Weryfikacja integralności plików

Wzorzec to zapis tego, jak pliki mają wyglądać: kryptograficzny odcisk treści każdego pliku wraz z jego rozmiarem, uprawnieniami, właścicielem i znacznikami czasu. Każde późniejsze sprawdzenie porównuje stan bieżący z tym zapisem. Pytanie nie brzmi więc, czy plik wygląda podejrzanie, lecz czy nadal zgadza się ze wzorcem.

Ten sam mechanizm nazywa się monitorowaniem integralności plików (FIM), gdy działa w sposób ciągły na zbiorze serwerów i stacji roboczych. Samo sprawdzenie jest identyczne. Zmienia się częstotliwość i to, kto czyta wyniki.

Porównanie jest dokładne. Skrót zmienia się całkowicie przy zmianie choćby jednego bajtu, więc nie ma dopasowania częściowego ani wątpliwości, czy treść jest identyczna.

Metoda przebiega w pięciu etapach, a każdy opiera się na poprzednim.

1. 1

   Utworzenie wzorca

   Chronione pliki zostają skatalogowane. Dla każdego zapisuje się skrót treści wraz z metadanymi: rozmiarem, uprawnieniami, właścicielem i znacznikami czasu.

2. 2

   Weryfikacja

   Według harmonogramu albo w reakcji na zdarzenia wartości są przeliczane i porównywane ze wzorcem.

3. 3

   Raportowanie

   Różnice są zgłaszane jako zdarzenia zmiany, z informacją, co się zmieniło i kiedy.

4. 4

   Ocena

   Każda zmiana zostaje zestawiona z oczekiwaną aktywnością: zatwierdzoną poprawką, wdrożeniem konfiguracji, aktualizacją aplikacji albo czymś niewyjaśnionym.

5. 5

   Aktualizacja wzorca

   Uprawnione zmiany trafiają do nowego wzorca, dzięki czemu punkt odniesienia pozostaje aktualny.

Sprawdzanie zaplanowane przechodzi po chronionym zbiorze w stałych odstępach. Jest proste i przewidywalne pod względem zużycia zasobów, ale jest ślepe między przebiegami: plik może zostać zmieniony, użyty i przywrócony, zanim nastąpi kolejny przebieg.

Sprawdzanie w czasie rzeczywistym korzysta ze zdarzeń systemu plików i zgłasza zmianę w chwili jej wystąpienia. Skraca to czas wykrycia i dodaje tożsamość odpowiedzialnego procesu i użytkownika. Koszt to stała aktywność agenta i więcej szumu do odfiltrowania.

Zwykle chroni się krótką listę obiektów, wybranych ze względu na szkodę, jaką mogłaby wyrządzić cicha zmiana.

Ten sam mechanizm służy kilku celom. Wykrywa nieuprawnione zmiany (zastosowanie bezpieczeństwa), potwierdza, że zatwierdzone zmiany wdrożyły się zgodnie z planem (zastosowanie operacyjne), potwierdza, że przechowywane archiwa nie uległy degradacji z powodu usterek nośników (zastosowanie archiwizacyjne), i pokazuje, że zapisy nie zostały zmienione po fakcie (zastosowanie dowodowe). Ostatnie ma największe znaczenie przy danych wrażliwych objętych obowiązkiem przechowywania.

Sprawdzenie pobranego programu względem opublikowanego skrótu stosuje tę samą ideę do jednego pliku w jednej chwili.

W konsoli administratora Anexet zestawy skrótów (hash banks) są przypisywane do profilu agenta. Zakładka File system wymienia zestawy stosowane do monitorowania systemu plików, z liczbą plików i skrótów w każdym z nich. Okno statystyk pokazuje, kiedy zestaw był ostatnio aktualizowany i kiedy był ostatnio sprawdzany.

1 / 2

• 
• 

Metoda ma pięć praktycznych ograniczeń. Zmiana wykonana przez zagrożenie wewnętrzne z uprawnionym dostępem wygląda jak każda zatwierdzona zmiana, więc sama kontrola nie wystarczy. Jej wartość zależy od tego, czy ktoś szybko ocenia każdy raport.

• Liczba zmian: bez ścisłego zakresu szum przysłania raporty i przestają być czytane.
• Wykrywanie, nie zapobieganie: raport pokazuje zmianę, ale jej nie zatrzymuje. Blokadę musi zapewnić osobne narzędzie, na przykład ochrona przed utratą danych (DLP).
• Zaufanie do wzorca: wzorzec pobrany z przejętego systemu uznaje przejęcie za stan normalny.
• Ślepota na treść: kontrola pokazuje, że plik się różni, a nie to, czy różnica ma znaczenie.
• Ataki w pamięci i na działającym systemie: ataki, które nigdy nie dotykają monitorowanego pliku na dysku, są poza zakresem.

Mimo tych ograniczeń większość ram bezpieczeństwa oraz standardów płatniczych i branżowych wymaga sprawdzania integralności, która jest częstym elementem monitorowania zgodności.

Kosztuje niewiele i daje jednoznaczny dowód. Jest jedną z nielicznych kontroli, która potrafi wykazać brak zmian: że krytyczny plik nie zmienił się od ostatniego zweryfikowanego stanu.

Czytaj dalej: Mechanizmy zapewniania bezpieczeństwa systemów informacyjnych; Szyfrowanie, kodowanie i haszowanie – jaka jest różnica?.