Monitoreo de la integridad de los archivos

La monitorización de la integridad de archivos (FIM) es un control o proceso interno que valida la integridad de los archivos del sistema operativo y del software de aplicación mediante un método de verificación entre el estado actual del archivo y una línea base conocida y válida . Este método de comparación suele implicar el cálculo de una suma de comprobación criptográfica conocida de la línea base original del archivo y su comparación con la suma de comprobación calculada del estado actual del archivo. ^{[ 1 ]} También se pueden utilizar otros atributos del archivo para monitorizar la integridad. ^{[ 2 ]}

Generalmente, la monitorización de la integridad de los archivos se automatiza mediante controles internos como una aplicación o un proceso . Dicha monitorización puede realizarse de forma aleatoria , a intervalos de sondeo definidos o en tiempo real .

Los cambios en las configuraciones, los archivos y los atributos de los archivos en toda la infraestructura de TI son comunes, pero entre el gran volumen de cambios diarios pueden encontrarse algunos que afectan la integridad de los archivos o la configuración. Estos cambios también pueden reducir la seguridad y, en algunos casos, pueden ser indicadores tempranos de una brecha de seguridad en curso. Los valores que se supervisan para detectar cambios inesperados en archivos o elementos de configuración incluyen:

• Cartas credenciales
• Privilegios y configuración de seguridad
• Contenido
• Atributos principales y tamaño
• Valores hash
• Valores de configuración

Varios objetivos de cumplimiento indican que la supervisión de la integridad de los archivos es un requisito . Algunos ejemplos de objetivos de cumplimiento que incluyen el requisito de supervisión de la integridad de los archivos son:

• PCI DSS - Estándar de seguridad de datos de la industria de tarjetas de pago (Requisito 11.5) ^{[ 3 ]}
• SOX - Ley Sarbanes-Oxley (Sección 404) ^{[ 4 ]}
• NERC CIP - Norma NERC CIP (CIP-010-2) ^{[ 5 ]}
• FISMA - Ley Federal de Gestión de la Seguridad de la Información (NIST SP800-53 Rev3) ^{[ 6 ]}
• HIPAA - Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996 (Publicación NIST 800-66) ^{[ 7 ]}
• Controles de seguridad críticos de SANS (Control 3) ^{[ 8 ]}

Procedimientos y algoritmos :

• Suma de verificación
• Verificación de archivos

Algunas aplicaciones (donde se utiliza FIM) incluyen:

• Entorno avanzado de detección de intrusiones
• Otro comprobador de integridad de archivos ^{[ 9 ]}
• Más allá de la confianza
• CimTrak ^{[ 10 ]}
• CloudPassage
• Evolucionar
• HarfangLab ^{[ 11 ]}
• Kaspersky Lab Seguridad en la nube híbrida, seguridad integrada, seguridad para Linux, seguridad para Windows Server
• LimaCharlie
• Lockpath Blacklight ^{[ 12 ]}
• LogRitmo
• Control de cambios de McAfee
• Rastreador de cambios de Netwrix ^{[ 13 ]}
• Script de comandos /etc/security de OpenBSD y archivo /etc/changelist correspondiente
• OSSEC
• Qualys
• Samhain
• Splunk
• Comprobador de archivos del sistema (incluido con Windows)
• Monitor de integridad de Tanium
• Seguridad profunda de Trend Micro
• Plataforma Logsign USO
• Productos Tripwire
• Trustwave