Monitoreo de integridad de archivos
Monitoree los archivos y directorios que no deberían cambiar y sepa cuándo lo hacen.
Qué es el FIM#
El monitoreo de integridad de archivos (FIM) vigila un conjunto definido de archivos y directorios e informa cuando cambian. Es una capacidad de detección: no decide si un cambio es malicioso, sino que le avisa de que ocurrió un cambio donde no se esperaba ninguno.
Esto es lo que hace valioso a FIM contra amenazas que las firmas de antivirus pasan por alto: un archivo de configuración modificado, un binario reemplazado o un nuevo archivo de cuenta dejan una huella incluso cuando el contenido en sí no es reconocible como malware.
Configuración del monitoreo#
- 1Elija las rutas a monitorear
Comience por las ubicaciones donde un cambio inesperado importa: directorios de sistema, configuración de aplicaciones y almacenes de credenciales.
- 2Excluya las rutas ruidosas
Excluya directorios de registro, cachés y carpetas temporales. Monitorearlos produce volumen de cambios sin valor de seguridad.
- 3Capture una línea base
Registre el estado actual de las rutas monitoreadas. La línea base es la referencia contra la que se compara cada cambio posterior.
- 4Establezca el nivel de alerta
Decida qué tipos de cambio generan una alerta. La creación y eliminación en un directorio de sistema suelen merecer más atención que un cambio de metadatos.
- 5Revise la primera semana
Lea los cambios producidos por actualizaciones de software legítimas para poder distinguirlos de anomalías reales.
Línea base#
Un cambio solo tiene sentido en relación con un estado conocido. La línea base es ese estado. Sin ella, FIM reporta la existencia de archivos en lugar de cambios en ellos.
- Capture una línea base cuando el endpoint está en un estado conocido y bueno, idealmente justo después del aprovisionamiento.
- Actualice la línea base después de cada cambio planificado, como una actualización del sistema operativo o un despliegue.
- Registre por qué se actualizó la línea base, para que el siguiente revisor entienda el vacío de cobertura.
- Nunca actualice una línea base para silenciar una alerta que no haya investigado.
Alertas y respuesta#
FIM reporta cinco tipos de cambio:
| Tipo de cambio | Qué ocurrió |
|---|---|
| Creado | Apareció un archivo nuevo en una ubicación monitoreada. |
| Modificado | El contenido o los metadatos de un archivo monitoreado cambiaron. |
| Eliminado | Desapareció un archivo monitoreado. |
| Permiso cambiado | Los derechos de acceso de un archivo o directorio monitoreado cambiaron. |
| Propietario cambiado | La cuenta propietaria de un archivo monitoreado cambió. |