils, comme les caches et les journaux, restent dans le périmètre et le flux d'alertes se remplit de bruit.
- Les alertes n'ont pas de responsable nommé, donc personne ne les examine.
Par où commencer
Commencez par les fichiers dont la modification causerait le plus de dégâts : binaires système, paramètres de sécurité et journaux qui prouvent ce qui s'est passé. N'ajoutez le reste qu'une fois que les premières alertes ont un responsable. Une modification inexpliquée n'est qu'un signal parmi d'autres : lisez-la avec les indicateurs de menace interne.
Pour aller plus loin : Mécanismes de sécurité des systèmes d'information; Que sont les systèmes SIEM pour la gestion de la sécurité de l'information ?.
Un fichier modifié ne devient une preuve que lorsqu'on peut dire qui l'a changé, et pourquoi.
Anexet Team