Monitoramento de Integridade de Arquivos

O monitoramento de integridade de arquivos responde a uma pergunta: um arquivo que não deveria mudar foi alterado? O controle registra um estado confiável de arquivos, diretórios e configurações selecionados e, depois, informa cada diferença posterior junto com o horário e a conta responsável. O valor está menos na detecção em si do que em transformar uma mudança sem explicação em um registro que alguém precisa fechar, em vez de uma edição silenciosa que ninguém percebe.

O FIM se apoia na verificação de integridade de arquivos, que é o próprio ato de verificar. A diferença é a continuidade: uma verificação pontual responde à pergunta uma vez, enquanto o FIM continua perguntando e guarda o histórico de cada resposta. Esse histórico é o que um investigador precisa quando um arquivo de configuração foi alterado semanas antes de alguém notar.

Cada caminho monitorado passa pelo mesmo ciclo. Uma linha de base de hashes e atributos é tirada de um estado conhecido como bom. Cada evento posterior é comparado com essa linha de base, então o alerta reflete o que de fato mudou e informa o arquivo, a alteração, a conta e o horário. A qualidade do controle depende sobretudo da linha de base e da disciplina do responsável pelos alertas, e não do motor de detecção.

A comparação agendada revisa a linha de base em intervalos fixos e informa os desvios. É barata e fácil de auditar, mas uma mudança feita logo após uma varredura fica oculta até a próxima. O monitoramento em tempo real reage a gravações, movimentações e exclusões no momento em que acontecem, por isso um SOC geralmente o quer para binários do sistema, scripts de inicialização e regras de acesso.

O modo em tempo real custa mais. Exige um agente no host, gera mais eventos e precisa de ajuste desde o primeiro dia. Muitas equipes usam os dois: tempo real para os poucos caminhos mais importantes e comparação agendada para o restante do parque, para que um evento perdido pelo agente seja pego na varredura completa seguinte. A prática mais ampla está descrita em monitoramento contínuo.

Sozinho, um alerta de arquivo alterado é pobre. Ele diz que um caminho difere da linha de base, mas nada sobre a intenção. O FIM ganha valor quando o alerta entra no mesmo fluxo de todos os outros sinais, para que o analista o leia ao lado de logins, processos e do chamado que deveria explicar a mudança. Equipes que já enviam eventos para uma integração com SIEM conseguem colocar a alteração do arquivo na mesma linha do tempo dos logins e conexões.

O FIM está entre os controles mais citados em padrões de segurança, por isso equipes de SOC o implantam mesmo quando nenhum incidente ocorreu. A maioria dos auditores pede as mesmas evidências: uma lista definida de arquivos críticos, alertas sobre alteração não autorizada e prova de que uma pessoa revisou cada alerta e o encerrou com uma decisão.

• O PCI DSS exige um mecanismo de detecção de mudanças em sistemas que processam dados de cartão, com comparação dos arquivos críticos pelo menos uma vez por semana.
• O NIST SP 800-53, controle SI-7, cobre a integridade de software, firmware e informações.
• A salvaguarda de integridade da HIPAA espera que as entidades cobertas tenham mecanismos eletrônicos que confirmem que as informações eletrônicas de saúde não foram alteradas ou destruídas sem autorização.
• A ISO/IEC 27001, Anexo A, inclui controles de gestão de mudanças e de integridade dos sistemas, que um processo de FIM documentado ajuda a comprovar.
• Auditores costumam pedir o inventário dos arquivos protegidos, amostras de alertas e um registro de revisão mostrando que cada alerta foi encerrado com uma decisão, e não apenas gerado.

O Anexet não cria linha de base para caminhos de sistema arbitrários nem calcula o hash de cada arquivo de um servidor, por isso não é um motor FIM clássico. O console registra operações de arquivos em estações de trabalho e em compartilhamentos de rede: para arquivos, criar, ler, gravar, excluir, renomear, executar e alterar permissões; para pastas, um conjunto mais restrito. Cada perfil de agente escolhe quais operações são registradas. Os compartilhamentos de rede são cobertos pelo controle de transferência de arquivos e de compartilhamentos de rede.

O maior risco operacional do FIM não é deixar de ver uma mudança real. É afogar o SOC em ruído até que todos os alertas sejam descartados sem leitura. Contêineres mudam o cenário: as imagens são reconstruídas em vez de corrigidas no lugar, então a linha de base passa a ficar no pipeline de construção de imagens. O ajuste segue uma sequência previsível:

1. 1

   Capture a linha de base

   Registre-a a partir de uma versão conhecida como boa do sistema.

2. 2

   Rode em modo somente relatório

   Descubra o que normalmente muda naquela classe de sistema.

3. 3

   Exclua caminhos voláteis

   Deixe de fora os caminhos que mudam legitimamente, como caches, logs e metadados do gerenciador de pacotes.

4. 4

   Encaminhe alertas a um responsável

   O responsável encerra cada alerta com um motivo registrado.

O FIM detecta que um arquivo monitorado mudou. Não avalia se o novo conteúdo é malicioso e não impede a mudança. Não enxerga atividades que nunca tocam um caminho monitorado, como execução em memória, uso indevido de credenciais ou dados copiados sem que nenhum arquivo seja alterado.

Um SOC maduro, portanto, trata o FIM como um controle detectivo entre vários. Ele o combina com controles de acesso que limitam quem pode gravar em caminhos protegidos, com verificação de integridade de logs, para que os eventos de integridade sobrevivam em uma infraestrutura que o atacante não controla, e com backup e recuperação, para que uma alteração não autorizada confirmada possa ser revertida.

Comece pelos poucos arquivos cuja alteração silenciosa causaria mais dano: binários do sistema nos servidores, a configuração das ferramentas de segurança e os caminhos que guardam dados protegidos. Inclua mais caminhos somente depois que o responsável tiver explicado cada alerta gerado pelo primeiro conjunto.

Leitura adicional: Mecanismos para garantir a segurança dos sistemas de informação; O que são sistemas SIEM para a gestão da segurança da informação?.