Brauchen MSPs eine Überwachung der Datei-Integrität?

Kurz gesagt: tun sie.

Viele Managed-Security-Lösungen konzentrieren sich auf drei Aufgaben: Malware erkennen, Patches termingerecht einspielen, Backups aktuell halten. Keine dieser Lösungen beantwortet eine Frage, die ein Banken- oder Krankenhauskunde irgendwann direkt stellt: Wenn jemand eine Konfigurationsdatei oder Firewall-Regel ohne Ankündigung ändert, wie würden Sie das bemerken?

Native OS-Protokolle sind laut und unvollständig, und ein falsch konfigurierter Server sieht von außen einem kompromittierten sehr ähnlich. Wenn der Prüfer eines Kunden den Nachweis verlangt, dass außerhalb eines genehmigten Zeitfensters nichts geändert wurde, reicht „wir müssen nachsehen“ im Meeting nicht aus.

Stark regulierte Branchen benötigen FIM

Banken, Gesundheitsanbieter, Versorgungsunternehmen und Regierungsauftragnehmer unterliegen Frameworks wie PCI DSS, HIPAA, NERC CIP oder CMMC. Alle erwarten eine dokumentierte, überwachte Basiskonfiguration – nicht als Nice-to-have, sondern als Prüfpunkte für Auditoren.

Eine manipulierte Konfigurationsdatei ist oft das erste Anzeichen für einen Einbruch, nicht etwas, das erst Wochen später in einer Nachanalyse entdeckt wird. Wenn man darauf wartet, dass der Kunde es bemerkt, oder schlimmer noch, dass dessen Prüfer es bemerkt, erklärt der MSP einen Vorfall nachträglich, statt ihn sofort zu erkennen. Meist ist das der Punkt, an dem der Kunde fragt, was der Vertrag sonst noch nicht abdeckt.

Jeder Routine-Patch, der wie eine ungeplante Änderung aussieht, kostet eine Stunde Nachverfolgung. Ohne Möglichkeit, geplante Änderungen von echten Anomalien zu unterscheiden, versinken Teams in Alarmen oder blenden sie aus – beides keine gute Situation, wenn wirklich etwas passiert.

Warum MSPs FIM zu ihrem Stack hinzufügen

Das Muster wiederholt sich bei MSPs, die Dateiintegritätsüberwachung hinzufügen, statt nur darüber zu reden. Ein Pilotprojekt in einer echten Kundenumgebung klärt die Frage meist schnell. Sobald das Tool eine tatsächliche ungeplante Änderung erkennt oder auf Anfrage einen Compliance-Bericht erstellt, ist die Diskussion beendet. Kunden in regulierten Branchen verlangen es namentlich nach einer Prüfung, nicht als allgemeine Anfrage, sondern als spezifische Kontrolle, die dokumentiert werden muss. Auch die Abdeckung ist wichtig: MSPs nutzen selten nur eine Plattform, daher passt ein Tool, das Windows, Linux, Unix, Datenbanken und Netzwerkgeräte (agentenbasiert oder agentenlos) abdeckt, besser zu den tatsächlichen Umgebungen, statt eine Umstellung auf ein OS zu erzwingen. Und das Tool, das genehmigte Änderungen von echten Anomalien trennt, bleibt erhalten, denn es macht den Unterschied zwischen einer sinnvollen Warnung und einer weiteren, die man ignorieren kann.

Ist die Überwachung der Dateiintegrität einmal eingerichtet, bleibt sie meist bestehen. MSPs binden sie in die laufende Kontoverwaltung ein, als Teil des Standardwerkzeugs für diesen Kunden, nicht als einmalige Prüfung.

Für MSPs, die regulierte Kunden betreuen, ist die Fähigkeit, „Woher wüssten Sie das?“ zu beantworten, wertvoll, bevor ein Vorfall die Frage stellt. Netwrix Change Tracker liefert MSPs diese Antwort für Windows, Linux, Unix, Datenbanken und Netzgeräte, ohne einen Neuaufbau auf einer einzigen Plattform zu erzwingen.