Dosya Bütünlüğü İzleme
Değişmemesi gereken dosya ve dizinleri izleyin ve değiştiklerinde haberdar olun.
FIM Nedir#
Dosya Bütünlüğü İzleme, tanımlanmış bir dosya ve dizin kümesini izler ve değiştiklerinde bildirir. Bir tespit yeteneğidir: değişikliğin kötü amaçlı olup olmadığına karar vermez; beklenmeyen bir yerde değişiklik olduğunu söyler.
FIM’i antivirüs imzalarının kaçırdığı tehditlere karşı değerli kılan budur: değiştirilmiş bir yapılandırma dosyası, değiştirilmiş bir ikili dosya veya yeni bir hesap dosyası, içerik kötü amaçlı yazılım olarak tanınmasa bile iz bırakır.
İzleme Yapılandırma#
- 1İzlenecek yolları seçin
Beklenmedik bir değişikliğin önemli olduğu konumlarla başlayın: sistem dizinleri, uygulama yapılandırması ve kimlik bilgisi depoları.
- 2Gürültülü yolları hariç tutun
Günlük dizinlerini, önbellekleri ve geçici klasörleri hariç tutun. Bunları izlemek güvenlik değeri olmayan değişiklik hacmi üretir.
- 3Referans duruş alın
İzlenen yolların mevcut durumunu kaydedin. Sonraki her değişiklik bu referansla karşılaştırılır.
- 4Uyarı seviyesini belirleyin
Hangi değişiklik tiplerinin uyarı üreteceğine karar verin. Sistem dizininde oluşturma ve silme genellikle üst veri değişikliğinden daha fazla dikkat ister.
- 5İlk haftayı inceleyin
Meşru yazılım güncellemelerinin ürettiği değişiklikleri okuyun; böylece gerçek anomalilerden ayırt edebilirsiniz.
Referans Duruş#
Bir değişiklik ancak bilinen bir duruma göre anlam taşır. Referans duruş o durumdur. Referans olmadan FIM, dosyalardaki değişiklikleri değil dosyaların varlığını bildirir.
- Referans duruşu, endpoint bilinen iyi durumdayken alın; ideal olarak provizyon hemen sonrasında.
- Her planlı değişiklikten sonra referans duruşu yenileyin: işletim sistemi güncellemesi veya dağıtım gibi.
- Referans duruşun neden yenilendiğini kaydedin; böylece sonraki inceleyen kişi kapsam boşluğunu anlar.
- İncelemediğiniz bir uyarıyı susturmak için referans duruşu asla yenilemeyin.
Uyarılar ve Müdahale#
FIM beş değişiklik tipini bildirir:
| Değişiklik tipi | Ne oldu |
|---|---|
| Oluşturuldu | İzlenen bir konumda yeni dosya belirdi. |
| Değiştirildi | İzlenen dosyanın içeriği veya üst verisi değişti. |
| Silindi | İzlenen dosya kayboldu. |
| İzin değişti | İzlenen dosya veya dizinin erişim hakları değişti. |
| Sahip değişti | İzlenen dosyanın sahibi olan hesap değişti. |