Verifica dell'Integrità dei File

Una baseline è la registrazione di come devono apparire i file: un'impronta crittografica del contenuto di ogni file, insieme a dimensione, permessi, proprietario e marcature temporali. Ogni controllo successivo confronta lo stato attuale con questa registrazione. La domanda non è se un file sembri sospetto, ma se corrisponda ancora alla baseline.

La stessa idea prende il nome di monitoraggio dell'integrità dei file (FIM) quando è eseguita in modo continuo su un insieme di server e postazioni. Il controllo è lo stesso. Cambiano la frequenza e chi legge i risultati.

Il confronto è esatto. Un hash cambia completamente quando cambia anche un solo byte, quindi non esiste una corrispondenza parziale né dubbi sull'identità del contenuto.

Il metodo si articola in cinque fasi, e ciascuna si basa sulla precedente.

1. 1

   Creazione della baseline

   I file da proteggere vengono catalogati. Per ciascuno si memorizza un hash del contenuto insieme ai metadati: dimensione, permessi, proprietario e marcature temporali.

2. 2

   Verifica

   Secondo una pianificazione o in risposta a eventi, i valori vengono ricalcolati e confrontati con la baseline.

3. 3

   Segnalazione

   Le differenze vengono riportate come eventi di modifica, con indicazione di cosa è cambiato e quando.

4. 4

   Triage

   Ogni modifica viene confrontata con l'attività prevista: una patch approvata, una distribuzione di configurazione, un aggiornamento applicativo oppure qualcosa di non spiegato.

5. 5

   Aggiornamento della baseline

   Le modifiche legittime confluiscono in una nuova baseline, così il riferimento resta aggiornato.

Il controllo pianificato percorre l'insieme protetto a intervalli fissi. È semplice e prevedibile nell'uso delle risorse, ma è cieco tra un'esecuzione e l'altra: un file può essere modificato, usato e ripristinato prima del passaggio successivo.

Il controllo in tempo reale usa gli eventi del file system e segnala la modifica nel momento in cui avviene. Riduce il tempo di rilevamento e aggiunge l'identità del processo e dell'utente responsabili. Il costo è un'attività costante dell'agente e più rumore da filtrare.

Di solito si proteggono poche categorie di obiettivi, scelte in base al danno che una modifica silenziosa potrebbe causare.

Lo stesso meccanismo serve a più scopi. Rileva modifiche non autorizzate (uso di sicurezza), conferma che le modifiche approvate sono state distribuite come previsto (uso operativo), conferma che gli archivi conservati non si sono degradati per guasti dei supporti (uso di conservazione) e dimostra che le registrazioni non sono state alterate a posteriori (uso probatorio). Quest'ultimo pesa molto per i dati sensibili soggetti a obblighi di conservazione.

Verificare un programma scaricato rispetto a un hash pubblicato applica la stessa idea a un singolo file in un singolo momento.

Nella console di amministrazione di Anexet, gli hash bank sono associati al profilo dell'agente. La scheda File system elenca i bank applicati al monitoraggio del file system, con il numero di file e di hash di ciascuno. La finestra delle statistiche mostra quando il bank è stato aggiornato l'ultima volta e quando è stato verificato l'ultima volta.

1 / 2

• 
• 

Il metodo ha cinque limiti pratici. Una modifica compiuta da una minaccia interna con diritti legittimi sembra una qualsiasi modifica approvata, quindi il controllo da solo non basta. Il suo valore dipende dal fatto che qualcuno esamini ogni segnalazione tempestivamente.

• Volume delle modifiche: senza un perimetro stretto, il rumore sommerge le segnalazioni, che smettono di essere lette.
• Rilevamento, non prevenzione: la segnalazione mostra una modifica ma non la blocca. Il blocco deve arrivare da un controllo separato, come una soluzione di prevenzione della perdita di dati (DLP).
• Fiducia nella baseline: una baseline presa da un sistema compromesso considera normale la compromissione.
• Cecità sul contenuto: il controllo mostra che un file differisce, non se la differenza conta.
• Attacchi in memoria e a runtime: gli attacchi che non toccano mai un file monitorato su disco sono fuori dal perimetro.

Nonostante questi limiti, la maggior parte dei framework di sicurezza e degli standard di pagamento e di settore richiede il controllo dell'integrità, che è un elemento comune del monitoraggio della conformità.

Costa poco da eseguire e fornisce prove inequivocabili. È uno dei pochi controlli in grado di dimostrare un'assenza: che un file critico non è cambiato dall'ultimo stato verificato.

Per approfondire: Meccanismi per garantire la sicurezza dei sistemi informativi; Crittografia, codifica e hashing: qual è la differenza?.