Monitorowanie a weryfikacja
Większość materiałów produktowych używa obu terminów zamiennie. Istotne jest rozróżnienie operacyjne, nie definicyjne. Weryfikacja integralności plików to samo sprawdzenie: porównanie ze wzorcem, często uruchamiane według harmonogramu. FIM oznacza zwykle ciągłą dyscyplinę wokół tego sprawdzenia: wykrywanie zdarzeń, przypisanie zmiany do procesu i użytkownika, alerty, ocenę zgłoszeń oraz raportowanie przydatne w audycie. W praktyce wdrożenie FIM obejmuje planową weryfikację jako jeden z jego trybów.
Co obserwuje mechanizm FIM
Zakres jest celowo wąski. FIM działa tym lepiej, im staranniej wybrano chroniony zbiór, a ten zwykle wynika z klasyfikacji danych. Monitorowanie wszystkiego daje strumień zmian, którego nikt nie jest w stanie przeczytać.
| Zasób | Dlaczego jest obserwowany |
|---|---|
| Pliki systemowe i biblioteki | Podmiana lub łatanie kluczowych składników. |
| Pliki konfiguracyjne | Jedna zmieniona linijka może wyłączyć logowanie albo poszerzyć dostęp. |
| Kod aplikacji i publikowane treści www | Miejsce, w którym wstrzyknięty kod trafia do użytkowników. |
| Lokalizacje trwałości | Zadania harmonogramu, usługi, wpisy autostartu, definicje cron. |
| Magazyny poświadczeń i kluczy | Zmiany tutaj często oznaczają zmienione uprawnienia dostępu. |
| Agenty bezpieczeństwa i ich konfiguracja | Wyłączenie monitora to standardowy wczesny krok. |
| Rekordy niezmienne | Dzienniki i archiwa mają wartość tylko wtedy, gdy pozostają nietknięte. |
Miejsce FIM wśród zabezpieczeń
FIM wykrywa zmiany plików. Nie zapobiega im, nie ocenia, czy nowa treść jest złośliwa i nie widzi aktywności, która nie dotyka monitorowanego pliku: technik działających w pamięci, nadużycia poświadczeń czy danych skopiowanych bez modyfikacji.
Dlatego FIM uzupełniają kontrola dostępu i zarządzanie uprawnieniami, wykrywanie zagrożeń na punktach końcowych, scentralizowane logowanie, dzięki któremu zdarzenia integralności przetrwają na systemie, którego zmieniający nie kontroluje, oraz kopie zapasowe i odtwarzanie, aby wykrytą zmianę dało się cofnąć.
Co powinno zawierać zdarzenie zmiany
Użyteczne zdarzenie odpowiada na więcej niż pytanie, czy plik się różni. Zapisuje cztery rzeczy.
Przypisanie zmiany zamienia monitorowanie integralności w narzędzie śledcze. Odpowiada na to samo pytanie, które o ludzi zadaje monitorowanie aktywności użytkowników. Zmiana konfiguracji w zatwierdzonym oknie serwisowym, wykonana przez konto wdrożeniowe, jest czymś innym niż ta sama zmiana w nocy z sesji interaktywnej.
| Pytanie | Co zapisuje zdarzenie | Dlaczego to ważne |
|---|---|---|
| Co się zmieniłoTreść, uprawnienia, właściciel lub znaczniki czasu | Najlepiej sam diff, a nie tylko flaga | Recenzent może ocenić zmianę, a nie tylko fakt jej istnienia |
| KiedyMoment zapisu | Czas zmiany, a nie tylko czas wykrycia | Opóźnienie wykrycia może zasłonić prawdziwą kolejność zdarzeń |
| Kto i jakKonto i proces | Konto użytkownika i proces, który wykonał zapis | Odróżnia wdrożenie od sesji interaktywnej |
| Czy była oczekiwanaKontekst zmiany | Powiązanie ze zgłoszeniami zmian, oknami łatania i wdrożeniami | Zamienia alert w zamknięte pytanie |
Motywacje wynikające ze zgodności
FIM jest wymieniany wprost lub dorozumiany w większości ram bezpieczeństwa oraz w wymaganiach dotyczących płatności, ochrony zdrowia i sektora publicznego. Zwykle wymagają dwóch rzeczy: krytyczne pliki są monitorowane pod kątem zmian, a człowiek przegląda i rozstrzyga alerty. Audytorzy pytają zazwyczaj o inwentarz chronionych plików, dowody przeglądu i zapisy pokazujące, jak rozstrzygnięto każdą wykrytą zmianę. Udokumentowany proces waży tyle samo co narzędzie. Utrzymywanie tych dowodów w aktualności to sedno monitorowania zgodności.
Wdrożenie i strojenie
Większość wysiłku w programie FIM przypada na strojenie. Wdrożenie, które pomija okres uczenia się, niemal zawsze kończy się ignorowaniem alertów. Wzorzec odniesienia to zbiór odcisków cyfrowych stanu uznanego za dobry, a każdy alert wynika z porównania z nim.
- 1
Zbuduj wzorzec
Wyjdź od stanu znanego jako dobry.
- 2
Uruchom w trybie samego raportowania
Zostań na tyle długo, by poznać normalne zmiany.
- 3
Wyłącz ścieżki zmienne
Pamięci podręczne, katalogi tymczasowe, dzienniki i bazy pakietów.
- 4
Przypisz alerty właścicielowi
Ktoś ocenia pozostałe alerty.
- 5
Aktualizuj wzorzec w kontroli zmian
Zatwierdzone wdrożenia nie powinny trafiać jako incydenty.
Typowe błędy
Większość nieudanych programów zawodzi w tych samych kilku miejscach.
Monitorowanie wszystkiego od pierwszego dnia to najszybsza droga do wyłączenia FIM.
- Wzorzec nigdy nie jest aktualizowany, więc każde zatwierdzone łatanie wygląda jak incydent.
- Zmienne ścieżki, jak pamięci podręczne i dzienniki, zostają w zakresie, a kanał alertów zalewa szum.
- Alerty nie mają nazwanego właściciela, więc nikt ich nie przegląda.
Od czego zacząć
Zacznij od plików, których zmiana najbardziej zaszkodziłaby: plików systemowych, ustawień bezpieczeństwa i dzienników, które dowodzą, co się wydarzyło. Resztę dodaj dopiero, gdy pierwsze alerty mają właściciela. Niewyjaśniona zmiana to jeden sygnał spośród wielu, więc czytaj ją razem z wskaźnikami zagrożenia ze strony pracowników.
Czytaj dalej: Mechanizmy zapewniania bezpieczeństwa systemów informacyjnych; Czym są systemy SIEM w zarządzaniu bezpieczeństwem informacji?.
Zmieniony plik staje się dowodem dopiero wtedy, gdy ktoś potrafi powiedzieć, kto go zmienił i dlaczego.
Anexet Team