Verificação de Integridade de Arquivos

Uma linha de base é o registro de como os arquivos devem estar: um hash criptográfico do conteúdo de cada arquivo, junto com tamanho, permissões, proprietário e carimbos de data e hora. Cada verificação posterior compara o estado atual com esse registro. A pergunta, portanto, não é se o arquivo parece suspeito, e sim se ele ainda corresponde à linha de base.

A mesma ideia recebe o nome de monitoramento de integridade de arquivos (FIM) quando roda continuamente em um conjunto de servidores e estações. A verificação é a mesma. Muda a frequência e quem lê os resultados.

A comparação é exata. Um hash muda por completo quando um único byte muda, então não existe correspondência parcial nem dúvida sobre o conteúdo ser idêntico.

O método tem cinco etapas, e cada uma depende da anterior.

1. 1

   Criação da linha de base

   Os arquivos a proteger são catalogados. Para cada um, guarda-se um hash do conteúdo com metadados: tamanho, permissões, proprietário e carimbos de data e hora.

2. 2

   Verificação

   Em uma agenda ou em resposta a eventos, os valores são recalculados e comparados com a linha de base.

3. 3

   Relatório

   As diferenças são reportadas como eventos de alteração, mostrando o que mudou e quando.

4. 4

   Triagem

   Cada alteração é comparada à atividade esperada: um patch aprovado, uma implantação de configuração, uma atualização de aplicativo ou algo sem explicação.

5. 5

   Atualização da linha de base

   Alterações legítimas são incorporadas a uma nova linha de base, para que a referência continue atual.

A verificação agendada percorre o conjunto protegido em intervalos fixos. É simples e previsível no uso de recursos, mas é cega entre as execuções: um arquivo pode ser alterado, usado e restaurado antes da próxima passagem.

A verificação em tempo real usa eventos do sistema de arquivos e informa a alteração no momento em que ocorre. Isso reduz o tempo de detecção e acrescenta a identidade do processo e do usuário responsáveis. O custo é uma atividade constante do agente e mais ruído para filtrar.

Normalmente, as equipes protegem uma lista curta de alvos, escolhidos pelo dano que uma alteração silenciosa causaria.

O mesmo mecanismo serve a vários propósitos. Ele detecta alterações não autorizadas (uso de segurança), confirma que mudanças aprovadas foram implantadas como previsto (uso operacional), confirma que arquivos armazenados não se degradaram por falhas de mídia (uso de preservação) e mostra que registros não foram alterados depois do fato (uso probatório). Este último pesa mais para dados sensíveis sujeitos a obrigações de retenção.

Verificar um programa baixado contra um hash publicado aplica a mesma ideia a um único arquivo, em um único momento.

No console de administração do Anexet, os hash banks ficam no perfil do agente. A aba File system lista os bancos aplicados ao monitoramento do sistema de arquivos, com o número de arquivos e de hashes de cada um. A janela de estatísticas mostra quando o banco foi atualizado pela última vez e quando foi verificado pela última vez.

1 / 2

• 
• 

O método tem cinco limites práticos. Uma alteração feita por uma ameaça interna com acesso legítimo parece autorizada como qualquer outra, então a verificação sozinha não basta. O valor do método depende de alguém analisar cada relatório logo.

• Volume de alterações: sem escopo rigoroso, o ruído soterra os relatórios e eles deixam de ser lidos.
• Detecção, não prevenção: o relatório mostra a alteração, mas não a impede. O bloqueio precisa vir de um controle separado, como uma solução de prevenção contra perda de dados (DLP).
• Confiança na linha de base: uma linha de base tirada de um sistema comprometido trata o comprometimento como normal.
• Cegueira ao conteúdo: a verificação mostra que um arquivo difere, não se a diferença importa.
• Ataques em memória e em tempo de execução: ataques que nunca tocam um arquivo monitorado no disco estão fora do escopo.

Apesar desses limites, a maioria dos frameworks de segurança e dos padrões de pagamento e setoriais exige verificação de integridade, que é um elemento comum do monitoramento de conformidade.

Ela é barata de executar e oferece evidência inequívoca. É um dos poucos controles capazes de provar uma negativa: que um arquivo crítico não mudou desde o último estado verificado.

Leitura adicional: Mecanismos para garantir a segurança dos sistemas de informação; Criptografia, codificação e hashing – qual é a diferença?.