Qu'est-ce que la surveillance de l'intégrité des fichiers Windows ?

Les acteurs malveillants peuvent causer beaucoup de dommages à votre entreprise, à vos employés et à vos clients s'ils parviennent à accéder à vos systèmes. Outre le vol et la fuite de données, ils peuvent également modifier vos configurations, applications et fichiers système — et supprimer les journaux pour couvrir leurs traces.

La surveillance de l'intégrité des fichiers (FIM) peut vous aider à protéger votre entreprise. En tant que technologie de sécurité informatique et processus de sécurité qui suit les modifications de fichiers pour déterminer si des fichiers ont été supprimés ou altérés, le FIM peut vous aider à prévenir et atténuer les modifications non autorisées des fichiers système.

Continuez à lire pour en savoir plus sur FIM, pourquoi c'est important, comment cela fonctionne et sur quoi vous devriez vous concentrer lors de l'évaluation des solutions FIM.

Qu'est-ce que la surveillance de l'intégrité des fichiers (FIM) ?

Une solution FIM est un logiciel de suivi des modifications et de détection des intrusions qui vérifie les fichiers de base de données, du système d'exploitation et de Windows pour déterminer s'ils ont été modifiés et si oui, par qui et quand.

Pourquoi devez-vous utiliser une solution FIM ?

FIM aide les organisations :

• Détectez et répondez aux menaces : FIM détecte les modifications des fichiers système et envoie des alertes concernant les modifications nuisibles. Votre équipe de sécurité réseau peut alors bloquer l'accès non autorisé et restaurer les fichiers modifiés à leur état original.
• Assurez l'intégrité des fichiers : Les outils FIM valident les fichiers critiques en les comparant à une version de référence fiable. Il détermine ensuite si des différences sont potentiellement dommageables.
• Répondez aux exigences de conformité : De nombreuses réglementations de conformité incluent des exigences de FIM, y compris la Payment Card Industry Data Security Standard (PCI DSS), SOX, la Federal Information Security Management Act of 2002 (FISMA), et la Health Insurance Portability and Accountability Act (HIPAA).
• Renforcez les configurations système : FIM peut vous aider à établir des paramètres de configuration appropriés pour vos serveurs Windows et autres systèmes informatiques afin de réduire votre surface d'attaque.

À quelle fréquence faut-il effectuer les vérifications d'intégrité des fichiers Windows ?

Les normes de conformité de sécurité telles que la norme PCI DSS exigent des contrôles d'intégrité des fichiers hebdomadaires. Cependant, des contrôles hebdomadaires peuvent ne pas suffire à prévenir de graves violations de la data security. Ces dernières années, les acteurs de la menace sont devenus beaucoup plus dangereux — ils n'ont maintenant besoin que de quelques heures ou jours pour causer des dommages sérieux.

C'est pourquoi vous avez besoin de solutions de surveillance de fichiers en temps réel avec détection continue. Si vous effectuez des contrôles d'intégrité des fichiers seulement une fois par semaine, des menaces peuvent passer inaperçues sous votre radar jusqu'à ce qu'il soit trop tard.

Quelles données la surveillance de l'intégrité des fichiers Windows devrait-elle couvrir ?

Votre solution FIM devrait surveiller ce qui suit :

Dossiers et fichiers Windows

Au minimum, vous devriez utiliser la surveillance de l'intégrité des fichiers pour :

• Program files (x86)
• Fichiers de programme
• System 32
• SysWow64

Vous devriez également envisager d'appliquer FIM au lecteur système Windows (C:Windows). Cependant, comme pour la surveillance du registre, cela peut entraîner un grand nombre de faux positifs. Par conséquent, vous devez exclure les fichiers qui changent régulièrement, y compris les fichiers de base de données et les fichiers journaux actifs comme C:WindowsLogs.

Inclure et exclure des fichiers pour la surveillance peut être difficile si vous devez le faire manuellement. Il est judicieux d'investir dans un outil FIM qui vous permet de localiser rapidement les fichiers en utilisant à la fois le filtrage par type de fichier et extension, et les expressions régulières (regex), qui sont des motifs de recherche permettant de localiser des fichiers et dossiers contenant des caractères spécifiques. De plus, recherchez une détection de changement intelligente qui peut identifier les changements inattendus et autres menaces réelles.

Tous les attributs de dossiers et de fichiers ainsi que leur contenu

Votre outil FIM doit suivre tous les attributs des dossiers et fichiers, y compris les suivants :

• État actuel
• Privilèges, permissions et autres paramètres de sécurité
• Taille et attributs principaux
• Identifiants
• Valeurs de configuration

Certaines solutions FIM suivent également le contenu des fichiers. Cela est souvent peu pratique, en particulier pour les gros fichiers. Une meilleure approche consiste à suivre des métadonnées telles que :

• Nom et chemin
• Valeurs de hachage cryptographiques
• Taille et longueur
• Dates de création et d'accès

Clés, ruches et valeurs du registre Windows

De plus, vous devriez appliquer FIM aux clés, ruches et valeurs du registre Windows, car ils contrôlent les paramètres de configuration de Windows. Assurez-vous de surveiller :

• Programmes installés et mises à jour
• Les politiques locales d'audit et de sécurité, qui incluent tout, des paramètres du pare-feu Windows à votre écran de veille
• Comptes d'utilisateurs locaux

Notez que le registre contient des millions de valeurs, dont beaucoup changent fréquemment pendant le fonctionnement de Windows. Pour réduire le volume d'alertes de faux positifs, vous aurez besoin de capacités d'inclusion et d'exclusion fines, comme expliqué ci-dessus.

Comment Windows FIM détecte-t-il les menaces ?

Pour détecter les changements, les solutions de Windows file integrity monitoring doivent utiliser des valeurs de hachage cryptographique générées à l'aide d'un algorithme de hachage sécurisé tel que MD5, SHA1, SHA256 ou SHA512. Cette approche fournit une empreinte génétique ‘ADN’ unique pour chaque fichier qui permet de détecter même les changements minimes, car la moindre modification du contenu ou de la composition d'un fichier a un grand impact sur la valeur de hachage.

Des valeurs de hachage cryptographiques peuvent être attribuées à tout type de fichier, y compris les fichiers binaires (tels que .dll, .exe, .drv et .sys) et les fichiers de configuration basés sur du texte (tels que .js, XML et les archives compressées).

Sur quoi devez-vous vous concentrer lors de l'évaluation des solutions FIM pour Windows ?

Lors de l'évaluation des solutions de surveillance de l'intégrité des fichiers Microsoft, posez les questions clés suivantes :

La solution utilise-t-elle des méthodes modernes de FIM ?

Les solutions traditionnelles de FIM suivent et vérifient tous les attributs de fichiers et de dossiers en créant une base de référence qui contient toutes les valeurs de hachage et les métadonnées de vos fichiers, et en comparant ces valeurs de référence avec les versions les plus récentes des fichiers. Cependant, elles ne vérifient les changements que quotidiennement ou hebdomadairement. Elles sont également extrêmement gourmandes en ressources et manquent de fonctionnalités essentielles telles que la surveillance en temps réel, le stockage centralisé des événements de sécurité et le contexte expliquant pourquoi les fichiers systèmes ont changé. Ces lacunes rendent extrêmement difficile pour les spécialistes en cybersécurité de repérer les changements potentiellement dangereux dans l'immense mer de modifications acceptables.

En revanche, les solutions modernes d'intégrité de fichiers telles que Netwrix Change Tracker utilisent un agent FIM pour détecter en continu les changements et émettre des alertes en temps réel. Elles comportent également :

• La mise en liste blanche de fichiers basée sur le contexte et la surveillance de l'intégrité des fichiers pour garantir que toute activité de changement est automatiquement analysée afin de différencier les bons des mauvais changements, ce qui réduit considérablement le bruit des changements et la fatigue des alertes
• Certifié et complet DISA STIG et CIS durcissement de configuration pour garantir que tous les systèmes sont sécurisés à tout moment

La solution prend-elle en charge Microsoft Azure ?

Si vous utilisez Microsoft Azure, il est essentiel que votre solution FIM le prenne en charge. Azure est fourni avec Microsoft Defender for Cloud, une solution de surveillance de l'intégrité des fichiers qui vous aide à protéger vos données. Cependant, bien que Defender for Cloud puisse détecter de nombreuses anomalies, un nombre significatif de menaces peut encore passer inaperçu car il manque des fonctionnalités critiques telles que le stockage centralisé des événements de sécurité, la détection des changements planifiés par rapport aux imprévus, et la surveillance en temps réel. Ces lacunes peuvent rendre difficile la compréhension de savoir si les changements détectés sont malveillants ou acceptables.

En conséquence, vous devriez investir dans un outil FIM tiers tel que Netwrix Change Tracker qui peut détecter chaque modification de votre environnement cloud Microsoft Azure et vous alerter en temps réel sur les modifications non autorisées afin que vous puissiez répondre rapidement aux incidents de sécurité du cloud.

FAQ

1. Comment Windows FIM détecte-t-il les malwares zero-day ?

Les solutions FIM de Windows utilisent une valeur de hachage cryptographique pour suivre chaque fichier dans votre système. Lorsqu'un logiciel malveillant de type zero-day pénètre dans votre système, les valeurs de hachage des fichiers critiques changeront et la solution FIM alertera votre équipe de sécurité. Cette approche fonctionne pour tout type de fichier, y compris les fichiers .drv, .exe, .dll, .sys et les fichiers d'archives compressés.

2. À quelle fréquence doit-on effectuer une vérification de l'intégrité des fichiers Windows ?

Bien que la PCI n'exige que des contrôles hebdomadaires, cela peut ne pas suffire à prévenir de graves violations de la Data Security. Les acteurs de menaces modernes n'ont besoin que de quelques heures ou jours pour semer le chaos dans vos systèmes et données, rendant la détection rapide plus critique que jamais. Tout retard pourrait s'avérer coûteux.

3. Est-ce que Microsoft Defender for Cloud fournit une FIM ?

Oui, Microsoft Defender for Cloud examine les registres Windows, les fichiers du système d'exploitation, les fichiers systèmes Linux, les logiciels d'application et d'autres fichiers à la recherche de modifications qui pourraient indiquer une cyberattaque.

Cependant, il ne peut pas faire la distinction entre les changements planifiés et non planifiés, donc les équipes de sécurité peuvent être submergées par les alertes. De plus, Defender for Cloud ne fournit pas de surveillance en temps réel, donc les acteurs de la menace peuvent avoir le temps de mener à bien leurs attaques avant qu'une alerte soit émise. Par conséquent, investir dans une solution FIM tierce peut être une stratégie judicieuse.