FIM (Monitoramento de Integridade de Arquivos)

A maioria da literatura de produtos usa os dois termos como sinônimos. A distinção útil é operacional, não de definição. A verificação de integridade de arquivos é o ato de verificação em si: uma comparação com uma linha de base, muitas vezes executada em agenda. O FIM costuma designar a disciplina contínua em torno dessa verificação: detecção orientada a eventos, atribuição da alteração a um processo e a um usuário, alertas, fluxo de triagem e relatórios adequados para auditoria. Na prática, uma implantação de FIM inclui a verificação agendada como um de seus modos.

O escopo é propositalmente restrito. O FIM funciona na proporção em que o conjunto protegido é escolhido com cuidado, e esse conjunto geralmente parte da classificação de dados. Monitorar tudo gera um fluxo de alterações que ninguém consegue ler.

O FIM detecta alterações em arquivos. Ele não impede a alteração, não avalia se o novo conteúdo é malicioso e não enxerga atividades que nunca tocam um arquivo monitorado, como técnicas em memória, uso indevido de credenciais ou dados copiados sem nenhuma modificação.

Por isso ele é combinado com controles de acesso e gestão de privilégios, detecção de endpoint para o comportamento em execução, registro centralizado para que os eventos de integridade sobrevivam em um sistema que quem alterou não controla, e backup com recuperação para que uma alteração detectada possa ser revertida.

Um evento útil responde a mais do que a pergunta se o arquivo mudou. Ele registra quatro coisas.

A atribuição é o que transforma o monitoramento de integridade em uma ferramenta de investigação. Ela responde à mesma pergunta que o monitoramento de atividade de usuários faz sobre pessoas. Uma alteração de configuração feita em janela de manutenção aprovada, pela conta de implantação, é diferente em natureza da mesma alteração feita à noite, a partir de uma sessão interativa.

O FIM aparece, explícita ou implicitamente, na maioria dos frameworks de segurança e nos requisitos de pagamentos, saúde e setor público. Em geral eles exigem duas coisas: arquivos críticos monitorados quanto a alterações e uma pessoa que revisa e resolve os alertas. Auditores costumam pedir o inventário de arquivos protegidos, evidências de revisão e registros mostrando como cada alteração detectada foi resolvida. O fluxo documentado importa tanto quanto a ferramenta. Manter essas evidências atualizadas é o núcleo do monitoramento de conformidade.

A maior parte do esforço em um programa de FIM está no ajuste. Uma implantação que pula o período de aprendizado quase sempre acaba ignorada. A linha de base é um conjunto de impressões digitais do estado considerado bom, e todo alerta nasce da comparação com ela.

1. 1

   Crie a linha de base

   Parta de um estado conhecido como bom.

2. 2

   Execute em modo somente relatório

   Fique tempo suficiente para aprender quais alterações são normais.

3. 3

   Exclua caminhos voláteis

   Caches, diretórios temporários, logs e bases de pacotes.

4. 4

   Atribua os alertas a um responsável

   Alguém faz a triagem dos alertas restantes.

5. 5

   Atualize a linha de base no controle de mudanças

   Implantações aprovadas não devem chegar como incidentes.

A maioria dos programas que fracassam falha pelos mesmos pontos.

• A linha de base nunca é atualizada, então cada patch aprovado parece um incidente.
• Caminhos voláteis, como caches e logs, continuam no escopo, e o fluxo de alertas fica cheio de ruído.
• Os alertas não têm um responsável nomeado, então ninguém os revisa.

Comece pelos arquivos cuja alteração causaria mais dano: binários do sistema, configurações de segurança e os logs que comprovam o que aconteceu. Inclua o resto só depois que os primeiros alertas tiverem um responsável. Uma alteração sem explicação é um sinal entre muitos, então analise-a junto com os indicadores de ameaça interna.

Leitura adicional: Mecanismos para garantir a segurança dos sistemas de informação; O que são sistemas SIEM para a gestão da segurança da informação?.